Digitaliseringsstyrelsen efter udvikler-angreb: Ja, NemID er sårbar over for phishing
Phishing er et problem. Sådan lyder det overordnede svar fra Digitaliseringsstyrelsen på baggrund af et elegant NemID-angreb, som Version2 forleden omtalte på baggrund af en demonstration fra udvikler Søren Louv-Jansen.
Essensen i angrebet er, at udseendet på en NemID-boks er let at kopiere. Og samtidig optræder login-løsningen i et hav af sammenhænge og ikke bare på et enkelt domæne.
Derfor kan det være svært for en almindelig bruger at gennemskue, om en NemID-boks på en hjemmeside er reel eller et forsøg på phishing - altså på at franarre offeret brugernavn og adgangskode.
Version2 demonstrerede i 2011 samme problemstilling. DMARC sætter en politik for to andre protokoller, SPF og DKIM. SPF (Sender Policy Framework) er et simpelt system til validering af mails og er designet til at detektere spoofing. Modtageren af en mail kan kontrollere, at indgående mails fra et domæne kommer fra en server (IP-adresse), der er godkendt af domæne-ejeren (afsender). Listen over godkendte servere for et domæne publiceres via domænets DNS-oplysninger. DKIM (DomainKeys Identified Mail) beskriver, hvordan der kan knyttes et domæne-specifikt id til en mail. Domæne-ejeren kan signere den enkelte mail med en privat signeringsnøgle og dermed give modtageren mulighed for at verificere, om mailen er afsendt fra en server, der er registreret i DNS (Domain Name System). Verifikationen sker på baggrund af afsender-serverens offentlige signeringsnøgle, der er tilgængelig via DNS. Kilde: Center for CybersikkerhedDMARC
»Phishing er et problem, som vi hele tiden er nødt til at adressere. I har jo også peget på problemstillingen tilbage i 2011, kort tid efter, NemID kom frem. Alt it-sikkerhed er ofte et våbenkapløb med hackerne. Der er mange ting, man kan gøre for at styrke sikkerheden i forhold til phishing-angreb. Vi har lavet flere tiltag med Nets og bankerne i det her tilfælde,« siger vicedirektør i Digitaliseringsstyrelsen Adam Lebech og tilføjer, at der ofte er tale om en afvejning mellem blandt andet sikkerhed og brugervenlighed.
Ifølge Adam Lebech har der dog været et generelt fald i vellykkede phishing-angreb, blandt andet efter at der er blevet indført DMARC-beskyttelse på flere domæner, som relaterer sig til NemID, men også via samarbejdet med andre aktører som fx teleselskaberne om opdæmning for sms-phishing.
»Det er umuligt at lave et fuldstændigt sikkert system. Men man kan reducere risikoen.«
Det er svært at få lokket konkrete detaljer om sikkerhedstiltag ud af Adam Lebech. Han nævner dog, at Søren Louv-Jansens demonstration blev lukket ned via Google Safe Browsing, som et eksempel på noget, der kan gøres for at begrænse effekten af sådan et angreb.
Da domænet blev markeret som ondsindet hos Google, blev besøgende på Søren Louv-Jansens hjemmeside mødt af en stor advarsel i browseren. Og derudover havde markeringen også den effekt, at flere mails fra Digitaliseringsstyrelsen om sagen blev fanget af et spamfilter i stedet for at nå Version2's indbakke.
»Selvom det er en demonstration, så er det også et phishing-site, så det er man nødt til også at lukke og spærre de berørtes NemID,« siger Adam Lebech.
Lebech nævner desuden, at Søren Louv-Jansen jo netop også stødte på flere af disse tiltag, der vanskeliggjorde angrebet.
Eksempelvis er det svært via browserens API at vælge feltet, der skal indsættes et kodeord i. Disse tiltag forhindrede dog i sidste ende ikke Søren Louv-Jansen i at lave et automatiseret angreb ved at simulere et tryk på tabulator-tasten.
»Det kan være svært at sikre sig fuldstændigt, man kan bare blive ved med at bygge flere lag af sikkerhed på. Det er et våbenkapløb, hvor vi kan gøre noget på forhånd, og andre gange noget hurtigt efterfølgende.«
Et enkelt vellykket angreb kan være nok
Selvom der er søsat flere tiltag, der skal forhindre og begrænse skaden fra NemID-phishing, så kan det, som historien viser, være svært helt at undgå, som NemID ser ud i dag. Og i den forbindelse kan det være nok bare at få en enkelt person til at hoppe på phishing-angrebet.
Domænet for Søren Louv-Jansens demonstration blev som nævnt hurtigt flaget som værende ondsindet, så fremtidige besøgende ville modtage en stor advarsel.
Men der kan en hacker jo godt have nået at tilgå eksempelvis statsministerens skatteoplysninger, eller hvad man nu ellers kunne være interesseret i?
»Ja, det er rigtigt. Og der er en risiko. Det er lidt den samme problemstilling, som hvis en hacker sender en phishing-mail ud, som en bruger reagerer på,« siger Adam Lebech.
Fup-butikker
Netop fordi noget, der ligner NemID-boksen, i sig selv er relativt let at sætte ind på en hjemmeside, så er det generelt en god idé at have en vis skepsis med sig ved besøg på sider med NemID, mener Adam Lebech.
Han nævner nethandel som et andet eksempel på, hvor det kan være en god idé at være kritisk som bruger, inden betalingskortoplysninger bliver tastet ind på et site.
