Oj, Oj, Oj.
Jeg fattede aldrig, hvorfor Videnskabsministeriet bad et ikke-IT-hus om at udvikle noget så vigtigt som den offentlige digitale signatur, men TDC fik altså ordren.
Nu må TDC give besked til 650.000 mennesker/virksomheder, der sikrede sig en digital signatur for at være sikker, at de bliver nødt til at gennemføre en sikkerhedsopdatering. Uden den kan hackere få adgang til de pågældende pc'er, og hvilket overflødighedshorn, 650.000 danske pc'er udgør.
Fejlen som jeg læste om her,
http://www.computerworld.dk/art/33794?a=fp&i=1
er tilsyneladende ikke i selv signaturen, men i et stykke nødvendigt hjælpesoftware. Det overraskende er imidlertid, at der er tale om en de mest klassiske fejl i software, nemlig buffer overflow (forklaringen får du ikke her, men tjek http://en.wikipedia.org/wiki/Buffer_overflow).
Så vidt jeg er orienteret, er det standard-pensum på ethvert datalogisk studium at sikre mod netop buffer overflow. Et begreb som forhastede programmører hos Microsoft i øvrigt har gjort berømt, og der falder brænde ned, hvis nogen hos softwaregiganten stadig laver den helt elementære bommert.
Shame on you, TDC, ikke at have opdaget en så undgåelig en fejl tidligere. Shame on you TDC for at have begået fejlen. Shame on you for at have påtvunget enhver TDC-kunde, der ønsker at tjekke sine TDC-regninger via nettet, den digitale signatur. Nok kostede det jer gysser ikke at være i stand til at byde ministeriet på de lovede antal signaturkunder, men jeres krav var ganske enkelt umoralsk.
Shame on, VTU (Ministeriet for videnskab, teknologi og udvikling), for det politiske valg af signaturleverandør i stedet for det professionelle. Hvad var det, der fik vredet armen om på jer? Hvilket økonomisk pres?
TDC har jo tidligere demonstreret, at signaturområdet overgik deres evner. Jeg kunne for eksempel i Computerworld fortælle om, hvor galt det kan gå når den digitale signatur flyttes over på folks nye pc. Flere folk havde været udsat for, at kun halvdelen af den digitale signatur kom med, så man ikke en gang blev bedt om en sikkerhedskode.
Og så står vi her. 650.000 mennesker/virksomheder skal til at opdatere deres software. Mit gæt er for det første at tallet for, hvor mange, der har installeret den digitale signatur er overdrevet, for mange har - som jeg - nok bestilt den, men aldrig installeret den, fordi man ikke har rigtig brug for den. Mit gæt er for det andet, at max. 60 procent af dem, der har installeret den digitale signatur opdaterer den nu. Hvad vil VTU og TDC så gøre? Den digitale signatur er jo nøglen til diverse offentlige systemer, heriblandt til folks bankkontonumre hos f.eks. Skat og de sociale myndigheder.
Abonner på:
Kommentarer til indlægget (Atom)
7 kommentarer:
Unchecked buffers er måske en elementær fejl, men det er også ekstrem svært at undgå. Microsoft er ikke de eneste som laver buffer overflows. Jeg kan faktisk ikke komme i tanker om noget software som på et eller andet tidspunkt ikke har haft en lille fræk buffer i sig... Måske super duper XP udviklet software?
Anyways, hvad TDC fik den ordre for kan kun undre alle. Det var en skandale.
IT i det offentlige er generelt en skandale...
Du gjorde mig klogere, tak.
Jeg mener egentlig at de her meget tekniske problemer kun er overfladen af et meget mere fundamentalt problem med digital signatur. Problemer der blandt andet stammer helt tilbage fra selve standarderne der ligger til grund og som TDC intet har gjort for at forbedre ... herunder min PKI kæphest: hvordan kan et CA (TDC i det her tilfælde) være "trusted" når de fraskriver sig stort set ethvert ansvar når man beder om et certifikat? Hvorfor håndteres den digitale signatur ikke som f.eks. et Pas hvor brugerens identitet jo også skal verificeres entydigt ved udstedelse (f.eks. som et "kvalificeret certifikat" i EU terminologi) eller er den Digitale Signatur ikke ligeså vigtig ;-)
Og forresten, hvem er det nu der ejer den primære CA i Danmark (TDC) idag? Staten - altså os allesammen?
... bare et par tanker - måske jeg har misforstået det hele.
/Lars
Det man skal huske er at det faktisk ikke er TDC der har udviklet programmet men Cryptomathic, derudover mener jeg at selv om der er mange der har buffer overflow i koden er det ingen undskyldning, det er i bund og grund dårlig validering i koden og en udvikler der ikke har tænkt.
Gad vide, om det også er Chryptomatic, der har udviklet det hjælpeprogram, som det er galt med. Jvf. følgende afsnit i Computerworlds artikel: "Sårbarheden ligger ikke i selve den digitale signatur, men i et af de hjælpeprogrammer, der aktiverer signaturen, oplyser direktør i TDC Online, Per Rasmussen." Citat slut.
Uden at kunne kalde mig en dybteborende journalist ;-), fandt jeg relativt enkelt svaret på Dortes spørgsmål på
http://www.cirt.dk/advisories/cirt-43-advisory.pdf
Her står der at det er Cryptomathic (med eet 'h') der har udviklet hjælpeprogrammet.
"Shame on you, Dorte" for ikke som journalist at undersøge ting ordentligt.
Du har ret, du anonyme. Jeg burde være gået til kilden til historien. Til cirt.dk (ikke at forveksle med cert.dk, omend navnet "Danish Computer Indicient Response Team" ligger tæt på Uni-C's "Danish Computer Emergency Response Team").
Så shame on me, og shame on Cryptomathic, eller?
Og så lige en tilføjelse. Denne blog er ikke en avis. Ikke en nyhedstjeneste, men en ganske almindelig blog, hvor jeg - der godt nok er journalist - skriver lige fra hoften, og derfor ind imellem også forkert.
Skulle jeg gå i dybdeborende "mode" for hver gang, jeg skulle skrives et indlæg på min blog, eksisterede den ikke, for hvordan skulle jeg så få "smør på brødet". Mine penge tjener jeg på et tidskrævende job som skribent for flere medier.
Så gør det lige din holdning helt klart for mig og de andre, der læser denne blog. Skal journalister holde sig væk fra at skrive blogs, hvis de ikke har tiden til at researche alt helt i dybden? Skal andre også holde sig væk, hvis de ikke har tid til at sikre korrektheden 100 pct.
Send en kommentar