Kræver danske pc'er skal synes

Den danske it-sikkerhed skal forbedres, og det skal blandt andet ske ved at indføre periodiske syn af danskernes computere, foreslår arbejdsgruppe under Teknologirådet.

Offentlige danske hjemmesider skal lukkes for borgere, der ikke får deres computer gennemset for sikkerhedshuller. Det er bare et af de kontroversielle punkter, som en arbejdsgruppe under Teknologirådet nu er kommet frem med i arbejdet på at finde ud af, hvor it-sikkerheden forbedres.

Arbejdsgruppen har netop udsendt rapporten ?Borgernes it-sikkerhed?, og ud over det røde kort til usikre computere foreslår arbejdsgruppen også, at det gøres muligt at blokere for hjemmesider, der udelukkende har et kriminelt formål.

Som i trafikken således også på nettet

Talskvinde for arbejdsgruppen Birgitte Mikkelsen fra Finansrådet sammenlignede ved præsentationen af rapporten tirsdag eftermiddag færdsel i bil på gader og veje med moderne færdsel på nettet.

»Vi har en indretningskultur i trafikken med normer, som vi indordner os under, hvor der er bestemte regler, som vi følger som eksempelvis, at bilen skal regelmæssigt til syn, og er udstyret med lovpligtigt sikkerhedsudstyr. Ser man på nettet, er der her tale om mere en mere wild west-agtig kultur, og mens vi fra barnsben lærer trafikkulturen, så er der ingen hjælp at hente, når det gælder sikker adfærd på nettet,« sagde Birgitte Mikkelsen.

Efter hendes opfattelse er tiden moden til at gå mere drastisk til værks i ønsket om at opnå øget it-sikkerhed.

»Ganske mange borgeres pc'er indgår direkte i kriminelle handlinger. Ingen kender de konkrete tal, men det anslås, at 70 millioner pc'er er med i det såkaldte Storm botnet, så det er klart, at der skal gøres noget for at sikre, at borgernes computere ikke kommer til at deltage i kriminelle handlinger,« sagde hun videre.

Den holder bare ikke

Forestillingen om at sende sin pc til syn blev dog ikke modtaget med udelt begejstring af tilhørerne på konference. Flere udtrykte risiko for, at skanningen af computeren ville omfatte mere end blot kontrol af opdateringer af software og korrekt konfigureret firewall.

»Analogien med bilen holder ikke. Når jeg afleverer min bil til syn, så har jeg ikke alle mine dokumenter, alle mine breve, alle mine billeder og alle mine videoer liggende frit frem på bagsædet. De ting vil jeg ikke have med til et tvungent syn,« sagde Nicolai Nyberg fra Bankinvest.

Ingen grund til mistillid

Også Niels Elgaard Larsen fra it-politisk forening var stærkt fortørnet over udsigten til at offentlige hjemmesider blev blokeret, hvis man ikke havde taget et pc-syn.

»Det er det samme som at sige, at man ikke må komme på biblioteket, hvis man vejer over 70 kilo. Det hænger bare ikke sammen. Det er det forkerte signal at sende,« sagde han.

Men arbejdsgruppen holdt fast i synspunktet. Blandt andet mente Steffen Stripp fra Dansk Metal, der også har deltaget i arbejdet, at der ville være tillidsproblemer ved at lade en computer udsætte for sikkerhedskanning. Han foreslog at der kunne udvikles en open source-løsning, så alle kunne se at koden var fri for bagdøre.

Syv initiativer

I alt havde arbejdsgruppen syv punkter, som de mener vil være medvirkende til at it-sikkerheden hæves:

? at der indføres en digital identitet, der muliggør sikker identifikation.
? at sikkerhedsopdateringer af software automatiseres.
? at der arbejdes med at udvikle og etablere et offentligt pc-syn af brugernes sikkerhedsniveau
? at danske mailudbydere tilbyder mailfiltrering, der som standard er aktiveret.
? at indføre sikkerhedsmærkningsordning af it-produkter.
? at det undersøges nærmere, hvorledes direkte skadelige hjemmesider kan sortlistes og blokeres.
? at der gøres en større indsats for at orientere private brugere om de fordele og ulemper, der er forbundet med at lagre private data på nettet hos kommercielle serviceudbydere.

Arbejdsgruppens medlemmer:
Jakob Illeborg Pagter, Alexandra Instituttet
Susanne Karstoft, Juridisk Institut, Aarhus Universitet
Birgitte Mikkelsen, Finansrådets it-sikkerhedsgruppe
Nicholai Kramer Pfeiffer, Cybercity
Per Tejs Knudsen, cBrain
Steffen Stripp, Dansk Metal

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Kommentarer (50)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
Christian Nobel

Rapporten kunne givetvis skæres ned til sådan ca. en trediedel, hvis alle gentagelserne blev udeladt.

En positiv ting kan dog fremhæves, nemlig (selv om sikkerheden kan diskuteres) det at den "digitale identitet" foreslås mobil, i modsætning til den nuværende digitale signatur.

Resten er decideret Orwell, himmelråbende naivt og usympatisk, med forslag der kun ville medføre indgreb i den personlige frihed, medføre mere overvågning, og værst af alt foregøgle befolkningen at alt var såre sikkert, hvilket det ikke nødvendigvis ville være.