»Hvis noget for eksempelvis virker meget billigt, så kan det give anledning til, at man lige skal tænke sig om en ekstra gang, inden man indtaster sine kreditkortoplysninger.«
Hvis nogen virkelig vil have fat i for eksempel en dansk politikers sundhedsoplsyninger, så kan man vel også finde ud af at stave nogenlunde rigtigt på en hjemmeside, eller hvad det nu er, der skal til?
»Der er forskellige tiltag, man kan lave i forhold til den type af phishing-angreb. Og det er noget, vi løbende holder øje med, både hos os selv og i forbindelse med vores samarbejde på sikkerhedsområdet med blandt andet Forsvarets Efterretningstjeneste.«
Adam Lebech fortæller, at samarbejdet blandt andet har til formål at opfange angreb mod eksempelvis ministerier. Han ønsker ikke at gå i nærmere detaljer med, hvilke konkrete tiltag samarbejdet indeholder, som kan gøre det svært at gennemføre succesfulde angreb.
Han fortæller dog, at noget af det, der allerede i dag bliver anvendt til sikring af NemID mod phishing, er at overvåge, om noget ser mistænkeligt ud eller skiller sig ud fra det normale brugsmønster. Altså på samme måde som banker, Google og andre allerede gør det i relation til deres tjenester.
»Nøgle-app'en har indført en ekstra sikkerhed«
Som Version2 bemærkede i den oprindelige artikel med Søren Louv-Jansens demonstration, så kan den relativt nye nøgle-app, der kan bruges i stedet for papkortet, principielt gøre NemID-login mere sikkert.
Når app'en bliver anvendt til login, så kan konteksten, der bliver logget ind i, optræde i app'en.
Eksempelvis kan der stå borger.dk, navnet på netbanken eller navnet på forsikringsselskabet. Og hvis det navn umiddelbart ikke matcher den kontekst, som der er ved at blive logget ind i, ja, så kan det tyde på, der er ugler i mosen.
»Nøgle-app'en har indført en ekstra sikkerhed ved, at man kan se, hvilket site man er ved at logge ind på,« siger Adam Lebech.
Den højere sikkerhed forbundet med app’en forudsætter dog, at den konkrete kontekst faktisk fremgår af nøgleapp’en. Eksempelvis står der ved login på flere offentlige hjemmesider bare 'NemLog-in' - det gælder i skrivende stund ved login på sundhed.dk
Men det lader til at ændre sig.
I en opfølgende mail fra Digitaliseringsstyrelsen fremgår det, at det er den enkelte tjenesteudbyder, der er ansvarlig for, at tjenestens navn fremgår i app'en. Borger.dk hører direkte under Digitaliseringsstyrelsen, og derfor er det gået tjept med at få dette domæne udspecificeret.
Digitaliseringsstyrelsen er ifølge den opfølgende mail i tæt dialog med de øvrige tjenesteudbydere. Styrelsen forventer, at andre udbydere snart kommer på, så login-konteksten bliver udspecificeret.
»Når det ikke er sket for alle endnu, skyldes det, at app'en er forholdsvis ny, og NemLog-ins tjenesteudbydere skal selv levere input til transaktionsteksten. Det har eksempelvis både Virk.dk, Borger.dk og Digital Post allerede gjort,« står der mailen.
Nyt demo-domæne
Siden Søren Louv-Jansen domæne blev markeret som ondsindet, så lavede han kort tid efter samme demonstration på et nyt domæne, der til forveksling ligner det første.
I det lys virker det mere som symptombehandling end en egentlig kur at markere domæner som ondsindede for at forhindre den pågældende type phishing-angreb mod NemID. Og som hacket mod Demokraterne vidner om, så kan selv en enkelt persons login-oplysninger i de forkerte hænder forvolde skade.
På Version2-redaktionen er vi derfor nysgerrige efter, om der er nogen grundlæggende løsning på vej i forhold til problemet i, at en NemID-boks er visuelt nem at kopiere, og at de data, der bliver indtastet i den, giver adgang til alt fra sundhedsoplysninger til netbanken.
»Man kan jo kopiere alt med simpel HTML-kode. Den problemstilling har eksisteret hele tiden, men der er selvfølgelig forskellige muligheder for, hvordan man kan ændre det.«
Som du ikke kan komme nærmere ind på?
»Nej, det kan jeg ikke. Det er noget, vi drøfter med Nets, hvor vi hele tiden videreudvikler NemID-infrastrukturen, og så er det også noget, vi arbejder med i forhold til det kommende MitID.«
MitID
Det er planen, at NemID på et tidspunkt skal afløses af det, der har fået navnet MitID. I den forbindelse kunne det være nærliggende at finde på et design, så den nye løsning ikke har samme grundlæggende svaghed som NemID.
»Jeg kan ikke udtale mig specifikt om det, vi er jo i forhandlinger med de tilbudsgivere, der er i øjeblikket,« siger Adam Lebech og tilføjer:
»Vi er i gang med at designe en helt ny infrastruktur, hvor sikkerhed er kernen. Jeg kan ikke komme ind på konkrete løsninger.«
Adam Lebech forklarer, at der i den forbindelse også er et særligt fokus på phishing-problematikken, som det nuværende NemID er sårbart overfor.
Hvis Digitaliseringsstyrelsen savner inspiration i den forbindelse, så kan et kig i debatten forskellige steder på Version2 måske hjælpe.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
