Jacob Herbst

Digital smitteopsporing gået i luften med børnesygdomme

Har smittesporingen mulighed for at finde de personer, som ens smittestop app har identificeret?

Nej, smitte:stop identificerer ikke nogen, men notificerer dem som har været tæt på en der melder sig som smittet i app'en. Et af kravene til smitte:stop har været et meget højt niveau af privacy, og derfor kan smitte:stop ikke bruges til at identificere nære kontakter - kun give dem besked. Det er del af det helt grundlæggende design i den underliggende Google and Apple Exposure Notification teknologi.

29. december 2021 kl. 22:35
Sikkerhedseksperter: Danske Bank hjælper spoofing-svindlere

Vi (Dubex) har absolut ingen interesse i at ”score points” ved specifikt at batte Danske Bank – eller andre for den sags skyld. Men vi vil gerne være med til at sætte fokus på de faktiske problemer der er.

Jeg er fuldstændig enig i at der bør etableres en teknisk løsning der blokerer for spoofing og undre mig også over at det ikke er sket endnu. Vi har bl.a. derfor været med i tidligere Version2 artikler der sætter fokus på dette problem, men dette er ikke fokus i den artikel Version2 har skrevet her. I øvrigt et fint link der er lidt mere nuanceret omkring spoffing.

Da en sådan løsning desværre ikke findes endnu, er det – nu og her - problematisk at Dansk Bank fortæller deres kunder at de kan stole på et præsenteret A-nummer. Det gør deres kunder mere udsatte for svindel og kunderne vil formentlig tro dette gælder for præsenteret A-nummer helt generelt. Det er vinklen på den artikel Version2 har valgt at skrive og det fokus vi har udtalt os omkring. At det så er et brev fra Danmarks største bank der rammer rigtig mange kunder, gør det blot mere problematisk, og formentlig medvirkende til at Verison2 vælger at skrive historien.

Vi roser i øvrigt også Dansk Bank for resten af deres brev da det er rigtig godt de gør opmærksom på risikoen for svindel helt generelt. Der er desværre bare en enkelt uheldig linje.

Mht. svindlerne vil de som du skriver gerne ramme alle bankkunder men der findes måder at finde ud af hvilken bank et muligt svindeloffer bruger og i øvrigt er en relativ stor del af alle danskere er kunder i Danske Bank så der vil uanset hvad være en ret stor hitrate.

29. juli 2021 kl. 01:08
# Little Thumb attack - smittestop apps

Jeg er fuldstændig enig - SmitteStop er et supplement til mange andre forholdsregler og må ikke få os til at slække på andre forholdsregler som at holde afstand. Men det er desværre det vi også ser fx ved brugen af mundbind hvorefter nogen mener så er det ok at være tættere sammen.

Men derfor er SmitteStop app’en stadig et fint værktøj til smitteopsporing på fx restauranter, og kan være en erstatning for anden registrering af gæster, som nogle jo også anser som et privacy problem….

17. september 2020 kl. 23:00
# Little Thumb attack - smittestop apps

Disclaimer: Jeg sidder med i advisory boardet omkring privacy og sikkerhed i den danske SmitteStop App, og er derfor belastet med indsigt i den faktisk løsning, processen omkring den og hvad formålet med app’en er.

Som Henrik anfører vil al ny teknologi blive forsøgt angrebet. Naturligvis vil der blive fundet fejl og uhensigtsmæssigheder i SmitteStop App’en og/eller GAEN frameworket – dette på trods af der er brugt mange ressourcer på at efterprøve sikkerheden. Jeg er sikker på at Henrik kan skrive under på hvor svært det er som pentester, at finde alle faktiske og potentielle sårbarheder. Ellers ville det være den første fejlfri softwareløsning i historien. Naturligvis skal vi gøre alt hvad vi kan for at undgå sårbarheder og lave sikre løsninger men vi må også acceptere verden ikke er perfekt. I forhold til SmitteStop og GAEN bygger løsningen på et design med højt fokus på privacy og sikkerhed og der er mig bekendt ikke sået tvivl omkring det grundlæggende design.