Mht. sikkerhedopdateringer er det skræmmende at rapporten er skrevet af folk der kun kender Windows verdnen, og f.eks. intet aner om hvordan Linux'sikkerhedsopdatering virker, f.eks. Ubuntus APT/Synaptic.

Og når der foreslås:

Forestil dig, at sikkerhedsopdateringer skal ske tvungent og automatisk. Så snart der udsendes en ny sikkerhedsopdatering, vil din computer downloade* og installere den, uden først at bede om din accept. Du får ikke mulighed for at melde opdateringen fra.

så åbner det faktisk op for en helt ny og større sikkerhedsrisiko, hvis softwareudgiveren er blevet "hi-jacked", således at alle maskiner automatisk opdateres med det forkerte - det vil selvfølgelig også kunne ske i dag, men omvendt så sker opdatering først efter accept, og hvis der så er sendt advarsel ud, vil hovedparten kunne nå at reagere i tide og sige nej.

For at få adgang til en hvilken som helst offentlig hjemmeside skal du have en elektronisk attest på, at din computer opfylder en række sikkerhedskriterier. Kriterierne kunne være, at der skal være installeret og opdateret sikkerhedssoftware på din computer, fx antivirusprogram, firewall*, anti-spyware*, samt at computerens styresystem og en række softwareprogrammer (fx Word) skal være opdateret. Kriterierne fastsættes af en offentlig instans, fx IT- og Telestyrelsen.

WOW her røg jordfobindelsen fuldstændigt, der er ingen grund til at kommentere yderligere!

Sikkerhedsmærkning:

Et forslag, der kan modvirke denne tendens, er at indføre en mærkningsordning for it-produkter ligesom smiley-ordningen for restaurationshygiejne. Ordningen skal gælde både for software i al-mindelighed og software integreret med hardware. Fx skal hardware som usb-sticks og computere mærkes, selvom det i princippet er softwaret på usb-sticket eller computeren, der bedømmes, og ikke selve hardwaret.

Det er da vist bureaukrantens mest våde drøm der stilles til skue her.

Sortlistning:

Sortlistningen af skadelige hjemmesider skal ifølge dette forlag udføres af et internationalt eller nationalt overvågningscenter. Her fastsætter en bredt sammensat gruppe af teknikere, jurister mfl. kriterier for sortlistningen. Du kan også som privat bruger indberette sider, du synes, ser mistænkelige eller skadelige ud. Overvågningscenteret kan efter en vurdering af siden påbyde internetudby-derne at blokere for den anmeldte hjemmeside. Når en skadelig side er blokeret, kan du ikke længere få adgang til den via nettet.

Her går bureaukraterne så hånd i hånd med medieindustrien.

Efterfølgende causeres om hvordan en lille udvalgt gruppe reagerer på disse forhold, hvor der i det store hele er en fifty-fifty holdning til foreslagene med en vis overvægt til at acceptere disse forslag - og det går da så efterfølgende helt galt i arbejdsgruppens anbefalinger, da de i det store hele foreslår det de selv har lagt op til.

Der er kun en ting at konkludere:
Karakter: -03 --- DET ER EN OMMER.

/Christian

  • 0
  • 0
Jan Keller Catalan

Ingen kender de konkrete tal, men det anslås, at 70 millioner pc’er er med i det såkaldte Storm botnet

Citat fra http://www.version2.dk/artikel/7045

Flere sikkerhedseksperter har anslået Storm-netværket til at omfatte langt over én million Windows-pc'er.

Jeg medgiver, at 70 mio er "langt over én million" men hvis "man" anslår, at der er 70 millioner i Storm, ville man så ikke sige "langt over 50 millioner"?

Hvem er det, der anslår så vidt forskellige tal?

  • 0
  • 0
Poul-Henning Kamp Blogger

Det lyder nærmest som hvis man i starten af forrige århundrede havde spurgt Husmoderforeningerne om hvordan man skulle gøre noget ved de mange trafikulykker med automobiler.

Istedet for et stort offentligt apparat og en undskyldning for ISP'erne for at fordoble priserne, så burde man holde de software leverandører hvis produkter er fyldt med sikkerhedshuller produktansvarlige.

"Nældens rod" og alt det der...

Poul-Henning

  • 0
  • 0
Lasse Nielsen

Sikkerhed kan ikke automatiseres.

Der er masser af historier om automatiske opdateringer der har introduceret problemer i stedet for at fjerne dem.

Den slags centaliseret kontrol virker kun i virksomheder hvor man har et bevidst homogent computermiljø. Kompleksiteten af at gøre det på landsplan er langt over det mulige.

Generelt er sikkerhed helt forskellig fra de fleste andre egenskaber. Nok primært fordi modstanderen er er intelligent og bevidst forsøger at bryde sikkerheden.

Hvis min computer kører hurtigt nok 99% af tiden, så er det sikkert godt nok. Men den kan ikke være 99% sikker. Det er det samme som at være usikker.

Men de kan da få lov til at tjekke at min VMWare-image er sikkert :)

/L

  • 0
  • 0
Casper Madsen

Bliver der nedsat en Nanoteknologi arbejdsgruppe, i så fald vil jeg gerne være med i den, jeg indrømmer blankt at jeg ingen viden har inden for området, men med de udvalg inden for IT som man nedsætter så ser det ikke ud til at det kan være nogen hindring, jeg stiller selvfølgelig oppe også op til arbejdsgrupper inden for andre områder som jeg heller ikke ved noget som helst om: Jura, Medicin...

