Monthly Archives: June 2014

Hjertestop sker sjældent uden grund, men er ofte enden på en levevis fyldt med en lang række forvarsler, som forskerne nu har kortlagt grundigt. F.eks kan smerter i storetåen være tegn på podagra, også kendt som urinsur gigt, og det er ofte et varsel om hjerteproblemer, i stil med hjerteflimmer og brystkramper.

Podagra er blot et af mange forvarslerne på de hovedfærdselsårer, der ender med livskritiske sygdomme. Et andet eksempel er psoriasis eller sklerose, der ofte er et forvarsel om rygerlunger.

Forvarslerne er ny viden, som forskere fra Danmarks Tekniske Universitet (DTU) og Københavns Universitet (KU) har fundet under kortlægningen af 1171 hovedfærdselsårer til alt fra diabetes til rygerlunger og kræft.

»Vi kan se klare sammenhænge, der ikke tidligere er belyst. F.eks. er en sygdom som podagra stærkt forbundet med hjerte-kar-sygdomme, når vi ser på den store mængde data, og de sygdomsnetværk som viser sig. Det er en overraskende sammenhæng, som forskere ikke tidligere har været opmærksom på. Jo hurtigere vi spotter et uhensigtsmæssigt mønster, jo bedre kan vi forebygge og behandle kritiske sygdomme. I fremtiden vil vi kunne forudsige mange sygdomme med en enkel test,« siger Søren Brunak, som er professor på Danmarks Tekniske Universitet og The Novo Nordisk Foundation Center for Protein Research, Københavns Universitet.

Big Data: 65 millioner møder med sundhedsvæsnet

Kortlægningen af danskernes sygdomsmønstre er baseret på enorme datamængder. I 15 år har forskerne indhentet data fra seks millioner danskere via patient- og sygdomsregistre. Data omfatter 65 millioner møder med sundhedsvæsnet, herunder 16 millioner hospitalsbesøg og 14 millioner besøg på skadestuen, fremgår det af forskningen, der er fremlagt i Nature Communications.

Koblingen af data med Danmarks enstrengede sundhedsvæsen og CPR-nummer for hver patient har gjort dataindsamlingen unik på verdensplan. I f.eks USA ville et lignende studie være besværligt, fordi deres pendant til CPR-nummeret skifter, hvis man f.eks flytter fra en stat til en anden. Ifølge Søren Brunak er det også unikt, at vi i Danmark stoler på statens varetagelse af sundhedsdata, især i en tid, hvor datasikkerhed er et stærkt diskuteret emne.

Fremtiden er gen-data på sygesikringskortet

Kortlægningen af mønstrene i danskernes sygehistorie er blot et første skridt på en vej, hvor forskerne ser frem mod en individuel vejledning og behandling af patienter med data om ikke kun deres sygehistorie, men også deres gener. For forskerne er gensekventering en del af dagligdagen, og professor Lars Juhl Jensen fra KU ser for sig, at patienter om ganske få år får kortlagt sin genetiske profil eller det samlede netværk af forbundne proteiner i kroppen, også kaldet ens proteom.

»Så kan du pludselig få ting at vide om dig selv, der kan bruges til at fortælle om et helt livs sygdomsforløb. Jeg tror på en lys fremtid, fordi vi på sigt kan forbedre livskvaliteten og forlænge levetiden – men også spare mange penge som samfund – hvis vi giver folk en behandling, der er mere effektiv og målrettet,« siger Lars Juhl Jensen.

Netop den målrettede behandling, der er skræddersyet til den enkelte, er et af de hotteste samtaleemner i øjeblikket inden for biotek og medicinudvikling. Brug af Next Generation Sekventeringsmaskiner (NGS) til at matche medicin til bestemte genetiske profiler bliver spået store fremtidsmuligheder af analytikere verden over.

