Google har på deres sikkerhedsblog beskrevet en sårbarhed i SSLv3, som er en ret effektiv måde at fiske secure cookie informationer ud af en sikret https forbindelse. SSLv3 er efterhånden 15 år gammel, men Google beskriver at den stadig er meget brugt.

Det skræmmende ved sårbarheden er, at næsten alle browsere understøtter SSLv3 og en angriber kan ved at manipulere med netværkstrafikken tvinge browser/server ned på SSLv3 i den såkaldte downgrade dance. Så hvis serveren understøtter SSLv3, så er man sårbar overfor angrebet.

Hvad med de offentlige sites?

Der findes et nemt online tool til at checke, om en server understøtter SSLv3 og dermed om den er sårbar for PoodleBleed.

Her er en liste over offentlige sites, som pt. er sårbare:

• borger.dk
• jobnet.dk
• nemlog-in.dk
• skat.dk
• e-boks.dk
• nemadgang.dk
• sundhed.dk

Hvorfor understøtter vi stadig SSLv3

Med 15 år på bagen burde vi have lagt SSLv3 i graven og udelukkende benytte nye og sikrere protokoller som TLS1.2. Så hvorfor har vi så ikke gjort det? Tilbage til overskriften på mit blogindlæg, så bunder det i understøttelse af gamle browsere, som ikke længere kan opgraderes. De kan enten ikke opgraderes på grund af det bagvedliggende operativsystem ikke understøtter nyere og sikrere protokoller eller fordi man ikke kan installere nye browserversioner på et gammelt operativsystem. I offentlige udbud har det været meget almindeligt at der stilles krav til understøttelse af Windows XP og IE6. Når det er gået vildt for sig er det kravene skruet op til IE8 på en Windows XP med service pack 3. Argumenterne har næsten altid været, at der internt i myndigheden stadig blev benyttet IE6 på Windows XP arbejdsstationer.

Hvis man deaktiverer SSLv3 på serveren vil der ikke længere kunne etableres en sikker SSL forbindelse med IE6. Det er prisen med mindre man vil supportere TLS_FALLBACK_SCSV, som forhindrer downgrade dance til SSLv3.

Fremtiden?

Vi ser heldigvis ikke længere krav om understøttelse af IE6 i offentlige udbud, men vi skal ikke meget mere end 1 år tilbage før det var meget normalt. Vi ser stadig krav om understøttelse af Windows XP og IE8 – jeg er godt klar over at der stadig er mange brugere derude på disse platforme, men der sker på bekostning af vores alle sammens sikkerhed. Vi er nødt til at understøtte gamle protokoller (som SSLv3 og SHA-1 certifikater) og vi er nødt at implementere en hel masse ekstra kode for at tingene fungerer i både moderne browsere og i gamle IE6(7,8). Mere kode betyder større risiko for fejl (herunder sikkerhedshuller), så det ville være dejligt hvis vi endegyldigt kunne lægge Windows XP, IE6(7,8) i graven og sammen bevæge os et trin op af stigen.

Opdateret 20141015-1421: www.sundhed.dk er faktisk også sårbar da den understøtter SSLv3 med block cipher.

Kilder:

• http://poodlebleed.com/
• http://googleonlinesecurity.blogspot.dk/2014/10/this-poodle-bites-exploi…
• http://askubuntu.com/questions/537196/how-do-i-patch-workaround-sslv3-po…
• https://www.dfranke.us/posts/2014-10-14-how-poodle-happened.html

Vi tæller år 2014 …snart 2015. Det er 29 år siden, danske Nanna sang “Giv en hånd til Afrika”, og billederne af sultende børn og hungersnød er ikke holdt op – til trods for et utal af teknologiske forslag til, hvordan problemerne – især i Sahel-regionen langs den sydlige kant af Sahara – kan løses.

Lad os give nogle eksempler: Spanske opfindere foreslog i 1990 at plante kunstige plasttræer i Sahara som en igangsætter af naturlig vegetation. Og i 2009 annoncerede amerikanske forskere et projekt om at dække Sahara med hurtigtvoksende eucalyptustræer, som blev vandet med afsaltet havvand fordelt via kunstvandingsanlæg.

Et gigant-konsortium, Desertec, ville plastre Sahara til med solceller. Og nu arbejder norske ingeniører – som man kan læse i denne uges udgave af Ingeniøren – på at kombinere solkraft, drivhuse og afsaltningsanlæg for at dyrke grøntsager i ørkenområder…i øvrigt med massiv norsk statsstøtte.