  • 0
  • 0
Peter Andersen

Det er den slags nyheder der får een til at overveje helt at hive stikket ud.. For pokker da: "det er klart, at der skal gøres noget for at sikre, at borgernes computere ikke kommer til at deltage i kriminelle handlinger" - når Birgitte Mikkelsen kan fyre den af så KAN jeg ikke lade være med at tænke "kvinder og IT...... og parkeringer... og hifi-anlæg..."

Men det er ikke mig der er sexistisk, det er min computer som er "kommet til" at deltage i en sexistisk udmelding... På min computers vegne vil jeg gerne undskylde (og foreslå et årligt holdningstjek hos tankepolitiet).

  • 0
  • 0
Thomas Ammitzbøll-Bach

Min husstand har én offentlig IP-adresse. Bag denne adresse findes en række apparater, der kan tilgå indhold gennem HTTP-protokolen. Hvis det nævnte forslag skal fungere i praksis, skal man bruge (mindst) en af følgende metoder til at filtrere trafik fra "ikke-inspicerede" maskiner:

1) Man kan filtere på IP-adresser. Den duer simpelthen ikke! Der er mindst 10 maskiner af forskellig art bag min firewall. Hvilken en af dem skal inspiceres, for at IP-adressen kan anvendes?

2) Man kan udstede en digital signatur til klient-maskiner, der er inspiceret. Disse certifikater kan frit flyttes fra den ene til den anden uden vanskeligheder.

3) Man kan installere en proprietær "fætter", der gennem en speciel protokol fortæller, at det er en inspiceret maskine. Enten skal man have en bestemt referenceplatform, eller også skal man lave denne "fætter" til Linux, FreeBSD, OS-X, TV-settop-bokse, mobiltelefoner og andet udstyret med webbrowsing-funktioner.

Uanset hvad, så er og bliver disse ideer noget noget nonsense. Hvis nogen skulle implementere sådan noget, så kender jeg et godt gammelt trick: Ring og bestil materiale med papirpost i stedet for. Når de rare damer ved komunen siger, at oplysningerne findes på Nettet, så siger man blot, at det ikke virker. De skal jo tilbyder borgerne service, så de må så pænt putte det i en kuvert og sende det.

Men den tid den sorg. Jeg sover roligt i nat. Men jeg ærgrer mig da over, at mine skattekroner skal bruges til den slags. Personligt så jeg hellere, at de gamle på plejehjem fik et bad. Men sådan har vi jo alle forskelligt politiske prioriteter.

Thomas

  • 0
  • 0
Steen Poulsen

Det er jo som sendt fra himlen, jeg skal syne computer, he he gnæk gnæk, det koster 500 kr + 100 kr for hver virus jeg fjerner . gnæk gnæk, hmm, alle har brug for en PC, hmm, skal jeg laven en service - proxy service, som man kan få adgang til offentlige hjemme sider - uden syn ? - gnæk gnæk, det kan laves som abonoment- he he, hvis ikke man kan tjene penge på den ene måde, så kan man på den anden ... penge penge penge ;-) he he gnæk - min mening : Teknologirådet må være politisk drevet, kun politiker kan komme med så tåbelige udtagelser. Man kan lovgive om alt, uden undtagelse, også om ting der ikke kan udføres i praksis. Man kan forbyde HIV ved lov, så er der jo ingen HIV syge ! eller som i Saudiarabien, forbyde alkohol, så kan man ikke tages for spritkørsel - smart ikk ? KLAP HATTE ! Sidst kunne det undskyldes som Aprils nar - I har fået en chanche, men i ville åbent bart stemples som tåber ! Det er en OMMER !

  • 0
  • 0
Jens Jakob Andersen

Hvad gør vi så med alle de computere som står på biblioteker, læreranstalter, i virksomheder osv. - hvor en stram sikkerhedspolitik (netop for at sikre et højt sikkerhedsniveau) gør at slutbrugeren ikke kan installere nye programmer osv - herunder heller ikke afvikle ikke-godkendte programmer fra internettet - alle disse computere vil være udelukket fra at tilgå offentlige hjemmesider - fordi de eksisterende gode sikkerhedsindstillinger netop sørger for at udefra kommende software (sikkerhedstjek-programmet) ikke kan afvikles...

Sidst men ikke mindst - så savner man en afspejlning af den fælles digitaliserings-strategi (findes på http://www.modernisering.dk) som siger en del om mere effektiv digital service med borgeren i centrum, mere digitalt samarbejde osv.

