Heartbleed: Vi har kun set toppen af isbjerget
Foreløbigt har vi kun set toppen af isbjerget, når det kommer til konsekvenserne af det store sikkerhedshul i OpenSSL med tilnavnet Heartbleed. Det vurderer flere eksperter.
Blogger på Version2 med forstand på it-sikkerhed Henrik Kramshøj fra Solido Networks peger på, at der i første omgang primært har været fokus gængse web-servere på nettet, som besøgende kan surfe forbi. Men bag dem er der et hav af web-baserede tjenester, der udveksler data mellem hinanden på kryds og tværs - eksempelvis i forhold elektronisk sags- og dokumenthåndtering inden for det offentlige. Og det kan også foregå via SSL, særligt hvis der er er tale om personfølsomme data.
Uden at kunne sætte et eksakt tal på, formoder Henrik Kramshøj at en del af disse er OpenSSL-baserede forbindelser, hvor følsomme informationer bliver udvekslet mellem blandt andet offentlige it-systemer.
»Det vil være sandsynligt, at vi finder flere områder, hvor det vil få indflydelse, og som vi ikke i første omgang troede var sårbare. Nu er vi ved at komme over den første bølge med HTTPS på web-serveren, nu skal vi gennemgå andre steder, hvor der bliver brugt SSL,« siger Henrik Kramshøj
Han påpeger, at også mailservere i den forbindelse kan være ramt af sårbarheden.
»Vi har kun set toppen af isbjerget. Der kommer til at vælte flere skeletter ud af skabet,« siger Henrik Kramshøj og nævner i den forbindelse at også klienter - altså ikke kun servere - kan være sårbare overfor Heartbleed-angrebet.
Og det er ikke nødvendigvis lige til at lukke Heartbleed-hullerne i de eksempelvis XML-baserede webservices, der udveksler informationer på kryds og tværs og er afhængige af hinandens oppetid.
»Hvis der er fejl i de systemer, vil det formentlig tage en uge at rette op på. Der er ikke rigtigt nogen, der har styr på, hvordan det hænger sammen i de store setups (webservices, red.), og så er man bange for det knækker.«
Peter Kruse fra it-sikkerhedsvirksomheden CSIS bruger også udtrykket toppen af isbjerget med henvisning til, at de mere omsiggribende konsekvenser af Heartbleed-sårbarheden har endnu tilgode at vise sig.
»Alle elektroniske sagsbehandlingssystemer, alle systemer, hvor folk bestiller tid hos lægen, tandbehanglinger. Alle sammen er der jo krav til, fordi CPR-nummeret ikke må sendes ukrypteret i backend-systemerne, at man laver SSL-kryptering af de data (og dermed potentielt blotlægger data for uvedkommende, red.),« siger Peter Kruse og fortsætter:
»Der er vildt mange facetter her. Og så er der vildt mange enheder, med embeddede operativsystemer, som har en implementering af OpenSSL, der er sårbar. Det bliver et mareridt at få opdateringer rullet ud.«
Og netop hvad de embeddede enheder angår kan det vise sig som en omfattende opgave at sørge for, de bliver opdaterede. Embeddede enheder kan eksempelvis være tv-apparater, routere, firewalls og så fremdeles. Og nogle af disse apparater vil næppeuden videree kunne opdateres.
»Der vil være masser af enheder, som man ikke ville forvente var sårbare, men hvor der har været et krav om kryptering. Og så har man brugt det mest populære bibliotek til det, og det er nu engang OpenSSL.«
Og der er noget om snakken. Cisco har netop været ude med en melding omhandlende en stribe af virksomhedens produkter i kølvandet på Heartbleed-sårbarheden, ligeså har Synology, der begår sig inden for storage-løsninger været ude med en pressemeddelelse om en opdatering som følge af Heartbleed.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
