Peter Kruse: Open source gør patch-management i IoT til et mareridt
Har du tænkt på, om OpenSSL i din badevægt er opdateret til en version, der ikke længere er sårbar i forhold til Heartbleed fra 2014? Spørgsmålet giver naturligvis mest mening, hvis din badevægt er på nettet og anvender en SSL-forbindelse via open source-biblioteket.
Hvorom alting er, så har firmaet CSIS gransket en række Internet of Things-agtige produkter, hvilket i denne sammenhæng dækker alt fra babyalarm til badevægt.
Og det står generelt skidt til på sikkerhedsfronten i de 15 unavngivne produkter, sikkerhedsfolkene ved CSIS har kigget på. Det skyldes, at apparaterne ikke er opdaterede, så sikkerhedshuller står åbne.
Og en del af forklaringen på, hvorfor producenterne ikke bare får skippet nogle patches af sted, mener Peter Kruse fra CSIS skyldes det faktum, at den slags embeddede systemer ofte kører på en open source-platform.
Det fortalte han om under sin præsentation på den netop overståede Copenhagen Cybercrime Conference 2016.
Til Version2 fortæller Kruse, at 90 procent af de enheder, CSIS har kigget på, kører på open source-styresystemet Linux.
»Problemet er, at det er en myriade af forskellige drivere, der skal til. Og det er forskellige afskygninger af open source-software, der bliver brugt. Og det gør patch-management til et mareridt.«
Open source-koden er populært hos flere producenter. Dels koster det i udgangspunktet ikke noget i licens, og så gør den åbne kildekode også producenterne i stand til selv at ændre softwaren og funktionaliteten på enheden, forklarer Peter Kruse.
Men når der er pillet i koden, betyder det også, at de officielle opdateringer til diverse open source-programmer ikke uden videre kan rulles ud på enheder, hvor koden er tilpasset af producenten. Opdateringen skal måske også tilpasses.
»Det er et helt open source-framework, man bruger. Og når man putter funktionalitet ind i det, så bliver det alt andet lige bare mere komplekst at opdatere.«
Kruse: Det handler ikke om religion
Peter Kruse understreger, at han ikke tager stilling til, hvorvidt closed source er mere eller mindre sikkert end open source.
»Det her er ikke et spørgsmål om religion. Vi er nødt til at se realiteterne i øjnene. De enheder, vi har testet, har alle indeholdt forskellige sårbarheder. Enten fordi producenterne ikke har været bekendt med, hvordan man laver designet rigtigt, eller fordi de simpelthen ikke bliver opdateret korrekt. Og det bliver besværliggjort af, at der findes masser af forskellige afskygninger, fordi det er open source, som er nemt at ændre i.«
Open source eller ej, så er det i sidste ende op til producenterne at sikre sig, at den kode, der kører på forbrugernes enheder, er forsvarligt skruet sammen, påpeger Kruse.
»De mange enheder, vi har testet, der har producenterne været mere innovative, end de har været bevidste omkring it-sikkerhed. De har i virkeligheden bare lavet en masse funktionalitet i det open source, de har brugt, og puttet en masse ting på, uden de efterfølgende har sikret sig, at den implementering, de har lavet, har været forsvarlig.«
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
