Nyt NemID-nedbrud skærper mistanken om hackerangreb
Mandag lidt efter frokost blev NemID igen ramt af et længere nedbrud, som minder om det, der fandt sted søndag aften.
Dermed bestyrkes mistanken om, at der lige nu finder et målrettet angreb sted mod de servere, der ligger bagved danskernes login-løsning til banker, offentlige hjemmesider og online-spil.
Det oplyser NemID-firmaet Nets DanID nu, efter at Version2 tidligere mandag kunne skrive om nedbruddet søndag aften, der i alt varede omkring to timer.
»Vi har igen oplevet noget tilsvarende fra mellem klokken 13.19 til 13.46 mandag,« siger pressechef i Nets DanID, Søren Winge, til Version2.
»Det ser ud til, at det igen drejer sig om unormalt stor trafik. Men det er stadig for tidligt at sige, om det er koordineret, og om det kommer fra de samme IP-adresser,« siger Søren Winge.
Den seneste hændelse mandag eftermiddag gør det vel mere nærliggende at tro, at der rent faktisk er tale om et DDoS-angreb (Distribueret Denial-of-Service, *red.)?*
»Ja, det er i hvert fald påfaldende ens oplevelser, vi har haft både i går aftes og så her til eftermiddag igen. Vi kan stadig ikke bekræfte, om det er et målrettet angreb. Men der er mange indikationer på det,« siger Søren Winge til Version2.
Søren Winge oplyser, at Nets DanID lige nu arbejder sammen med driftsleverandøren IBM og eksterne eksperter om at gøre NemID mere robust over for den slags angreb, så NemID kan stå imod det pres, der lige nu er mod tjenesten.
Ifølge driftstatistikken for NemID er det et år siden, at der som nu var flere timers uventet nedetid. I marts 2012 var NemID således offline over 12 timer i løbet af måneden.
Version2 følger sagen.
- emailE-mail
- linkKopier link

...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
Fortsæt din læsning
- Sortér efter chevron_right
- Trådet debat
Findes der nogle it-systemer der ikke kan udsættes for DoS eller systemer der er helt sikre imod hackerangreb?
(nej)
Findes der nogle it-systemer der ikke kan udsættes for DoS eller systemer der er helt sikre imod hackerangreb?
Før alle bankernes netbanker blev centraliceret på "én server" sammen med vores "digitale signatur / identitet" så det blev single point of failure / single point of attack er det i hvert fald blevet væsentligt nemmere at angribe systemet.
Mig bekendt er der folk der "lever af" at leje deres botnet's ud for penge og igen, så vidt jeg ved vil det ikke koste mange 1000 Kr. at købe et DDoS angreb som kunne lamme Nets i en uge.
Gad vide om detailhandlen ville lide under det hvis nogen købte et ugelangt DDoS en uge før jul.
Gad vide om detailhandlen ville lide under det hvis nogen købte et ugelangt DDoS en uge før jul.
Jeg tror ikke du behøver at købe en uge. Jeg mener at årets suverænt største dag for detailhandlen er lørdag før påske.
Men hvis man vil 'vække' opmærksomheden hos folk generelt, vil en jul uden slutspurt helt sikkert efterlade en bevidsthed om sårbarheden.
K
Er der nogle af jer der har nogle illusioner om, at den gamle løsning på nogen måde ville være sikker i dag? Nej vel?Før alle bankernes netbanker blev centraliceret på "én server" sammen med vores "digitale signatur / identitet" så det blev single point of failure / single point of attack er det i hvert fald blevet væsentligt nemmere at angribe systemet.
Men det ville da give ekstra sikkerhed at opdele netbankdelen og OCES - når man ikke kan huske koden til OCES er det selvfølgelig også svært for en angriber at misbruge den.
I virkeligheden så er det ikke noget der haft hverken den ene eller den anden regerings store bevågenhed.
Langt hen ad vejen, så er der embedsmandsværket, repræsenteret ved Lars Frelle Petersen og hans kumpaner i digitaliseringsstyrelsen, der har trukket regeringerne og folket rundt i manegen.
Bla. ved klart at udnytte at de forrige såkaldte videnskabsministres åndelige habitus var, skal vi diplomatisk sige, lav.
Til gengæld er denne regerings prestigeprojekt Lov om Offentlig Digital Post (aka tvangsdigitalisering). Jeg ved ikke om det er så meget bedre?
Nu har jeg fulgt med i Version2 diskussionerne on DanID et par uger og vil bruge det som en case til næste hold på DIKU.
Så lige en opsummering :
- IT-ordføreren vil have en it-løsning der ikke kan hackes
- og it-løsningen må ikke kunne rammes af Denial-of-Service angreb
Check
Så lige en opsummering :</p>
<pre><code>IT-ordføreren vil have en it-løsning der ikke kan hackes
og it-løsningen må ikke kunne rammes af Denial-of-Service angreb
</code></pre>
<p>Check
Jeg håber det går dén vej.