  • 0
  • 0
Steen Poulsen

Hvad kom først ? Hønen eller æget. Jeg glæder mig til at få det antivirus program, der kan finde skadeligt software før det er udviklet/opdaget. Computer problemer handler mere om adfærd end software. Lad være med at bruge MS-programmer, og vupti, alle problemer er væk ! Jeg ved godt symantic tror de har patent på en problem fri hverdag, men tro mig, jeg kunne aldrig drømme om at bruge det lort. Og jeg har stadigt ingen problemer. Kunne man lovgive om at MS ikke måtte kode fjrenstyrings og automatiske kode installation ind i deres OS var man også væsentligt bedre stillet. Hvorfor lovgive om at man skal beskytte sig mod uønsket funktionalitet, hvorfor ikke lovgive at sådanne funktionalitet ikke må implementeres i et OS ? Hvorfor gå over åen for at hente vand ? Den største beskyttelse er mangfoldighed, ikke ensartethed, services packs, kan ligeså godt indtroducere sikkerheds brist, som rette dem, Antivirus virker først MÅNEDER efter ny viruskode er frigivet, Trojanske heste (som software altså) kan eksistere ubemærket, Brug af scanner m.v. er falsk trykhed, hvis ingen har fundet den, kan man sagtens skanne og skanne, uden at finde den, hvordan ser trojaneren ud ? nyeste er at de ændre sig selv, for ikke at blive genkendt, og det virker fint !
Forestil dig at en syns mand skal finde en fejl på din bil, som du har placeret inde i bagsædet, måske en bombe eller ligende, tror du han vil finde den ? NOT ! Tænk hvis man kan identificere kreminelle ved at kikke i deres hjerne, skal vi så sende alle til årligt syn, for at se om de er syge i hovedet ?

Jeg ved ikke om det overhoved nytter at råb de totale IT analfabeter op i Teknologirådet, men HVIS de har deres ide fra en "ekspert" så er de godt nok ledt på vildspor !

  • 0
  • 0
Jan Andersen

Hvis det skulle komme dertil, at min PC blev synet og politimanden foretog ændringer, så ville jeg straks han var gået, indlæse et tidl. taget image af harddisken.
Men jeg har svært ved at tro at syn af PC'er bliver til noget. Det ville blive rasende dyrt for samfundet og den enkelte og det ville aldrig kunne blive effektivt.
Dertil kommer at kontol uden begrundet mistanke om noget kriminelt, må stride imod menneskerettigheder.
Vores PC'er er max. private som vores kærestebreve. Blot et enkelt fejlklik af politimanden kan føre til at han ser meget private ting. Det vil vi simpelthen ikke finde os i!
Nej, der må i stedet arbejdes internationalt på at gøre internettet så sikkert som muligt. Der kan ikke være tvivl om, at det kan gøres bedre end det er i dag.

  • 0
  • 0
Jens Dalsgaard Nielsen

Det lader som om at nogen i arb gruppen har været til syn med bilen og fundet at det var en god ide.
Men en bil ruster langsomt henover de to år. En virsu kommer på 1 millisekund - så selvom de laver syn har man måske virus inden man er kommet hjem.

Og derudover - skal jeg ogå syens for fodsvamp, spisevaner osv hvert andet år.

Det er ikke en ommer - det er en "nedlæg udvalget"...

  • 0
  • 0
Daniel Gertsen

"Og derudover - skal jeg ogå syens for fodsvamp, spisevaner osv hvert andet år."

Ssssh! Nu ikke noget med at give dem idéer!
Når de kunne få denne idé, er de sikkert allerede igang med at indsamle folk til "arbejdsgrupper" vedr. fodsvamp, spisevaner og en masse andet nu...

  • 0
  • 0
Nicholas Colding

Efter hvad jeg har hørt, drejer det sig om et stykke software, som tjekker om alle opdateringer er installeret og om den private pc er udstyret med basale sikkerhedsprogrammer.

Kun brugere med disse (godkendte) software pakker, vil kunne tilgå offentlige tjenester på nettet. Hvilke altså betyder, at en bruger om anvender ikke godkendt software... ikke vil kunne rette i sin selvangivelse, eller kontakte sin læge.
Der er altså ikke tale om en synsmand der kommer på besøg.

Naturligvis er forslaget tåbeligt! Selvfølgelig skal det ikke gøres til lov!
Men visse firmaer vil med en sådan kontrol, kunne gnide sig i hænderne, for hvis dette vedtages, så forsvinder din og min ret til selv at vælge system og udbyder.

Venlig hilsen
Nicholas Colding
Ps. Og fyr så de tåbelige mennesker som har brugt til på denne rapport. Ellers - Hvad bliver det næste?

  • 0
  • 0
Daniel Gertsen

hvis man kender staten ret, har denne rapport kostet ret mange knaster - hvad med at kræve pengene tilbage fra dem der har lavet den (de har jo lavet noget ubrugeligt "#%¤#"¤") - og giv dem til de strejkende - det går sikkert lige op...

  • 0
  • 0
Henrik Kramshøj Blogger

haha, jeg kan ikke andet end grine af den slags pladder.

Måske burde vi kræve at forfattere til den slags "rapporter" allerførst demonstrerer et minimumskendskab til emnet - evt. bare et PC-kørekort :-))

Det er simpelthen for ringe!

Man burde fra version2's side bore lidt i medlemmernes vidensniveau. Er nogen af dem certificeret indenfor IT? er nogen af dem kyndige indenfor IT-sikkerhed specifikt.

Et yderligere spørgsmål kunne være om de opfatter 1984 af Orwell som en manual eller fiktion.

  • 0
  • 0
niels B

Den historie burde have været kommet den 1 april, mage til embedsmands vrøvl skal man sq lede længe efter, disse embedsmand med Birgitte Mikkelsen i spidsen burde mindst een gang i kvartalet tvangs undersøges!

Hvis det offentlige er så bange for deres sikker hed kan de sq da bare sikre deres egen systemer, eller lade borgerne henvende sig i papir og blæk ( læs pis og papir )

  • 0
  • 0
Anders Wegge Keller

@Henrik Kramshøj

Jeg gik på universitetet sammen med en af dem der er nævnt i rapporten. Dengang var han en meget kompetent herre, der ikke bare fik pænt høje karakterer, men også havde tid til at beskæftige sig med den virkelige verden.