Inden længe vil den første industrirobot blive taget i brug på genoptræningscentret i Ringe. Det er en standardrobot fra Universel Robots, og den skal erstatte kostbart specialfremstillet genoptræningsudstyr, fortæller lektor Anders Stengaard Sørensen fra Mærsk Mc-Kenny Møller Instituttet på Syddansk Universitet:

»Det er for længst blevet vist, at genoptræning med robotter er en god idé. Men robotterne er ofte meget dyre, og derfor er der risiko for, at ikke alle patienter får glæde af dem. Ved at bruge standardrobotter fra industrien kan vi reducere prisen og mindske det økonomiske pres på sundhedssystemet,« siger han.

Anders Steengaard Sørensen sammenligner med handicapbiler, som også ville være ekstrem dyre, hvis det ikke var fordi at det ombyggede standardbiler.

Ud over specielfremstillede robotter foregår genoptræning også i vandbassinet og med exoskeletter.

Forskerne fra SDU har ikke kendskab til, at industrirobotter tidligere er blevet brugt til genoptræning.

Robotterne vil også kunne erstatte traditionelle træningsredskaber, som de kendes fra fitness-centre:

»En almindelig træningsmaskine kræver, at patienten har kræfter til som minimum at løfte armens vægt. Men en robot er nem at programmere og kan indstilles til at hjælpe med at løfte,« forklarer Anders Stengaard Sørensen.

Det er nærmest umuligt at gennemskue, hvad logningsbekendtgørelsen betyder i praksis, hvis man driver et åbent wifi-netværk – selv 6 år og 9 måneder efter, at reglerne trådte i kraft.

Sådan må konklusionen lyde, efter Version2 i en uges tid nu har forsøgt at finde ud af, hvordan reglerne er, oven på historien om Folkemødet på Bornholm, hvor it-chef Claus Munk fra Bornholms Regionskommune forsøgte at gøre alting helt korrekt ved at spørge flere myndigheder til råds.

Version2 har undervejs kontaktet blandt andet Rigspolitiet, Justitsministeriet og Erhvervsstyrelsen, som også var de myndigheder, Claus Munk havde spurgt. I første omgang var Rigspolitiet en blindgyde, fordi den person, Claus Munk havde talt med, var bortrejst hele ugen, og politiets presseafdelingen ikke kunne finde en anden.

Senere blev henvendelsen til Justitsministeriet dog sendt videre ad andre og mere officielle kanaler til en hos Rigspolitiet, som kunne komme med en melding. Og konklusionen var, at det var en misforståelse, da deltagerne på Folkemødet på Bornholm blev bedt om at logge på det trådløse internet med enten NemID eller ved at opgive telefonnummer.

De danske logningsregler kræver nemlig kun, at en kommerciel udbyder af et wifi-hotspot logger de informationer om brugerne, som i forvejen bliver skabt i systemet eller som bliver gemt af udbyderen af egen drift, for eksempel for at kræve betaling for brugen.

Meldingen skete med udgangspunkt i et notat fra Justitsministeriet fra 2011 – som Jesper Lund fra IT-Politisk Forening havde henvist til – hvor den svært tilgængelige lovtekst blev konkretiseret netop i forhold til gratis wifi-netværk.

»Hvis vi havde fået en formel henvendelse om den konkrete situation fra Folkemødet på Bornholm, havde vi på det foreliggende grundlag svaret, at der ikke var pligt til at logge brugeridentiteten i deres tilfælde, idet vi ville have vurderet, at Bornholms Regionskommune var en udbyder på ikke-kommercielt grundlag, der stillede et ikke-kommercielt hotspot til rådighed. Af notatet fremgår det ret klart, at der ikke stilles krav til logning af identiteten på brugerne i disse tilfælde,« sagde Kate Jacquerot, politiassessor hos Rigspolitiet, Nationalt Cybercrime Center, til Version2.

Meldingen fra Rigspolitiet kan dog kun bruges om lige præcist Folkemødet på Bornholm og ikke alle mulige andre, som også tilbyder kunder eller gæster gratis adgang til internet via wifi.