Ingeniørernes forslag til at hjælpe afrikanerne spænder fra store ingeniørprojekter til simple løsninger som den hollandske donut-vandkasse, der er en slags skål, som opsamler fugtighed i luften og leder vand til nysåede planter – og som i øvrigt er solgt i 250.000 eksemplarer til 20 forskellige lande.

Donut-vandkassen er nærmest en efterligning af den såkaldte Zai-teknik, som i de seneste år har spredt sig fra Burkina Faso til blandt andet Mali og Niger.

Teknikken er ved at være en afgørende brik i FN´s og den Afrikanske Unions planer om at skabe en 8.000 kilometer lang grøn mur fra øst til vest langs Sahara.

Groft sagt går teknikken ud på at grave små huller i jorden og anbringe en kolort i hvert hul sammen med et frø. Men typisk tager det et hold af landmænd mellem 300 og 450 persontimer per. hektar at grave hullerne og yderligere 250 persontimer per hektar at fylde dem med gødning.

Hvis kloge og kreative ingeniørhoveder vil hjælpe afrikanerne, kan et sted at starte være en løsning til at minimere tiden det tager at grave huller i jorden.

Og derfor overlader vi her ordet til læserne: Hvordan får vi Sahara til at blomstre?

Kom med dit bud.

Ved hjælp af nanoteknologi har forskere fra Nanyang Technological University i Singapore udviklet lithium-ion-batterier, der kan oplades til 70 procent af fuld kapacitet på kun to minutter.

Desuden kan de holde til 10.000 genopladninger, hvilket er ti gange så meget som de lithium-ion-batterier, der i dag blandt andet bruges i mobiltelefoner og i visse elbiler.

»Elbiler vil kunne øge rækkevidden dramatisk med kun fem minutters opladning, hvilket svarer til den tid, det tager at fylde benzin på almindelige biler,« lyder det fra professor Chen Xiaodong i en pressemeddelelse fra universitetet.

»Lige så vigtigt er det, at mængden af giftigt affald fra udtjente batterier nedbringes drastisk, for vores batterier holder ti gange længere end de eksisterende lithium-ion-batterier,« fortæller Chen Xiadong. De nye batterier skulle kunne holde i over 20 år.

Med den nye teknologi skulle det være muligt at fremstille batterier, der kan holde i hele bilens levetid, så man slipper for en bekostelig udskiftning af batteripakken efter få år.

Den lange levetid og hurtige genopladningstid kan tilskrives en anode, der består af en gel af titaniumdioxid-nanorør – en gel, der skulle være relativ let at fremstille, idet man blot skal blande titaniumdioxiden med natriumhydroxid og røre rundt ved den rette temperatur.

De nye batterier kan komme på markedet i løbet af to år. Forskningsresultatet er beskrevet i en artikel i tidsskriftet Advanced Materials.

Godt 93 procent af alle biler, der er kommet til Danmark siden 2013 har været så energieffektive, at de er berettigede til en særlig rabat på registreringsafgiften, der gives for god brændstoføkonomi.

Ifølge Skatteministeriets seneste opgørelse kostede den rabatordning i 2012 statskassen 3,5 milliarder kroner i tabt provenu. Et tab, der hvert år siden 2009 er vokset med mindst 800 millioner. Ifølge de danske miljøorganisationers samarbejdsforum, 92 Gruppen, får den danske stat desuden færre og færre indtægter fra den grønne ejerafgift, fordi flere og flere biler kører længere end 20 km/l og dermed kun skal betale afgiftens laveste sats. Det samlede provenutab var ifølge 92 gruppens estimat 7,5 mia. Kr. I 2013.

Den udvikling er dog ikke noget, der kommer synderligt bag på afdelingschef hos FDM Torben Kudsk.

»Grundlæggende må formålet med afgifter, der skal styre adfærden i en grøn retning, være, at der bliver tab i provenuet. Det er den iboende natur i den slags afgifter,« siger Torben Kudsk.

Rabatordningen blev oprettet i forbindelse med omlægningen af bilafgifterne i 2007 og har fungeret som en incitamentsstruktur til at vælge den mest miljøvenlige bil og dermed opnå den højest mulige rabat.

Skæringspunktet, der regulerer hvornår biler er at betragte som miljøvenlige, blev fastsat til 16 km/L og er ikke revideret siden 2007. Med det nuværende system får nye biler et fradrag i registreringsafgiften på 4.000 kroner for hver kilometer, de kører længere end 16 på en liter benzin og 18 på en liter diesel.

