Hösten har kantats av den ena informationssäkerhetsskandalen efter den andra. Media har många gånger vinklat skandalerna såsom IT-säkerhetsskandaler, men de som sett dagens ljus har varit mestadels informationssäkerhetsskandaler, eller i huvudsak oerhört bristfälligt ledarskap. Det har i ordets rätta bemärkelse inte varit tekniska brister i sig, däremot har de tekniska skyddsåtgärderna inte stått i paritet med informationens skyddsvärde. Parallellt har det dock varit en rad tekniska brister som hamnat lite i skymundan. Tänker på att WPA2 gick sönder, att nyckelkvaliteten är undermålig för massor av RSA 2048 bitars nyckelpar, och nu senast hårdkodade frön för slumptal hos prominenta tillverkare såsom Fortinet och Cisco.
Vi har med andra ord öppna trådlösa nät, värdelösa E-legitimationer och andra kryptoberoende tillämpningar som inte är vatten värda. Detta i huvudsak på grund av slarv med kryptoimplementationer och ingen förståelse för nyckelkvalitet.
Om informationssäkerhetsskandalerna är toppen av ett isberg, vilket också är min uppfattning, så är jag rädd för att vi kommer att se rader av fler inkompetenta implementationer av krypton och vårdslös hantering av nyckelmaterial. Bristerna har funnits under lång tid, men inför det faktum att vi sakta närmar oss förmågan att beräkna fram den privata nyckeln i RSA-algoritmen på en nivå av 2048 bitar så synliggörs nu de nyckelpar som har sämst kvalitet. Estländarnas E-legitimationer är ett exempel på en implementation där det har slarvats med nyckelkvaliteten. Det är ingenting som enkelt repareras utan det är bara att rätta till bristerna och sedan utfärda alla E-legitimationer på nytt. Hur ska vi då se på alla de sammanhang där de hittills används, exempelvis elektroniska underskrifter som genomförts med undermålig kvalitet? Det fanns långt gångna planer på att även genomföra röstningen i valet elektroniskt, men om det redan innan upptäckten fanns tvivel, så är det i skenet av det inträffade lämpligt att tänka om.
Det är så sorgligt att vi hamnar i dessa situationer gång efter annan. På vilka stabila grunder digitaliserar vi nu? Kvicklera? Hur långsiktigt hållbart är det?
Nu är det baske mig hög tid att börja arbeta strukturerat med informationssäkerhet och på riktigt anpassa skyddsåtgärderna i relation till informationens skyddsvärde. De tekniska och organisatoriska skyddsåtgärderna ska vara verksamma, även över tid. Mantrat känns säkert igen. Väck mig mitt i natten och detta är vad jag först tänker när du vill be mig att anta en ny utmaning inom ramen för min profession.
Verkligheten visar att det brister i varje led. Mina senaste krönikor har fokuserat mestadels på oförmågan att arbeta strukturerat, oförmågan att värdera sin information och oförmågan att välja rätt tekniska och organisatoriska skyddsåtgäder. Den oförmåga som här belyses är ju förmågan att säkerställa att skyddsåtgärderna ska vara verksamma över tid.
Det är dags att ta allvarsamt på hur krypton ska implementeras och hur nycklar ska hanteras. Det är lätt att tro att det bara handlar om algoritmer och nyckellängder. Fadäsen med ickekvalitativt nyckelmaterial för RSA-kryptering handlar enbart om att nyckelmaterialet är ickekvalitativt och därigenom är det möjligt att räkna fram vad varje estländare har för privat nyckel på sin E-legitimation. Det kommer en tid när även kvalitativa nycklar med en längd på 2048-bitar går att beräkna relativt fort, men vi är inte där än.
Även i WPA2-fallet är det en tankevurpa i implementationen. Lösningen fram där är att uppdatera alla implementationer av WPA2. Det görs ju inte över en natt vilket gör att även den utmaningen kan vara gigantisk. Alla tillverkare finns kanske inte kvar, andra har kanske väldigt långsamma change-processer varför en uppdatering inte med sjävklarhet finns runt hörnet. En bra förteckning för vilka som rättat sina produkter finns här: https://www.bleepingcomputer.com/news/security/list-of-firmware-and-driver-updates-for-krack-wpa2-vulnerability/.
Nyligen blev det också känt att tillverkare såsom BeCrypt, Cisco, DeltaCrypt, Fortinet och TechGuard använder ett statiskt frö i slumptalsgeneratorn (ANSI X9.31). För övrigt en slumptalsgenerator som sedan 2016 inte längre godkänns av NIST (National Institut of Standards and Technologi). Två överraskningar i en. Smaka på meningen “Statiska frön i en slumptalsgenerator som inte längre är godkänd”. Visst borde vi kunna förvänta oss mer? Och då givetvis inte en tredje överraskning…
Vi kan aldrig luta oss tillbaka och tro det är harmoni förrän hela orkestern är i samklang. Den ska bara inte vara i samklang för stunden utan över tid. En begåvad orkester kan för en stund lösa det faktum att dirigenten inte är närvarande eller ens förmår att dirigera, men det faktum att även instrumentmakarna har en del övrigt att önska gör situationen minst sagt ohållbar. Ska vi digitalisera hela samhället är det rimligt att det görs på en stabilare grund än idag!
Thomas Nilsson
