Min første kronik i Berlingske: Kina, ikke Rusland, er den største trussel i cyberspace.
Jeg havde en kronik i Berlingske Tidende den 6. januar i år. Den er bag en
betalingsmur (fair nok, de skal også leve), men nu er der gået en måned og jeg
vover at publicere min rå tekst her, så alle kan være med :-).
Og sikken en masse interessante ting jeg fik ud af det, i øvrigt, både personligt
og på forretningssiden. Som jeg plejer at sige: Hvis bare min mor kunne se mig
nu oppe fra Clouden :-).
betalingsmur (fair nok, de skal også leve), men nu er der gået en måned og jeg
vover at publicere min rå tekst her, så alle kan være med :-).
Og sikken en masse interessante ting jeg fik ud af det, i øvrigt, både personligt
og på forretningssiden. Som jeg plejer at sige: Hvis bare min mor kunne se mig
nu oppe fra Clouden :-).
Her er linket:
https://www.berlingske.dk/kronikker/kina-er-den-stoerste-trussel-i-cyberspace-ikke-rusland
Og her er den rå tekst:
+++++++++++++++++++++++++++++++++++++++++++
Bio: Mogens Nørgaard har arbejdet med data og sikkerhed siden 1986, og er i dag involveret i Nordic Cyber Security Partners og Nordic Data Intelligence, der rådgiver og hjælper virksomheder og offentlige organsiationer indenfor digitalisering, cybersikkerhed, Big Data og GDPR.
KRONIK: Kina, ikke Rusland, er den største trussel i cyberspace.
Forestil jer et land, hvor der ikke findes grænsekontrol. Alle kan uhindret komme og gå som de vil, og slæbe det med sig ind eller ud de har lyst til.
Forestil jer, at de fleste hjem og virksomheder ikke har låse på dørene, ingen bliver kontrollerede, når de går ind eller ud, og det er helt almindeligt at finde en spion bag sofaen. Hvis du smider spionen ud er der intet ulovligt i, at han dukker op igen.
Der findes hverken ordenspoliti, kriminalpoliti, fængsler, brandvæsen, sundhedsvæsen, civilforsvar, hjemmeværn, beredskabsstyrelse eller domstole. Alt det vi forstår ved et civilsamfund er ikke-eksisterende.
Hvis du bliver røvet eller chikaneret er det op til dig selv at skaffe og betale for beskyttelse. Ingen myndigheder kan eller vil hjælpe.
Hvis nogle banditter hver dag stiller sig op og blokerer for adgangen til din virksomhed, og du ikke har råd til at betale for privat beskyttelse, bliver du nødt til at lukke butikken.
Landet har et militær, der beskytter mod militære angreb og i begrænset omfang hjælper nogle få ministerier og styrelser. Der er også et Rigspoliti, der tager sig af visse former for grænseoverskridende kriminalitet såsom børneporno. Men ellers er der anarki, ingen internationale aftaler, ingen regler, og intet civilsamfund til at hjælpe.
Dette land hedder cyberspace, og jeg ville ønske, at jeg overdriver min beskrivelse, men det gør jeg ikke.
I "virkelighedens verden" i cyberspace (hvis man kan udtrykke det sådan) er bøllerne stort set lig med russerne plus nogle få andre, mens spionerne stort set er lig med kineserne.
Vores forsvarsudvalg, vores forsvarsminister, Forsvarets Efterretningstjeneste med flere siger meget højt i denne tid, at den største trussel i cyberspace er russerne. Jeg vil hævde, at den største fare mod os er kineserne.
Kort fortalt er russerne bøller, der prøver at forvirre, skræmme og splitte os via deres offentlige og halvoffentlige organisationer, med navne som Fancy Bear og IRA, og de tillader også kriminelle at operere imod os fra deres territorium. I Rusland må man gerne "pisse ud af teltet", men ikke ind i teltet - hvis det generer os i Vesten er det godt.
Et godt eksempel på russisk aktivitet var det store angreb på Mærsk, der kostede virksomheden i omegnen af to milliarder kroner. De har også udført konkrete angreb mod bl.a. et hospital i England og el-forsyningen i Ukraine.
Kineserne har derimod en helt anden tilgang: De er ikke på krigsstien og de vil ikke ødelægge. De vil udkonkurrere os og være det 21. århundredes eneste supermagt. Deres strategi kan minde lidt om japanernes i 60'erne og 70'erne, hvor de ønskede dominans indenfor elektronik og biler.
Kineserne bruger deres store, offentlige apparat og deres enorme efterretningstjeneste til at lænse os for vore hemmeligheder, forskningsresultater, viden, erfaring, mv. Deres såkaldte 2025-plan ("Made in China 2025") skal gøre Kina førende på 10 afgørende, teknologiske områder såsom bioteknologi, kunstig intelligens, robotter, landbrugsteknologi og computerchips. De har specifikke mål for de enkelte områder (f.eks. deres andel af markedet), og da de typisk er 30% billigere end f.eks. danske produkter, når de har nået den samme kvalitet, kan man hurtigt se, hvor alvorlig truslen er.
