Udvalget for Videnskab og Teknologi. UVT alm. del - Bilag 206 Offentligt. Udvalget for Videnskab og Teknologi

Størrelse: px

Starte visningen fra side:

Download "Udvalget for Videnskab og Teknologi. UVT alm. del - Bilag 206 Offentligt. Udvalget for Videnskab og Teknologi"

Christine Thorsen
8 år siden
Visninger:

1 Udvalget for Videnskab og Teknologi UVT alm. del - Bilag 206 Offentligt Ministeren for videnskab, teknologi og udvikling Udvalget for Videnskab og Teknologi Folketinget Christiansborg 1240 København K./. Hermed fremsendes i 5 eksemplarer notat vedrørende digital signatur og sikkerhed. Med venlig hilsen Helge Sander 10. maj 2006 Bredgade København K Telefon Telefax E-post vtu@vtu.dk Netsted CVR-nr Dok-id

Folketinget Christiansborg 1240 København K./.

2 Foranledig at de sidste dages presseomtale i Morgenavisen Jyllands Posten omkring den digitale signatur finder jeg, at der er behov for at informere Videnskabsudvalget om fakta i relation til hændelsesforløbet og sætte sagen ind i det rette perspektiv. Jeg vil gerne understrege, at så vidt jeg er blevet informeret, har der intet misbrug fundet sted. Jeg finder ikke anledning til at ændre på det eksisterende koncept. IT- og Telestyrelsen modtog den information fra TDC om, at der var rapporteret en sårbarhed i forbindelse med den digitale signatur. TDC har i relation til sagen oplyst følgende: TDC fik den fra CIRT.DK (Danish Computer Incident Response Team) en besked om, at der var opdaget en sårbarhed i den softwarekomponent, som TDC distribuerer sammen med den digitale signatur. Den blev sårbarheden efterprøvet og bekræftet af TDC s underleverandør Cryptomathic, der har stået for programmeringen af softwarekomponenten. Sårbarheden, der skyldes en programmeringsfejl, er af samme type, som de sårbarheder der fra tid til anden offentliggøres i forbindelse med forskellige anvendelsesprogrammer (Mail, Browser etc.) på Microsoft-platformen. Der er tale om et såkaldt buffer overflow, der forekommer i software. Den digitale signatur er ikke anderledes end andre Windowsprogrammer, idet den anvender de basale funktioner i Windows operativsystemet. Sårbarheden er således ikke relateret til selve den digitale signatur men til en softwarekomponent, der distribueres til brugernes pc i forbindelse med installationen af den digitale signatur. Sårbarheden vil, i lighed med andre sårbarheder af denne type, muliggøre at en ondsindet hjemmeside vil kunne installere hacker værktøj på pc en, som potentielt ville kunne anvendes af en hacker til blandt andet at stjæle en brugers digitale signatur og den tilhørende aktiveringskode, når den indtastes af brugeren. Det forudsætter, at detaljerne i sårbarheden er kendt af en hacker og at brugeren lokkes til at besøge en hackerens hjemmeside samt at hackeren aktivt overvåger en digital signatur transaktion hos en bruger. Sårbarheden er blevet introduceret ved en opdatering af komponenten i sommeren 2004, og den berører alle brugere af digital signatur på Microsoft-platforme. 2

Jeg finder ikke anledning til at ændre på det eksisterende koncept. IT- og Telestyrelsen modtog den 31.03.

3 Der er ikke kendskab til eller indikationer på, at sårbarheden er blevet udnyttet af hackere. Den almindelige professionelle procedure omkring håndtering af sådanne sårbarheder er, at leverandøren af produktet informeres om sårbarheden, og at CERT offentliggør sårbarheden ca. 45 dage herefter. Dette for at give leverandøren tid til at rette fejlen og foretage det fornødne i relation til brugerne. Sårbarheder af denne type fjernes normalt ved, at fejlen rettes af leverandøren og leverandøren herefter oplyser brugerne om, at der skal foretages en software opdatering af det pågældende program. TDC har inden for den givne tidsfrist rettet fejlen i softwarekomponenten og frigivet en sikkerhedsopdatering, der lukker sårbarheden i softwarekomponenten. Oplysning om sårbarheden er foregået ved udsendelse af information til pressen den 5. maj 2006, kl og efterfølgende udsendelse af s med den fornødne vejledning til alle brugere. Alle brugere har den 8. maj 2006 modtaget en fra TDC. Softwarekomponenten bliver automatisk opdateret, når en bruger klikker på en hjemmesideadresse i en fra TDC, eller når en bruger flytter eller fornyr den digitale signatur. IT - og Telestyrelsen har - siden sårbarheden blev kendt - dagligt modtaget information fra TDC om status på fejlrettelsesprocessen og planlægningen med offentliggørelsen af sårbarheden. På baggrund af de fra TDC modtagne informationer er det IT- og Telestyrelsens vurdering, at fejlrettelserne er gennemført professionelt og at opdateringen hos brugerne vil kunne foregå rimeligt problemfrit. Proceduren - der er fulgt - lever således op til best practice i forbindelse med håndtering af indmeldte sårbarheder. TDC har endvidere oplyst følgende: For at sætte tingene ind i en større sammenhæng er det interessant at sammenligne sårbarheden i softwarekomponenten til digital signatur med de sårbarheder, som f.eks. Microsoft med mellemrum udsender opdateringer på. Microsoft arbejder efter et klassifikationssystem, der angiver en enkelt klassifikation for hver enkelt sårbarhed. Definitionerne af klassifikationerne er: Kritisk: En sårbarhed, der, hvis den bliver udnyttet, kan muliggøre spredning af en internet-orm uden brugerhandling. Vigtig: En sårbarhed, der, hvis den bliver udnyttet, kan medføre kompromittering af fortroligheden, integriteten eller 3

