Cybersecurity forskningsgruppe
Vi arbeider med sikkerhetsløsninger for en ny tjeneste-orientert hverdag i europeisk luftrom, blant annet i form av verktøystøtte for krav/design, utvikling og kjøring av webtjenester.
Det er sikkerhetsmåned, men vi nøyer oss altså ikke bare med aktiviteter i Norge (og heller ikke bare i oktober, for den saks skyld). Fredag 25. oktober blir det mulighet til å delta på workshop i Roma, hvor vi lar deg få prøve og evaluere hva vi og våre forskningspartnere har utviklet i prosjektet Aniketos.
Nå er kanskje ikke sikkerhet den merkelappen som folk flest liker å sette på Windows. Det er likevel over 11 år siden Bill Gates sendte ut sin berømte epost om Trustworthy computing til alle sine ansatte, og det er ikke til å komme utenom at dette har hatt sine positive effekter, både i og utenfor Microsoft. Denne uka lanserte de en beta-versjon av Windows 8.1, som i motsetning til tidligere service packs med akkumulerte sikkerhetspatcher også lanserer helt ny funksjonalitet – også på sikkerhetsfronten.
En undersøkelse fra det amerikanske analyseselskapet ESG (se grafikk) viser at nesten annenhver store virksomhet samler informasjon tilsvarende >= 6 TB per måned for å støtte analyse og arbeid med informasjonssikkerhet. Mengden innsamlede data til dette formålet har økt betydelig for annenhver virksomhet de siste to år. Men hvilken sikkerhet finnes egentlig i disse enorme datamengdene?
I en kronikk i Computerworld nylig tok Ahlert Hysing for seg testing – eller hvor mangelfull testing ofte har vært i forskjellige sammenhenger hvor man skal rulle ut nye systemer. Helt på slutten av kronikken drar han fram at “App-er på smarttelefoner er en ny utfordring, ikke bare må de være robuste. De må sikres. Penetrasjonstest blir nødvendig.“
Vi er med på å arrangere en vårskole innenfor temaet “Trustworthy & Secure Service Composition”, og inviterer herved studenter, forskere og andre interesserte til å komme til Málaga (Spania) den siste uka i mai. Organisatorer er Málaga Universitet, IFIP WG 11.11 og EU-prosjektene Aniketos, Choreos og NESSoS.
Du har kanskje fått tilbud om å kjøpe Viagra, eller fått beskjed om at nettbanken er sperret og du må klikke på en link for å bekrefte et eller annet? I så tilfelle har du blitt utsatt for Spam, eller søppelpost som det heter på nynorsk. Men hva er det egentlig, og hvorfor i alle dager vil noen sende deg slike e-poster? Og viktigst av alt, hvordan kan du se forskjellen på spam og ham, eller søppelepost og ekte e-post?
Mange virksomheter benytter prosessmodeller for å dokumentere, og gjerne optimalisere, interne prosesser. I tillegg til grafiske modeller, kan prosessmodellspråket BPMN (Business Process Model and Language) også automatisk gjøre modellene til kjørbare programmer/tjenester. I slike tilfeller angir man i diagrammet også hvilke web-tjenester som har ansvar for de ulike automatiserte oppgavene i prosessen. Gjennom forskning på datatjenester med innebygd selvforsvar har vi tatt BPMN 2.0 i bruk for å la utvikleren definere hvordan trusler og angrep mot de ulike web-tjenestene man benytter i sammensatte tjenester skal kunne håndteres automatisk og sikkert mens tjenesten fortsatt er i bruk.
I november hadde vi en artikkel på forskning.no om “Datatjenester med innebygd selvforsvar”. I dette oppfølgerinnlegget forklarer vi litt mer hva som menes med selvforsvar i denne sammenhengen.
Den här veckan arrangeras, för sjunde året i rad, “The International Conference on Availability, Reliability and Security (AReS)” i Prag. AReS är en årlig mötesplats för forskare och utvecklare som jobbar med tillgänglighet, pålitlighet och säkerhet i olika typer av IT system.
SINTEF representeras i år av Martin, Per Håkon, Jostein, Åsmund och undertecknad.
QR-koder er flotte saker – alle som har en smart-telefon kan enkelt skanne koder på kinoplakater eller hva-det-skal-være, og vips gå direkte til en internettside med mer informasjon. Noe som er så brukervennlig kan vel neppe være sikkert?
Det Internet som vi har vuxit upp med har tidigare mestadels bestått av sammankopplade datorer och människor men blir nu mer och mer mobilt och genom Internet kommer ett stort antal maskiner och objekt kopplas ihop. Mängden data som skickas över nätet kommer explodera och Internet i sitt nuvarande fom kommer varken möjlighet att hantera dessa datamängder eller tillhandahålla den säkerhet, pålitlighet och robusthet som kommer krävas.
For et halv decennium siden påpekte vi at prosesskontrollmiljøer som olje- og gassindustrien fremstår som yndede mål for slemme mennesker. Så kom Stuxnet, og vi kunne si “hva var det vi sa“.
Dette var en av overskriftene som lyste mot oss på Aftenpostens nettutgave den 19. Mars. Det viser seg at flere nettsider som bruker webhotelltjenester hos Domeneshop.no har blitt hacket av en ungdomsgruppe. I følge Aftenpostens kilder kan en sårbarhet hos en av webhotellets kunder føre til at andre kunder blir rammet, og at deres informasjon blir kompromittert. Hvor ligger årsaken til dette?
Min oppfatning i saken er at problemet er todelt:
På den ene siden ser vi at det er publisert websider med alvorlige sårbarheter. Aftenposten kontaktet meg i forbindelse med denne saken og viste meg deler av et eksempel på hvordan angriperne har gått fram. Fra det konkrete eksempelet så man at websideleverandøren (kunde av webhotellet) hadde brutt med flere gode praksiser for å unngå å bli hacket:
To nye informasjonssikkerhetsbøker er nettopp kommet på markedet, og vi har bidratt med et kapittel i hver av dem.
“A Multidisciplinary Introduction to Information Security” er redigert av Stig Frode Mjølsnes fra NTNU, og den kan bestilles fra CRC Press. Vårt kapittel heter “A Lightweight Approach to Secure Software Engineering” og er skrevet av Martin Gilje Jaatun, Jostein Jensen, Per Håkon Meland og Inger Anne Tøndel.
I siste nummer av The International Journal of Secure Software Engineering (IJSSE) var undertegnede og Martin Gilje Jaatun gjesteredaktører, og skrev i den forbindelse en introduksjon for å gjøre selve begrepet “software security” noe mer håndgripelig. Bakgrunnen for skrive om nettopp dette er at vi opplever at begrepet ofte benyttes i en veldig vid forstand.
I de senere år har vi i flere sammenhenger støtt på tilfeller der programvareprototyper som 
har vært utviklet i en fei (uten at noen har tenkt så mye på sikkerhet, for “det er jo bare en protoype…”), på mystisk vis likevel plutselig ender opp i det ferdige produktet. Like fullt finnes det store selskaper ute i verden som hardnakket påstår at det er bortkastet å tenke programvaresikkerhet når man lager prototyper, “for de skal jo kastes likevel”.
