Alarm: 4 millioner NemID-brugere truet af kritisk Java-hul
Hvis du er en af Danmarks små fire millioner brugere af NemID, skal du være ekstra meget på vagt i disse dage.
Sådan lyder vurderingen fra teknisk direktør Thomas Kristensen fra it-sikkerhedsfirmaet Secunia efter nyheden om et alvorligt sikkerhedshul i Java, som NemID kræver for at fungere.
Sikkerhedshullet kan nemlig udnyttes af it-kriminelle, som kan overtage kontrollen med din pc og eksempelvis aflytte dine indtastninger i al ubemærkethed, når du logger på netbanken.
Dermed er der i dansk sammenhæng tale om en sprængfarlig cocktail, der kan åbne op for angreb, hvor danske netbankkunder bliver frarøvet penge.
»Vi har stort set alle Java i den browser, vi bruger til hverdag, fordi vi alle sammen er tvunget til at bruge NemID. På den måde er danskerne forbandede, når sådan noget sker,« siger Thomas Kristensen til Version2.
Sikkerhedshullet rammer alle udgaver af Java 7, som er den seneste version af produktet fra Oracle. Selskabet er endnu ikke klar med en lap til sikkerhedshullet, og dermed er der tale om en såkaldt 0-dagssårbarhed.
Panderynkerne hos folk som Thomas Kristensen ville være langt mindre, hvis ingen it-kriminelle endnu havde fundet ud af at udnytte sikkerhedshullet. Men udenlandske tilbagemeldinger viser, at hullet udnyttes aktivt i flere sammenhænge.
Lige nu findes der fungerende exploits i de to hackerværktøjer Blackhole og Nuclear Pack, og ifølge Thomas Kristensen har bagmændene i en periode tjent penge på at sælge dem videre til andre.
Men sådan et værktøj i hånden kan it-kriminelle gennemføre drive-by-angreb, hvor intetanende ofre får installeret malware på deres pc, når de besøger en inficeret hjemmeside. Det er så let som 'drag-and-drop' for de it-kriminelle, siger Thomas Kristensen.
Og det er slet ikke utænkeligt, at sårbarheden kan blive udnyttet herhjemme, for Danmark er på grund af de mange NemID-brugere særlig interessant, når it-kriminelle skal udnytte huller i Java.
»Danmark er ikke særlig interessant for it-kriminelle, der vil udnytte en 0-dagssårbarhed i eksempelvis Internet Explorer, fordi der er så stor spredning i de browsere, danskerne bruger. Problemet med NemID er, at man gør befolkningen meget homogen set med de it-kriminelles øjne. Det er en farlig cocktail,« siger Thomas Kristensen til Version2.
Han anbefaler danskerne enten at slå Java fra, hvilket kan gøres under programmets indstillinger, eller at bruge en særskilt browser til Java og NemID, når der for eksempel skal logges på netbanken.
»Den her sårbarhed bliver man nødt til at tage alvorligt. Det kan godt være, at du er tvunget til at bruge Java sammen med NemID. Men når du surfer til mere dagligdags formål, så skal du slå den fra,« siger Thomas Kristensen til Version2.
Nets' anbefaling uændret: Hold dine programmer opdateret
Hos den offentlige it-sikkerhedstjeneste DK-CERT er man på linje med Secunia.
»Vi er nødt til at have en særskilt browser, som kun benyttes til NemID. Derudover handler det om at holde øje med, hvad der sker fra Oracles side (mht. en opdatering, red.). Så danskerne bliver nødt til at følge med i, hvad der kommer i pressen om det her, for det er alvorligt,« siger leder af DK-CERT, Shehzad Ahmad, til Version2.
Hos Nets DanID, der står bag NemID, tager man truslen alvorligt, siger pressechef Søren Winge. Men virksomheden er alligevel ikke enig i anbefalingerne fra Secunia og DK-CERT:
»Vores anbefaling er den samme, som den har været hele tiden, nemlig at man sørger for at holde sine programmer opdateret til nyeste version,« siger pressechef i Nets, Søren Winge, til Version2.
Men det særlige ved denne sårbarhed er jo, at den også rammer den allernyeste version af Java. Så den anbefaling gælder vel ikke i den aktuelle sag?
»Nej, det gør den ikke, så længe sikkerhedshullet ikke er lappet. Det forventer vi så, at det bliver så hurtigt, som Oracle nu kan gøre det. Normalt opdaterer de jo løbende software, når der opstår sikkerhedshuller,« siger Søren Winge.
Så I er ikke enig i ekspertanbefalingen om, at man enten skal slå Java helt fra eller bruge det i en særskilt browser?
»Nej, vi mener, at man kan bruge sin computer, som man plejer. Vi kan selvfølgelig godt følge argumentationen, men det er ikke en anbefaling, vi kan give. Vi mener ikke, at sikkerhedsrisikoen er til stede for, at det er nødvendigt at skulle tage den forholdsregel,« siger Søren Winge.
Vi ved, at der findes fuldt fungerende exploits derude nu, som kan købes af it-kriminelle. Vi ved også, at de kan misbruge dem til eksempelvis at aflytte folks netbankoplysninger. Gør det ikke truslen meget reel herhjemme?
»Jo, man kan bestemt godt sige, at truslen er reel. Den angrebsform, vi tidligere har set, rimer på det her, du skitserer. Men vi mener dog stadig, at man kan skærme sig generelt ved at holde sine programmer opdateret. I den aktuelle sag forventer vi, at det bliver løst inden for en meget overskuelig tidshorisont (en opdatering fra Oracle, red.). Men vi mener ikke, at man hverken skal afinstallere Java eller holde op med at bruge det,« siger Søren Winge til Version2.
Du kan læse mere om, hvordan du slår Java fra i browseren, i Version2s gennemgang.
Opdateret klokken 11.12 med kommentar fra DK-CERT.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
