Gruppe tager ansvar for NemID-angreb: Vil forsøge at slå til igen

Som udgangspunkt syntes jeg ddos er latterligt men når det så bruges til at bevise at NemID er latterligt nemt at lægge ned så syntes jeg egentligt det er ok.

Har de latterlige angreb overhovedet et formål, ud over at genere samtlige borgere i Danmark..

Hvilken "heltedåd". Det svarer lidt til at smadre et busskur, fordi man er sur over et eller andet med den kollektive trafik (eller kæresten er "dom").

Vi kan fordømme det så meget vi vil, men det kunne lige så nemt være gjort af kinesere eller russere, og det bliver det sikkert også næste gang, blot med en løsesum forbundet til angrebet.

Der er ikke rigtigt nogen undskyldning for at bygge systemer af den vigtighed med åbenlyse single points of failure, og denne type angreb blev så vidt jeg husker også forudsagt inden NemID blev lanceret.

"Nu kan hele danmark se, hvor svagt internet sikkerheden i danmark virkelig er. "

Det er da en tåbelig ting at skrive. Enhver scriptkiddie kan lave DDoS. det har intet med internetsikkerhed at gøre.

Forskellen er blot at den kollektive trafik ikke går i stå, hvis nogen smadrer et busskur. Ikke endnu ihvertfald, men man ved jo aldrig, hvad de finder på. :-)

NemID har sine svagheder. Sikkert masser af dem. Men hvis det skal kunne bruges af almindelige mennesker fra en browser, så skal det også køre på internettet. Dermed bliver det sårbart for diverse DOS-angreb. DDOS især. Jeg kan ikke lige se, hvordan man kan undgå det. Og ja, næste gang er der krav om løsepenge med. Så må vi lade vore "uvurderlige" bankforretninger ligge et par dage, til en eller anden har fået isolet bot-nettet eller russerne giver op.

Jeg bliver mere bekymret, når anden infratstruktur hænger på det offentligt tilgængelige internet. El, vand osv.

Det er da en tåbelig ting at skrive. Enhver scriptkiddie kan lave DDoS. det har intet med internetsikkerhed at gøre.

Det her viser intet om internetsikkerhed. Korrekt. Det viser dog en hel masse om hvor sårbare vi er overfor angreb. Pga. et ufattelig simpelt angreb, har "scriptkiddies" sat al authentificering ud af spillet. Ganske som det blev forudsagt da Nemid blev lanceret.

Spørgsmålet er om de mitm-angreb, som også blev forudsagt, snart kommer til at florere i en noget højere grad end vi har set det hidtil?

hvorfor er det at medierne stadig kalder DDOS hacking ? de har tydeligvis ikke en brik forstand på det.. en hver person kan ping en server til døde.. bare find en masse venner som vil hjælpe..

og de fleste som er "medlem" af anonymous, er teenagere som syntes det er sjovt at være medlem af en klub som laver ballade på nettet og tror at de gør et godt formål..

Jeg er enig med Henrik Mikael k. her.

I denne sammenhæng er problemet ikke de folk der har anvendt DDoS, men mere den mangel på sikkerhed som NemID tydeligvis udviser ved et DDoS angreb. Alle kan jo lave et DDoS angreb! Har du set klikstart med Lars Bom på DK4, og lært at double klikke på musen, ja så er vejen banet. :)

Det er da en tåbelig ting at skrive. Enhver scriptkiddie kan lave DDoS. det har intet med internetsikkerhed at gøre.

Så enhver scriptkiddie kan lægge nemid ned, og der med det meste af det digitale Damark.
Nu blev jeg bange, meget bange.

hvorfor er det at medierne stadig kalder DDOS hacking ?

Fordi der er forskel på lægmænd og fagfolk, og i stedet for at bruge meget spalteplads på at uddanne folk så pointen går tabt, så er det nemmere at benytte det sprog der benyttes i dagligdagen.

Sådan er det i mange fagområder.
For at tage et (ikke bil) eksempel, så i økonomi snakkes der ofte om overskud og underskud på betalingsbalancen. Men en balance kan ikke være i overskud eller underskud. Det er en forsimpling af en mere kompleks problemstilling.

