Og jeg gentager:

Af 49

Nej, jeg er faktisk så træt af at gentage mig selv at jeg ikke gør det.

Kan I ikke bare finde nogen af mine tidligere brok om IT havarikommission og om hvorfor mainframe-miljøer er en sikkerhedstrussel i arkivet ?

Og ja, jeg synes det er i særklasse ironisk at det er netop de borgere der har gjort sig umagen at melde sig på Robinson-listen for at beskytte deres privatliv den lille smule ekstra som det gik ud over.

phk

Kommentarer (49)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
#1 Kasper Revsbech

Skulle vi ikke snart vedtage ved lov at et CPR nummer er en nøgle men ikke en hemmelig af slagsen? Så kunne staten frigive en liste med resten. Hvis der så blev begået fusk hvor CPR er blevet brugt som eneste identifikation må det være den der har valgt at stole på dette der står med aben.

  • 27
  • 0
#3 Martin Kofoed

Det kan kun gå for langsomt.

Og giv så kunderne en revokable key til alt det hemmelige. Så kan vi også alle få @danmark.dk-emails med automatisk krypto og forward til selvvalgt konto.

Det behøver ikke at være så svært. Og nej, det involverer nok ikke en mainframe ... :)

  • 24
  • 1
#4 Jakob Jensen

Man bør erkende at folk åbenbart kaster rundt med CPR numre i det offentlige IT univers. En umiddelbar løsning kunne være en spider bot der skannede offentlig og private sider for cpr numre, og automatisk sendte advarsler og fyresedler. Det er kun et spørgsmål om tid før en eller anden tosse i en kommune gør det igen. Det bedste vil nok være et helt nyt CPR system.

  • 8
  • 1
#5 Benjamin Krogh

Hvis der så blev begået fusk hvor CPR er blevet brugt som eneste identifikation må det være den der har valgt at stole på dette der står med aben.

Selv i det tilfælde er du ikke skadesfri. Du kan ende op med overordentligt meget bøvl med at overbevise den enkelte forretning om at du er udsat for identitetssvindel, og at de derfor ikke kan få betaling for xyz. Dette kan nemt koste dig et par timers arbejde per forretning.

  • 8
  • 0
#6 Maciej Szeliga

Skulle vi ikke snart vedtage ved lov at et CPR nummer er en nøgle men ikke en hemmelig af slagsen? Så kunne staten frigive en liste med resten. Hvis der så blev begået fusk hvor CPR er blevet brugt som eneste identifikation må det være den der har valgt at stole på dette der står med aben.

Jeg er uenig i at man skal beholde CPR-nr som det er. Det er jeg primært fordi vi kun kan gennemtvinge en reel ændring hvis systemet laves totalt om og nummeret bliver lavet om så det ikke er muligt bare at "genbruge" de gamle til noget som helst nogen steder. Fru Hansen skal ikke kunne blive accepteret af "Suspekt Quicklån"s system bare fordi hun for 3 år siden har haft et lån, det risikerer man at man vil kunne lave hvis det gamle nr. genbruges.

  • 5
  • 4
#9 Peter Kyllesbeck

Jeg er uenig i at man skal beholde CPR-nr som det er.

Så vi skal alle have et nyt identifikationsnummer (som sikkert bliver svært at huske), bare fordi nogle klaphatte ikke kan forstå, at CPR-numre ikke er gyldig legitimation.

Alle (fra det 16. år)kan får et legitimationskort (godt nok kaldes det ID-kort) på borger.dk https://www.borger.dk/Sider/Udstedelse-af-ID-kort.aspx?NavigationTaxonom... Det har altid været god latin, at aftaler besegles med navn og underskrift. CPR-numret er en praktisk unik tilføjelse til navnet, men er ikke en underskrift (og kan vist ikke på nogen måde være juridisk bindende). NemID må, til en bedre løsning kommer, være en acceptabel løsning på gyldig legitimation.

  • 7
  • 1
#10 Bjørn Sune Bruun Andersen

at høre ingen ringere end Trine Bramsen kaste sig ud i et forsøg på at forklare hvorfor CPR nummeret ikke skal ændres samtidig med at den enkelte borger skal have kontrol med sine data ...