»Det er ikke en helt enkel vurdering. Så man kan ikke bruge den konkrete vurdering for Folkemødet på Bornholm til ret mange andre situationer,« siger Kate Jaquerot til Version2.

Meldingen om, at Folkemødet ikke er en kommerciel udbyder, strider dog imod hvad Erhvervsstyrelsen har oplyst til Folkemødet og til Version2. Og det er afgørende i denne situation, om Folkemødet var en ikke-kommerciel eller kommerciel udbyder.

Ifølge reglerne er det nemlig kun teleudbydere med ’kommercielt formål’, som er underlagt logningsbekendtgørelsen, men også gratis wifi kan være kommercielt. Definitionen omfatter nemlig også for eksempel en café, der stiller gratis wifi til rådighed for gæsterne, i håb om at få flere kunder. Det fortalte Jakob Levring fra Erhvervsstyrelsen, da Version2 fik fat i ham. Umiddelbart ville han også putte Roskilde Festival i samme kategori, samt altså Folkemødet, som citerede ham i en pressemeddelelse for den vurdering.

Læs også Erhvervsstyrelsens vejledning

Når Folkemødet i Rigspolitiets øjne ikke var en kommerciel udbyder, står spørgsmålet tilbage, hvad for eksempel en café med åbent wifi helt præcist skal logge, for ikke at overtræde reglerne. Det spørgsmål kan Version2 dog ikke få svar på hos Rigspolitiet i første omgang. Det kræver et nyt – skriftligt – spørgsmål, som skal sendes til Justitsministeriet, som så kan sende til Rigspolitiet, som så sendte et skriftligt svar med henvisning til loven: At man skal overholde § 5, stk. 2 og 3 i logningsbekendtgørelsen.

Endnu en henvendelse, med ønske om konkretisering, er nu under behandling hos Rigspolitiet.

Caféer køber logning fra teleselskaberne

Hos IT-Politisk Forening er næstformand Jesper Lund dog klar i mælet, efter at have fulgt diskussioner og officielle udmeldinger om reglerne tæt i mange år. Man skal som kommerciel udbyder logge MAC-adressen på udstyret og gemme det i et år, hvis man ikke i forvejen beder brugerne om yderligere information, for eksempel for at kunne opkræve betaling fra dem.

De krav har brancheforeningen Horesta også brugt meget tid på at undersøge og fortælle medlemmerne om, fortæller Horestas formand Jens Zimmer Christensen til Version2.

»Man skal kunne identificere dem, der logger sig ind, med en MAC-adresse eller en IP-adresse – eller have dem til at identificere sig. Og jeg kan i sagens natur ikke svare på, i hvilket omfang det bliver overholdt. Det må være myndighedernes opgave at holde øje med det,« siger han.

I praksis er den realistiske løsning for de fleste caféer, restauranter og andre i branchen – bortset fra hoteller, hvor der gælder særlige krav – at købe en færdig løsning fra en internetudbyder. Det koster ekstra, men så bliver hele opgaven med logningen også flyttet væk fra café-ejeren, der normalt ikke har forudsætninger for at sikre korrekt logning og opbevaring af den slags data.

»Man tegner en aftale med en internetudbyder om, at de logger det, som loven kræver, og får dem til at skrive under på det. Det er dog stadig caféen eller restauranten, som har det juridiske ansvar,« forklarer Jens Zimmer Christensen.

Manden, der uforvarende blev centrum for de mange fortolkninger af reglerne, it-chef Claus Munk fra Bornholm Regionskommune, er i dag bare endnu mere forvirret end før, fortæller han Version2, da han får resultatet af jagten på en forklaring.

»Det gør det jo simpelthen umuligt for sådan en som mig at finde ud af, hvad jeg skal. Jeg er mere forvirret nu, end da jeg begyndte,« siger han.

