Dette indlæg er alene udtryk for skribentens egen holdning.

Password og cybersecurity med Harry Potter

Af Sine Zambach29. november 2021 kl. 14:0113
Password og cybersecurity med Harry Potter
Illustration: Filo.
Artiklen er ældre end 30 dage

Enhver tilpas avanceret teknologi er uadskillelig fra magi sagde Arthur C. Clarke i 1962 i bogen “Profiles of the Future: An Inquiry into the Limits of the Possible”

Harry Potter er måske nok en fantasy-serie, men i denne blog prøver vi lige at udskifte magi med it for at se, hvad vi kan lære om cybersecurity. For Harry Potter indeholder både password-filosofi, hacking(-beskyttelse) og digital overvågning - og måske kunne de bruge mere diversitet i ministeriet for magi?

Spoiler-alert: Der er afsløringer fra bog 3,5 og 7, men hvis du i øvrigt ikke er lige så distræt som mig, gør det sikkert ikke noget. Det er hurtigt glemt igen. Desuden giver meget af denne blog sikkert ikke mening, hvis du ikke allerede har læst nogle af Harry Potter-bøgerne.

Som mange andre forældre har jeg hygget mig med at læse Harry Potter højt for ungerne, efter at have hygget mig med at læse bøgerne i min sene ungdom.

Artiklen fortsætter efter annoncen

Men en ting jeg lagde mærke til i anden omgang var, hvor forskelligartet passwordsne var konstrueret i bøgerne - både ind til forstanderen, de forskellige kollegier samt de magiske artefakter der er gemt i diverse hemmelige rum i den magiske verden.

Tænk Sci-fi i stedet for Fantasy

Hvis vi nu lige tænker Harry Potter-serien som en sci-fi-bog og ikke en fantasy-bog, så kan vi måske bruge den til at snakke cybersikkerhed med vores unger - og hinanden? Det er jo en udfordring for en it-arbejder, så på med handsken.

Og da jeg først gik systematisk til værks med at analysere aktuelle it-problematikker i bogen var det som om en hel verden af aktuelle it-problematikker åbnede sig. Og aktuelle er de - tænk bare det store cyberangreb på Vestas og debatten om hvordan embedsværket bedst sikrer fortrolige oplysninger på fx sms.

Den oplevelse har jeg forsøgt at diskutere i denne Harry Potter podcast med Hannah McGregor og Marcelle Kosman, der læser Harry Potter med forskellige teoretiske briller på højt niveau.
Den er dog en betalings-podcast, så I får lige hovedpointerne her i bloggen.

For at forstå en del af konteksten, skal vi tilbage til sen-90’erne og de tidlige 0’er for at sætte os ind i hvilken tid J. K. Rowling skrev i. Folk havde nu mobiltelefoner og smartphonens neandertal, Blackberry, var på markedet og internettet var hvermandseje. Kunstig intelligens og meget af den maskinlæring-teknologi vi bruger i dag var udviklet, og Storbritannien var som sædvanligt voldsomt overvåget.

Gode password, ringe passwords - og virkeligt ringe passwords

Normalt siger man at passwords udgøres af en eller flere af følgende: Noget du ved, noget du har eller noget du er. Alle elementer er faktisk til stede i serien.

Der er flere temmeligt ringe passwords - eller adgangskoder i Harry Potter i første kategori.
Fx har rektoren, Dumbledore, notorisk ringe passwords. De er alle opkaldt efter hans yndlingsdesserter. På den måde skriver han sig ind i historien med ledere som fx Trumps password der blev gættet og Kosovos præsident, der på en eller anden måde må tro at de er uindtagelige?

På samme vis har Slytherins kollegie “Mudderblod” som password, hvilket man, taget deres lidt fascistiske adfærd taget i betragtning, måske kunne gætte.

Harry Potters eget kollegie, Gryffindor, beskyttes af “den fede dame”, der har nogle fine, rimeligt tilfældige ord som adgangskoder. Men da hun på et tidspunkt bliver skadet, overtager et andet maleri sikkerheden (Sir Cardigan) og han skifter konstant adgangskoder, og bruger nogle virkeligt snørklede ord.