Bjørn

PS. Jeg erkender, at jeg skylder alle, som jeg tidligere har kategoriseret som "mentale blondiner" en stor undskyldning - jeg har gjort jer blodig uret.

  • 15
  • 1
#12 Peter Johan Bruun

CPR afvikles IKKE på mainframe!

Se evt. http://www.computerworld.dk/art/228257/derfor-bliver-ibm-s-mainframe-vra...

Det kunne være rart med en kommentar fra nogen tættere på processen, om hvorvidt CPR systemet er blevet flyttet til et Unix baseret system fra en Mainframe ved årsafslutning 2013.

Hvis det ikke er flyttet kunne det så være endnu mere interresant hvorfor det ikke er sket, og om det evt. har haft indflydelse på håndtering af sikkerheden. Noget må jo have været anderledes eftersom der tydeligvist har været grus i maskineriet, og det sker som bekendt kun hvis der har været menneskelig indblanding af en eller anden art.

PS til PHK: Jeg støtter fuldt ud ideen om en IT havarikommision, bemandet af fagligt dygtige&operationelle personer, men dit "IT-crusade" mod en enkelt platform du ikke har beskæftiget dig indgående med er direkte usmagelig og utilstedelig.

  • 7
  • 2
#13 Andreas Bach Aaen

Den er helt gal med kulturen på CSC:

1) Topledelsen i Danmark har svindlet for store beløb. 2) Medarbejderne har overværdisat sig selv i mange år. De havde en overenskomst der var markant bedre end andre i branchen. Dette kunne ikke holde i længden og der kom en ukøn konklikt hvor der ikke var opbakning fra alle fagforeningerne i Danmark. 3) Ledelsen satser massivt på outsourcing til Indien og undergraver de danske medarbejderes værdi rent menneskeligt. 4) Der er eksempler på underbetaling af udenlandsk arbejdskraft i Danmark. F.eks. fratrækning af uhørt høje huslejepriser. 5) Sponser for et stort doping hold i Tour de France 6) Total mangel på sikkerhedskultur. 7) Så dårlig projektstyring på f.eks. deres indkrævnignsmodul til Skat, at staten har mistet mange millioner, da forældelsesfristen for inddragelse er overskredet.

Hvordan kan staten komme ud af dette morads? Hvordan sikrer man de sunde hjørner der er tilbage og lader resten falde?

  • 7
  • 2
#19 Mogens Nielsen

Hvorfor skal et cpr nummer udlevere ens biologiske alder? Det kommeregentlig ikke andre ved. Det ville være en rigtig god ide at udskifte det til et neutralt nummer, der ikke udleverede folks fødselsdage i alle mulige forretningssammnehænge.

  • 4
  • 2
#20 Peter Johan Bruun

Jeg har beskæftiget mig rigtig meget med mainframes og jeg kender indgående både teknologien og kulturen omkring den.

Det er særligt kulturen jeg opfatter som et problem.

Og så har jeg så kigget i arkiverne:

Med andre ord: Mainframen er blevet en religiøs kult, hvor de frelste er frelst og alle vi andre lukker øjnene "For det er jo deres eget valg".

Men denne religøse kult har fingrene dybt inde i data om alle danskeres privatliv og derfor er det på tide at vi åbner øjnene.

Mainframen og IBM skal ud af danskernes privatliv.

Prøv at sætte Microsoft, Apple, Google eller for den sags skyld "open source" eller Varnish ind i dine sætninger, og du vil have en masse der vil kunne nikke accepterende til de udsagn.

Fællesnævneren for alle meningsfællerne er at de ikke har magt over det de skælder ud på.

Moralen ud af det er at man som IT-guru skal holde sig for god til at udsætte een bestemt platform for en hetz ... og i dette tilfælde var det endog ubegrundet, hvis Jan Nielsens indlæg ovenfor skal tages for gode varer.

Vedr. status på migrering af CPR fra mainframe,

se https://cpr.dk/driftsinformation/ (nederst)

....hvilket jeg tror det skal.

  • 6
  • 3
#21 Poul-Henning Kamp Blogger

Prøv at sætte Microsoft, Apple, Google eller for den sags skyld "open source" eller Varnish

Der er meget stor forskel på de tre første og de to sidste.

De tre første er kommercielle virksomheder hvis forretningsmodel i stort omfang går ud på at dekonstruere vores privatliv.