Siden midten af 2012 har den gennemsnitlige nyregistrerede bil i Danmark kørt omkring 22 kilometer på en liter brændstof og langt størstedelen befinder sig et godt stykke over skæringspunktet på 16 km/l. Den gennemsnitlige danske bil får dermed en rabat på 24.000 kroner alene på baggrund af en almindelig brændstoføkonomi.

Ikke flere lappeløsninger

92 gruppen har foreslået at opjustere skæringspunkterne for såvel rabatten på registreringsafgiften som den grønne ejerafgift.

»Det store misforhold mellem nye bilers faktiske gennemsnit og det forældede skæringspunkt, der bruges til beregning af bilafgifterne, betyder at benzinbiler med gennemsnitlig effektivitet modtager store uberettigede rabatter for at være særligt effektive,« skrev de således i juli i en henvendelse til finansminister Bjarne Corydon (S).

Torben Kudsk mener dog ikke, det nytter noget at begynde at justere på skæringspunktet for afgiftsrabatten, som han betegner som en lappeløsning på det grundlæggende problem: Bilafgifterne er alt for høje og bør nedjusteres, så der kan komme mere brændstofbesparende teknologi ind i de danske biler.

»Det er meget vanskeligt at fremme de teknologisk avancerede og dermed dyre biler med et system, hvor du først har en hård værdimæssig beskatning, og så bagefter laver lappeløsninger ved at trække noget fra,« siger Torben Kudsk.

Systemet har igennem flere år gjort det populært for danske bilejere at vælge de lette mikrobiler, der som udgangspunkt har en lav salgspris og en fornuftig brændstoføkonomi.

Men det gælder kun så længe bilen bliver brugt til almindelig bykørsel, som er det, den er beregnet til, mener Torben Kudsk, der påpeger, at mange små biler bruges til eksempelvis pendling over flere hundrede kilometer.

»Mange af de små biler, vi køber, har som deres fornemste kvalitet at være billige. Men når en bil skal være meget billig, er der også grænser for, hvor meget avanceret motorteknologi producenten kan lægge ned i bilen,« siger Torben Kudsk.

Grundlæggende mener han og FDM, at afgifterne som minimum bør udlignes, så der ikke længere kun er et stærkt incitament til at købe små biler, men allerhelst ser han, at man gentænker hele systemet fra bunden.

»Den nuværende afgifstmodel har udspillet sin rolle – det nytter ikke længere at lappe videre på den eksisterende model. Den værdibaserede afgift er hverken god for samfundsøkonomien, for den enkelte borgers velfærd eller for klima og miljø. Der skal et helt blankt stykke papir til.«

Regeringen har i regeringsgrundlaget lovet, at lave en Grøn omlægning af personbilafgifterne, men har hidtil ikke spillet ud med konkrete forslag.

Tre Google ingeniører har bevist, at krypteringsstandarden standard Secure Socket Layer kan omgås takket være en nyligt opdaget sårbarhed, som de tre har døbt POODLE. (Padding Oracle On Downgraded Legacy Encryption – se beskrivelse i PDF her)

Angiveligt er det en design-fejl, der er gået mere eller mindre upåagtet hen i op mod 15 år, skriver The register.co.uk

Den dårlige nyhed er, at de tre mener fejlen er umulig at udbedre og svær at opdatere sig ud af.

SSL 3.0 er ellers det, der gør, at vi kan kryptere vores forbindelse og komme på netbank og andre følsomme steder på nettet, uden at blive overvåget af andre brugere.

Idag bruges SSL 3.0 ikke længere som standard protokol, men ved hackerangreb kan computerens browser provokeres til at gå tilbage til SSL 3.0, og derved åbne for hackerangreb.

Den gode nyhed er ifølge Cnet, at mindre end 0,3 procent af kommunikationen mellem hjemmeside og server afhænger af SSL 3.0.

Maskinlæring er ét af de buzzwords, som har sneget sig ind på it-scenen det seneste års tid. Både Microsoft og Google taler således om maskinlæring, eller machine learning. Det er et felt inden for datalogien, som har eksisteret i årtier, men som nu har fået en opblomstring inden for ét bestemt område.

»Maskinlæring dækker over data mining. Maskinlæring kan generelt bruges til mange forskellige ting, men lige nu bliver det brugt til at analysere data,« forklarer stifter Rafal Lukawiecki fra konsulentfirmaet Project Botticelli til Version2.