I den aktuelle problemstilling, så har jeg svært ved at accepterer selvtægt, især når motiverne er meget tvetydig ('drengestreger', 'opmærksomhed' m.m.).
Også når det går ud over NemID som jeg absolut ikke er fan af.

Problemstillingen er dog igen og igen hvordan man kan få gjort opmærksom på de problemstillinger der er med NemID når man tænker på hvilke politikere vi har på IT poster. Her kan man jo blot se tilbage på e-valg debatten for at få nogle spøjse indsigt.
NemID er ikke 'optimalt' - men at DDOS den er blot hærværk.

når de kan skrive: "Nu kan hele danmark se, hvor svagt internet sikkerheden i danmark virkelig er. ".. Manglen på grammatik/stavekontrol er, forhåbentlig, afslørende :=)

Ja, man kan undres over der ikke er taget højde for DDoS. Ved vi noget om antal kald der er blevet kastet efter deres server?(e?)

når de kan skrive: "Nu kan hele danmark se, hvor svagt internet sikkerheden i danmark virkelig er. ".. Manglen på grammatik/stavekontrol er, forhåbentlig, afslørende :=)

To store D'er i Danmark, et t (i svag) og et manglende mellemrum? Jeg har kolleger i slutningen af 30'rne der staver værre. Dog ville nævnte kolleger nok sørge for en korrekturlæsning, såfremt budskabet skulle ud til verdenen.

Uanset hvor gamle de er eller hvor dårligt de staver, så lykkedes det dem stadigvæk at ligge nemid ned!

kunne man endelig ikke løse det her ved at få server til at blokke de ip som angriber den ? altså sådan at hvis man ping den et x antal gange også den automatisk bliver blokket nogen timer ? ved godt man ikke kan løse det på den måde hvis de har nok computer men kunne måske gøre sådan at det kræver de har magt over flere computer end ellers desuden kunne det jo også hjælpe lidt hvis de bare en gang i mellem brugte de resouser det skulle de bare at fange dem en gang i mellem... det er faktisk ikke så vild nemt at gemme sig da internet forbindelsen kan spores på ip og og hvor netkort også har en kode som kan spores tilbage til netkorte... og det er faktisk ret svært at slette sine spor helt selv hvis man er meget god

Den skriver Danmark med stort.

Hvorfor ikke bare benytte SKAT's fremragende kø-system? Det er jo nøjagtigt det samme der sker når SKAT meddeler, at "Nu kan du se din årsopgørelse". 2 mill. danskere prøver at logge på samtidigt.

Teoretisk set, sker der jo også et DDoS imod SKAT, men i dette tilfælde er bare lovligt.

• blot for at illustrere hvor utilstrækkelig lysreguleringen egentlig er når det kommer til trafikregulering. Så kan de lære det! ...

Man kan måske godt påpege en mangel uden at opføre sig som komplet idiot.

@Børge Truelsen - Hvis det var nemt af løse et DDOS angreb, så var løsningen nok implementeret for længe siden. Umiddelbart ville jeg forvente, at Deres intrusion detection system sætter nogle begrænsninger på den enkelte IP adresse (hvor mange request, connections m.m. pr. IP adresse). Problemet er vel nærmere, at ved et SYN angreb kan afsender IP adressen forfalskes -man er netop ligeglad med ACK fra Dan ID.

@Henrik Hausner - Lyder umiddelbart som en god ide. Problemet er blot, at man ved et SYN angreb tilsyneladende aldrig komme så langt, at der etableres en IP forbindelse. Derfor vil omtalte køsystem ikke hjælpe. Skaden er så og sige allerede sket INDEN man når til kø-systemet.

Hvilken "heltedåd". Det svarer lidt til at smadre et busskur, fordi man er sur over et eller andet med den kollektive trafik (eller kæresten er "dom")

"Wirft man einen Stein, so ist das eine strafbare Handlung. Werden tausend Steine geworfen, ist das eine politische Aktion. Zündet man ein Auto an, ist das eine strafbare Handlung, werden hunderte Autos angezündet, ist das eine politische Aktion."

-- Ulrike Meinhof.