Han håber på, at de ansvarlige myndigheder kan tale sammen og blive enige om, hvordan reglerne skal fortolkes. Og så forfatte en vejledning, der er til at forstå for ikke-jurister.

»Der skal være noget på skrift, som ikke kan misforstås. Det er jo ganske få parametre, der kan vægte ja eller nej, og teknikken er vel den samme for alle, i forhold til hvad man kan logge. Så jeg forstår ikke, at det skal være så komplekst,« siger han.

Efter én uges jagt på klar besked om reglerne, er der altså stadig tvivl om, hvordan gratis wifi på et Folkemøde, arrangeret af en kommune, placerer sig juridisk i logningsreglerne. Og det har vist sig ret kompliceret at få bare generelle svar fra Justitsministeriet eller Rigspolitiet om fortolkningen og den praktiske udmøntning af reglerne i andre tilfælde. Version2 fortsætter med opklaringen af reglerne. Det må være på høje tid, når nu de har været gældende lov siden 2007.

Lars Rossens karriere har bragt ham vidt omkring både fagligt og geografisk. I dag er den 50-årige civilingeniør, ph.d. og MBA rykket op som CTO i HPs X-portfolio & Foundation Service Group. Han er dermed den højest placerede dansker i virksomheden, som har 300.000 medarbejdere. Selv er han chef for 23 it-arkitekter, der lægger den overordnede strategi og it-arkitektur for de 4.000 udviklere i R&D-afdelingen.

Lars Rossen indledte sin karriere med en kort visit som forsker på DTU, blev kodenørd i Netman og siden firmaets sælger i Asien. Herefter nåede han både at være CEO og CTO, inden firmaet blev opkøbt af HP i 2004.

Giv din karriere en chance. Se de seneste muligheder på Jobfinder.

Med afsæt i sine ene erfaringer giver han her syv bud på, hvordan man skaber sig en international topkarriere:

Kom ud af komfortzonen

Det karakteriserer min karriere, at jeg aldrig er gået den slagne vej. Jeg blev ansat til at udvikle og kode løsninger, men slog til, da der var en mulighed for at lave teknisk salg i Asien. Alle mine daværende kolleger sagde, at ’nu går du over på den mørke side’. Men jeg vendte tilbage fra ’den mørke side’ og blev teknisk chef, fordi jeg nu forstod kundernes behov samtidig med, at jeg kunne gå i dialog om det tekniske. Og så lærte jeg at begå mig i en anden kultur.

Hertil kommer, at man mindsker risikoen for at male sig selv op i en krog, når man kommer ud af sin komfortzone, fordi man får flere forskelligartede kompetencer.

Tag chancer

Vi er lidt tryghedsnarkomaner i Danmark, men satser man på en international lederkarriere, skal man være villig til at tage chancer, der ikke ligger lige for. Et par år efter, at min arbejdsplads blev overtaget af HP, valgte jeg at tage imod et job på HP’s hovedkontor i USA. Det betød, at jeg måtte droppe min danske ansættelseskontrakt med alle de fordele, der er, i forhold til opsigelse, ferie osv. til fordel for en amerikansk ansættelseskontrakt, hvor man kan blive opsagt efter 14 dage og ikke har noget socialt sikkerhedsnet.

Tænk langsigtet – planlæg kortsigtet

Det er vigtigt at tænke langsigtet, når det gælder opbygning af viden. Man skal stå på et massivt fagligt fundament. For eksempel går det, jeg har lært i teoretisk computer science, ikke af mode. Selv om man siger, at udviklingen inden for it går meget hurtigt, har mange af de basale ting eksisteret i mange årtier. De får blot nye navne og bliver sat sammen på andre måder. Sørg derfor for at få generelle færdigheder, som også er gangbare om 25 år. Som 50-årig sørger jeg for fortsat at udvikle mig.