Selve området maskinlæring bygger på algoritmer, hvoraf mange er udarbejdet for 40 år siden i datalogiens ungdom. Forskellen fra dengang og til i dag er dog, at kapaciteten til databehandling nu gør det muligt at udnytte algoritmerne til formål, hvor erhvervskunderne har fået øje på teknologien.

»Før manglede hestekræfterne. Nu har skyen gjort det til noget, hvor du næsten blot skal trykke på en knap, og så kan du være i gang med data mining. Men den største ændring er nok, at virksomhederne er begyndt at efterspørge det,« siger Rafal Lukawiecki.

Data mining ved hjælp af maskinlæring er den seneste udvikling inden for business intelligence og Big Data. Maskinlæringsalgoritmerne er blevet taget i brug, fordi de kan anvendes til eksempelvis at forudsige kundeadfærd i e-handel, hvilke varer der skal være på lager, risikoanalyse og sporing af svindel.

Efterspørgslen efter analyseværktøjer, som udnytter de voksende datamængder, har ført til næsten køreklare maskinlæringstjenester som eksempelvis Microsoft Azure ML.

»Det nye er, hvor tilgængeligt det er blevet. I fremtiden vil det formentligt blive så let at gå til, at en almindelig Excel-bruger kan benytte maskinlæring,« siger Rafal Lukawiecki.

Der er især store virksomheder, som har benyttet sig af maskinlæring og data mining i mere end 20 år, men det har krævet særlige udviklingsressourcer og programmering specifikt til netop ét bestemt formål. Det er ændret med de nye grydeklare produkter.

»Flertallet vil ikke udvikle selv. De vil bare gerne kunne kaste data efter en løsning. I dag er vi eksempelvis dér, hvor du kan sammenligne forskellige algoritmer for at se, hvilken der er bedst, blot med nogle klik,« siger Rafal Lukawiecki.

Hvis man skal anvende data mining fornuftigt, så er det dog stadig en god idé at sammensætte et hold med kompetencerne til at omsætte teknologien til noget, der kan bruges af organisationen. Ifølge Rafal Lukawiecki betyder det, at man bør få dækket tre områder.

Først skal man bruge en person med kendskab til den forretningsmæssige side af det område, man vil analysere. For at kunne analysere kundeadfærd på en måde, hvorpå forretningen kan bruge resultaterne, så skal analysemetoden passe til formålet.

Dernæst er det nødvendigt at have en person, som forstår data og har erfaring med at kunne trække data ud fra mange forskellige kilder og eksempelvis kunne overskue et datavarehus. Det må gerne være en person, som kan fungere som datadetektiv for at finde frem til de rette data og strukturere dem.

Endelig skal man bruge en analytiker, som ikke nødvendigvis skal have en ph.d. i statistik, men først og fremmest være i stand til at vurdere, om resultaterne af en analyse stemmer overens med det, man ville forvente.

En af farerne ved at overlade analysen til et sæt prædefinerede algoritmer er, at hvis man vælger den forkerte metode, så får man også forkerte resultater, men det kan være vanskeligt på forhånd at vide, hvilken analysemetode der passer bedst til situationen.

»Alle algoritmer vil give dig et resultat, men det er ikke alle resultater, der er brugbare. Derfor skal man kunne forstå en given models holdbarhed,« siger Rafal Lukawiecki.

Selvom feltet maskinlæring er gammelt, så er der også inden for de senere år dukket nye algoritmer og metoder op, som eksempelvis er beregnet til at udnytte nogle af de ting, som udviklingen i hardware og software har givet mulighed for. Det gælder eksempelvis in-memory-teknologi.

»Hvis man gerne vil dyppe tæerne i maskinlæring for første gang, så har man muligheden for at komme til at lege med nogle af de nye legesager, som de erfarne inden for området også først nu har fået adgang til. De seje, nye ting kan ikke løse alle opgaver, men de er meget spændende, fordi det er nye måder at løse problemerne på,« siger Rafal Lukawiecki.

Lige nu er maskinlæring på kommercielt niveau stort set synonymt med data mining, men udbredelsen af maskinlæring kan føre til, at andre dele af feltet kan få større anvendelse.

Det kunne ifølge Rafal Lukawiecki være applikationer, som får mere indbygget kunstig intelligens til at understøtte applikationernes indbyggede logik – eksempelvis i kommunikationen mellem applikationer.