Uanset at den udenomsparlamentariske handling er forkastelig, så har den på grund af sin størrelse unægteligt en politisk effekt. Om man er enig i metodikken er et spørgsmål om ens egen etik.

Uanset hvor gamle de er eller hvor dårligt de staver, så lykkedes det dem stadigvæk at ligge nemid ned!

Du får et point for at understrege din pointe med en stavefejl. :-)

Så vidt det er mig bekendt så er styrken ved DOS angreb, om det er det ene eller anden type, at det er svært at stoppe. Men med en så vigtig del af vores samfund som nemid er formoder jeg at NETS har et stærkt samarbejde med diverse danske ISPer.

Hvad kan et DOS angreb udrette hvis ISPerne begynder at blokke trafikken så snart den dukker op?

Eller er der noget jeg misser her?

Hvis der bare er tale om SYN flood så er det jo bare at blocke den IP der er ansvarlig så snart firewallen opdaget et synflood begynder - right?

Det kan jo ligefrem automatiseres hvis man ville

Dengang jeg boede i Norge, blev min internet forbindelse taget ned i to dage af min ISP (NextGenTel), eftersom en af mine maskiner startet et synflood angreb imod en specifik ip adresse på nettet.

Det viste sig at være en fejl i et program, men jeg var glad for at de tog ned min forbindelse den gang.

Jeg tror nok at det nemt kan lade sig gøre at begrænse DDoS angreb dersom alle ISP'er er med på det.

Hvorfor skal alle disse inficerede PC'er få lov til at hærge frit på nettet?

En kunde som mistænkes som medlem af et bootnet, kan blokkeres, og derefter få en telefon fra sin ISP om problemet.

at ligge nemid ned!

. som så skal være 'at lægge nemid ned' ;-)

Du får et point for at understrege din pointe med en stavefejl. :-)

Der er da to stavefejl?

ligge->lægge
nemid->NemID

@Carsten Jensen og Robert Voje.
Det koster kassen. Udstyr til at afværge trafik i den størrelse er ikke hver mands eje. Desuden kommer teknikeren som skal bruge tid på at sætte det op. Det det skal holdes ved lige. Automatisering ligger ikke lige til højrebenet.
ISP'erne er ikke dem med problemet, udfra deres synspunkt hvorfor skal de til at stille udstyr op, og lave løsninger uden økonomisk opbakning fra statskassen. Det må vel skulle betales af skatteborgerne, alt andet er vel ikke retfærdigt, NemID er en politisk beslutning.
Men det kan måske være at politikerne skulle trækkes i ministerpension for at lave en bedre løsning for landets borgere? Så var midlerne der skulle til måske hurtigt i hus.

SYN flood er ret svær at stoppe på modtagersiden, da afsender IP i den enkelte pakke ikke behøver at være korrekt, så man kan ikke se forskel på rigtige requests og falske requests med random afsender IP.

Hvis ISP'erne kan stoppe trafikken på afsender siden i stedet, så kunne man måske gøre noget ved det.

Hvis ISP'erne kan stoppe trafikken på afsender siden i stedet, så kunne man måske gøre noget ved det.

Netneutralitet, tak.

K

Det koster kassen. Udstyr til at afværge trafik i den størrelse er ikke hver mands eje.

Men på NemID-niveau troede jeg at det var en selvfølge. Det er jo åbenlyst an DOS af NemID har store konsekvenser. Specielt efter hvad NemID har kostet. Der er standard-udstyr til at håndtere det: http://www.tech-mavens.com/synflood.htm

Det er jo også et helt standard angreb, som burde have været på toppen af listen i NemID's (tilsyneladende fraværende?) forsvars-design. At det tilsyneladende har overrasket dem synes jeg helt fint man kan klandre dem.

Netneutralitet, tak.

K

At ISPen sørger for at afsender-IP-adressen ligger på deres netværk har ikke noget med net-neutralitet at gøre. Selvfølgelig må din ISP's router gerne kigge på hvilke IP-adresser der er i det yderste lag af dine data-pakker, hvordan skulle din ISP ellers kunne route dine IP-pakker?