Til gengæld kan man ikke lægge en langsigtet plan for karrieren. Dertil er verden alt for dynamisk – og man skal være klar til at gribe de chancer, der byder sig.

Opbyg netværk

Det er helt nødvendigt at kende folk og skabe relationer, hvis man vil udrette noget både arbejdsmæssigt og karrieremæssigt.

Dybt inde i kernen af mig selv er jeg en teknologinørd. Derfor falder det mig ikke naturligt at gribe telefonen og tale med andre, men jeg ved, at det er vigtigt. På samme måde er jeg bevidst om at deltage i konferencer for at møde folk. Og den enkelte konference giver ingen effekt, det er det lange træk.

Kombiner teknologi og ledelse

Jeg har suppleret mit civilingeniørstudium med både en ph.d. i computer science og en MBA (Master of management in Technology fra DTU). Det betyder, at jeg forstår både den teknologiske og den forretningsmæssige del af virksomheden og kan bevæge mig hjemmevant begge steder.

Lær af spejderbevægelsen

Som ung var jeg aktiv spejder og havde nogle lederroller. Alt i spejderbevægelsen bygger på frivilligt arbejde, og hvis folk ikke synes, det er skægt, kan man ikke lede en spejderpatrulje. Jeg fik det derfor tidligt ind under huden, at der kun sker noget, hvis jeg kan få andre til at blive entusiastiske omkring en sag.

Det har nok været medvirkende til min succes som teknologileder, fordi jeg bestræber mig på, at folk selv ønsker at gøre det, jeg gerne vil have dem til.

Vær flittig

Sidst men ikke mindst skal man være klar over, at man ikke får en international toppost med en 37 timers arbejdsuge. Man skal være villig til at bruge ekstra tid, at rejse meget, videreuddanne sig og arbejde aftener og weekender.

Omkring 40.000 brugere i Irak downloadede Firechat i sidste uge, mod 6.600 over de seneste par måneder, skriver firmaet bag app’en, Open Garden, ifølge BBC News.

Grunden er, at de irakiske myndigheder lukker eller begrænser internetadgangen, og at man via Firechat fortsat kan benytte telefonerne til at kommunikere med.

Firechat giver nemlig brugerne lov til at tage del i gruppechats med mellem to og 10.000 personer, uden at gøre brug af en internetforbindelse.

Meddelelse hopper fra telefon til telefon

Ved brug af teknologi kendt som »mesh networking«, kan meddelelser sendes til personer i umiddelbar nærhed, så længe de også har app’en installeret. Men samtalerne er ikke private, og kan ses af alle i området.

Softwaren er tilgængelig til både Android og iOs, og kan række op til 70 meter. Men hvis nok personer bruger app’en, kan meddelelser rejse over større afstande, ved simpelthen at hoppe fra enhed til enhed, som en slags kæde.

App’en har tidligere i år været flittigt brugt i Taiwan, da protesterende studenter, som ville besætte parlamentet, blev truet med internetrestriktioner og begrænset mobildækning.

Internettet har været blokeret i nogle irakiske provincer, da autoriteterne forsøger at forhindre militante i at kommunikere.

Adgangen til sociale medie-sider er også blevet stærkt begrænset.

Det privatejede rumfartsfirma Space Exploration Technologies (SpaceX) har været plaget af en bølge af tekniske problemer. Det har tvunget SpaceX til at udskyde opsendelsen af en Falcon 9-raket til begyndelsen af juli. Det skriver Reuters

Det privatejede firma har siden fredag forsøgt at opsende raketten fra Cape Canaveral Air Force-basen i Florida. Raketten medbringer seks kommunikationssatellitter for firmaet Orbcomm.

SpaceX forsøgte tirsdag for fjerde gang uden held at opsende raketten.

Stoppet før nedtælling

»SpaceX ser nærmere på et potentielt problem, som blev identificeret under udførelsen af gennemgangen af fartøjet for nedtællingen,« skriver firmaet i et meddelelse.