Dette for at give leverandøren tid til at rette fejlen og foretage det fornødne i relation til brugerne.

4 tilgængeligheden af brugerdata eller af integriteten eller tilgængeligheden af computerressourcer. Moderat: Muligheden for udnyttelse formildes i betydelig grad af faktorer som standardkonfiguration, revision eller vanskelig udnyttelse. Mindre vigtig: En sårbarhed, der er ekstremt svær at udnytte, eller hvis virkning er minimal. Sårbarheden i softwarekomponenten er en kendt type ( buffer overflow ), som optræder i Windows-miljøet. Hvis den skal sammenlignes med de sårbarheder, som f.eks. Microsoft med mellemrum udsender opdateringer på, er der tale om en sårbarhed i kategorien Vigtig. Sårbarheden vil således ikke blive betegnet som Kritisk i Microsofts klassifikationssystem. Microsoft har inden for de seneste 11 måneder (i perioden ) udsendt i alt 32 opdateringer inden for kategorierne Kritisk og Vigtig fordelt på hhv. 20 Kritiske og 12 Vigtige../. De enkelte sikkerhedsopdateringer er listet i vedlagte bilag. Det er selvfølgelig beklageligt, at leverandørerne laver fejl i software, men det er desværre et faktum, som vi er nød til at leve med. Ligesom brugerne af pc er er nød til løbende at foretage sikkerhedsopdateringer i takt med at sårbarheder introduceres. Det - der i den forbindelse er vigtigt - er, at når en fejl i form af en sårbarhed opdages og rapporteres til en leverandør af software, så håndterer leverandøren sagen professionelt i relation til fejlrettelse og effektiv informationsformidling til offentligheden og brugerne. På baggrund af denne sårbarhedshændelse har IT- og Telestyrelsen bedt TDC om at gennemgå og dokumentere relevante kvalitetssikringsprocesser med henblik på at minimere sandsynligheden for tilsvarende fejl i fremtiden. Desuden vil IT- og Telestyrelsen sammen med TDC undersøge, om det er muligt at udvikle noget software, der kan sikre opdatering at brugernes softwarekomponenter til den digitale signatur. Men dette vil ikke fritage brugerne for fortsat at skulle sikkerhedsopdatere deres pc i relation til sårbarheder i andre programmer. 4

Mindre vigtig: En sårbarhed, der er ekstremt svær at udnytte, eller hvis virkning er minimal. Sårbarheden i softwarekomponenten er en kendt type ( buffer overflow ), som optræder i Windows-miljøet.

5 BILAG: Microsoft har inden for de seneste 11 måneder (i perioden ) udsendt i alt 32 opdateringer inden for kategorierne Kritisk og Vigtig fordelt på hhv. 20 Kritiske og 12 Vigtige : Kritiske: Juli 05: 3 (MS05-035, MS05-036, MS05-037) aug 05: 3 (MS05-038, MS05-039, MS sep-okt 05: 3 (MS05-050,MS05-051,MS05-052) nov 05: 1 (MS05-053) dec 05: 1 (MS05-054) jan 06: 3 (MS06-001,MS06-002,MS06-003) feb 06: 2 (MS06-004,MS06-005) marts 06: 1 (MS06-012) april 06: 3 (MS06-013,MS06-014,MS06-015) Vigtige: sep-okt 05: 4 (MS05-046,MS05-047,MS05-048, MS05-049) dec 05: 1 (MS05-055) feb 06: 5 (MS06-006,MS06-007,MS06-008,MS06-009,MS06-010) marts 06: 1 (MS06-011) april 06: 1 (MS06-016) 5

(MS05-053) dec 05: 1 (MS05-054) jan 06: 3 (MS06-001,MS06-002,MS06-003) feb 06: 2 (MS06-004,MS06-005) marts 06: 1 (MS06-012) april 06: 3 (MS06-013,MS06-014,MS06-015) Vigtige:

Relaterede dokumenter

Udvalget for Videnskab og Teknologi. UVT alm. del - Svar på Spørgsmål 56 Offentligt. Udvalget for Videnskab og Teknologi

Udvalget for Videnskab og Teknologi UVT alm. del - Svar på Spørgsmål 56 Offentligt Ministeren for videnskab, teknologi og udvikling Udvalget for Videnskab og Teknologi Folketinget Christiansborg 1240 København