Jacob Larsen det var præcis det jeg mente. Jeg tog det for givet at vigtigheden af NEMID var oppe for vores samfund lå på et niveau hvor ISPerne netop havde focus på dette..

Men som sagt jeg ved ikke om jeg skærer det for simpelt ud...

@Brian Jensen,

Jeg har focus på ISPerne fordi det er dem der er knude punktet... jeg tog det forgivet at det IKKE var ISPen der skulle betale det. Men givet deres funktion og DOS natur vil jeg mene det var logisk at det var der man satte ind.

@Casper Jensen - Og sjovt nok så ville JEG antage, at det NETOP er ISPerne, som har ansvaret for, at afsender adressen ligger på deres netværk. Det er selvfølgelig en omkostning de må bære. Kan altså ikke se, at det er et ansvar som Nem ID skal påtage sig. Det har en samfundsmæssig interesse, som rækker langt videre end Nem ID.

Var det ikke netop det de ikke kunne - jeg har da ikke noteret mig at NemID var nede...........men jeg har måske sovet i timen?

I stedet for at bruge evt. penge på at forbedre kapaciteten og udstyr til den slags simple angreb, burde man heller oprette en enhed der kunne tage sig af den stadig stigende cyberkriminalitet. Nemlig for at DE kunne blive stillet til ansvar for det hærværk de begår og dermed få dele af penge ind igen når de skyldige bliver fundet.
Så er der jo også arbejde til de der er dygtige nok og dermed kan bruge deres færdigheder til noget fornuftigt. Naturligvis ikke for script kiddies, men for de der virkelig kender noget til sikkerhed :)

Der mangler nu også et "i" for at sætningen giver mening, samt en sammentrækning af internetsikkerhed.

@Jørgen Larsen, på det område er vi så ikke enige, det er ikke noget jeg gider diskutere herinde.. :)

Det her viser intet om internetsikkerhed. Korrekt. Det viser dog en hel masse om hvor sårbare vi er overfor angreb. Pga. et ufattelig simpelt angreb, har "scriptkiddies" sat al authentificering ud af spillet. Ganske som det blev forudsagt da Nemid blev lanceret.

Det er jeg helt enig i. NemID er et håbløst design, men at man kan lægge et eller andet ned med et DDoS-angreb har intet med "internetsikkerhed" at gøre, som du også skriver :)

Så enhver scriptkiddie kan lægge nemid ned, og der med det meste af det digitale Damark.
Nu blev jeg bange, meget bange.

Jeg ved ikke om 'enhver' kan gøre det, men at lave et DDoS-angreb er ikke den allermest krævende ting man kan foretage sig.

At det er halvskræmmende er vi enige om. Her kl. 1.06 torsdag nat kan jeg stadig ikke logge på med NemID, selvom DanID hårdnakket påstår, at alt har kørt upåklageligt siden kl. 14-15 stykker.

I stedet for at bruge evt. penge på at forbedre kapaciteten og udstyr til den slags simple angreb, burde man heller oprette en enhed der kunne tage sig af den stadig stigende cyberkriminalitet. Nemlig for at DE kunne blive stillet til ansvar for det hærværk de begår og dermed få dele af penge ind igen når de skyldige bliver fundet.
Så er der jo også arbejde til de der er dygtige nok og dermed kan bruge deres færdigheder til noget fornuftigt. Naturligvis ikke for script kiddies, men for de der virkelig kender noget til sikkerhed :)

Det vil altså være naivt at begynde en masse drakoniske tiltag, som typisk ingen effekt vil have - ligesom eksempelvis terrorlogningen.

Man kan have sympati eller ej for DDoS angrebet mod NemID, men hele den centralistiske model har rigtig mange fra dag - 10 påpeget er en rigtig dårlig model.

Derfor vil det næsten give sig selv at noget sådant vil ske, og spørgsmålet er så hvad der vil ske når det er de rigtig slemme der gør det, og ikke bare nogen der vil lave et statement.

Så det at lave en kæmpe cyberterrorgruppe vil kun være en rigtig dårlig symptombehandling - dybest set kan man ligeså godt tænde 5 stearinlys, og afsige 15 ave maria'.