Når man også tager højde for planlagte vedligeholdelser for testområdet, som bruges til opsendelser fra Cape Canaveral-basen kan SpaceX tidligst komme op at flyve i den første uge i juli.

»Vi vil sammen med test-området finde frem til, hvornår vi har de næste opsendelsesmuligheder,« skriver firmaet, som er ejet af Elon Musk – manden bag en række selskaber, blandt andet bilfirmaet Tesla.

Tiende opsendelse

SpaceX har været sparsom med de tekniske detaljer. Første opsendelsesforsøg fredag blev afbrudt på grund af et potentielt problem med det øverste trin. Det problem var tilsyneladende løst, da SpaceX lørdag aflyste et opsendelsesforsøg på grund af dårligt vejr.

SpaceX udskød forsøget til søndag, men løb ind i et andet teknisk problem.

De seks små kommunikationssatelitter skal i kredsløb omkring 800 kilometer over jorden. SpaceX har fløjet Falcon 9-raket ni gange i alt – alle gange med succes.

Det mislykkede geotermi-projekt i Kvols ved Viborg bliver dyrt for fjernvarmekunderne i Viborg. Varmeforbrugerne sidder, efter at Energitilsynet har vurderet sagen, tilbage med størstedelen af regningen, for det fejlslagne projekt. Det skriver Energitilsynet selv.

Den 27. januar 2012 startede borearbejdet i Kvols, som var planlagt til at tage bare 35 dage. Men fire en halv måned og 130 millioner kroner senere blev borearbejdet i det, der skulle have været Europas største geotermi-anlæg, indstillet.

Under boringen løb firmaet bag, Ross Engineering, ind i en række problemer, hvor blandt andet to borehovedet forsvandt nede i det knapt 3000 meter dybe borehul.

Mange problemer

Skiferlagene over de vandførende lag opførte sig meget anderledes, end firmaet havde antaget. Lagene var ustabile og faldt sammen, hvilket gav et alt for stort hul, der var svært at arbejde med

Problemerne kunne muligvis være kommet i forkøbet, hvis man havde taget sig tid til at kigge på et tidligere geotermiprojekt i området, lød udtalelserne umiddelbart efter projektet blev sat i stå i sommeren 2012.

Men selvom der blev begået fejl undervejs, og byrådet senere overtog styringen af anlægget, så ender regningen alligevel hos forbrugerne. Og det bliver en dyr fornøjelse, som brugerne kommer til at betale af på i mange år.

Regningen for det samlede projekt endte på 165 millioner kroner. Energitilsynet har godkendt, at fjernvarmekunderne skal betale cirka 140 millioner kroner.. Det nøjagtige beløb bliver i nærmeste fremtid udregnet efter Energitilsynets fastlagte principper på området.

»Betydelige risici«

»Et forsigtigt skøn peger på, at varmeregningen for en forbruger i et parcelhus vil stige med op til 850 kr. om året, hvis udgifterne til geotermi-projektet bliver indregnet i varmepriserne over 16 til 20 år,« skriver Energitilsynet i sin pressemeddelelse.

»Geotermi-projektet i Viborg viser med tydelighed, at fjernvarmebestyrelser og daglige ledelser skal holde stram snor i omkostninger og projektstyring, når de begiver sig i kast med store og dyre investeringer som geotermi. Vi opfordrer til, at ledelserne gør det klart for både sig selv og for forbrugerne, at der er betydelige risici forbundet med investeringer af denne type,« siger tilsynets formand, Uffe Bundgaard-Jørgensen.

Projektet blev lukket, uden at det blev konstateret, om der var geotermisk varme i undergrunden eller ej. Det var Viborg Fjernvarme, der oprindeligt startede geotermi-projektet.

Flere arbejdspladser og mindre CO2-udslip. Det er formålene med en ny klimafond på op til fem milliarder kroner, som ifølge Politiken bliver vedtaget i Folketinget onsdag i et forlig mellem Enhedslisten, SF og regeringen.

