Monthly Archives: April 2014

Denne gang kom ulven. Den sårbarhed, der har befundet sig i flere udgaver at det udbredte OpenSSL-bibliotek siden 2011 bør give anledning til, at folk over en bred kam udskifter deres kodeord. Det mener Version2-blogger med forstand på it-sikkerhed, Henrik Kramshøj fra Solido Networks.

»Internettet er gået helt bagover. Det er ret alvorligt, det må man sige,« siger han.

Da OpenSSL er særdeles udbredt og blandt andet bliver anvendt i den populære Apache-webserver, taler sandsynligheden for, at adskillige brugere verden over uforvarende har været i kontakt med en sårbar server. Det er eksempelvis kommet frem, at Yahoo og Flickr har været berørt af sårbarheden.

Det betyder i udgangspunktet også, at brugernes brugernavn og password kan være havnet i hænderne på uvedkommende.

Derfor opfordrer Henrik Kramshøj i udgangspunktet alle til at skifte kodeord. Og i øvrigt vænne sig til at bruge forskellige kodeord og udskifte dem løbende, så alle kodeord eksempelvis er udskiftet efter ét år.

»Det vil være den sikre måde at gøre det på. Der er så mange services på listerne (over sårbare services, red.). Enten skal man gennemgå listerne og finde de services man bruger, eller også skal man bare sørge for at skifte passwords jævnligt.«

Sårbarheden, der er fikset i OpenSSL 1.0.1g fra april i år, relaterer sig til OpenSSL’s implementering af heartbeat-udvidelsen til TLS/DTLS-sikkerhedsprotokollerne, oplyser Codenomicon, virksomheden bag opdagelsen, på en hjemmeside om sårbarheden. Sårbarheden har fået navnet ‘heartbleed’, et ordspil på heartbeat.

Den bevirker – i princippet – at hvem som helst kan koble op til en sårbar server og få serveren til at returnere dele af sin hukommelse. Det vil blandt andet sige serverens private nøgle, som gør det muligt for en angriber at udgive sig for at være en valid server – også kaldet et man-in-the-middle-angreb. Men det bliver værre.

Med snablen nede i serverens hukommelse er det muligt at fiske brugernavne, kodeord og andet ud af serveren. Det er også den indholdet af chats, mails, serverkonfigurations-oplysninger osv. Altså data, som netop kan have været grunden til at beskytte serveren med SSL-kryptering i første omgang. Og det er med det i baghovedet, at Henrik Kramshøj i udgangspunktet opfordrer alle til at skifte deres kodeord.

»Det svarer til at sætte post-its med brugernavn og kodeord på serveren fra alle dem, der besøger dem, som så kan samles op bagefter.«

Henrik Kramshøj har selv skrevet en guide til, hvordan server-bestyrere bør forholde omkring sårbarheden. Han gætter, at mange har opgraderet eller er i gang med at opgradere deres server-software eller beskytte den på anden vis, blandt andet fordi medieopmærksomheden på OpenSSL-sårbarheden har været ganske intens.

Men der er stadig al mulig grund til at være på vagt, selvom der er en grøn hængelås eller noget der minder om det i browser-vinduet.

»Der er helt sikker en masse mennesker, der ikke har opfattet hvor alvorligt det her er – det er drønalvoligt,« siger Henrik Kramshøj.

Det er svært at vide, præcist hvor mange servere, der har været eller er berørt af problemstillingen. Ligesom sårbarheden ifølge Codenomicon kan udnyttes ganske diskret, så det slet ikke bliver registreret på serveren.

Danmark oplevede et regulært solcelleboom i 2012, og udbredelsen af ét produkt har det med at skabe føljetoner af ekstraprodukter og serviceydelser, der skal hjælpe til med at forbedre oplevelsen.

Et af de produkter, som solcelleboomet har fremelsket, er rensevæsker, der skulle kunne tage snavset fra solcellepanelerne, således at solens stråler bedre trænger igennem og skaber mere energi.

Senest har Borup Kemi lanceret en spritholdig rensevæske til solcellepaner, som ifølge producenten skulle være effektiv i at opløse smuds og desuden forbedre overfladernes vandafløb, så solcellerne bliver mindre modtagelige over for snavs.

Ifølge en pressemeddelelse fra producenten viser forskning fra Boston University, at så lidt som fire gram støv og skidt per kvadratmeter panel kan nedsætte energieffektiviteten med op til hele 40 procent.

En rigtig dårlig forretning for solcelleejeren, hvis de tal holder stik.