På den baggrund (dvs: jeg vil ikke tro andet), mener jeg at rapporten er det åbentlyse svar på en bunden opgave, nemlig at komme med en "anbefaling" der er så langt ude i hampen at selv den mest debile politiker godt kan se at det ikke holder.

  • 0
  • 0
Peter Mogensen

[citat]På den baggrund (dvs: jeg vil ikke tro andet), mener jeg at rapporten er det åbentlyse svar på en bunden opgave, nemlig at komme med en "anbefaling" der er så langt ude i hampen at selv den mest debile politiker godt kan se at det ikke holder.[/citat]

Tjoe... men der er vel trods alt grænser for hvad man vil have sit navn associeret med. Jeg ville nu have forventet at man med bare moderat indsigt i IT-sikkerhed ville have udvandret fra arbejdsgruppen før den rapport blev frigivet.

Nogle af forslagene kræver f.eks. obligatorisk indførsel af "treacherous computing" - d.v.s. udskiftning af praktisk taget hele befolkningens hardware. Hvis ikke man - så udelukkes man fra brug af offentlige hjemmesider. Woaw... hvor er realismen i det?

  • 0
  • 0
Mogens Dybæk Christensen

De af os, der bruger en PC til andet end festsange, ville få enorme problemer hvis der blev skubbet opdateringer ind under benene på os i endnu højere grad end nu.
Det ses ofte, at opdateringer har uforudsete kompatibilitetsproblemer, da IT afdelingen ikke kender de værktøjer vi er afhængige af. Senest har jeg hørt om, at Office 2007 gjorde CAD og vigtige databaser ubrugelige. Løsning: Tilbage til forrige Office.

  • 0
  • 0
Henrik Kramshøj Blogger

Jeg har søgt lidt på nettet og det lader til at der blandt arbejdsgruppen er både Pakob PhD, Per MSc in Software Engineering m.m.

Flere af navnene indgår i andre Tekno-rapporter, så det er ikke den første rapport. Til gengæld koster den der interview model vist mindst 30.000kr

Det er mig stadig uforståeligt hvordan de kan medvirke til dette makværk.

  • 0
  • 0
Ole Kjær Johansen

Forleden stod jeg og bladrede i en tysk debatbog på banegården i Düsseldorf, "Dumhedsgenerationen":

"Jeg kender tre skandinaviske lande: Sverige, Holland og Nordpolen" og en anden person, der mente at Bundestag var en national helligdag.

Bogens tese var, at menneskeheden som helhed ikke nødvendigvis er blevet klogere de sidste par årtier. Nu ærgrer jeg mig over, at jeg ikke købte den. Jeg tænkte faktisk, da jeg stod med den, at det ikke gjalt for os i Danmark...

  • 0
  • 0
Jens Jakob Andersen

Nå, siden det er et debatindlæg rapporten er ment som, og det er sjovere at være konstruktiv end at lave hærværk, så lad os da smøge ærmerne op og være konstruktive.

  1. Grundlæggende er sikker IT en nødvendighed for tilliden til virksomhederne/myndighederne. Hvad er alternativet?

  2. Sikker IT er 100% virksomhederne og myndighedernes ansvar.
    "Vi vil ikke handle med jer kære kunder, med mindre vi er 110% sikre på at jeres pc'er er sikre, og vi kan tjekke dem først" - hmm, andre leverandører som gerne vil have handelen?

  3. Er det muligt som nation at sikre nationens computere - er globaliseringen ikke en showstopper her?

  4. Og hvor slemt er problemet reelt set? Helt grundlæggende - langt de fleste store virus-angreb jeg har set, skyldes at en bruger har åbnet en vedhæftet fil - så måske er pengene meget bedre brugt på at øge informationsniveauet om sikker it?

  5. Kan det lade sig gøre at lave nationale tiltag for at øge it-sikkerheden?

  6. Skal vi beskytte nationen mod it-truslen, ville det mest effektive IMHO være at lave sikkerhed på netværksniveau på nationalt plan. Det ville betyde at alle datalinier ud og ind af landet skulle udstyres med hardwarebaseret sikkerheds-scanning (virusdetection, intrusiondetection etc). (Livet var nemmere da DIX'en herskede :-) )

  7. Men hvad så med krypteret VPN trafik?
    Et statsligt nøgle-register med alle krypteringsnøgler - og ve den som bliver taget i at bruge en krypteringsnøgle som ikke er overdraget til det offentlige?

  8. Danmark opretter sit eget antivirus-center,udvikler "Danmarks antivirus" som distribueres gratis til alle i DK, og er verdensklasse? (Hvad så med multinationale virksomheder med afdelinger i DK, men IT-drift placeret i Indien - skal de installere det danske antivurusprogram i deres driftsafdeling i Indien for at få lov til at drive virksomhed i DK?)

Jeg har en udfordring - uanset hvor meget jeg prøver at finde konstruktive tiltag til at lave en national løsning for højere it-sikkerhed - så kan jeg ikke finde løsninger som vil fungere i et demokratisk samfund.

Så IMHO er løsningen at informere bedre, måske uddanne bedre i skolerne, beskytte virksomheder og myndigheder godt (brug dog DS484), og lade den personlige frihed og ansvarsfølelse råde i it-verdenen som i den virkelige verden.