Det ender selvfølgelig med at den distræte dreng i klassen, Neville Longbottom, skriver det ned på en seddel, som kommer i hænderne på den forkerte (Ormehale), der stille og roligt kan bryde ind.

Denne konstante fornyelse af password er jo en omdiskuteret trend der har været brugt i forskellige organisationer. Men konsensus er vist efterhånden at det ikke giver mening konstant at skifte password - netop fordi det ender med at folk skriver dem ned.

Egentlig er det sjovt at der ikke er biometrisk adgangskode, som man ser senere i serien hos ministeriet for magi - det er kun Harry Potter og Voldemort (den onde) der kan høre profetien ved at røre ved den. men måske skyldes det i virkeligheden at bogen blev skrevet på et tidspunkt hvor ansigtsgenkendelse var det nye, og ved at komme i drift rundt omkring i den virkelige verden (eller mugglere, hvis nu vi skal blive i HP-universet).

Gryffindors sværd kan også genkende Gryffindor-elever, så teknologien, undskyld, magien, har ikke været ukendt på Hogwarts. Måske kan det skyldes at Dumbledore er imod biometrisk overvågning?

Flerfaktor-godkendelser

Ret skal være ret. Der er også ganske avanceret adgangskontroller. For eksempel er de vises sten beskyttet af en avanceret flerfaktor-godkendelse med både gåder, fysiske elementer og en form for biometrisk godkendelse - kun dem der ikke ønsker at bruge stenen kan få den.

Profetierne (bog 5) er også godt beskyttet af ganske mange faktorer i ministeriet for magi. I begge tilfælde er det dog så besværlige foranstaltninger, at man formentlig ville prøve at slå dem fra, hvis det var rum man skulle tilgå ofte. Eller man kunne ende med samme problematik som Sir Cardogan - altså at man bare skriver adgangsprocessen ned på et stykke papir.

Diversitet i magi-sikkerhedsudvikling

Man kan jo ikke lade være med at undres over hvorledes visse ting er enormt velbeskyttet af ministeriet for magi (profetierne, fx) mens det er forholdsvist nemt at bryde ind på folks kontorer - hvis der var en god beskyttelse har de formentlig fjernet den fordi det var bøvlet?

Man tænker - måske burde Ministeriet for magi have større diversitet i deres sikkerheds-udvalg? Det virker som om der er en ok kønsdiversitet, men måske burde de have nogle flere mugglerfødte, eller ligefrem en enkelt muggler med speciale i it-sikkerhed med? Måske skulle de også have Gringot-bank-nisserne med, der jo har et rimeligt sindrigt sikkerhedssystem for troldmændenes bankbokse?

Og måske et par husalfe, der i hvert fald kan en hulens masse magi - helt uden tryllestave.
Det kunne formentlig give en noget bedre, mere effektivt og bredere beskyttelse mod indtrængen. Og måske kunne de bidrage med erfaringer fra deres virkelighed til fremstilling af nye magiske artefakter?

Overvågning og tryllestavens rolle

En særlig pudsig parallel er tryllestaven. Med sådan en, kan ministeriet for magi straks advare/smide umyndige elever ud, der bruger magi uden for skolen. Men hey - de onde fiser bare rundt og smider om sig med spells uden at blive forfulgt. Det er egentlig nogle pudsige prioriteringer.

Da endelig Voldemort er ved magten i bog 7, sørger han for at hans navn er “tabu” altså - hvis man udtaler hans navn, bliver ens lokation identificeret og der kommer nogle ubehagelige fætre efter én.

Det kan jeg næsten kun læse som om der er en slags talegenkendelse i tryllestaven, hvilket for øvrigt også giver mening i forhold til at man skal aktivere tryllestaven ved at sige en besværgelse. “Alexa - expeliarmus”. Og man kan desuden ved hjælp af en særlig ministeriel besværgelse se de seneste besværgelser der er brugt med tryllestaven.

Bog 7 blev skrevet omkring 2006, og talegenkendelse var vist ikke en hverdagsting dér, men teknologien var opfundet, så det kunne forfatteren godt have tænkt i.

En bagdør og en risikoanalyse

En sidste lidt kryptisk parallel man kan lære lidt af er Harry Potters evne til at se ind i Voldemorts sind - og i praksis ud gennem hans øjne. På en måde er det faktisk en “bagdør” som Harry fik med da Voldemort prøvede at dræbe ham som 1-årig.

