Monthly Archives: July 2014

Skandaler i massevis om af læk af cpr-numre og ikke mindst Se og Hørs systematiske overvågning af kendte personer via betalingsoplysninger fra Nets, har fået Folketinget til at nedsætte to arbejdsgrupper under henholdsvis Retsudvalget og Kulturudvalget, som skal undersøge mulighederne for øget beskyttelse af personfølsomme oplysninger og bedre kontrol med dem, der ligger inde med sådanne.

Inden sommerferien har Rets-og Kulturudvalget, sendt en beretning i høring, der lister et væld af udfordringer og forslag til, hvad der på regeringsniveau kan gøres for at højne sikkerheden. For som landet ligger nu har Se og Hør-skandalen ‘afdækket en desværre alt for lemfældig sikkerhed omkring beskyttelsen af personfølsomme data,’ som det hedder i beretningen.

Fristen for høringssvar er den 29. august, og derefter har de to grupper, der er nedsat under udvalgene, frem til udgangen af 2014 til at komme med et produkt.

Hvad dette produkt måtte indeholde, kan formand for arbejdsgruppen under Retsudvalget, Karsten Lauritzen (V), ikke give noget svar på.

»De kan ende ud med nogle konkrete anbefalinger, men vi har ikke lagt os fast på formen. Forhåbentlig står vi med nogle løsninger og politiske initiativer, når året er omme,« siger han.

Læser man den beretning de to udvalg har sendt i høring, er der nok at tage fat på. Allerede nu er udvalgene blevet enige om en række initiativer. Blandt andet vil man pålægge regeringen øjeblikkeligt at indkalde til forhandlinger om at styrke datatilsynet samt lave en årlig redegørelse om datasikkerheden, der skal fremlægges til debat i Folketinget.

Derudover mener udvalgene, at regeringen skal pålægges at arbejde aktivt for at persondatabeskyttelsen højt på dagsordenen i det kommende EU-direktiv/forordning, og samarbejde med Tyskland og Frankrig der har været langt mere aktive omkring sikringen af personfølsomme data.

Skal se på alt fra logning til sikkerhedsgodkendelse af enkeltpersoner

Desuden er udvalgene som sagt blevet enige om at nedsætte de to arbejdsgrupper, som i forbindelse med åbningen af Folketinget i september skal præsentere de første resultater af deres arbejde.
Og der er nok at gå i gang med. I beretningen står der, at ‘arbejdsgrupperne har til formål at foretage en bred afdækning af beskyttelsen af borgernes personfølsomme oplysninger.’ Det betyder blandt andet, at de har givet håndslag på at se på 11 konkrete områder, hvor sikkerheden trænger, om ikke til en løft, så i det mindste en revision.

De 11 punkter omhandler blandt andet logningsreglerne og personoplysningsloven, et ekstern tilsyn med overholdelse af lovgivning – herunder behovet for at oprette nye organer, udover Datatilsynet, sikkerhedsgodkendelse af personer med adgang til personfølsomme data, samling af it- og datasikkerhed under ansvarlig ressortminister, anonymisering af Big Data, mulighed for at stille yderligere krav til offentlige og private dataansvarlige, krav om databeskyttelsesvurdering af offentlige digitaliseringsprocesser og så videre.

Det lyder som en kæmpe mundfuld. Forventer i at løse det hele, eller hvad skal der konkret komme ud af det her?

»Det er en stor mundfuld, men det er netop fordi, der har vist sig at være store huller i sikkerheden. Det her et udtryk for, at folketinget ønsker at lægge pres på regeringen på et område, hvor det sejler. Der mange af tingene, vi ikke forventer, der vil komme en løsning på. I første omgang handler det især om at identificere problemerne og få skabt en politisk interesse omkring det,« siger Karsten Lauritzen.

En ny og opgraderet version af Raspberry Pi afløser den to år gamle model B.

Siden folkene bag Raspberry Pi lancerede deres såkaldte single-board computer i kreditkortsstørrelse, har produktet været populært til skoler og undervisningsbrug samt i et stort international gør-det-selv-miljø, hvor kun fantasien har sat grænser for anvendelsen af enheden, der består af en Broadcom BCM2835 system-on-a-chip som omfatter en ARM1176JZF-S 700 MHz processor og en VideoCore IV GPU med 512 MB RAM, samt en række output-forbindelser. Det er især antallet af tilslutningsmulighederne samt en forbedring af strømforbruget er er ændret i den ny model B+.

Blandt andet har den ny version fået to flere USB-porte end den tidligere version samt flere I/O-ben.

Grundlægger af Raspberry Pi Eben Upton taler heller ikke om en relancering men om den endelige evolution af Raspberry Pi. Prisen holder stadig 35 dollar.