  • 0
  • 0
niels B

Mod tåber kæmper selv guder forgæves, det er jo ikke første gang man har ser at offentlige it systemer er kilde til distrubution af virus mv, og ej heller at offentlige register med person følsomme oplysninger er blevet offentligt gjort.

Jeg kan godt leve med ikke at have adgang til det offentlige system, og det er der sikkert mange der også kan.

Helt konsekvent oplyser jeg aldrig email eller telefon nummer til offentlige personer, og af samme årsag har jeg heller ikke det "smarte certifikat"

Hvis offentlige myndigheder vil mig noget så kan de skrive og bruge kongelige danske fodvorter til at overbringe mig et budskab.

De har alle sammen så travlt med at fortælle at det er nemmere for borgeren, senest Skat´s tiltag med afskaffelsen af selvangivelse - i bund og grund er det fup og fidus, det eneste der bliver nemmere er at holde kontrol med borgerne.

Men det offentlige kan da bare lave deres eget internet og så udlevere en hardware box med sikkerhed, anti virus og fandens og hans pumpestok i.

Det skulle ikke undre mig at det næste bliver at alle borger tvinges til at skulle have en pc, og at alle almindelige breve bliver forbudt med mindre de er indskannet af det offentlige først...

Hvad var det lige Buster Larsen sagde en gang i 60 erne - Lorte Land!

  • 0
  • 0
Povl Ole Haarlev Olsen

Ad. 4 og 5: Jeg tror helt klart, at en kampagne om "hvis det lyder for godt til at være sandt, så er det for godt til at være sandt, så lad være med at åbne alle mulige filer, selvom du bliver lovet guld og grønne skov (eller porno...)" ville være noget, der var værd at bruge penge på.

Ad. 6: DIX'en var og er kun til indenrigstrafik. Der er ingen linier ind eller ud af landet, der løber gennem DIX'en.
Udover det ville den slags filtre gøre det besværligt for danskere, at være med til at gøre anti-virus-programmer bedre. Hvis man ikke kan sende en kopi af en ny virus til anti-virus-programmørerne, kan de ikke analysere den nye virus. Et filter i den stil ville blokere dels for danskere, der vil sende en ny virus til en anti-virus-programmør i udlandet, men ville også forhindre en bruger i udlandet i at sende en ny virus til en dansk anti-virus-programmør.

Ad. 8: Hvilke platforme skulle det program kunne køre på?

  • 0
  • 0
Åge Monrad

Der vil for det første være tale om at skulle ansætte et astronomisk antal personer til at scanne, og hvad hvis de ødelægger en computer, så den ikke kan starte op igen? Fortrolige og personlige oplsyninger kan komme ud, og hvem ønsker at fremmede personer kigger i ens private "papirer".
En meget bedre vej at gå ville være, at der fra offentlig hold blev lavet en aftale med et eller andet antivirus firma, således at alle danske ip adresser kunne scanne deres computer online gratis. Et eksempel som www.houscall.com kunne lægges til grund for ideen.
Læg et link til dette nye offentlige gratis sted som reklame på en hel række offentlige hjemmesider/tjenester.

  • 0
  • 0
Martin Falck-Hansen

I virkeligheden så kunne dette forslag nemt ligge i forlængelse af loven om logning: ISP'erne logger datatrafik så det er jo nemt at finde dem som kører med usikre maskiner.

Udover at uddanne voksne så ville det måske være en ide at børn lærer disse ting i skolen - de bliver aligevel hurtigt udsat for disse ting så det ville være meget smart hvis de kunne tage kritisk stilling til ting som de kommer i kontakt med på nettet.

  • 0
  • 0
Martin Falck-Hansen

Det er vel fordi det er nemt at opfinde de tekniske løsninger at der er kommet alle de forslag fra arbejdsgruppen. Men for mig at se er det springende punkt i al it-sikkerhed bruger-uddannelse (som mange andre også har været inde på her).

Man kunne måske lave en hjemmeside der indeholder vejledninger i at installere og altid indeholder links til f.eks. gratis antivirus/-spam værktøjer (ala www.spywarefri.dk). Dertil kommer at man kunne lave gratis/billige kurser i IT-sikkerhed ala PC-kørekortet og så avancerede moduler til netværksadministratorer i f.eks. boligforeninger.

  • 0
  • 0
Hans Hansen

Et enkelt forslag kan optimere sikkerheden og undgå 1984^2 .
Mit gamle forslag om at digital signatur skal lægges på en bootbar linux usb-stick (eller lign) som opdateres centralt, og har software til kommunikation med det offentlige installeret.
Versioner der kører som virtuelle maskiner på det kørende operativsystem vil være rare, og der er mange opgaver der skal løses - fx om det skal kunne køre på mobile enheder (eller rettere sagt hvornår).

Det vil være enkelt at udstyre alle med en sådan dims - men man skal stadig regne med at der er mange problemstillinger der skal tages op - et par eksempler:

Enhver central styring af sikkerhed er potentielt en samling af sikkerhedsrisiko.

Når folk går rundt med deres digitale identitet skal kodesikkerheden være meget bedre end nu.

Når andre aktører - banker, forsikringsselvskaber, mv ønsker at koble sig på platformen (en god ide funktionelt) kommer mangedobles problemstillingen. Hvordan sikrer man sig at kriminelle ikke tvinger sig til adgang - ved trusler om vold i en gyde - til bankoverførsler, digitalt signerede trusselsbreve (fra ofret) osv osv.