Bagdøren viser sig praktisk at have da Harrys gode vens far, Arthur Weasly ligger og er ved at dø af slangebid, men Dumbledore kan godt gennemskue at det ikke kun er praktisk at kunne se ind i Voldemorts sind. På sin vis optræder Harry Potter her som white hat hacker, altså en etisk hacker - eller måske grå,. da Voldemort jo ikke ligefrem har bedt om det? Det må der være nogle læsere der kan give et bud på!

En sådan bagdør er praktisk, men kan også udgøre et problem hvis den bliver opdaget. Fx lader Voldemort Harry Potter se sin gudfar Sirius Black blive tortureret, da han bliver opmærksom på problemet.

Det har Dumbledore forudset og lader Harry Potter få timer i såkaldt “Okklumensi”, der handler om at få lukket bagdøren i Harrys hoved. Man kan så ikke udnytte den, men slipper også for at blive "taget". Uheldigvis blev bagdøren ikke lukket, så Harry iler i god tro af sted for at redde Sirius.

Kan man slette magiske beviser?

En meget aktuel sag er de 30 dages sletning af SMS’er. Kan man i 2020 faktisk bare slette de bitstrenge der udgør SMS’er som udveksles i statsministeriet?

Man kan jo faktisk altid finde ud af hvilke besværgelser en tryllestav netop har kastet a sted. Men man kan også bare smadre en profeti-kugle - og så ER profetien der ikke mere. Med mindre man har sørget for at tage en backup.

Det havde Dumbledore heldigvis.

Mere inspiration i samme spor, kan man læse indlægget af Poul-Henning Kamp, der tidligere har sammenlignet Edward Snowdens selvbiografi med Harry Potter.

Klummen her er blevet til efter grundig granskning af Harry Potter samt konsultation med Irfan Kanat der er adjunkt på CBS med speciale i bl.a. cybersecurity.

13 kommentarer.  Hop til debatten
Denne artikel er gratis...

...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.

Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.

Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.

Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.

Debatten
Log ind eller opret en bruger for at deltage i debatten.
settingsDebatindstillinger
13
17. december 2021 kl. 10:12

Gode pointer. Og hey - quizzer er jo lige noget for Rawenclaw'erne. Som jeg synes har en lidt arrogrant holdning til passwords

12
17. december 2021 kl. 10:09

Det må man godt være :-) Og sikkert gode inspirationskilder som jeg ikke har læst. Men man kunne også finde nogle sjove ting i Hichhikeren - tror bare der er lidt for mange der har været der før mig. måske skal man finde post-2000-romaner for rigtigt at kunne læse cybersikkerhed ind i dem?

11
17. december 2021 kl. 10:06

Tusind tak! Men Sirius prøver at komme ind med vold - og den går ikke. De tror det er Sirius der tager sedlen og kommer ind, men jeg mener bestemt at det er Ormehale...

10
1. december 2021 kl. 11:19

Så at lave passwords lokalt

Man kan vende sagen om, og istedet diskutere hvilken chain-of-trust der er etableret.

Eftersom man benytter en given browser, og den browser kan gøre hvad som helst med de inputs den får, plus hvad den har af rettigheder i OSet, så har man per definition "tillid" til sin browser når man benytter den.

Derfor giver det mening at lade sin browser lave sikre passwords og gemme dem.

  1. Enten kun lokalt for maksimal sikkerhed.

  2. Eller krypteret centralt syncet, for at kunne tilgå de passwords fra syncede devices samme browser.

De fleste ønsker at håndtere usecasen hvor det sikre password på laptoppens browser også kan benyttes fra telefonen.

  1. Tredieparts centrale password tjenester har alle en slipstrøm af virkelig uheldige sikkerhedshændelser, da de er oplagt primært mål for angreb. Man kan argumentere for at det er en øget usikkerhed både at skulle stole på sin browser PLUS en ekstern tjeneste.

  2. Browser ekstensions (F.eks. LessPass) som genererer sikre passwords per domæne udfra et master password er endnu en gyldig mulighed. Fordelen er at ingen passwords lagres centralt eller synces, og at forskellige devices kan generere det samme sikre per domæne password udfra domænet og masterpasswordet.