Forhåbentligt er NemID - eller E-fuldmagt som den vel burde hedde - forrige regerings prestigeprojekt. Hvis den er det kan man håbe på der ikke er noget i klemme for den nuværende regering hvis den vil muliggøre andre løsninger.
K
Det er påfaldende så lidt denne nyhed fylder i den øvrige presse (andre end V2) - især i betragtning af det kan få voldsomme konsekvenser for de fleste danskere og hele landets it-struktur så længe problemet står på...
Men det måtte jo komme på et tidspunkt - der er for mange gyldne æg i en enkelt kurv til at evildoers kan holde sig væk :-(
Godt vi fik NATOs udsagn om at "Hackere er legitime militære mål". Nu skal vi bare lige finde ud af hvem de slemme it-terrorister er, så kan vi sende Tårnfalken ud og bombe dem...
Vi kan sikkert finde et akutjob som efteretningsagent til en trovärdig kilde som siger det er svenskerne og at de har fuldt virtualiserede, digitale masseödeläggelsesvåben i Skåne.
Så kan vi genoplive Stevnsfortet og hive et par granater over sundet hver gang der er noget kvalm med svensken og på den måde genrejse lidt af vores stolhed ;-)
Do I need to say more?
Hvor er det dog dejligt at vi i lille Danmark kan opfinde den dybe tallerken og gøre den hullet som en si, til trods for at vi har masser af andre tallerkener at kigge på under processen, eller enda blot tage ned fra hylden!
"Søren Winge oplyser, at Nets DanID lige nu arbejder sammen med driftsleverandøren IBM og eksterne eksperter om at gøre NemID mere robust over for den slags angreb, så NemID kan stå imod det pres, der lige nu er mod tjenesten."
...mere robust... Gad vide hvor robust det er designet til at være? Er det drengestreger eller international terror vi ser her? Har vi grund til at tro på det sidste?
Det er et centralt spørgsmål, for hvis det IKKE er et meget seriøst angreb fra en stærk fjende, så betyder det at systemet ikke er designet til at modstå et middelsvært angreb.
At man måske ikke er gearet til at modstå et angreb fra en statsmagt eller lignende, det kan jeg acceptere. Men er det sandsynligt, at det er det vi ser nu? Er det terror? Er det stærke internationale kriminelle, der forsøger at afpresse DanID i kulissen? Eller er det drengestreger/script-kiddies der morer sig?
Jeg har svært ved at tro det skulle være andet end det sidste. Men omvendt, kan det virkelig passe, at danID (først nu?) skal til at gøre deres system "mere robust" så det kan modstå et angreb fra script-kiddies? Hvad vil vi helst tro - angreb fra kriminelle/terror eller at et angreb fra script-kiddies kommer bag på dem?
...mere robust... Gad vide hvor robust det er designet til at være? Er det drengestreger eller international terror vi ser her? Har vi grund til at tro på det sidste?
Lige min tanke.
Når de siger 'mere robust' hører jeg: "Vi kan se vi er under angreb via vector xyz, som vi kender løsningen på og er ved at implementere" voilá et system der er mere robust end før, hvilket jo ikke er løgn.
Og dét kan de så vedblive med at sige hver gang.
K
Hvor var det godt at vi fik centraliseret alle bankers login.
Hvor var det godt at vi lagde danskernes digitale identitet på de samme servere.
Centraliseringen gør det så meget sikrere.
Hvor var det godt at vi fik centraliseret alle bankers login.</p>
<p>Hvor var det godt at vi lagde danskernes digitale identitet på de samme servere.</p>
<p>Centraliseringen gør det så meget sikrere.
Yep !
Jeg kan allerede høre en politiker udtale:
E-fuldmagt har været med til at forny og udvilke vores tilgang til vore egne midler.
K
De skal vel betale bod for nedetiden, medmindre det går under force majeure?
De skal vel betale bod for nedetiden, medmindre det går under force majeure?
Ja, det er smart fundet på -- skidtet virker ikke, hva' går vi? Kalder det DDoS angreb! (ment som en joke naturligvis)
Mvh,
Det mest betænkelige er at DanID et døgn efter hændelsen ikke kan afgøre, hvorvidt der er tale om et angreb. Det fortæller lidt om hvor lidt styr man har på netværket, og hvor lavt man prioriterer kunderne. Men det er vel generelt for danmark.
Det mest betænkelige er at DanID et døgn efter hændelsen ikke kan afgøre, hvorvidt der er tale om et angreb.
mon ikke der er stor forskel på kan og vil
I Dan ID's tilfælde jo, men det vil være noget af et selvmål, hvis man efterfølgende kommer frem til at det var et drifts problem (-:
Den daglige backup er ved en fejl blevet sat til daglig peak time :p