Ifølge seniorkonsulent i solenergi ved Teknologisk Institut, Ivan Katic, er det helt korrekt, at snavs og skidt kan påvirke solcellernes ydelsesevne. Problemet er bare ikke så stort i Danmark, påpeger han. Solcellers effektivitet kan godt nedsættes med 40 procent, men det er i mere ekstreme tilfælde som solcelleanlæg, der står placeret i ørkener, hvor mængden af støv er langt større – og adgangen til rent vand er langt sværere.

»Spørgsmålet om, hvordan man egentlig bør rense solceller, har vi fået en del gange. Som udgangspunkt er solcellepaneler de fleste steder i Danmark rimelig selvrensende, da vi har så meget regn. Og normalt har tagene en hældning på mellem 25 og 50 grader, og det er nok til at holde grundrengøringen i orden,« siger han.

Hos en af landets førende forhandlere af solceller, EnergiMidt, er rådet det samme.

»Basalt set er det jo bare spritprodukter. Vores holdning i EnergiMidt er, at man bare kan lade moder natur om at klare rengøringen, og vi vil ikke anbefale, at man begynder at købe rensevæsker,« siger Rasmus Refshauge solcellespecialist i EnergiMidtjylland, og henviser til, at energivirksomheden har renset sit eget solcelleanlæg med regnvand siden 1993.

Der findes undtagelser

Ivan Katic fra Teknologisk Institut tør ikke udtale sig om, hvorvidt rensevæsken fra eksempelvis Borup Kemi virker eller ej, da der aldrig er blevet foretaget undersøgelser af virkningen. Men han er enig i, at mængderne af støv og snavs i Danmark sjældent bliver så store, at det ikke kan klares med regnvand.

Dog kan der findes undtagelser, påpeger Ivan Katic. Solceller, der er placeret på fladere tage er sværere for naturen at rengøre på grund af hældningen, ligesom miljøet, solcellerne er placeret i, kan afgøre, hvor beskidte de bliver, og hvor stort behovet er for en grundig rensning.

Ingeniøren har tidligere skrevet om solcellevirksomheder, der har forsøgt sig med at placere solceller i de danske landbrug, og har man eksempelvis solceller i nærheden af en svinestald, vil panelerne blive mere beskidte på grund af ammoniakstøv i luften.

Solceller placeret på bygninger i eksempelvis industriområder eller ved havne er i samme fare for at blive mere beskidte end på et normalt parcelhus på grund af mere forurening, og sådan kan man finde andre eksempler.

Stadig lyder anbefalingen dog, at spuling med vand bør kunne klare opgaven

Heller ikke formanden for Landsforeningen af Solcelleejere Torsten Jensen, anbefaler, at man bruger de sparede udgifter til el på renseprodukter. Selv har han ikke testet nogen af produkterne, siger han til Ingeniøren, men fra andre medlemmer af foreningen forlyder det, at der ikke kan registreres nogen forskel i solcellernes ydeevne, hvad end de renses med regn eller kemi.

Civile droner fylder i stigende grad luften i de europæiske lande, men de gør det under forskellige regler og sikkerhedskrav.

Derfor foreslår Europa-Kommissionen i dag at sætte nye, ens standarder for sikkerhed, beskyttelse af privatlivets fred, databeskyttelse, forsikring og erstatningsansvar. Det skal både sikre nødvendige beskyttelsesforanstaltninger og være med til at fremme den europæiske industris muligheder for at blive førende på verdensmarkedet for den fremspirende droneteknologi.

Siim Kallas, næstformand for Kommissionen og kommissær for transport, udtaler i en pressemeddelelse, at civile droner både kan bruges til at afdække skader på veje og jernbanebroer, overvåge naturkatastrofer og måske endda i fremtiden levere bøger fra internet-boghandlere.

»Men mange mennesker, heriblandt jeg selv, er bekymrede for sikkerheden i forbindelse med disse droner og deres betydning for privatlivets fred,« siger Siim Kallas.

Skøn indikerer, at droner om ti år kan komme til at udgøre 10 procent af luftfartsmarkedet svarende til 15 milliarder euro om året. Siim Kallas mener, at tidspunktet nu er helt rigtigt for at sætte ens standarder:

»Fjernstyrede fly er nærmest pr. definition skabt til at krydse grænser, og industrien er stadig i sin begynderfase. Vi har nu en mulighed for at opstille ét sæt fælles regler, som alle kan arbejde med, præcis som vi gør med større fly,« siger han.

De fælles regler skal omfatte:

Sikkerhedsgodkendelser. EU-standarderne vil tage udgangspunkt i, at fjernstyrede flysystemer skal leve op til samme sikkerhedsniveau som bemandede luftfartøjer. Det Europæiske Luftfartssikkerhedsagentur, Easa, skal udarbejde standarderne.