Se præsentationer af den her:

Høstakken er kæmpe stor og nålene små, når man taler om at finde fejl i brugergrænsefladen i Den Elektroniske Patientjournal, der er i brug i regionerne i Nordjylland, Sjælland og Hovedstaden.

Men siden opgaven med at finde fejlene gik til Michael Drejer, Martin Madsen, Jesper Christiansen og Danny Laursen fra Boas Specialister, er antallet af fejl, der kommer ud i “live-udgaven”, faldet betragteligt.

»Året før vi kom til, har jeg hørt, at man fandt rigtig mange fejl – mere end 150 – efter brugerne havde testet et område i systemet. Vi kom til og man fandt efterfølgende mindre end 10«, siger Michael Drejer, der i næsten tre år har brugt sin arbejdstid på at trykprøve alle tænkelige fejlmuligheder i journalsystemet, der er leveret af CSC Scandihealth.

Michael Drejer og hans tre kolleger har alle diagnoser, der gør det svært for dem at fungere på såkaldt normale arbejdspladser. Men de har fundet plads hos Boas Specialister, der netop har gjort det til sit særkende at uddanne og ansætte folk med diagnoser inden for autisme-spektrummet til it-opgaver.

I Michael Drejers og Martins Madsens tilfælde er det Aspergers Syndrom. For hans to kolleger Danny Laursen og Jesper Christiansen ADHD, fortæller udviklingschef i Boas Specialister, Orla Pedersen.

Det er altså ikke lige til at se det ved første øjekast. Men fælles for dem er, at de genkender mønstre, andre normalt ikke vil få øje på. De skaber så at sige hurtigt orden i kaos, og som Michael Drejer siger:

»Jeg ser på opgaven med friske øjne selv sent på dagen. Det holder ikke op.«

Teamet udarbejder løbende testcases, så de hele tiden udbygger og dækker de mest kritiske områder i systemet. De er oppe på 680 cases for alt muligt fra oprettelse af patienter til registrering af allergier.

»Det er liv og død, vi arbejder med«, siger Michael Drejer og understreger alvoren i arbejdet med at rette netop dette softwaresystem.

Testmanager Sebastian Bang-Hansen fra CSC Scandihealth er blevet rigtig glad for samarbejdet.

»Indrømmet var jeg lidt skeptisk, inden vi kom i gang. Jeg havde set noget i pressen og tænkte, at det vil jeg se fungere, før jeg tror det. Men nu har jeg arbejdet med dem i nogle år, og jeg må slå fast: De er meget, meget skarpe«, siger han.

Et banalt eksempel: En højreklikskommando, som en læge eller sygeplejerske skal bruge et eller andet sted i patientjournalen, åbner et vindue med ti valgmuligheder. Efter ændringer og flere versioner senere kommer en af testerne forbi samme funktion, og han reagerer altså med det samme, hvis der nu af en eller anden årsag kun er ni valgmuligheder. Det passer ikke længere ind i mønstret og han ser det straks, fortæller Sebastian Bang-Hansen.

Spørgsmålet kommer promte fra testerne: Hvorfor har I ændret dette punkt?

Og det er helt ned i den mindste detalje. En PDF skal åbne, og den plejer at åbne i 100% størrelse. Nu åbner den af en eller anden årsag i 102%. Testeren fra Boas reagerer med det samme, stiller spørgsmål og melder fejl.

»Det er en afgørende forskel på dem og de testere, vi benytter fra Indien. De indiske tøver ind i mellem med at stille de samme spørgsmål. Måske er det kulturelt, at de ikke synes, at de kan tillade sig det. Men det filter har teamet fra Boas altså ikke. De finder bunker af fejl og dokumenterer dem«, siger Sebastian Bang-Hansen.

Et nyt metastudie fra Newcastle University i England viser, at der er markant forskel på økologisk og ikke-økologisk frugt og grønt. Det økologiske frugt og grønt har nemlig flere antioxidanter end det ikke-økologiske, ligesom det har lavere indhold af tungmetaller og pesticider.

Forskerne har gennemgået 343 videnskabelige, fagfællebedømte artikler, hvor økologisk frugt eller grønt er blevet sammenlignet med ikke-økologiske afgrøder.

De økologiske produkter har op til 69 procent højere indhold af vigtige antioxidanter end traditionelt dyrkede grøntsager – en forskel, der betyder, at et skifte til økologisk frugt, grøntsager og morgenmadsprodukter vil give et øget tilskud af antioxidanter svarende til mellem en og to ekstra portioner grøntsager om dagen.