Men lad os i stedet huske hvad SmitteStop rent faktisk forsøger at opnå. SmitteStop appen skal hjælpe os med at stoppe udbredelsen af COVID19 i samfundet så folk ikke bliver syge og dør. Løsningen er ikke perfekt og kan ikke stå alene, men er en hjælp til smitteopsporingen. Hvis eksempelvis alle gæster i nattelivet og på restauranter havde SmitteStop aktiv ville det fx gøre gæsteregistrering overflødig og smitteopsporingen meget mere præcis og effektiv. Heldigvis har smittespredningen i Danmark indtil nu været ganske lav så det er svært at sige om app’en har den effekt som vi håber, men set i lyset af COVID19 i sidste ende slår folk ihjel og lukker samfundet ned synes jeg det er det værd at prøve. (Desuden er det netop pga. privacy beskyttelsen i app’en svært at måle om den virker eller ej, da man er nødt til at basere det på folks egne tilbagemeldinger i forbindelse med Coronatest…)

Det er nemt at pege på mulige problemer med SmitteStop, men jeg mangler egentlige at der bliver peget på andre realistiske alternativer – udover bare at lade være. Som jeg ser det er privacy og sikkerhed i den løsning der er lavet god og fornuftig – og dermed er risikoen så lille at jeg mener den værd at løbe hvis det kan hjælpe med at bremse COVID19. Jeg vil i øvrigt også gerne rose de danske politikere da det i sidste ende var dem – bl.a. efter anbefaling fra advisory boarded – der valgt at skrotte den første app, forsinke udrulningen og bakke op om den GAEN baserede løsning med decentral logning af data. Så det er lidt for let at hævde politikkerne slet ikke forholder sig til teknologi.

… og så lad os lige sætte det beskrevne problem i perspektiv: By design er det således at vi kan lytte efter de BT adresse og RPI som udsendes fra GAEN frameworket. En glimrende app til dette formål er Beacon Scope der kan hentes på Play Store til Android, og jeg vil i øvrigt tro den meget fint kan bruges til at eftervise den omtalte sårbarhed. Samme app viser også afstanden til enheden (eller rettere den afstand som måles via BLE signalstyrken). Med app’en aktiv i det lokale supermarked og de øvrige ”gæster” der overholder afstandskravene kan man uden problemer sammenkæde både aktuel BT adresser, RPI samt hvordan vedkommende ser ud (altså rigtige analoge ansigter). Man kan også uden problemer se når der ændres BT adresse og RPI. Altså markant mere information end den omtalte sårbarhed potentielt kan afsløre. Dette er alt sammen ”by design” og ikke på grund af sårbarheder. Men det er stadig markant mindre information end man afslører når man fx åbner Google Maps, Facebook eller den lokale vejrudsigt. Naturligvis skal denne sårbarhed rettes, men det er altså ikke en grund til at undlade at bruge SmitteStop.

Hovedparten af de øvrige punkter opremset under ”Mulige angreb” er i øvrigt ikke særligt SmitteStop specifikke, men generelle problemstillinger i forhold til mobile enheder og sporing.

Det er derudover godt at se andre i kommentarersporet der forholder sig pragmatisk til denne sårbarhed – tak for det.

Og har du ikke allerede gjort det så se at få hentet SmitteStop appen – det er nu med de stigende smittetal at den er rigtig vigtig!

17. september 2020 kl. 18:20
Version2 vinder Anders Bording-prisen for afdækning af sim-sløseri i telebranchen

Et meget velfortjent skulderklap til jer begge for at sætte fokus på et alvorligt sikkerhedsproblem!

28. august 2020 kl. 11:29
Decompiling Smittestop

Jeg har normalt meget stor respekt for Bruce Schneier, men jeg synes at han misser pointen her. Smitteopsporings app'en er et supplement til manuel smitteopsporing og absolut ingen blandt de danske myndigheder tror på den kan stå alene. Forhåbningen er at app'en kan finde nogen af de personer som en smittet har været tæt på, men ikke kender – fx i toget, til fodboldkampe eller på standen, og på den måde stoppe smittekæder som man ellers ikke kan finde. Mht. effekten af app’en har den effekt allerede ved en lav adoption se evt. https://www.technologyreview.com/2020/06/05/1002775/covid-apps-effective-at-less-than-60-percent-download/.

30. juni 2020 kl. 13:59
80 danskere har registreret sig corona-smittede i ny app

Man kan kun se hvor mange der har meldt sig smittet og man ved ikke hvor mange app'en har advaret da der ikke er nogen tekniske tilbagemelding fra app’en der fortæller det. Men det er meningen at dem som møder op til test skal spørges om de kommer pga. en advarsel i app’en og man dermed kan få noget tilbagemelding. Om der rent faktisk bliver spurgt om det ude i virkeligheden i de hvide telte ved jeg ikke….