De to sidste er hhv. en type softwarelicenser og et specifikt stykke open source software.

For så vidt de 3 første ville jeg stille dem helt på linie med CSC: De bør ikke have nogen rolle i statens registere der giver dem adgang til indholdet.

De to sidste har jeg meget svært ved at relatere til emnet overhovedet.

Om CPR registeret køres på linux eller mainframe lige nu er lidt ligegyldigt hvis det er kulturen til sikkerhed, privatliv og generel kvalitetsstyring der er syg.

  • 14
  • 5
#22 Michael Diaz

Jeg har beskæftiget mig rigtig meget med mainframes og jeg kender indgående både teknologien og kulturen omkring den.

Det er særligt kulturen jeg opfatter som et problem.

Jeg har gjort det samme ifm. med et tidligere (heldigvis forlængst afsluttet) arbejde i Danske Banks IT. Jeg kan afsløre at kulturen er fuldstændig den samme som den du beskriver i dine blogindlæg.

  • 6
  • 1
#24 Klavs Klavsen

Men det med kulturen har jo ikke noget med platformen at gøre, den kommer jo et andet steds fra.

Der vil jeg faktisk være uenig. Kulturen kommer i høj grad fra det miljø hvor du lærer om platformen. F.ex. har Unix folk det med at være sure gamle mænd ;) - og der (IMHO var) engang meget en kultur med at svare RTFM (hvilket kan være rimeligt nok.. jeg er selv unix tilhænger, så jeg kan forstå hvorfor man vil svare sådan :) - og ligeledes for windows folk - er de formet af de kilder de får deres viden fra, og med mainframe formoder jeg at de lærer det af de mainframe "guru'er" de spørger, og evt. af det læremateriale der foreligger.

  • 6
  • 0
#25 Poul-Henning Kamp Blogger

Men det med kulturen har jo ikke noget med platformen at gøre,

Det skal jeg hilse og sige at den har.

Du har muligvis aldrig oplevet nok forskellige miljøer til at bemærke det, men der var og er enorme kulturforskelle der afhænger af den platform man arbejder med.

Prøv f.eks at spørge en UNIX, en Windows og en Mainframe sysadm om "versionskontrol"

  • 10
  • 1
#27 Jesper Udby

Prøv f.eks at spørge en UNIX, en Windows og en Mainframe sysadm om "versionskontrol"

Superrelevant spørgsmål!

Jeg var for nogle år siden på et, slet ikke uinteressant, projekt hvor der sideløbende blev udviklet i JAVA på den decentrale og PL/1 på mainframen.

Denne organisation havde valgt det mest grotesk ringe SCM værktøj jeg nogensinde har været udsat for. Det gjorde det ikke bedre at man selv havde udviklet udvidelser til dette, og vi som brugere kun kunne få support på de ofte temmelig mange problemer der var, hvis mindst én af de 2 rødder der havde udviklet disse, var på arbejde...

Argumentet var efter sigende, at SCM'en også kunne bruges til at håndtere mainframens PL/1 kode.

Ironien er så - ihvertfald mens jeg var på projektet - nægtede PL/1 programmørerne at bruge dette SCM. Den slags pjat var de vist ikke vant til.

  • 4
  • 0
#29 Peter Johan Bruun

Det skal jeg hilse og sige at den har.

Du har muligvis aldrig oplevet nok forskellige miljøer til at bemærke det, men der var og er enorme kulturforskelle der afhænger af den platform man arbejder med.

Prøv f.eks at spørge en UNIX, en Windows og en Mainframe sysadm om "versionskontrol"

@PHK: Kan være at du har været ved flere forskelligtartede installationer end jeg, men jeg vil påstå at jeg har været på flere mainframeinstallationer end du (og de fleste af skribenterne her)....udfra de erfaringer kan jeg skrive under på at platformen ikke giver een bestemt kultur.

Hvad angår versionskontrol, er mit spørgsmål: versionskontrol af source eller styresystem ?

