Cybersecurity forskningsgruppe
Det Internet som vi har vuxit upp med har tidigare mestadels bestått av sammankopplade datorer och människor men blir nu mer och mer mobilt och genom Internet kommer ett stort antal maskiner och objekt kopplas ihop. Mängden data som skickas över nätet kommer explodera och Internet i sitt nuvarande fom kommer varken möjlighet att hantera dessa datamängder eller tillhandahålla den säkerhet, pålitlighet och robusthet som kommer krävas.
For et halv decennium siden påpekte vi at prosesskontrollmiljøer som olje- og gassindustrien fremstår som yndede mål for slemme mennesker. Så kom Stuxnet, og vi kunne si “hva var det vi sa“.
Do Not Track er en policy-standard foreslått for at man kan be pent om å ikke bli sporet på nett. Dette fungerer litt som å reservere seg mot telefonsalg – du kan be om å bli respektert, men det finnes ingen fysiske hindringer for at du ikke fremdeles kan bli oppringt (eller sporet). Nå er det igjen tid for å finne ut hvorvidt enda en personvernteknologi går i bøtta, eller om det faktisk blir enkelt for vanlige folk å beskytte sine surfespor på nettet. I går kom nemlig Microsoft med siste offentlige forhåndsvisning (Release Preview) av sitt nye operativsystem Windows 8, hvor nettleseren Internet Explorer 10 som første nettleser har aktivert Do Not Track som standardinnstilling. Teknologien støttes også av Firefox, men må inntil videre aktiveres manuelt.
Denne gang har vi sett på noen utvalgte Web-sider og prosjekter relatert til brukervilkår og personvern; TOSBack, Privacy Icons, Privacy Check og Privacyscore.
Neste uke holder Maria B. Line foredrag på to ulike konferanser: Dataforeningens Sikkerhet og sårbarhet, og NFAs SmartGrid-konferanse. Begge foredragene omhandler sikkerhet i Smart Grid, med vekt på utfordringer knyttet til avanserte måle- og styringssystemer (AMS).
Lørdag 14. april hadde jeg en kronikk på trykk i Adresseavisen, med tittelen “Sårbare strømmålere”. Den handler om AMS – avanserte måle- og styringssystemer, som skal rulles ut til alle landets strømkunder innen utgangen av 2016, og hvordan disse kan være et mål for hackere.
Kronikken er basert på risikovurderingen vi gjorde for NVE like før jul, og er en utdyping av artikkelen som Teknisk ukeblad skrev i februar.
Vi er vant med å begrense tilgangen til informasjon avhengig av hvem som ber om den. Tilgangskontroll er kanskje den mest selvsagte sikkerhetsmekanismen vi har. Det er utenkelig at en bedrift ikke skulle ha implementert noe som helst slags tilgangskontroll på sine tjenere og tjenester. Til og med på Facebook begynner folk å skjønne at det kan være greit å skille mellom hva venner og resten av verden skal ha tilgang til.
Men hva om en ansatt videresender konfidensiell informasjon, eller en “venn” på Facebook publiserer på nytt et bilde du har delt med ham?
Hva kan du gjøre for å kontrollere hvordan informasjonen blir brukt?
Dette var en av overskriftene som lyste mot oss på Aftenpostens nettutgave den 19. Mars. Det viser seg at flere nettsider som bruker webhotelltjenester hos Domeneshop.no har blitt hacket av en ungdomsgruppe. I følge Aftenpostens kilder kan en sårbarhet hos en av webhotellets kunder føre til at andre kunder blir rammet, og at deres informasjon blir kompromittert. Hvor ligger årsaken til dette?
Min oppfatning i saken er at problemet er todelt:
På den ene siden ser vi at det er publisert websider med alvorlige sårbarheter. Aftenposten kontaktet meg i forbindelse med denne saken og viste meg deler av et eksempel på hvordan angriperne har gått fram. Fra det konkrete eksempelet så man at websideleverandøren (kunde av webhotellet) hadde brutt med flere gode praksiser for å unngå å bli hacket:
Risikovurderingen av AMS som vi har utført for NVE, har vekket interesse i flere norske medier den siste uka. Teknisk Ukeblad slo det opp som forsidesak, og NRK Trøndelag har hatt radiointervju og laget nyhetssak på nett.
Det er scenarioet med hackere som kan mørklegger større områder som trekkes fram, det som vi har omtalt som det verst tenkelige scenarioet i rapporten.
Aftenposten hadde i forrige uke et bilag om informasjonssikkerhet – “Corporate security – Med sikkerhet på agendaen”. Bladet inneholder gode råd og anbefalinger til hvordan man bør adressere sikkerhetsutfordringene i egen virksomhet. Vi bidro under overskriften “Økt tilgjengelighet skaper sikkerhetsutfordringer”.