Øvrige spørgsmål:

Ad 1) Mener den franske løsning er baseret på noget anden teknologi formentlig baseret på central dataopsamling hvilket vi af privacy hensyn heldigvis fravalgte i Danmark (se evt. https://en.wikipedia.org/wiki/COVID-19_apps). Da de ikke bruger API’et fra Appel og Google vil jeg tro deres løsning er mindre effektiv end den danske pga. begrænsninger i adgangen til Bluetooth på enhederne.

Ad 2) Nej, det er jo et udtryk for at folk kommer alt for tæt på hinanden … så målet er stor app brug men få advarsler

Ad 3) Godt spørgsmål --- men ad 2) så forhåbentlig ikke ret mange. Men blot vi stopper nogle få smittekæder har det også værdi.

Ad 4) Heller ikke til at vide, men det er netop derfor det er vigtigt at så mange som muligt får downloaded app’en nu før en evt. ny opblussen af smitte

Ad 5) … mon ikke lidt af svaret ligger i din antagelse i punkt 4)

Igen - det som er vigtigt er at app’en bliver udbredt mest muligt så vi er klar til at imødegå en evt. ny smitte opblussen. Prisen for at have så stort fokus på privacy er at vi bl.a. mister muligheden for at måle effekten og udmeldingerne derfor bliver lidt upræcise, men det synes jeg faktisk er ok i forhold til et alternativ med dårligere privacy beskyttelse.

29. juni 2020 kl. 16:28
Norsk sundhedsmyndighed sletter alle data fra Smittestopp-appen efter forbud

Jeg er fuldstændig enig i målet bestemt ikke helliger midlet hvilket også er det vi har arbejdet udfra i advisory boardet. Kommentarer går udelukkende på det appen kvantitativt appen gøre i forhold til smitteopsporing, altså være med til at understøtte og forbedre smitteopsporingen, og at den app der foreligger nu bør anvendes også selvom det kun har en mindre effekt. Som jeg afslutter med at skrive er der efter min vurdering en rimelig balance mellem formål og privacy i den danske app, hvorfor jeg mener det er i orden at bruge den også selv om effekten ifht. smitteopsporing kun er mindre. Og det netop fordi vi er landet på en løsning som har minimal privacy impact. Beklager at formuleringen ikke var mere entydig.

19. juni 2020 kl. 00:26
Norsk sundhedsmyndighed sletter alle data fra Smittestopp-appen efter forbud

Jeg sidder med i advisory boardet for den nye danske smitteapp som snart bliver lanceret, og det virker som om der er lidt uklarheder omkring den kommende danske app.

Den danske app har på intet tidspunktet været baseret på lokationssporing med GPS som den norske. Det første bud (som tidsmæssigt var før Google og Apple overhovedet kom med deres API – og privacy overvejelserne nok ikke var helt modne) var baseret på Bluetooth og central opbevaring af anonymiserede data dvs. der blev centralt blev opsamlet unikke men anonyme og skiftende ID’er fra hver telefon samt ID'erne på deres kontakter. Udover smitteopsporing gav dette mulighed for forskning (fx at måle hvor meget og med hvor mange folk mødes), men også en teoretisk mulighed for at optrævling af kontaktnetværk dvs. afsløring af ens kontakter. Dette gav anledning til kritik bl.a. i advisory boardet som myndigheder og politikerne var ganske lydhør overfor. Derfor ændrede myndighederne strategi til udelukkende at have fokus på et enkelt formål nemlig smitteopsporing samt at anvende Google og Apples API med decentral dataopsamling på de enkelte telefoner. Det er bl.a. derfor den danske app først kommer nu.

I den kommende danske app skal man helt korrekt bruge NemID for at oplyse at ens status som smittet. NemID bruges udelukkende til at tjekke at dette er korrekte i MiBa (den nationale smittedatabase) for at sikre at der ikke er nogen der fejlagtigtig ændrer status til smittet. NemID kræves ikke initialt og bruges kun til denne validering – NemID information og ens telefons unikke ID sammenknyttes i øvrigt ikke. Det er måske værd at huske myndighederne jo allerede ved at man er smittet så her afslører man ikke noget de ikke allerede ved. Så længe man ikke er smittet deler man ingen data og eneste man giver lov til, er at appen gemmer data lokalt på telefonen. Når man markerer sig som smittet deles de unikke ID ens telefon har sendt ud de sidste 14 dage.