Der er masser at tage fat på, helt overordnet.

Desværre har arbejdsgruppens snak været - som alle har bemærket - meget lidt kvalificeret, og præget af en reletiv stor vilje til frihedovergreb, som er ganske unødvendige.

Det ville være dejligt hvis man i den slags arbejdsgrupper tog folk ind, der har et forhold til sikkerhed.

mvh

  • 0
  • 0
Jacob Christian Munch-Andersen

Hvis du lægger din digitale signatur på en USB stick og stikker den i en fremmed computer så kan den computer uden nogen form for problemer stjæle både signaturfil og kode.

Et egentligt sikkert betalings/identifikations-middel kræver en lukket chip med privat interface, således at computeren sådan set bare router trafikken.

Vores dankort har halvdelen af denne sikkerhed, en lukket chip således at man ikke bare kan kopiere indholdet, og dermed heller ikke bruge informationen senere, men i tidsrummet fra man har tastet koden til man fjerner kortet fra automaten kan man principelt ikke vide hvad der sker.

  • 0
  • 0
Hans Hansen

Det er vigtigt at holde overblik.
Min artikkel var ikke rettet mod de tekniske muligheder i den forbindelse, men der er absolut muligheder for at lave en rimelig sikring mod signaturtyverri.
Sikkerhed handler jo om at sikre sig mod aktuelle og kommende trusler. Man stiller sig derfor nogle spørgsmål, hvoraf et par at de vigtige i denne sammenhæng er:
hvad skal der sikres, hvad er det værd for angribere?
hvem kunne tænkes at ville stjæle det, og hvilke ressourcer vil de kaste efter det (ifht ovenstående)?
Den offentlige identitet er ikke særlig interessant lige nu, og derfor ser vi ikke særlig mange problemer. Men på sigt kan vi se dem, derfor selvfølgelig arbejdsgruppen.

Man kan aldrig sikre sig helt, og bliver nødt til at tænke over hvad der er funktionelt.

En usbstick, evt med lidt ekstra sikkerhedsudstyr er let at arbejde med for alle, og gør at alle får en ensartet snitflade mod det offentlige.

Problemerne med sikring skal opvejes mod hvor sexet det er at få adgang til data. Da der stadig ikke er mange penge i det er det ikke helt vildt.

Jeg vil ikke opsætte faste løsninger på problemstillingerne med en stick eller lign, men bare ridse lidt op.

Lad sticken køre på kun en parret maskine, låse den inde i et skab og kun sætte den på nettet når man kommunikerer med det offentlige;)

Sticken kan, hvis ikke man er paranoid køre som VMware Virtual Desktop Infrastructure som de siger er sikkert selv på en delt harddisk. Intet er sikkert, men VMware lægger hovedet på blikken, mon ikke man kan få det til at være ok for ikke sexede data?

En modificeret linuxkerne som maskinen bootes med, der arbejder med bedst mulig krypteret og sikker datastrøm. Problem med drivere til given hardware er selvfølgelig stort, men i vikeligheden skal man bare sikre sig at netværket virker fra start, så kan man downloade resten til en ramdisk ell. lign...

Alt det er detaljer.

Det vigtige er at tænke tanken: måske er det ikke nødvendigt at det er brugerens egen brugerflade der danne basis for kommunikationen med det offentlige.

  • 0
  • 0
Jacob Christian Munch-Andersen

Hvor er det du vil hen? En mobil digital identifikation vil være rigtig praktisk, men det er rimeligt langt fra at være nogen nyhed, og ikke et emne som danner basis for nogen meningsfyldt diskussion.

Til gengæld er spørgsmålet om hvorledes det implementeres på en sikker, let og elegant måde ganske relevant, men det er et spørgsmål som kun få har kompetence til at diskutere på et meningsfyldt plan.

Umiddelbart ser det ud til at du råber VMware fordi du ikke aner en skid om sikkerhed. Det er ikke fordi at jeg har noget imod VMware, det er bare ikke nogen løsning på det problem at en rigged computer kan stjæle alt hvad der ligger af data på en alm. USB stick bare du stopper den i, samt at den kan gemme alt hvad du taster på keyboardet. VMware og seperat operativsystem løser ikke nogen sikkerhedsproblemer.

  • 0
  • 0
Anonym

Man har haft gatekeeperne sidende som styrende i arbejdsgruppen, så der kun er forslag som drejer sig om eksternes (kommercielle) kontrol med borgerne - ingen som reelt drejer sig om at sikre borgerne..

F.eks.
– at der indføres en digital identitet, der muliggør sikker identifikation.
(=Bankernes Net-Id uden sikkerhed for nogen)
– at danske mailudbydere tilbyder mailfiltrering, der som standard er aktiveret.
(=Sikre at ingen kan komme uden om teleudbyderens lock-in)
– at der gøres en større indsats for at orientere private brugere om de fordele og ulemper, der er forbundet med at lagre private data på nettet hos kommercielle serviceudbydere.
(=Salg af eBoks)

  • 0
  • 0
Jens Madsen

"Et egentligt sikkert betalings/identifikations-middel kræver en lukket chip med privat interface, således at computeren sådan set bare router trafikken."