Dette er kryptografisk ret smukt, men ulempen er at ikke alle logins accepterer lige det password som der genereres, og hvad der er værre, mange services authenticerer fra skiftende domæner, hvilket saboterer letheden ved denne løsning.

Og ekstensions øger tillids-kæden. Man skal både stole på sin browser OG sin ekstension.

Jeg mener at chain of trust argumentet peger på, at i 2021 er det sikrest at bede sin browser generere et unikt stærkt password per tjeneste, og synce det til sine devices, som man per definition stoler på, fordi man benytter dem.

9
1. december 2021 kl. 09:20

Tak for uddybningen, Martin.

Så at lave passwords lokalt med en GUID-generator er nok ikke helt dumt. ;)

8
1. december 2021 kl. 07:29

De er bare forbandet svære at huske, medmindre man selvfølgelig skriver det samme skrammel til samtlige spørgsmål.

Dét kan man så vidt jeg husker heller ikke. Jeg mener jeg prøvede det til at begynde med, men fik at vide at jeg ikke kunne svare det samme til to forskellige spørgsmål.

Igen, disse spørgsmål og svar må også ind i krypteringsmodulet.

En helt anden sag er, at jeg har været ude for at blive stillet et spørgsmål som jeg ikke havde valgt hverken at få stillet eller at svare på, engang jeg havde glemt et password. Det lykkedes til sidst, ved at henvende mig til deres helpdesk, men det var alligevel noget mærkeligt noget.

7
30. november 2021 kl. 21:30

Og lige et ord om disse huskeregler, når man har glemt password'et: "Din mors oprindelige efternavn"? "Hvad hedder dit kæledyr?" "Hvilken by boede du i som barn?"

Ja og de er ikke bedre en de "sikkerheds-spørgsmål" jeg fik stillet da jeg var på kommunen for at oprette mitid.

En samling af fødselsdato, -måned og -år på familiemedlemmer, og andre oplysninger som alle der kender mig godt kender.

Og selvom jeg ikke er på fjæsbog, vil man sikker kunne finde samtlige oplysninger der. Eneste undtagelse er nok hvornår jeg flyttede til min nuværende adresse.

Jeg skriver konsekvent svarene til disse spørgsmål som nonsens. Mit kæledyr kunne hedde "HattenErLavetAfBenzin" for eksempel.

De er bare forbandet svære at huske, medmindre man selvfølgelig skriver det samme skrammel til samtlige spørgsmål.

/Henning

6
30. november 2021 kl. 18:47

Jeg tror ikke der er dét jeg ikke har læst omkring passwords, teorier, metoder, udformninger, etc.

Umiddelbart tror jeg man burde undervise i alle metoderne, og sikre sig at alt er forstået, og så lade folk bruge dét som passer dem bedst.

Og her vil jeg så tillade mig at teoretisere over, at der sikkert er så godt som ingen der vil gå ind for tvungen skift af passwords hver 3. (eller 6.) måned...

Hos os bruger vi stærke passwords til de vigtige ting, som netbank, email, eboks, etc.

Skal man købe et komfur hos Elgiganten, så er det meget smart at oprette en konto dér, så man kan følge sine order. Passwords til den slags kan (og bør) være et eller andet simpelt, som man nemt kan huske og som man bruger alle ligegyldige steder: Webbutikker hvor man kan oprette konti, og hvor det værste der skan ske er, at en eller anden køber noget til én - for deres egne penge, forstås.

Og lige et ord om disse huskeregler, når man har glemt password'et: "Din mors oprindelige efternavn"? "Hvad hedder dit kæledyr?" "Hvilken by boede du i som barn?"

Jeg er ude af stand til at fatte, at man vil sikre sig at uvedkommende ikke kan komme til brugerens konto, og så udformer man det som en quiz?

Jeg skriver konsekvent svarene til disse spørgsmål som nonsens. Mit kæledyr kunne hedde "HattenErLavetAfBenzin" for eksempel.

Noget som så desværre ligger lidt udenfor de flestes muligheder er, at jeg gemmer mine stærke passwords og quiz-svarene i krypteret form i et program jeg selv har skrevet.