Samtidig har de økologiske grøntsager et lavere indhold af giftige tungmetaller. Blandt andet er indholdet af tungmetallet cadmium næsten 50 procent lavere i økologiske grøntsager. Det giftige tungmetal kan lede til alvorlige sygdomme, herunder en række forskellige kræftformer. Stoffet er derfor reguleret af EU, sammen med andre tungmetaller som bly og kviksølv.

Sidst, men ikke mindst, er det fire gange mere sandsynligt at finde pesticidrester i ikke-økologisk frugt og grønt end i de økologiske alternativer.

Forskerne bag undersøgelsen understreger, at de ikke har kigget på, hvorvidt en overgang til en økologisk kost har nogle helbredsmæssige fordele, men påpeger, at flere af antioxidanterne har været koblet til en lavere risiko for kræft og andre sygdomme.

Studiet er offentliggjort i tidsskriftet British Journal of Nutrition.

En særlig type DDoS-angreb har fået større udbredelse. Angrebstypen udnytter andres infrastruktur, og kan medføre alvorlige gener for ofrene, uden det kræver den store båndbredde fra bagmændene.

DDoS (Distributed Denial of Service) hvor eksempelvis en webserver bliver oversvømmet med så store mængder data, at serveren bukker under, har fået et R tilføjet. Det er blevet til DRDoS, Distributed Reflection Denial of Service. Det vil sige angreb, der sender data til sårbare webtjenester, hvorefter tjenesterne videresender større datamængder til ofret. Hvad værre er, kan det ske med forstærkende effekt, kaldet amplification.

Så den mængde data, en angriber sender til en sårbar webtjeneste, kan blive forstærket flere hundrede gange, når datamængden rammer ofret.

Chef for Krisestyrings- og Operations-afdelingen Thomas Kristmar fortæller, at de angreb, Center for Cybersikkerhed i løbet af det seneste års tid, generelt har observeret, generelt har været nogenlunde jævne i størrelse og hyppighed, men netop amplification-angrebene er på vej frem.

De baserer sig på UDB-tjenester og udnytter sårbare webservices til at sende store mængder data mod et offer.

»For de fleste DDoS-angrebs vedkommende er det DNS-, SNMP og NTP-baserede angreb, vi har observeret (DRDoS-angreb, red.). Og ofte ser vi, at mange ufrivilligt lægger infrastruktur til rådighed, som bliver brugt til at angribe andre.«

Forstærker trafik mere end 500 gange

Senest har der været en vækst i brugen af sårbare NTP-servere til at udføre amplification-angreb med. Ifølge US CERT, den amerikanske cybersikkerheds-varslingstjeneste, kan datamængderne fra en angriber forstærkes med over 500 gange via et NTP-baseret DRDoS-angeb.

Det var netop et NTP-baseret angreb, der for nyligt sende den store danske webhotel-leverandør One.com til tælling, som Version2 i februar i år kunne fortælle om. Virksomheden havde ellers forsøgt at sikre sig mod netop DDoS-angreb, men det var altså ikke tilstrækkeligt på daværende tidspunkt.

»Det er jo ikke vanskeligt at gennemføre. De nye teknikker gør det mere effektfuldt. Amplification indebærer jo netop, at man sender en lille forespørgsel, der giver et stort svar,« siger Thomas Kristmar.

Direktør i Solido Networks og blogger på Version2, Henrik Kramshøj, der har indsigt i DDoS-teknikker, bekræfter, at netop DRDoS-angreb er på fremmarch.

Han mener, en del af forklaringen på den relativt nye type angreb, skal findes i, at der i løbet af sidste år dukkede en stribe web-scanningsværktøjer frem, som gør det relativt nemt at finde frem til sårbare webtjenester, der kan bruges til denne type angreb.

»Det er blevet så script-kiddie-venligt (en betegnelse for værktøjer, også uøvede it-kriminelle kan anvende, red.), at man med få kommandoer og en halv time, kan begynde at finde de første systemer, og lancere et angreb – det er uheldigt, « siger han.

DRDoS-angrebene udnytter sårbarheder i eksempelvis NTP-servere. Henrik Kramshøj kan fortælle, at kunder hos Solido Networks, der har haft disse sårbare services, stort set også har fået dem udnyttet til DRDoS-angreb med det samme.

Steg i februar med 371 pct.

Ifølge virksomheden Prolexic, der beskæftiger sig med DDoS-bekæmpelse, så er antallet af NTP-relaterede DRDoS-angreb i løbet af februar måned i år steget med 371 pct. blandt virksomhedens kunder. Polexic kæder i en pressemeddelelse stigningen sammen med fremkomsten af værktøjer, der gør det relativt let at udnytte svagheder i NTP-servere.

