Produktansvar for software
I PROSA synes vi, at det er godt, at vores digitale sikkerhedstjenester finder fejl og sårbarheder i produkter. Vi mener, at disse naturligvis skal overdrages til producenten, så han får en mulighed for at rette fejlene, og dermed gøre alle brugerne mere sikre ved næste sikkerhedsopgradering af softwaren i produktet.
Desværre bekræfter Vault 7, hvad mange af os har sagt tidligere: Sikkerhedstjenesterne holder sårbarhederne ind til kroppen med det formål selv at bruge dem. Dermed har man misforstået styrkeforholdet. Lige netop kendskab til sårbarheder i software kan virke både som angrebsvåben og forsvarsvåben - dermed adskiller de sig væsentlig fra f.eks. viden om, hvordan man laver atomvåben.
Lad os tage Nordkorea som eksempel på en modstander. Ligesom sikkerhedstjenesterne kan Nordkorea finde sikkerhedsfejl i udstyr. Lad os sige, at de ikke er så dygtige som tjenesterne i den fri verden så de finder kun 10% af sårbarhederne, som vores sikkerhedstjenester har fundet. Lad os også sige, at Nordkorea har 100.000 enheder, hvoraf 10% er sårbare over for vores sikkerhedtjenesters angreb. Dermed vil vores sikkerhedstjenester kunne angribe 10.000 enheder i Nordkorea. Lad os sige, at vi i den frie verden har 100.000.000 enheder, hvoraf 10% er sårbare, men hvor Nordkorea kun har fundet 10% af sårbarhederne (eller 5.7%). Dermed vil Nordkorea kunne angribe 1.000.000 enheder.
Hvis vi ser på udbredte enheder, så vil det være en fordel for den fri verden (hvor vi er meget afhængige af IT) at få sårbarhederne rettet af producenten, mens det for Nordkorea (og andre lande uden større afhængighed af IT) er en fordel, hvis sikkerhedstjenesterne holder disse hemmelige.
Producenternes medansvar
Nu hjælper det naturligvis ikke, hvis ikke producenterne tager deres ansvar alvorligt og retter de fejl, som de bliver gjort opmærksomme på. Det er utænkeligt, at producenter kan levere fejlfrit udstyr, og det mener jeg ikke er rimeligt at kræve. Men jeg finder det rimeligt, at producenten i hele produktets levetid giver mig som kunde mulighed for at få sikkerhedsrettet softwaren i udstyret.
Det kan f.eks. ske ved at producenten tager sikkerhedsrapporter seriøst og leverer sikkerhedsrettelser ud over garantiperioden. Men selv når producenten bliver træt af det, bør han give forbrugeren mulighed for selv at rette sikkerhedsfejl. Det kan f.eks. ske ved, at han giver kildekoden til softwaren til forbrugeren.
Hvis vi er nervøse for, om producenten lukker, så bør man kunne kræve, at han lægger kildekoden i forvaring, så den bliver publiceret i tilfælde af producentens lukning. Benytter producenten underleverandørers software, skal han naturligvis kræve det samme af dem.
Digital teknologi er en så central del af samfundet idag at jeg tror, vi er nødt til at kikke på en eller anden form for producentansvar.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
