It-folk efter angreb: Lav NemID om nu
Teknologien bag danskernes fælles login-løsning, NemID, er alt for sårbar. Det mener it- forskere og fagfolk.
NemID har siden marts været plaget af såkaldte Distributed Denial of Service-angreb (DDoS), der har sendt tjenesten i knæ flere gange.
Professor Joseph Kiniry, sektionsleder ved Institut for Matematik og Computer Science på DTU, ser grundlæggende problemer i designet af både NemID og NemLogin.
»Begge systemer bør udskiftes og baseres på et helt nyt grundlag,« fastslår professoren, der har et forskningsprojekt i gang, som omhandler netop dette.
Resultatet af angrebene har været, at den login-løsning, der spiller en stadigt mere central rolle i samfundet med den stigende brug af digital selvbetjening i det offentlige, har været utilgængelig i timevis.
Alle æg i samme kurv
Et af de grundlæggende problemer ved NemID-strukturen er, at den beror på en enkelt leverandør, nemlig Nets Danid.
»Det gør man ikke andre steder. Man betror ikke en enkelt virksomhed alle sine æg,« siger Joseph Kiniry.
Angrebene, som NemID er blevet udsat for, går kort fortalt ud på at oversvømme systemet med et hav af forespørgsler, hvorefter systemet ikke kan håndtere legitim trafik. Det gør det svært eller umuligt at logge ind med NemID i en periode – og dermed at komme ind på en bred vifte af både offentlige og private tjenester.
»Blandt it-sikkerhedsprofessionelle betragter vi ikke den form for angreb som særlig sofistikerede. De kan udføres af uvaskede teenagere i forældrenes kælder,« siger Joseph Kiniry.
At det ikke er videre kompliceret at udføre den slags angreb, er i denne uge bekræftet af Ingeniørens it-medie, Version2. Her hævder de påståede bagmænd bag et af angrebene, at det kostede dem 10 dollars at udføre.
It-sikkerhedsekspert og direktør i Solido Networks Henrik Kramshøj mener heller ikke, at en samfundskritisk login-løsning som NemID bør ligge hos en enkelt leverandør. Bl.a. fordi netop dét gør løsningen mere sårbar over for angreb og nedbrud:
»Det er kritisabelt, at en kritisk del af vores infrastruktur kan lægges ned af borgere med få midler.«
Mangler en fallback-løsning
I Dansk IT – en interesseorganisation for it-professionelle – mener formand Klaus Kvorning Hansen, at der i hvert fald bør være en fallback-løsning, hvis NemID fejler. Det er ikke tilfældet i dag:
»Det undrer mig, at beredskabet i forhold til sådan et angreb ikke har været bedre. Vil man det digitale Danmark for alvor, bør man sikre, at løsningerne ikke bare falder til jorden.«
I Danske Spil er man afhængig af, at løsningen fungerer. Virksomheden er nemlig underlagt den danske spilmyndighed, og brugerne skal derfor bruge NemID som adgang.
»Vi så gerne, at løsningen var mere robust. Når NemID går ned, lukker vores virksomhed,« siger it-direktør i Danske Spil Søren Weeke og tilføjer, at han forventer, at DanID går i gang med det lange seje træk mod at skabe en mere stabil løsning.
Pressechef i Nets Søren Winge ønsker ikke at kommentere kritikken fra eksperterne direkte.
»Vi ønsker ikke at kommentere arkitekturen eller sikkerhedsforanstaltninger, da vi ellers risikerer at give hackerne oplysninger, de kan misbruge,« siger han, men fortæller, at DanID har iværksat flere tiltag siden de første angreb.
»Vi kan se, at de tiltag, vi allerede har implementeret, har haft god effekt. De tre angreb har brugt forskellige teknikker og været stigende i styrke, så den seneste nedetid på blot en halv time er tegn på, at de virker.«
Søren Winge fortæller dog også, at angrebene er kommet for at blive.
»Vi forventer, at DDoS-angreb mod NemID desværre nok bliver hverdag og får et omfang og en frekvens, som vi løbende må ruste os til at kunne håndtere.«
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