Det er nødvendigt at centralmagten indser at samfundet er alt for sårbart med monolitiske løsninger som NemID, og når NemID så ikke engang er en rigtig digital signatur men kun et single sign-on, så bliver det endnu mere en farce.

Så dels bør stat og kirke ^^^^ bank adskilles, og faktisk burde bankerne også have decentrale adgange (det betyder ikke at de ikke godt i fællesskab kan udvikle en løsning), dels burde man i stedet gå over til en rigtig signaturmodel, hvor der var tale om certifikatopslag som vil kunne distribueres.

Nets kan gøre noget ved DDoS. De har nu spærret.
Det store spørgsmål er hvorfor var der ikke SYN flood protection og andet DoS forsvar på plads inden angrebet ?
Der er to type DDoS angreb, dem mod webserveren, og dem bør man beskytte sig mod, og dem mod båndbredden (kan være dyrt at beskytte sig mod når hackeren kan generere trafik med 50-70x sin egen båndbredde). Sidstnævnte kan man kun stoppe ved at gå til upstream providers med mere båndbredde, og stoppe det der, og her bør man have kommunikationsvejene på plads, hvis man ikke har betalt for et konstant beredskab/overvågning upstream.

Anonymous er ikke kun teenage som er ud at lave ballade!
Sikke en fordome du har og primitiv en og uvidende.
Du har åbenbart ikke lad mærke til at anonymous har flere gange hjulpet wikileak og har angivet for nylig listen af regerigns medlemmer verden over som har snyt med skat og har skjulte konti i uland hvor de kan gemme store summe penge.
Det har været i nyheder hele uge så det er på tiden at du får en opdatering.
Anonymous arbejder verden over med meget seriøse sager som vedrører multinatinaler kontrol af fødevarer og medecin indhold, og forurening og ulovlig lobbyisme, med korruption af embedsmænd og toppolitikere.
De er de fakto den eneste gruppe/myndighed/enhed som modarbejder mafia virksomhed og dens dertil korruption af stater og administration og finans og korruption af regeringsmedlemmer.
Du burde være mere ydmyg når du ike ved om emnet, og tag ved lære ved at oplyse dig selv om hvad foregår i verden og hvad anonymous egentlig gør og står for.
De er også med til at modarbjede den stærk stigende nazxisme og diktatur i Hungaria. og det er ikke en let sag, og tror mig, det er ikke teenager med et kedsomhed problem.
Det er voksne som sætter deres liv på spil og som også deltager aktiv i åbne demonstrationer mod radikalisering af staten, og mod magtmisbrug og angreb på borgerne rettigheder og ødelæggelsen af Hungarias grundloven.

Vis lidt respekt for en organisation som har hjulpet milioner verden over, og som er den mest demokratisk enhed vi har nogensinde kendt.

Udover det, takket været dem, så er love om internet restriktioner og kontrol af brugere ikke blevet stemt ind i USA og ellers ikke i EU.

De arbejder imod Montsanto, og hvem helst gør det?
De støtter Amnesty internationalt
De støtter Wikileak
de støtter pirat ebay
de støtter alle som arbejder for demokratiet og som kæmper for at få den og bevare det.
Hvad gør du selv for det og for at opretholde og forsvare dine rettigheder i landet internatinalt, og på internetet?
at se fra din uvidenhed i området kan jeg med sikkerhed svare: Intet!

Der er en t i enden af svag i den original tekst og i dens videregivelse.. der mangler bare en kapital D for danmark men det må man slev om.
Er det en GGrammatiK angreb eller hvad?
Dette er version 2 kommentar side, ikke dansk undervisning.
Lad folk leve i fred, og lad være med at sende irelevant bebrejdende og kommentarer som ovenikøbet er fejlagtige, udover at være et personlig angreb.