Teknisk Ukeblad (tu.no) og forskning.no kunne før helgen presentere et av helseinformatikkprosjektene hvor SINTEF er partner (CoOperation Support Throught Transparency). En av forskningsaktivitetene som omtales her, tar sikte på å registrere hvor både pasienter og sykehusansatte (og utstyr) befinner seg til enhver tid. Hensikten er likevel ikke å overvåke – men derimot å kunne gi den enkelte ansatte et relevant utsnitt av hva som skjer – uten at noen må taste all denne informasjonen inn på en PC manuelt. Ved hjelp av et slikt verktøy skal de ansatte forhåpentligvis kunne koordinere sin egen arbeidshverdag bedre – et system som selv kan forstå hva som skjer, og på denne måten bringe slik informasjon nærmere brukerne. Problemet er bare at slik informasjon kan være sensitiv, siden det dreier seg om helseaktiviteter tilknyttet ekte pasienter.
Jeg legger merke til at Google fra 1. mars skal fjerne over 60 personvernregler og erstatte de med et sett som er enklere å lese. Vel og bra, men om reglene er mindre vage er jeg usikker på. Her er noen utvalgte sitater fra de nye reglene:
- “Det er mulig at vi samler inn informasjon om tjenestene du bruker og hvordan du bruker dem.”
Tidligere denne uka (18. januar) opplevde vi om ikke den første, så iallefall den mest betydningsfulle streiken på Internett. Et stort antall nettsteder hvor brukere kan bidra med innhold markerte sin motstand til lovforslaget Stop Online Piracy Act (SOPA) ved å enten legge ned tjenesten eller å ha bannere på sine sider. Mange andre nettsteder markerte også sin støtte til denne streiken, og hadde for eksempel lagt opp lenker til http://sopastrike.com/. Noen eksempler på steder som deltok er Wikipedia, WordPress, Mozilla, Digital Public Library of America, Google og Wired.
Nettskyen (Cloud Computing) er realiseringen av en gammel drøm om å tilby datamaskinressurser over nettet. Nettsky-modellen reduserer oppstartskostnadene for å utvikle og rulle ut nye tjenester på internett; det er ikke nødvendig å investere i maskinvare eller binde seg til lange kontrakter med underleverandører.
Det har lenge vært snakket om tingenes internett – IP over alt, alt over IP. Dette er framtiden og store forskningsprogrammer både i norsk og europeisk sammenheng lyser ut midler for å forske mer på mulighetene nettverkstilkoblede enheter vil kunne by på. Vi begynner allerede i dag å se potensialet: I min egen stu
e har jeg en TV som er koblet rett på internett. Med den kan jeg bruke youtube, yr.no og andre tjenester uten å koble til en PC. En kollega skaffet seg internettradio for noen år siden. Med ethernet-kontakten plugget inn kan han lytte til all verdens radiokanaler. Utbredelsen av nettbrett og smartmobiler har eksplodert. Tjenestene som tilbys er mange og fantastiske.
Etter en uke i Hellas (med overraskende få opptøyer) er det på sin plass å nevne presentasjonen av artikkelen “A Cryptographic Protocol for Anonymous Communication in a Redundant Array of Independent Net-storages” på årets utgave av IEEE CloudCom i Athen.
Dette er en del av et pågående arbeid for å se om det er mulig å oppnå tilstrekkelig sikkerhet i nettskyen uten å kryptere data, men kun ved å dele dem opp og spre dem på forskjellige nettskytilbydere.
Økt bruk av IKT i kraftnettet er som kjent et av de viktigste stegene i veien mot Smart Grids. Dette innebærer nye utfordringer knyttet til informasjonssikkerhet og personvern, som må adresseres på riktig måte fra begynnelsen av. I tillegg må menneskelige faktorer knyttet til nye arbeidsprosesser og nye tankesett også adresseres. Det er mye å lære fra oljebransjen, som allerede har jobbet med integrerte operasjoner i noen år.
Dette har vi skrevet om i artikkelen Cyber Security Challenges in Smart Grids. Maria B. Line presenterte denne på konferansen IEEE PES Innovative Smart Grid Technologies 2011 Europe i Manchester denne uka.
Fagbladet Energiteknikk har i november-nummeret intervjuet forsker Maria B. Line om utfordringer knyttet til informasjonssikkerhet og AMS (avanserte måle- og styresystemer) og utviklingen av smarte nett (SmartGrids). I artikkelen nevnes oppdraget som SINTEF i høst har fått fra NVE om å utføre en overordnet risikovurdering av AMS. Dessuten pekes det på forskjellene i sikkerhetstankegangen mellom prosessverdenen, som kraftforsyningen i all hovedsak har vært en del av, og IT-verdenen, som nå kommer for fullt inn med SmartGrids-visjonen.