App skal ses som et supplement til den øvrige smitte- og kontaktsporring og er helt korrekt fuldstændig frivillige at bruge. Myndighederne håber at mange vil hente og benytte app’en da den ses som et af de værktøjer der forhåbentlig kan afværge en ny opblusning af Corana i det danske samfund. Der er har været mange tal fremme for hvornår en app har en effekt, men som situationen er i øjeblikket er enhver hjælp til at stoppe smittekæde værdifulde.

Generel kontaktregistrering (forskning) er ikke og bliver ikke en del af den nuværende app, men det kan være det måske kommer som et - igen frivilligt - tilbud på et senere tidspunkt i en anden app.

I modsætning til Norge er det min vurdering at der er en rimelig balance mellem formål og privacy i den danske app – for naturligvis skal der udveksles nogle data for overhovedet at kunne lave smitteopsporing hvilket i den aktuelle situation er nok så vigtigt. Men der udveksles først data når man er smittet, indtil da henter man kun data om andre smittede. Er man ikke enige i det er det som sagt helt frivilligt at bruge app’en.

17. juni 2020 kl. 23:47
Tyskland har lanceret sin corona-app

Den danske smiitte stop app vil i første omgang have samme begrænsning da ens registrering som smittet kræver NemID pga. informationen skal valideres i MiBa (den nationale smittedatabase).

Jeg ved dog ikke om der kommer begrænsninger i hvem der kan downloade den dvs. om en tyske eller svensker kan downloaded og få notifikatioener - men de kan ikke melde sig som smittede.

Jeg svarede i øvrigt med følgende kommentar i går på artiklen om at den tyske app var på vej:

Interoperationalitet med andres landes corona apps er overvejet og noget der arbejdes på hos myndighederne henover sommeren. En af fordelene ved at mange lande bruger Google/Apple API’et skulle netop være at dette bliver muligt. Men det er desværre ikke en helt simpel opgave at få it-løsninger i forskellige lande til at spille sammen, ligesom der også er lidt udfordringer omkring det juridiske mht. udveksling af data om smittede personer mellem forskellige lande. Så at vente på det ville have forsinket lanceringen, og der er det nok bedre at få en løsning i drift og så forbedre undervejs. I forhold til udlandet er en af de ting som pt. har prioritet håndteringen af personer der er bosat i Sverige men til dagligt arbejder i Danmark.

17. juni 2020 kl. 13:31
Mens vi venter i Danmark: Tyskland lancerer ny corona-app i denne uge

Jeg er - desværre - helt enig, og der hvor appen i den forbindelse er særlig vigtig er i forhold til de kontakter som de smittede IKKE kender fx dem de har siddet ved siden af i bussen, i biografen eller på cafen. Og det er vigtigt at huske appen ikke kan stå alene, men er et af værktøjerne i en samlet smittesporingsstrategi.

16. juni 2020 kl. 16:38
Mens vi venter i Danmark: Tyskland lancerer ny corona-app i denne uge

Den løsningen som de danske myndigheder oprindeligt arbejdede på var faktisk rimelig fornuftigt skruet sammen mht. privacy og anonymitet, men benyttede central dataopbevaring bl.a. for at kunne lave en vurdering af antallet af kontakter. I princippet ville man kunne trævle dette netværk af anonyme kontakter op og dermed se hvem enkelte personer havde haft kontakt med. Dette var en af grundene til at vi i advisory boardet anbefalende Google/Apple løsningen, hvilket der var stor lydhørhed for. Men løsningen benyttede fx ikke GPS som den norske og var designet med et stort fokus på privacy og anonymitet. Myndighederne skal trods alt have ros når det er berettiget.

16. juni 2020 kl. 14:33
Mens vi venter i Danmark: Tyskland lancerer ny corona-app i denne uge

Interoperationalitet med andres landes corona apps er overvejet og noget der arbejdes på hos myndighederne henover sommeren. En af fordelene ved at mange lande bruger Google/Apple API’et skulle netop være at dette bliver muligt. Men det er desværre ikke en helt simpel opgave at få it-løsninger i forskellige lande til at spille sammen, ligesom der også er lidt udfordringer omkring det juridiske mht. udveksling af data om smittede personer mellem forskellige lande. Så at vente på det ville have forsinket lanceringen, og der er det nok bedre at få en løsning i drift og så forbedre undervejs. I forhold til udlandet er en af de ting som pt. har prioritet håndteringen af personer der er bosat i Sverige men til dagligt arbejder i Danmark.

