En bølge af angreb på danske domæner viser, at mange ikke har styr på sikkerheden. Vi savner en smiley-ordning for webhoteller, skriver Shehzad Ahmad i denne klumme fra Computerworld.
Chefkonsulent Shehzad Ahmad, UNI•C, der leder det danske Computer Emergency Response Team (DK•CERT), skriver hver måned på Computerworld Online om aktuelle it-sikkerhedsspørgsmål. Kommentarerne bringes her, efterhånden som de udkommer.
I den første uge af oktober blev over 1.000 danske websteder udsat for defacements.
I hele september var tallet 480 dk-domæner.
Web defacement går ud på, at en hacker placerer sine egne sider på andres websteder.
Indholdet er ofte politisk. Flere af de aktuelle angreb har således placeret sider med kritik af Danmarks og USA's handlinger over for muslimske lande.
Blandt ofrene var clubkids.dk, hvis forside blev erstattet af en side med teksten "Your Site Is Hacked bY Muslim HackerS. death for israel AnD usa AnD Danemark."
Webhoteller er sårbare
Men hvordan kommer hackerne ind på websiderne?
Erfaringen viser, at langt de fleste angreb udnytter sårbarheder på webhoteller.
Mange webhotellers sikkerhedsmodel indebærer, at når man først har adgang til ét websted på det, kan man også overtage alle de andre.
Ud af 144 websteder, der blev overtaget den 5. oktober, lå 62 på ét webhotel, 55 på et andet og 17 på et tredje. Resten var enkeltstående.
Hackerne udnytter ofte sårbarheder i udbredte web-applikationer såsom CMS'er og blog-systemer.
Det kan man undgå ved at holde sine systemer opdateret.
Smiley ønskes
Jeg foreslår, at der oprettes en smiley-ordning for hostingselskaber og webhoteller. Ordningen skal administreres af en uafhængig, offentlig instans.
Medlemmerne skal forpligte sig til at holde al deres software opdateret.
Fx en gang hvert halve år gennemfører et uafhængigt firma en sikkerhedsscanning, som forsøger at udnytte de samme sårbarheder, som hackerne bruger.
Hvis sikkerhedsscanningen finder huller, får udbyderen en sur smiley.
Den sure smiley offentliggøres ikke – det ville jo være en ren invitation til hackere.
I stedet får udbyderen en tidsfrist til at få lukket hullerne.
Sådan en ordning vil ikke fjerne alle defacements.
Der er også nogle tekniske udfordringer. Fx må scanningen ikke medføre, at et websted bliver sat ud af drift.
Men jeg tror, det kan nedbringe mængden af domæner, der bliver overtaget, ganske betydeligt.
Oprindelig offentliggjort på Computerworld Online tirsdag den 6. oktober 2009