Taler vi om source er der rigtigt mange bud indenfor mainframe-zOS verdenen på hvordan man håndterer sourceversioner, og tro mig, der er en del geniale udgaver i blandt. Noget tyder på at ikke alle har været så heldige at opleve alle versionsstyringssystemer, og noget tyder på at de personer nok hellere har villet beskæftige sig med andre værktøjer end en platform der blev set på som værende uddød i starten af 90'erne....Det har været få installationer, om nogen, hvor der ikke har været fuld revisionsspor i koden tilbage til starten af et programs levetid.

Taler vi om versionskontrol af styresystem bliver jeg dig svar skyldig angående mainframe, da mit arbejde har bestået i systemudvikling. Men jeg vil meget gerne oplyses om hvori problemerne med versionering af zOS består - hvis det var det du hentyder til.

Mvh. Peter J. Bruun

  • 4
  • 1
#30 Poul-Henning Kamp Blogger

jeg vil påstå at jeg har været på flere mainframeinstallationer end du (og de fleste af skribenterne her)....udfra de erfaringer kan jeg skrive under på at platformen ikke giver een bestemt kultur.

Min teori, baseret på 30års omgang med langt flere typer installationer end du nogensinde kommer i nærheden af, er at du selv er så fedtet ind i den pågældende kulturkreds at du slet ikke kan se at den existerer til at begynde med.

Prøv at læse den glimrende lille morsomme bog "Xenophobes guide to Danes".

Overvej så om du ville have været i stand til at skrive den selv?

Sociologi og kulturgeografi kan aldrig studeres indefra.

  • 2
  • 7
#31 Peter Johan Bruun

Min teori, baseret på 30års omgang med langt flere typer installationer end du nogensinde kommer i nærheden af, er at du selv er så fedtet ind i den pågældende kulturkreds at du slet ikke kan se at den existerer til at begynde med.

Prøv at læse den glimrende lille morsomme bog "Xenophobes guide to Danes".

Overvej så om du ville have været i stand til at skrive den selv?

Sociologi og kulturgeografi kan aldrig studeres indefra.

@PHK: Du forholder dig ikke til det faktuelle i mit indlæg, for den sags skyld mit spørgsmål, kun at du mener jeg er ramt af et påstået stockholmssyndrom ?!

Vi kan vel godt blive enige om at tys-tys kilden begik en ulovlig handling, og at det ikke var zOS der tvang ham til det ? ......Sjovt nok er der ikke mange IT folk der har undsagt tys-tys kilden, selvom han var sat til at passe på fortrolige data ! Havde det været en advokat, havde han nu mistet sin bestalling på opfordring af advokatstanden selv.

Fortæl mig: Hvordan vil det ikke kunne opstå i et hvilken som helst andet styresystem/platform ? Sålænge de betroede ikke kan betroes er alt andet vel ligegyldigt - husker du ikke eValgs debatten ?

Og: vi kan vel også blive enige om at i dette tilfælde med 900.000 CPR numre at det ikke var en zOS platform der fremprovokerede fejlen ?

Eller vil du komme med endnu en bog jeg skal læse som du ikke mener jeg er i stand til at skrive selv ?

For mig at se er debatten her i bund og grund meningsløs, og minder ubehageligt meget om apple vs. microsoft. Den slags finder jeg direkte tåbeligt at drøfte blandt udviklere. Jeg havde lovet mig selv ikke at gå i infight omkring noget så ligegyldigt som hvilken platform man kan lide og ikke lide i offentligt sammenhæng. Men dette var alligevel for langt ude til at jeg kunne tie.

Jeg kan se at debatten ikke fører nogen vegne, I rest my case.

  • 5
  • 1
#33 Klavs Klavsen

@peter: Et kort forsøg på at forklare hvad der menes med versionsstyring i OS sammenhæng (som ikke alle gør sig i). Når du/i ændrer NOGET (f.ex. en indstilling) i et eller andet mainframe OS.. er den ændring så gemt i et versionsstyringssystem så man ALTID kan se hvem der har udført ALLE ændringer, præcis hvad de faktisk lavede - og HVORNÅR ? Den slags går de fleste UNIX nørder op i - og det er så dejligt når noget pludselig fejler og man så kan sige.. hmm - det begyndte at fejle kl. 11.10 fredag sidste uge.. det virkede fint sidst samme dag kl. 10.15.. hvad har der været af ændringer derimellem?