Der er en t i enden af svag i den original tekst og i dens videregivelse.. der mangler bare en kapital D for danmark men det må man selv om.
Er det en GGrammatiK angreb eller hvad?
Dette er version 2 kommentar side, ikke dansk undervisning.
Lad folk leve i fred, og lad være med at sende irelevant bebrejdende og kommentarer som ovenikøbet er fejlagtige, udover at være et personlig angreb.
Det er en tweeter besked ikke en artikel eller en email.
Og manglende kapital D for danmark kan være gjordt med vilje.
Jeg har i øvrig tit læst her i version 2 og andre steder folk som jer som nemlig talt om at lave en ddos angreb på nem id og om mulighed for at gøre det og tal nedladende om sikkerheden for systemet og hvor dårligt systemet var, ledsaget tit af artiklen fra version 2 for de sidste 2-3 år.
Så nu er det sket. Hurra, skulle i skriger. Men nej i kritiser de folk som har gjordt det som de fleste her forudsat og ønskede vil sker så at staten kune se hvor dårlig nemid var..
Helt ærligt.
Tag en beslutning. og lad være med at klage så meget om alt muligt.

Meget godt!
adskillese af stat og bank og finans mastodonter er også en super godt ide. men jeg er bange for at det vil går imod disse finans aktorer som nemlig er kun ude efter en ting: kontrol af statsmagterne.
men hurra for at adskille nemid banking fra nem id kommune og nem id skat og nem id social rådgiver/cpr nummer relateret.
Man skal have en signatur for hver områder det vil begrænse mulighed for toal angreb gevaldig meget, og vil gør det nemmere fro hver enheds gruppe at håndter deres sikkerheds system.
Jeg syntes at den oprindelig log in til min net bank var langt bedre end med nem id. og jeg har aldirg nogensinde haft problemer med det.
til gengæld syntes jeg at nem id log ind på komune sider for generel opplysninger er aldeles overflødiske og burde afskaffes.
Login på skat burde ikke sker med nem id men med en nummer enten cpr numer eller specifik nummer fra sit skat angivelse, eller begge dele. men ike nem id.
hvornår får computer en kort aflæsning skive, ligesom man havde disket drev og har cd drev og dvd drev og USB stik 2 og 3, hvorfor ike have en kort aflæser, enten for chipsen eller striben således at folk kan få adgang til deres bank, skat, kommune, osv, vha et kort de får fra skat, banken, og kommunen. hvad med at koble det med en ID kort, dansk elektronisk ID kort for kommunen, elektronisk skattekort for Skat, og et netbank kort for banken.
Dermed er problemet løst.
Erstat nem id med det.
Jeg kan ikke se hvordan man kunne lave en DDoS med en digital kort.

Meget godt Christian Nobel!
adskillese af stat og bank og finans mastodonter er også en super godt ide. men jeg er bange for at det vil går imod disse finans aktorer som nemlig er kun ude efter en ting: kontrol af statsmagterne.
men hurra for at adskille nemid banking fra nem id kommune og nem id skat og nem id social rådgiver/cpr nummer relateret.
Man skal have en signatur for hver områder det vil begrænse mulighed for toal angreb gevaldig meget, og vil gør det nemmere fro hver enheds gruppe at håndter deres sikkerheds system.
Jeg syntes at den oprindelig log in til min net bank var langt bedre end med nem id. og jeg har aldirg nogensinde haft problemer med det.
til gengæld syntes jeg at nem id log ind på komune sider for generel opplysninger er aldeles overflødiske og burde afskaffes.
Login på skat burde ikke sker med nem id men med en nummer enten cpr numer eller specifik nummer fra sit skat angivelse, eller begge dele. men ike nem id.
hvornår får computer en kort aflæsning skive, ligesom man havde disket drev og har cd drev og dvd drev og USB stik 2 og 3, hvorfor ike have en kort aflæser, enten for chipsen eller striben således at folk kan få adgang til deres bank, skat, kommune, osv, vha et kort de får fra skat, banken, og kommunen. hvad med at koble det med en ID kort, dansk elektronisk ID kort for kommunen, elektronisk skattekort for Skat, og et netbank kort for banken.
Dermed er problemet løst.
Erstat nem id med det.
Jeg kan ikke se hvordan man kunne lave en DDoS med en digital kort.

Hvis man laver ikke snart en kort aflæser for hjemme computere/Smartphone/bærbare, så skal man lave USB nøgle til det formål.
En nøgle til hver område, en til banken, en til Skat/Stat, og en til Kommunen.