Den grønne klimafond giver private og offentlige selskaber og institutioner mulighed for at optage billige lån til grønne investeringsprojekter.

Politiken skriver, at flere virksomheder i dag har svært ved at få lån til energirenoveringer, fordi det er risikofyldte lån for bankerne, hvilket det nye initiativ skal afhjælpe.

Pensionskassers penge

Fonden skal udlåne penge til grønne investeringer i blandt andet produktionsanlæg, opvarmning og belysning. I første omgang bliver fonden på to milliarder kroner i årene 2014 til 2016, hvoraf staten bidrager med 80 millioner.

Derudover kommer pengene fra eksempelvis pensionskasser, som på grund af en statsgaranti forventes at kunne tilbyde lavere renter end bankerneog give lån med en længere løbetid.

Ifølge Enhedslistens politiske ordfører, Johanne Schmidt-Nielsen, kan fonden udvides til de fem milliarder kroner. Det vil kræve, at staten indskyder yderligere 120 millioner kr.

7000 nye jobs

Fonden kan ifølge professor ved Aarhus Universitet, Bo Sandemann Rasmussen, ses som en afsløser for bolig-job-ordningen, som regeringen har valgt at droppe fra årsskiftet.

»Det kan være en god idé, fordi de private aktører holder på den risikovillige kapital, men det er mere et politisk end et økonomisk valg,« siger han til Politiken.

Ifølge Dansk Metal »rammer aftalen lige i øjet«, og den kan skabe op mod 7.000 arbejdspladser inden for industri- og byggebranchen.

I dag byder vi en ny blogger velkommen hos Version2.

Kim Tiedemann er udviklingschef hos Schultz, som skaber it-løsninger for det offentlige. Han har arbejdet med agil udvikling de seneste fem år, og teknologi er hans store passion. I sin fritid koder han på en Windows 8-app. Hvis du læste blogindlæggene fra NDC-konferencen i Oslo, har du allerede læst noget af det, Kim har skrevet.

I sit første blogindlæg beskriver Kim, hvordan han på en aften hackede to offentlige sites for at se, hvor svært det ville være for rigtige hackere:

‘Efter login kommer man tilbage til sitet, denne gang på https og oppe i hjørnet på sitet kan jeg se, at jeg er logget ind. Men hvad hvis jeg ændrer protokol i adresselinjen tilbage til http? Her burde jeg ikke længere være logget ind. Desværre har det her site et sikkerhedsproblem og jeg er stadig logget ind på sitet. Det kan kun ske på en måde: Sitets authentication cookie sendes med henover den usikre http forbindelse, hvilket betyder at cookien ikke er secure.

Her kan man tænke: Det er jo en aktiv handling fra brugerens side at skifte protokol. Problemet er bare at det kan ske ved at brugeren tidligere har bookmarket et usikkert link eller at jeg som hacker sender en mail med et usikkert link.’

Læs hele Kims blogindlæg her.

Det kræver ikke den store indsats at finde sikkerhedshuller – også på store offentlige sites, desværre. Jeg besluttede mig for at kigge nogle større sites igennem for sikkerhedshuller og de to første jeg tog fat i, havde sikkerhedshuller som kunne udnyttes af hackere. Jeg er ikke hacker, så jeg besluttede mig for at kontakte personer hos de to sites og lade dem fikse det. Derfor vil jeg også beskrive sikkerhedshullerne mere generelt uden at afsløre hvilke sites der er tale om.

Http/https mixed mode problemer

Det første site jeg kastede mig over fungerer både på http og https. Deres tanke er (tror jeg) at når man ikke er logget ind, så browser man på http sitet, mens i det øjeblik man er logget på, så skiftes til https. Et sådant site er oplagt at undersøge, for her er der flere muligheder for en angriber.