Thomas Kristmar understreger, at det er særdeles vigtigt at scanne sin egen infrastruktur for disse sårbare services, så de kan blive patchede.

»Der er en stor mængde af sårbar infrastruktur på nettet, der er lette at udnytte. Og der er myndigheder og virksomheder, der bør checke deres egen infrastruktur for at sikre, at man ikke ufrivilligt stiller angrebsinfrastruktur til rådighed. Center for Cybersikkerhed har udgivet en række vejledninger om hvordan man beskytter sig mod DDoS-angreb og identificerer egen sårbar infrastruktur. Vejledningerne findes på cfcs.dk.« siger han.

FAKTA om DRDoS

Distributed Reflection Denial of Service (DRDoS) fungerer ved, at en angriber sender en data til en sårbar service, hvorefter services sender mange gange datamængderne videre til en tredjepart, offeret for angrebet. Senest har den type angreb udnyttet en svaghed i servere til tidsstyring på nettet, NTP.

Det foregår konkret ved, at en angriber sender en forespørgsel, get monlist, til en sårbar NTP-server. Serveren svarer tilbage med de op til 600 seneste ip-adresser, der har besøgt serveren. Da kommunikationen foregår via UDP-protokollen, som er stateless, bliver kilde-ip-adressen i udgangspunktet ikke kontrolleret. Det kan derfor lade sig gøre for en angriber at angive ip-adressen på ofret, som den, der skal svares tilbage til, hvorefter målet for angrebet får data retur for NTP-serveren. Ifølge den amerikanske varslingstjeneste for cybertrusler, US Cert, kan NTP-serveren på den måde forstærke DDoS-angrebet, altså den datamængde, der bliver sendt fra angriberens computer eller computere med op til 556.9 gange.

NTP-baserede DRDoS-angreb er blot en blandt flere af den type angreb, der udnytter UDP-baserede services. Blandt andre nævner US Cert DNS, SNMPv2, NetBIOS, SSDP, CharGEN, QOTD, BitTorrent, Kad, Quake Network Protocol og Steam Protocol.

Men sårbare NTP-servere er langt de mest effektive, set fra en angribes synspunkt, når det gælder om at forstærke trafikken. Mens NTP altså kan forstærke op til 556.9 gange, så forstærker den næstkraftigste service, DNS, med mellem 28 og 54 gange.

Løsningen på problemet er enten at få opdateret sårbar NTP-software, til mindst version 4.2.7 – hvor monlist-kommandoen ikke er aktiv som standard. Og alternativt at slå monlist fra i tidligere versioner.

Kilde: US Cert

Denne artikel har været bragt i Version2 download-magasin Version2 Insight om DDOS angreb. Find dette og flere Insights og whitepapers her

De svineproducenter, der er blevet registreret for at have MRSA-smittede svin, kan godt holde vejret lidt endnu. Fødevarestyrelsen har nemlig valgt at udsætte offentliggørelsen af den liste, der ellers skulle give det fulde overblik over, hvem og hvor smitten med bakterien er registreret hos.

Det skriver Landbrugsavisen.dk, der refererer til et brev sendt fra Fødevarestyrelsen til erhvervsorganisationen Landbrug & Fødevarer.

Beslutningen om at vente med at offentliggøre listen kommer efter, at netop Landbrug & Fødevarer stævnede staten på vegne af de landmænd, der vil figurere på listen.

Organisationen er blandt andet bekymret på sine medlemmers vegne, da eksempelvis landmænd, der har været del af stikprøvekontroller for MRSA, også vil blive sat på listen, dog uden at være ramt af bakterien. Samtidig er de involverede landmænd bekymrede for de sociale og økonomiske følger der er ved at få sit navn offentliggjort på sådan en liste.

Derfor må sagen nu for domstolene, før Fødevarestyrelsen vil offentliggøre den omtalte liste.

I starten af juni var det ellers, at Folketingets Ombudsmand slog fast, at Fødevarestyrelsen burde have givet aktindsigt til journalister, der ønskede et indblik i, hvilke besætninger der var smittet med MRSA.

Derfor afgjorde ombudsmanden også, at miljøhensyn vejer tungere end landmændenes privatliv – en afgørelse som Landbrug & Fødevarer ikke er enige i. Nu har de vundet lidt tid for landmændende.

»Det betyder, at så er svineproducenterne foreløbigt ikke udsat for den urimelige mistænkeliggørelse, som en offentliggørelse ville være,« siger formand for Landbrug & Fødevarer, Martin Merrild, til landbrugsavisen.dk om Fødevarestyrelsens beslutning om at vente med offentliggørelse af listen over landmænd og svinebesætninger.