Jeg stoler rimelig meget på disse 'passwordhuskere' eller hvad de nu hedder, men i virkeligheden har menigmand jo ikke kontrol over hvor disse passwords bliver sendt hen...!

5
30. november 2021 kl. 10:31

pecmuk-cuQcug-2nynbe

Det antages at Safaris random salting er okey dokey.

Det lader til at passwordet består af 18 små og store bogstaver og tal.

De ser ikke helt jævnt fordelt ud.

Hvis de er jævnt fordelt, dvs. lige mange små, store og tal så får man:

(26+26+10)^18 = 1.8e+32

Beskytter passwordet en remote authentikering, så lad os antage 1 million gæt per sekund for sjov, og så tager det 1e+26 sekunder eller ca en milliard milliard år.

Beskytter passwordet en krypteret fil man lige har i hånden, så man kan parallelisere en bruteforce knækning ved at lease computere nok i skyen.

Lad os i 2021 estimere at en leje-computer kan afprøve 100 millliarder passwords i sekundet.

Så tager det 1000 milliarder år. Divideret med antallet af computere du lejer.

Brug ca. alle computere på jorden samtidig, så tager det ca. 1000 år.

MEN, hvis der altid kun er eet stort bogstav og eet tal, uha uha, så er kombinationerne:

26^182610 = 7.6e+27.

Og så skal man dividere alle ovenstående estimater med 10.000.

Statistikken siger at man gennemsnitligt gætter passwordet på halvvejen dog.

Jeg har fundet en passwordstyrketester på nettet

Hehe... det må være for sjov.

Så kan man i hvert fald sige, at ingen af dine vigtige passwords er mere sikre end den tjeneste er pålidelig. Og man må håbe at tjenesten ikke bare lagrer passwords, der bliver checket, til senere brug.

Den eneste måde at checke sine passwords sikkert på i eksterne tjenester, er at sende en lille del af SHA 265 hash af passwordet til en tjeneste som f.eks. Have I Been Pwned.

Man må aldrig aldrig sende sit password andre steder til check.

4
30. november 2021 kl. 08:16

Jeg har fundet en passwordstyrketester på nettet, den kører jeg alle min vigtige passwords igennem ...

3
30. november 2021 kl. 07:57

Apple mener at følgende password er stærkt, hvad mener I?pecmuk-cuQcug-2nynbe(det er autogenereret af Safari)

2
29. november 2021 kl. 17:23

Jeg kender meget, meget lidt til HP, min tid var yngre stenalder: Iain M Banks og hans "culture noveller" og det er sci-fi, hvor kunstige intelligenser styrer. Men navnene på "skibene" ... the great minds ...

Mødte eller rettere så den skotske forfatter i 1990 i en hotelvestibule i Edinbough. Det minder mig om at det brittiske øers jernbaner ligner HP-universet ikke så lidt; kender man fx tyske eller franske stationer er de engelske noget helt andet. Tænk hvis man skulle slå undersiden af et ankomsttrappetrin på perron 3, for at komme til perron 7 eller 8. Nej vel?

Introduktion til IMB (culture) er lettest med "Player of Games" men den uhyggelige "Use of Weapons" er vist skrevet først?

Kulturen er helt vores (fra yngre stenalder) - hvad var nu pointen med mit skriv? (Tråden er tabt, mon der er tid til at finde en ny? Tjek!) Droner (af den svævende slags; ugler?) er personlige assistenter og deres "sindstilstand" kan aflæses i farven på deres auraer. Væveriet må stoppes, så jeg greb ud efter min 4.eller 5. kopi af PoG (plejede at give de tidligere kopier væk) og fandt ud af at de er mærkeligerend jeg huskede dem:

IB's (uden M'et) bøger foregår i en næsten normal verden: Broen (The Bridge) og Wasp Factory er også lidt mærkelige (ikke børnebogsoplæsning).

off off topic

1
29. november 2021 kl. 16:26

Interessante betragtninger! Det er altid godt med lidt alternative vinkler på it-sikkerhed, så "pillen" nemmere kan sluges.

Og nu en lille nerd-alert. ... Men det er jo ikke Ormehale, der får adgang til Gryffindors sovesal, men hans gudfar Sirius Black, der forsøger at få fat i Ormehale, der i rotte-skikkelse gemmer sig i sovesalen. :)