Det er ikke helt nok. Hvis du isætter chippen i computeren, vil et skjult program kunne misbruge chippen, så længe den er isat. Evt. koder mv. ind og ud af chippen kan også logges - så misbruget kan ske uden at kende password.

Det er derfor væsentligt, at chippen ikke isættes i computeren, men placeres således computeren ikke får mulighed for at kontrolere data ind og ud til chippen. Den bedste måde, er at placere chippen i tastaturet, eller i tastaturledningen - derved kontrolerer computeren ikke input til chippen, da det kommer fra tastaturet. Og dermed, kan det indtastede verificeres sikkert, således man ved, at det er indtastet på et tastatur, tilsluttet den pågældende chip.

"Vores dankort har halvdelen af denne sikkerhed, en lukket chip således at man ikke bare kan kopiere indholdet, og dermed heller ikke bruge informationen senere, men i tidsrummet fra man har tastet koden til man fjerner kortet fra automaten kan man principelt ikke vide hvad der sker."

Et tastatur, med slot for chip dankort, kunne være udgangspunktet i sikkerheden. Alt kommunikation, der går fra tastatur og til PC, skal kunne tåle offentliggørelse, og skal være sikker trods der eksisterer aflytningsudstyr på PC'en, der overvåger alt hardware og software.

Ellers er det en brist i sikkerheden.

  • 0
  • 0
Jens Madsen

"Et egentligt sikkert betalings/identifikations-middel kræver en lukket chip med privat interface, således at computeren sådan set bare router trafikken."

Det er ikke helt nok. Hvis du isætter chippen i computeren, vil et skjult program kunne misbruge chippen, så længe den er isat. Evt. koder mv. ind og ud af chippen kan også logges - så misbruget kan ske uden at kende password.

Det er derfor væsentligt, at chippen ikke isættes i computeren, men placeres således computeren ikke får mulighed for at kontrolere data ind og ud til chippen. Den bedste måde, er at placere chippen i tastaturet, eller i tastaturledningen - derved kontrolerer computeren ikke input til chippen, da det kommer fra tastaturet. Og dermed, kan det indtastede verificeres sikkert, således man ved, at det er indtastet på et tastatur, tilsluttet den pågældende chip.

"Vores dankort har halvdelen af denne sikkerhed, en lukket chip således at man ikke bare kan kopiere indholdet, og dermed heller ikke bruge informationen senere, men i tidsrummet fra man har tastet koden til man fjerner kortet fra automaten kan man principelt ikke vide hvad der sker."

Et tastatur, med slot for chip dankort, kunne være udgangspunktet i sikkerheden. Alt kommunikation, der går fra tastatur og til PC, skal kunne tåle offentliggørelse, og skal være sikker trods der eksisterer aflytningsudstyr på PC'en, der overvåger alt hardware og software.

Ellers er det en brist i sikkerheden.

  • 0
  • 0
Anonym

Hans, Jens.

I diskuterer det som om det er et simpelt teknisk fix for at gøre den private nøgle lidt sikrere. Det er en misforståelse af problemet om hvordan man sikrer systemer.

Betalinger skal håndteres via Digital Cash, så PBS ikke ved hvor du bruger dine penge og dem som du køber hos ikke ved det er dig.

En sikkerh identitet er en formålsspecifik identitet, dvs. en nøgle, der KUN bruges til et specifikt formål og som kun kan henføres til dig hvis du gør noget galt.

Desuden skal hele brugerinterfacet inkl. biometri, skærm og brugerinterface samles i en og samme lukkede tamperresistent nøgledevice isoleret fra alle softwareprogrammer før vi kommer i nærheden af noget som kan holde. Du sætter ikke en USB i computeren - fordi du ikke kan stole på computeren.

Der er udviklet teknologier som kan slipper nøglerne mellem det tamperresistent device og softwareprogrammer på computeren hvis man er mistorisk overfor nøgle-devicen, men disse modeller skaber andre sikkerhedsproblemer fordi man samtidig kan bryde sporbarhedskæden, så du kan leje dine nøgler ud til andre.

  • 0
  • 0
Jacob Christian Munch-Andersen

"Et egentligt sikkert betalings/identifikations-middel kræver en lukket chip med privat interface, således at computeren sådan set bare router trafikken."

Det er ikke helt nok. Hvis du isætter chippen i computeren, vil et skjult program kunne misbruge chippen, så længe den er isat. Evt. koder mv. ind og ud af chippen kan også logges - så misbruget kan ske uden at kende password.

Chippen skal selvfølgelig kryptere sin kommunikation med den centrale server således at computeren ikke kan aflure noget.

Den bedste måde, er at placere chippen i tastaturet, eller i tastaturledningen - derved kontrolerer computeren ikke input til chippen, da det kommer fra tastaturet. Og dermed, kan det indtastede verificeres sikkert, således man ved, at det er indtastet på et tastatur, tilsluttet den pågældende chip.

Dur ikke, et tastatur kan rigges på nøjagtig samme måde som en computer, bevares, det tager nok lidt hardwaremodifikation, men tro ikke at den moderne it kriminelle er bange for at lege lidt med en loddekolbe.

Tastaturet skal simpelthen være indbygget i ID enheden, og man skal bruge dette tastatur til at indtaste sit password. Et hvilket som helst andet tastatur kan gemme koden og bruge den sammen med chippen, som ganske belejligt i samme øjeblik er indenfor rækkevidde.

  • 0
  • 0
Log ind eller Opret konto for at kommentere