Ovre mit forrige blogindlæg skriver Jesper Frimand i en kommentar:
"Jeg er sådan set ikke enig i at vi skal tænke sikkerhed på en ny måde. Som PHK's kommentar mht. MULTICS illustrerer er IT-sikkerhed ikke et nyt fænomen."
Jeg begyndte at svare på det i debatten, men det blev for langt og fortjener sit eget blogindlæg.
Jo, Jesper, vi skal i allerhøjeste grad tænke sikkerhed og IT på en ny måde.
Først bliver vi desværre nødt til at nuancere "ny måde".
For "den tabte generation", alle dem der kom ind i IT i dot-com årene, uden nogen som helst kontakt til den existerende IT-branche, er "MULTICS" bare en ligegyldigt historisk detalje ligesom "påskekrisen" og "Ich bin ein Berliner" og Peter G. Neuman er en fyr med en mailingliste hvor gamle brokkehoveder brokker sig.
Endnu værre er det i med den generation af Windows-administratorer der er opvokset med en ortodox anti-virus-software/prøv-at-reboote Woo-Doo religion.
Ikke at UNIX folket går fri: Der er ikke mange der nogensinde har hørt om rigtig OO miljøre, som Linn's Rekursiv eller Cambridge CAP computeren og for slet ikke at tale om autocrap og "curl https://... | bash"
Kigger vi uden for IT-folkene, er virksomhedsledelser og ikke mindst landets ledelse fyldt med mennesker for hvem Win9x er reference-rammen for IT: For dem er det helt naturligt at en printerdriver viser reklamer og crasher systemet.
Der er ingen der går fri, vi skal alle tænke IT og sikkerhed på en ny måde.
Ja, vi kender konturene af hvorledes problemet kan løses, vi kender mange af de fundamentale begrænsninger
Men vi ved også at det allerstørste problem er software branchens perverse økonomiske incentiver..
Så jo Jesper, hvis vi skal have bedre og mere sikker IT, skal vi i allerhøjeste grad tænke IT på en ny måde.
Det er ikke noget der sker af sig selv, slet ikke når økonomien vender den stik forkerte vej.
Hvis vi skal have bedre IT, starter det derfor med at vi skammer os når vi kigger i spejlet.
Ikke over tennissokkerne i sandalerne, men over at vores mor og bedstemors computere er fyldt med malware.
Det fortsætter med at vi organiserer os, skulder ved skulder, når vi går imod det økonomiske pres og det slutter når vi kollektivt kan boycotte tåbelige, farlige og uetiske IT projekter med henvisning til et etisk regelsæt.
Indtil det sker, vil markedskræfterne og de politikere de køber bare gøre situationen værre og værre.
Hvis du vil have et eksempel på hvor meget det går den forkerte vej, sidder jeg med et aktuelt problem der burde være helt trivielt at løse:
Vi skal bruge hardware til nogle små firewalls, kravene er simple og helt i pagt med den "ny måde" at tænke IT og sikkerhed:
Ingen mulige bagdøre, dvs. ingen binære blobs, ingen CPU modes over operativsystemet, ingen busmaster I/O med egen firmware.
Mindst to helt separate ethernet controllere, dvs. ikke en ethernet controller og en switch-chip.
En leverandør der i det mindste ikke ser ud til at være i lommen på et eller andet lands spioner.
Fuld FOSS software stack.
Punkt 1 udelukker i praksis alle ikke-EOL'ede x86 CPUer, de fleste Intel ethernet controllere og meget andet hardware.
Punkt 2 er med fordi de fleste ethernet switch-chips går i broadcast-mode når den bliver forvirrede, mange af dem booter ligefrem i broadcast mode.
Punkt 3 er med fordi Snowden har vist os hvor langt spion-foretagener vil gå.
Punkt 4 burde ikke kræve nogen forklaring.
Vi plejde at køre på Soekris, men han er skiftet til den meget mere lukrative audiohomøopati branche.
Men skulle tro at der var nogen, et eller andet sted i verden, der lavede et board med en 32 eller 64 bit ARM eller en MIPS CPU med to-tre gode ethernet controllere, men hvis der er, har vi ikke været i stand til af finde dem.
Vi har spurgt et antal potientielle leverandører, som samstemmende siger at "det er der ingen der efterspørger".
phk
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.