Så jeg starter med at logge ind og se om login formular hentes over en sikker forbindelse (https). En login formular skal altid loades over https og det er vigtigt at hele siden loades over https. Hvis siden loades over http, så kan en Man-In-The-Middle ændre i serverens response og dermed ændre hvor formularens indhold sendes hen eller injecte JavaScript på login siden, der sender brugernavn og adgangskode til en anden server.

I det her tilfælde loades login formularen over https og det er ikke muligt at angribe.

Efter login kommer man tilbage til sitet, denne gang på https og oppe i hjørnet på sitet kan jeg se, at jeg er logget ind. Men hvad hvis jeg ændrer protokol i adresselinjen tilbage til http? Her burde jeg ikke længere være logget ind. Desværre har det her site et sikkerhedsproblem og jeg er stadig logget ind på sitet. Det kan kun ske på en måde: Sitets authentication cookie sendes med henover den usikre http forbindelse, hvilket betyder at cookien ikke er Secure.

Her kan man tænke: Det er jo en aktiv handling fra brugerens side at skifte protokol. Problemet er bare at det kan ske ved at brugeren tidligere har bookmarket et usikkert link eller at jeg som hacker sender en mail med et usikkert link. Hvis brugeren allerede er logget ind (fx på en anden tab i browseren) så vil cookien blive lækket over http og dermed kan hackeren få fat i authentication cookie og bruge den over mod sitet og derfor være logget ind som brugeren.

På dette site var det dog ikke svært at få brugeren tilbage på http efter login. Flere links på sitet (specielt forsiden) pegede eksplicit på http:// og dermed ville brugeren ved at bruge sitet ganske naturligt hoppe tilbage til en usikker forbindelse.

Løsningen benytter hvad man må formode er sessionscookien (JSESSIONID er et typisk navn på en Java applikationsservers sessionscookie) som authentication cookie og det er formentligt årsagen til, at den ikke er secure. Den kan ikke være Secure, når nu sitet kører på både http og https. Sessions- og authentication cookie bør ikke være den samme cookie i det her tilfælde.

Heldigvis er cookien Http only og dermed ikke tilgængelig fra JavaScript. Dette er en rigtig god ting, da sitet jo også kunne være sårbart overfor Cross site scripting (XSS).

Hvordan kommer manden i midten?

Der findes devices som fx Pineapple Wifi, som kan udgive sig for at være et vilkårligt access point og dermed få uvidende ofre til at forbinde deres computer eller mobile devices til access pointet.

Pineapple Wifi benytter sig af at wifi protokollen sender prober ud der spørger efter Access points, som allerede er kendt. Så har du engang forbundet til et hotels åbne wifi, så vil din computer fremover spørge om dette access point er tilgængeligt derude. Pineapple Wifi kigger på disse prober og ændrer SSID til at matche med forespørgslen. Herefter kan hackeren se alle netværkspakker der sendes mellem din computer og netværket. Det eneste der nu skal gøres er, at tage authentication cookie indholdet, vedhæfte den i requests over mod sitet og dermed være logget ind som den uvidende bruger.

Hvordan kan man sikre sig?

Det bedste råd er at benytte https konsekvent i stedet for at skifte. Dette gør sig specielt gældende hvis sitet primært er henvendt autoriserede brugere.

Et andet råd er at authentication cookien skal være secure og også http only. Det sikrer at den aldrig sendes over en usikker forbindelse samt at den ikke kan tilgås fra JavaScript.

Et tredje råd er at benytte Http Strict Transport Security response headeren fra serveren. Det gør at browseren herefter sikrer, at sitet kun hentes igennem en sikker forbindelse fremover (indtil tidsfristen sat i headeren udløber). Dette er dog ikke understøttet i alle browsere endnu, men det sikrer i hvertfald Chrome og Firefox brugere.

Det andet offentlige site er sårbar overfor et Cross site scripting angreb – dette indlæg må dog vente et par dage…