Kodefejl lækker 10.000 CPR-numre på elever fra førstehjælpskurser

Endnu en gang har manglende sikkerhed været skyld i en større kompromittering af CPR-numre fra tusindvis af danskere.

Der er tale om en fejl i koden på hjemmesiden hos Førstehjælpcenteret, der gjorde det muligt for hvem som helst at få adgang til personlige oplysninger på brugerne i systemet. Det omfatter blandt andet CPR-numrene på omkring 10.000 personer. Version2 er blevet opmærksom på sikkerhedshullet af en læser og har efterfølgende taget kontakt til ejeren af websitet, så hullet nu er blevet lukket.

»Det er ikke i orden, at det her sker. Jeg har lænet mig op ad de råd og vejledninger, jeg fik, da jeg overtog systemet,« siger direktør og ejer af Førstehjælpscenteret Niels Sommer.

Førstehjælpscenteret tilbyder førstehjælpskurser i samarbejde med en række køreskoler til elever, der er ved at tage et kørekort. Når kurset er færdigt, får eleverne udstedt et førstehjælpscertifikat med blandt andet navn og CPR-nummer, og derfor har det hidtil været en fast del af proceduren, at de skulle opgive de personlige oplysninger til førstehjælpsvirksomheden.

Konkret består sikkerhedshullet i en alvorlig svipser i koden til den administrationsside, hvor eleverne kan ændre i deres egne oplysninger. Normalt bør man være logget ind for at have adgang til disse oplysninger, men dette sikkerhedstjek er af ukendte årsager ikke lagt ind i koden. Derfor har det indtil nu været muligt for enhver udefrakommende at skrive id-nummeret på en hvilken som helst elev ind i adressefeltet i browseren og således få direkte adgang til vedkommendes oplysninger.

Eksempelvis kunne man skrive www.trafik1.dk/elev_edit.php?id=11005 i browseren og få adgang til følgende (censureret):

Man skulle blot ændre på tallet efter id= for at få adgang til de andre elevers oplysninger. Normalt bliver adgangen til sådan en side blokeret, medmindre man har logget ind. Dette tjekker koden ved hjælp af en session, der er en cookie, som bliver gemt i brugerens browser og dermed husker, at vedkommende er logget ind.

Problemet var bare, at den kode, der skulle verificere brugerens session-cookie og holde alle andre væk, ikke fandtes.

»Det ligner noget copy-paste-kode fra en administrationsside, der er lagt over på elevernes administrationsside uden at være blevet ændret til eleven,« siger Ronni Haastrup Madsen, der er direktør i West Soft Development, som tidligere har stået for at lave nogle enkelte rettelser i hjemmesiden.

»Det er totalt no-go at lægge et id på brugerne ind i adressen, for hvis du glemmer at sikre det, er det bedre, at der slet ikke er et id med,« siger han.

Ukendt udvikler står bag amatørfejl

Det er endnu uvist, hvem der har stået for at lave det oprindelige system til Førstehjælpscenteret og dermed står bag den oprindelige fejl i koden.

Historien er dermed også et eksempel på, hvad der kan ske, når man overtager et gammelt it-system og ikke gennemgår sikkerheden i det.

Niels Sommer overtog Førstehjælpscenteret i 2011 og dermed også den nuværende hjemmeside, hvor sikkerhedshullet lå og truede.

Virksomheden stammer tilbage fra 2006 og har omkring 1.000 kunder om året, som alle har deres personlige oplysninger som navn, adresse, telefonnummer og CPR-nummer liggende i systemet. Det giver sammenlagt omkring 10.000 kunder i databasen.

»Jeg har ikke snakket med dem, der lavede systemet i tidernes morgen. Jeg overtog bare et eksisterende system, men har ikke været nede i mulden for at undersøge, om noget haltede. Det fungerede bare, og så opdager man først, at noget er galt, når det ikke fungerer,« siger Niels Sommer.

Han fik efter overtagelsen udviklerne hos West Soft Development til at foretage nogle små rettelser i administrationsdelen, men det var ifølge udviklerne selv ikke nok til, at fejlen blev opdaget.

»Hvis vi havde fået til opgave at lave et sikkerhedstjek af hjemmesiden, ville vi opdage det. Men når vi bare skal ind i administrationsdelen og ændre nogle felter, ser vi det ikke,« siger Ronni Haastrup Madsen og fortsætter:

»Det er en fejl, vi ser rigtig meget hos folk. Det er typisk, hvis man har overtaget noget kode fra hobbyprogrammører eller knap så erfarne folk, at de her ting opstår.«

Glemte at rådgive om krav til krypteret forbindelse

Ud over det konkrete sikkerhedshul i koden har førstehjælpssiden et andet og mere overordnet sikkerhedsproblem:

Når man som virksomhed opbevarer folks personnumre, er det nemlig et krav, at man foretager en række nødvendige foranstaltninger for at sikre dem. Heriblandt skal virksomhederne sørge for, at forbindelsen mellem brugeren og serveren er krypteret med SSL for at forhindre uvedkommende i at få adgang. Hvis man kan se et ikon af en hængelås oppe i browserens adressefelt, betyder det, at forbindelsen er krypteret.

Men heller ikke det gør Førstehjælpscenteret brug af.

Det lyder, som om det her kommer som noget nyt for dig?

»Ja, det gør det. Jeg er ikke orienteret om, hvordan den del fungerer, men vi vil tage det videre med vores udviklere,« siger Niels Sommer.

Da webudviklerne hos West Soft Development lavede rettelserne i hjemmesiden for Førstehjælpscenteret, gjorde de heller ikke Niels Sommer opmærksom på de manglende SSL-certifikater. Og det var en fejl, indrømmer direktøren:

»Det burde vi have gjort. Normalt gør vi det, når folk opbevarer CPR-numre,« siger Ronni Haastrup Madsen, og erkender også, at sikkerhedshullet i koden måske kunne være opdaget tidligere i forløbet:

»Man kunne håbe på, at når man går ind og laver et certifikat, så skal du manuelt ind og rette koden, og så kunne man have opdaget fejlen,« siger han.

Datatilsynet har tidligere sagt følgende til Version2 omkring kryptering af trafikken:

»På en hjemmeside kan det lade sig gøre at kryptere trafikken, uden at jeg som almindelig bruger skal installere noget indviklet. Derfor kræver vi, at det sker krypteret, når det er personnummer eller andre fortrolige oplysninger indblandet,« sagde kontorchef hos Datatilsynet Lena Andersen.