Jeg har ingen erfaring med mainframe verdenen, så jeg kan ikke udtale mig om hvad kotumen er der - men jeg har rigelig erfaring med windows verdenen, og der bliver sådan slags styr på hvad man går og laver som systemadministrator set som fuldstændig spild af tid - det er der ingen der gør.

  • 5
  • 0
#34 Peter Johan Bruun

@Klavs

Tak for et meningsfyldt indlæg, med lidt input til hvordan PHK's indlæg kunne tolkes.

Det ubehagelige ved at debattere sikkerhed er at hvis man begynder at blotlægge sikkerhedsstrukturen, ved at beskrive den, så er det allerede et brud på sikkerheden i sig selv ;) Men jeg afslører ikke for meget ved at fortælle at versionsstyring og brugerlogning er en del af sikkerheden på en zOS installation, og snakker vi fejlsøgning så har man masser af muligheder til rådighed, man skal blot kende dem. Mit indtryk er at man tager sikkerhed mere end højtideligt (nogen gange grænsende til det ulidelige, hvilket kan skræmme en del personer væk) på samtlige de installationer jeg har fungeret under.

Som jeg husker bemeldte firma der har stået for CPR systemet, så brød man under en lock-out i 2011 sikkerheden ved at lade andre personer benytte lock-out'ede personers login - det er ganske enkelt en meget dårlig kultur omkring sikkerhed at gøre den slags. Det bliver endnu mere tydeligt hvor ufatteligt ringe man har forvaltet sin opgave når der benyttes samme brugerid og kodeord for alle firmaer til at hente en liste med 900.000 personers personnumre.

Specielt denne sætning i CW artiklen får det til at løbe koldt ned af ryggen >>CSC-chefen ... har tidligere indrømmet, at firmaet har benyttet bruger-id'er fra bortviste medarbejdere "i en kort overgang" og som "en nødprocedure", men at brugerne alle var sikkerhedsgodkendte.<<

Den slags sikkerhedskultur vil alle platforme og alle OS spille fallit overfor, med mindre man har en eller anden skjult fingeraftryksscanner kombineret med en iris-ditto (joke!).....men den sikkerhedskultur har ganske enkelt ikke noget med arkitekturen af en "IBM mainframe" at gøre, sådan som PHK ønsker at fremstille situationen.

@Thomas: Der er al mulig grund til at blive tøsesur, og jeg har spist indtil flere tudekiks - det hjalp bare ikke.

  • 5
  • 2
#35 Poul-Henning Kamp Blogger

Vi kan vel godt blive enige om at tys-tys kilden begik en ulovlig handling, og at det ikke var zOS der tvang ham til det ?

Kan vi ikke prøve at holde os til at debattere hvad jeg faktisk har sagt og skrevet ?

Jeg har argumenteret at "mainframe-kulturen" udgør en sikkerhedsrisko.

Vi har set mindst flg konkrete eksempler derpå i den senere tid:

  1. Kørekorts og schengen registeret bliver stjålet, uden at nogen opdager noget.

  2. En uatoriseret og fuldautomatisk datalæk af personfølsomme data kan køre i årevis uden at nogen opdager noget.

  3. Et dataudtræk produceres "ad-hoc" uden nogen form for kvalitetscheck.

  4. Medarbejdere udveksler FTP login & passwords per telefon i IC3-tog

  5. Fælles login med 5 år gammelt trivielt password på en FTP server med robinson listen

  6. (Hører du om inden længe)

Alle disse sikkerhedsbrister skyldes i stort omfang en fundamentalt forkert holdning til sikkerhed, som udspringer af kulturen og mindsettet omkring mainframes.

Det er ikke det samme som at de samme brister ikke kunne have sket på andre platforme, det kunne de selvfølgelig godt.

Men hvor er eksemplerne? og hvor store eller små datamængder var der i spil ?

Mainframes bruges af historiske årsager til store centrale systemer og derfor burde sikkerhedskulturen omkring dem være helt oppe på tåspidserne, hvor selv det mindste tegn på en ridse i lakken bliver sendt på værksted så længe det nu må tage med det samme.

Men som det fremgår ovenfor, og særligt vil fremgå af punkt 6, er det slet ikke tilfældet.

Derfor mener jeg at mainframes og særligt kulturen omkring dem er en sikkerhedsrisiko.

