CPR læk i den Digitale Pladsanvisning

Der var en gang en mand der gik aftentur igennem byen. Han opdagede at låsen på døren til det lokale arkiv var i stykker og døren stod på klem, så en tyv kunne gå lige ind. Kunne det virkelig være sandt? Han åbnede døren op, gik ind, og kiggede sig kort omkring for at konstatere oplysninger om byens borgere virkelig lå frit fremme sådan at en dristig tyv kunne studere dem. Han skynder sig ud igen og dagen efter giver besked på rådhuset og og dernæst udlejeren af huset, som dog ikke kan se at der er noget galt. Så giver han besked til avisen, så der kan skabes opmærksomhed og borgernes oplysninger igen opbevares sikkert.

I et andet univers opdager en forælder et sikkerhedshul i Den Digitale Pladsanvisning, som giver adgang til CPR registreret. Han undersøger sagen og konstaterer at det i praksis er muligt at hente CPR nummeret på en hvilken som helst borger ud af systemet. Han gør kommunen opmærksom på det, intet sker og så går han til pressen. Som tak for at påpege sikkerhedsbristen bliver han politianmeldt. Så kan man lære det.

Selvfølgelig, som leverandøren af systemet erklærer, så er der ikke personfølsomme data involveret  – CPR er bare ikke den hemmelighed det har været (men det er stadig nyttigt til identitetstyveri). Det forhindrer nu ikke leverandøren i at politianmelde manden for hacking. Leverandøren som har implementeret ulovlig funktionalitet mener dog sig selv uden skyld – “Vi mener ikke, at der er noget forkert i den måde, vi har lavet det på. Der har selvfølgelig været en fejl”(?)

Ugen der gik

  • Tog på arbejde uden arbejdsmobil og opdagede at webklienten til Office365 ikke er så ringe endda (dog heller ikke fantastisk)
  • Jeg har fortsat filmkiggeriet med ‘Attack of the Clones‘. Man skal vel heller ikke sparke til film der ligger ned, så jeg vil bare sige, at hvis man klippede alle de romantiske scener ud (især de over-saturerede på Naboo) og fjernede de kække one-liners imellem Anakin og Obi-Wan, så ville filmen ikke være så skidt endda. Det er ikke en nem historie den skal fortælle, om hvordan søde lille Ani korrumperes til den onde Darth Vader. Obi-Wan slipper let omkring det i Episode IV ved blot at sige at Darth Vader dræbte Anakin – det er sværere at fortælle hvordan i detaljer, men George Lucas har da forsøgt. Det bliver interessant, at se om vi får Kylo Rens historie i ‘The Last Jedi‘ eller om den kommer som en Anthology film senere.
  • Sommerudsalg på Steam er begyndt. Jeg har stadig spil købt ved udsalget i 2012 som venter på mig, men det vil næppe holde mig tilbage. Crusader Kings II skal prøves og før eller siden må jeg finde tid til Torment – Tides of Numenera (det bliver nok siden)
  • I ugens løb gav min NAS endelig op – den har skrantet i et stykke tid og efter hver eneste genstart har jeg været i tvivl om den ville komme i gang igen. Dén bekymring fik mig sidste år til at lave backup af den. God ide, for nu er den færdig, men bortset fra ulejligheden med at skulle købe en erstatning, skulle det ikke være et større problem.

Relaterede indlæg

Digital Ethics and the IT-worker’s Nuremberg Defense

Car-hacking

Remember the car chase in “Tomorrow Never Dies” where James Bond remote controls his car from the back seat, using his mobile phone? (->YouTube). It is a good example of 007 movies showcasing technology that may become mainstream in a not too distant future (without the car-to-car missile system, I presume). Not that remote controlling cars are anything new: The Russian Lunokhod drove on the Moon in 1970, remote control cars were sold in toy stores in my  childhood and who knows how long the Opportunity rover on Mars will keep going(?). What is new, though, is that soon somebody may (unauthorized) remote control your car from their mobile: OwnStar Wi-Fi attack…. Not good.

Connecting cars to the internet is a good idea. For example:

  • There will always be up-to-date weather and traffic information available
  • The car can schedule service and order spare parts on its own
  • IFTTT can turn on car heating 15 minutes before you leave for work if the temperature is freezing

and then there is all the communication and entertainment options, which can of course be handled with a mobile phone already, but integrating the functions would be convenient. All these good ideas comes with their potential issues due to buggy software, failing connections etc, and then comes all the opportunities for abuse via insecure connections, back doors and admin accounts, like the mechanic triggering car service requests when business is slow and people held hostage inside hot cars with closed windows and air condition off (there will be some action movie where the villain takes remote control of all cars in the city and the day is saved by the only guy who knows how to operate a stick shift).

I am sure none of these cave ats will prevent cars from joining the Internet of Things, but I hope that the risks will be addressed in time, especially those related to security. It is not impossible: there are strict regulations in place for development of software for medical devices, and including security in the equivalent regulations for cars would do a lot to improve the situation, as would some simple design rules, such separating the navigation, communication and entertainment systems from the core control functions of the car in such a way that getting access to one system does not enable access to other systems (cf. the case of Chris Roberts allegedly taking  control of a plane after hacking the inflight entertainment system ->link).

Addressing the risks requires a proper understanding of the issues and solutions all around, including the automotive industry, the legislators, the press and the organisations representing the consumers. It hope this post will move things a bit in the right direction.

Related Posts

Security Info Links^3

Security Info Links^3

The internet is full of great, original content. There is also much derivative material and then of course all the crap.

(this blog aspires to be in the first category, but this post will be a exception : )

Cybersecurity is an interest of mine and several of the feeds in me feedly feed are about that subject. Friday there was an item about “50 InfoSec Blogs You Should Be Reading”. Good, effective title and I followed the link to a list at Digital Guardian with, indeed, 50 security blogs that all looks read-worthy.

Now, where to start?

It is easy to get lost in that much quality content but I hope to apply a MuSCoW scheme in order to find the InfoSec Blogs I Must be reading, those I Should be reading, some I Could be reading and get rid of those I Won’t be reading. Until then at least I got improved content for procrastination.

Thanks to Roger for sharing the link on his Information Security Blog and to Digital Guardian for compiling the original list

So this was me writing a post that links to a post that links to a post that links to many posts. That must be third order derivative content, but good stuff is worth pointing out.