16. juni 2020 kl. 14:33
Mens vi venter i Danmark: Tyskland lancerer ny corona-app i denne uge

Jeg sidder med i advisory boardet for den nye danske smitteapp og har derfor haft mulighed for at følge forløbet rimelig tæt gennem de seneste måneder.

Danmark havde en stort set færdig app klar i starten af maj måned, men myndighederne vælger aht. privacy og bluetooth udfordringer på Apple enheder at ændre strategi og i stedet basere løsningen på det API Google og Apple har udviklet sammen dvs. man starter næsten forfra. Dette API bliver først tilgængelig medio maj hvilket er forklaringen på at løsninger baseret på dette API først kommer nu. I lighed med den tyske app forventes den dansk app også lanceret denne uge.

Den app der kommer nu, er en del af den kontakt- og smittesporingsstrategi som skal forhindre at COVID-19 blusser op igen, og vil være relevant så længe smitten er der. Udfordringen er rigtig nok at mange er ved at ”glemme” COVID-19, hvilket lige nu nok er en af de største udfordringer mht. at holde smitten under kontrol og undgå en anden smittebølge.

16. juni 2020 kl. 11:29
Norsk sundhedsmyndighed sletter alle data fra Smittestopp-appen efter forbud
Denne kommentar er blevet fjernet af en moderator.
Norsk sundhedsmyndighed sletter alle data fra Smittestopp-appen efter forbud
Denne kommentar er blevet fjernet af en moderator.
Wifi er notorisk usikkert: »Opfør dig, som om du altid er på et offentligt hotspot«

Tak for alle kommentarerne til i artiklen.

Jeg tror det giver mening med et par præciseringer omkring cloud, infrastruktur og IoT:

Det er rigtigt at cloud bestemt ikke er løsningen på alting og har sine egne udfordringer, men for rigtig mange særligt mindre virksomheder uden en it-afdeling, serveren stående i kosteskabet i rengøringsrummet og hvor Linux er et fremmedord kan cloud være en rigtig god og mere sikker løsning, der sikre at systemerne rent faktisk bliver opdateret, vedligeholdt og der foretages backup. Rigtigt mange af disse virksomheder har allerede hovedparten af deres systemer i cloud som forskellige services de køber (mail, økonomisystem, vagtplanlægning osv.) og de har ikke behov for dyre virtuelle servere. Men for alle dem som har kompetencerne kan onsite løsninger stadig være rigtig fornuftigt, men det kræver man ved hvad man laver. En af de største udfordringer er manglende tid og viden om sikkerhed og det kan cloud være med til at afhjælpe.

Med den udvikling vi ser indenfor bl.a. mobilnetværk kan vi sagtens nå et punkt hvor det for mange virksomheder slet ikke giver mening at etablere en netværksinfrastruktur da deres behov er begrænset og brugerne i øvrigt er mobile. Men det kan også bare være at man blot har en simpel Internet forbindelse og ikke noget lokalt dvs. det er ligegyldigt om man er i virksomheden, hjemme eller på et hotspot. Men uanset hvad skal endpoints være ordentlig beskyttet og kunne koble sikkert op til de services som man bruger – fx ens mail eller bankløsning. Det sker heldigvis allerede i dag i stor stil fx ved brugen af https/tls, og mange services understøtter 2-faktor brugervalidering.

Jeg synes det er en rigtig god ide som Michael Cerderberg kommer med mht. at få ISP’erne til at levere en router med et IoT segment – det vil helt klart være en stor hjælp til at få Fru Olsen til at være mere sikker. Desuden pågår der pt. forskellige initiativer med at få stillet krav om basal sikkerhed i IoT produkter – bl.a. krav om tvungen skift af password, proces for rettelse af sårbarheder og en levetid hvor produktet bliver vedligeholdt. Californien har som det første sted vedtaget lovgivning og der er også arbejde i gang i EU regi. Løsning af IoT udfordringen kræver en indsats fra både producenterne, dem som installerer produkter samt (lidt) viden og opmærksomhed hos slutbrugerne.

10. januar 2020 kl. 14:40