Og ja, jeg tror egentlig du lider lidt af Stockholmsyndrom på det punkt.

Har du overhovedet nogen sinde prøvet at se om du kunne kompromitere sikkerheden på en mainframe ?

Det har endnu aldrig taget mig over en halv dag at gøre det.

  • 4
  • 3
#45 Peter Johan Bruun

Den holdning er en del af problemet: https://en.wikipedia.org/wiki/Security_through_obscurity

Det er der tydeligvis mere end een holdning til.

Hvilket også ses på "Talks" siden: https://en.wikipedia.org/wiki/Talk:Security_through_obscurity

Men hvis du kender det endegyldige sikkerhedssystem der er simpelt og samtidigt er open source, må du hellere end gerne linke til det. Jeg kunne godt bruge den indsigt det måtte give, og det er der tydeligvist også andre der kunne få brug for (hvis de ellers er deres opgave voksen).

  • 1
  • 2
#46 Kristian Rastrup

Det endegyldige sikkerhedssystem er et der er under konstant forbedring baseret på så mange øjne som muligt ser løsningen igennem. Det er her security by obscurity er en hæmsko. Ved computersikkerhed har angriberen fordelen i modsætning til traditionel sikkerhed. Det er derfor du konstant skal være på tæerne og have så mange som muligt ind over løsningen. Det var kun ved middelalderens borge man kunne bygge en gang og så have permanent sikkerhed mod fremmede tropper de næste mange hundrede år.

  • 1
  • 0
#47 Poul-Henning Kamp Blogger

Det er der tydeligvis mere end een holdning til.

Der er også folk der har den holdning at der ikke er noget problem i at efterisolere atmosfæren med CO2, at kighostevacciner giver autisme eller at himmelnissen giver dem ordre til at bombe nabolandene.

Den blotte existens af holdninger siger intet om deres relation til virkeligheden eller fornuften i at have dem.

Security Through Obscurity har bestemt en værdi, f.eks som "canary" der kan afsløre hvem der interesserer sig mere for detaljer i sikkerheden end naturligt er.

Men som egentlig komponent i en sikkerhedsløsning har det aldrig virket ret godt og det har en gloværdig historie med at virke præcist modsat fordi folk bliver lullet i søvn af visheden om at "ingen ved nøglen ligger under den højre potteplante".

For systemer der skal være meget sikre, er den alment anerkendt at man står bedre ved at gøre alle metoder åbne, så man øger sine chancer for at venligt sindede sjæle påpeger systematiske svagheder og holde alle nøgler hemmelige, så eventuelle svagheder ikke kan udnyttes.

Den primære grund til at security-through-obscurity er så udbredt som det er tilfældet, er at der ikke er nogen reel sikkerhed når det kommer til stykket.

CSC's FTP server er et alt for typisk eksempel.

  • 7
  • 0
#48 Troels Henriksen

Helt præcist, så har "security by obscurity" kun væsentlig værdi når eksperimentering og forsøgsangreb er dyre. Det giver således mening at holde sikkerhedsprocedurene omkring patruljering af en militærbase hemmelige, da en angriber ikke blot kan sende teenagere over hegnet indtil man har afluret et hul. Når det derimod kommer til data-installationer, så kan angribere foretage undersøgelser nærmest uden omkostning og i meget stort antal.

  • 2
  • 0
#49 Lars Lundin

hvis du kender det endegyldige sikkerhedssystem der er simpelt og samtidigt er open source, må du hellere end gerne linke til det.

Når du selv nævner open-source er du godt på vej til at forbedre din forståelse af problemet ved 'Security through Obscurity'.

Et fornuftigt design tillader nemlig at sikkerhedssystemets virkemåde er kendt i alle detaljer af alle, og at sikkerheden dermed kun afhænger af systemets nøgle.

Et godt eksempel på en faktisk implementering er GPG (GNU Privacy Guard), hvis udvikling iøvrigt blev støttet økonomisk af det tyske ministerium BMWi.

Det helt modsatte eksempel er netop FTP, som med sine over 40 år er fra før RSA-kryptosystemet blev (offentligt) kendt, og som i praksis overhovedet ikke tilbyder nogen sikkerhed.

  • 2
  • 0
Log ind eller Opret konto for at kommentere
Job fra Jobfinder
Tip redaktionen