Kontrol med beskyttelse af data og privatlivets fred. Kommissionen vil sikre, at droner overholder de gældende databeskyttelsesregler og fremsætte forslag til specifikke ændringer eller vejledninger, hvor det er nødvendigt.

Kontrol med sikkerheden. Civile droner kan være genstand for potentielle ulovlige handlinger og trusler mod sikkerheden. Derfor skal der være retlige forpligtelser for alle berørte aktører såsom lufttrafikstyringssystemerne, operatørerne og telekommunikationstjenesterne, som skal håndhæves af de nationale myndigheder.

Rammer for erstatningsansvar. Kommissionen vil undersøge behovet for at ændre reglerne i den nuværende ansvarsforsikringsordning, der i dag primært gælder for bemandede luftfartøjer, så det også omfatter de særlige forhold, der gør sig gældende for fjernstyrede flysystemer.

Forskning og støtte til ny industri. Forsknings- og udviklingsindsatsen skal strømlines, så gennemløbstiden for lovende teknologier bliver holdt så kort som muligt i forbindelse med indarbejdelsen af fjernstyrede flysystemer i det europæiske luftrum. Samtidig skal SMV’er og nystartede virksomheder i sektoren kunne få erhvervsstøtte til udvikling af passende teknologier.

Denne gang kom ulven. Den sårbarhed, der har befundet sig i flere udgaver at det udbredte OpenSSL-bibliotek siden 2011 bør give anledning til, at folk over en bred kam udskifter deres kodeord. Det mener Version2-blogger med forstand på it-sikkerhed, Henrik Kramshøj fra Solido Networks.

»Internettet er gået helt bagover. Det er ret alvorligt, det må man sige,« siger han.

Da OpenSSL er særdeles udbredt og blandt andet bliver anvendt i den populære Apache-webserver, taler sandsynligheden for, at adskillige brugere verden over uforvarende har været i kontakt med en sårbar server. Det er eksempelvis kommet frem, at Yahoo og Flickr har været berørt af sårbarheden.

Det betyder i udgangspunktet også, at brugernes brugernavn og password kan være havnet i hænderne på uvedkommende.

Derfor opfordrer Henrik Kramshøj i udgangspunktet alle til at skifte kodeord. Og i øvrigt vænne sig til at bruge forskellige kodeord og udskifte dem løbende, så alle kodeord eksempelvis er udskiftet efter ét år.

»Det vil være den sikre måde at gøre det på. Der er så mange services på listerne (over sårbare services, red.). Enten skal man gennemgå listerne og finde de services man bruger, eller også skal man bare sørge for at skifte passwords jævnligt.«

Sårbarheden, der er fikset i OpenSSL 1.0.1g fra april i år, relaterer sig til OpenSSL’s implementering af heartbeat-udvidelsen til TLS/DTLS-sikkerhedsprotokollerne, oplyser Codenomicon, virksomheden bag opdagelsen, på en hjemmeside om sårbarheden. Sårbarheden har fået navnet ‘heartbleed’, et ordspil på heartbeat.

Den bevirker – i princippet – at hvem som helst kan koble op til en sårbar server og få serveren til at returnere dele af sin hukommelse. Det vil blandt andet sige serverens private nøgle, som gør det muligt for en angriber at udgive sig for at være en valid server – også kaldet et man-in-the-middle-angreb. Men det bliver værre.

Med snablen nede i serverens hukommelse er det muligt at fiske brugernavne, kodeord og andet ud af serveren. Det er også den indholdet af chats, mails, serverkonfigurations-oplysninger osv. Altså data, som netop kan have været grunden til at beskytte serveren med SSL-kryptering i første omgang. Og det er med det i baghovedet, at Henrik Kramshøj i udgangspunktet opfordrer alle til at skifte deres kodeord.

»Det svarer til at sætte post-its med brugernavn og kodeord på serveren fra alle dem, der besøger dem, som så kan samles op bagefter.«

Henrik Kramshøj har selv skrevet en guide til, hvordan server-bestyrere bør forholde omkring sårbarheden. Han gætter, at mange har opgraderet eller er i gang med at opgradere deres server-software eller beskytte den på anden vis, blandt andet fordi medieopmærksomheden på OpenSSL-sårbarheden har været ganske intens.

Men der er stadig al mulig grund til at være på vagt, selvom der er en grøn hængelås eller noget der minder om det i browser-vinduet.

»Der er helt sikker en masse mennesker, der ikke har opfattet hvor alvorligt det her er – det er drønalvoligt,« siger Henrik Kramshøj.

Det er svært at vide, præcist hvor mange servere, der har været eller er berørt af problemstillingen. Ligesom sårbarheden ifølge Codenomicon kan udnyttes ganske diskret, så det slet ikke bliver registreret på serveren.