Jeg kan sige med sikkerhed, at danske virksomheder (og deres underleverandører), samt forskere indenfor de 10 fokusområder, er udsat for spionage fra Kina. Jeg og mine kolleger i branchen finder spionprogrammer hos 2/3 af de organisationer og virksomheder vi scanner (vi scanner jo også virksomheder, der ikke har deres interesse), og langt hovedparten er kinesiske - f.eks. et program, der sendte data fra en stor medicinalvirksomhed i Danmark til Kina i to minutter én gang om året (fortrolig kilde).
75% af alle danske virksomheder hackes mindst én gang om året. Men derudover er mange virksomheder "kompromitterede" og sender data og viden til Kina via spionprogrammer uden at vide det.
Der er 7.5 millioner cyberangreb i Verden i døgnet. 48% af dem kommer fra Kina, 23% fra “Dark Net”/TOR - og 3.4% kommer fra Rusland. https://www.okta.com/businesses-at-work/2018/
Alle virksomheder, der opererer i Kina, er forpligtede til at hjælpe den kinesiske stat med alt, hvad de beder om, og man kan hverken klage eller nægte. Da en stor, dansk IT-virksomhed etablerede sig massivt i Kina for snart mange år siden fik de godt nok glavet en speciel aftale om, at de havde et "lukket" VPN-netværk til Danmark, så kineserne ikke kunne lytte med - i de første tre år (fortrolig kilde).
Kineserne stjæler systematisk den viden og forskning, som vi skal leve af, og undergraver vores fremtid og velfærdssamfund. Og vi samarbejder gerne med dem. Der er ofte mange kinesiske gæster på besøg på vore højteknologiske forskningssteder (såsom Risø) og til vigtige, teknologiske begivenheder i Danmark, og en hel del af dem er spioner. Forsvarets Efterretningstjenestes chef udtalte i.f.m. deres 2017-rapport, at “russerne vil hacke vores forvaltning, mens kineserne vil hacke vore virksomheder”.
Vi protesterer ikke engang over deres massive spionage, som da de lænsede Moderniseringsstyrelsen for detaljerne om samtlige statsansatte, eller da de (sammen med den iranske efterretningstjeneste) hjalp to hackere med at stjæle alt fra de vigtige, offentlige registre, som CSC havde ansvaret for (inkl. det såkaldte Dybe Kriminalregister, hvor alle mistanker og anklager huskes til evig tid). https://www.24syv.dk/programmer/aflyttet/27960642/hacket-eller-ikke-hacket?
I den alvorlige CSC-hackersag hjalp kineserne og iranerne de to hackere med "exploits", som er særlige programmer til at komme uden om bestemte computeres og styresystemers sikkerhedskontroller, så de havde fri adgang i et halvt år (trods fire klare advarsler fra det svenske politi reagerede dansk politi ikke). De havde blandt andet fuld adgang til, som nævnt, Det Dybe Kriminalregister, Kørekortregistret, med meget mere. Hele CSC's enorme mainframe-system blev tømt. Man kunne efterfølgende spore, at data først gik til nogle servere i Teheran og derefter videre til Beijing (vidne i retssagen og fortrolig kilde).
Vi finder os pænt i det, og der er ingen steder private, forskere, virksomheder eller offentlige institutioner (med nogle få undtagelser) kan få hjælp. Centeret for Cyber-Sikkerhed (CfCS) rådgiver organisationer indenfor vores vitale infrastruktur, Forsvarets Efterretningstjeneste har et rent militært formål og NC3 hos Rigspolitiet tager sig af visse typer grænseoverskridende kriminalitet, såsom børneporno.
Det følgende eksempel illustrerer for mig at se tydeligt, hvor lidt seriøst vi som nation tager cybertruslen: Da regeringen i maj 2018 lancerede "National Strategi for cyber- og informationssikkerhed" fremgik det, at der var sat 1.5 milliarder kroner af til 25 initiativer over seks år. Det er 10 millioner kroner per år per initiativ - skulle man tro. https://www.fm.dk/publikationer/2018/national-strategi-for-cyber-og-informationssikkerhed
Men de 1.4 milliarder var i virkeligheden slet ikke sat af til dette formål, men "kopieret" fra Forsvarsbudgettet: 900 millioner til CfCS, så de blandt andet kan få døgnbemanding fra 2019, samt 500 millioner til FE til køb af angrebsvåben. Det efterlader sølle 100 millioner kroner til 25 initiativer over seks år. Det er 2/3 million per år per initiativ, dvs. mellem ét og halvandet årsværk.
Det er ganske simpelt ikke seriøst. At vi ikke hjælper vore borgere, virksomheder og institutioner med at forhindre såvel det store, systematiske tyveri af vores fremtid samt tusindvis af daglige angreb og forsøg på afpresning er uacceptabelt og uforståeligt.
Men det bliver værre endnu, som man siger. Thi kineserne har kompromitteret en lang række ting, som vi bruger overalt i vores samfund i dag - laptops, mobiltelefoner, internetroutere, servere i datacentre, mv., og de kan uden at vi aner det slå "aflytning" til på disse, så de kan omdirigere data til kinesiske modtagere. De har også formået at hacke nogle knudepunkter på selve internettet, så de f.eks. kunne omdirigere datatrafik fra canadiske banker til Beijing og tilbage til modtageren i et stykke tid.
Det drejer sig f.eks. om de for tiden meget omtalte routere fra Huawei, der anvendes overalt i Danmarks mobil-infrastruktur af TDC, samt af Rigspolitiet og andre vigtige private og offentlige institutioner.
Det drejer sig om servere fra Supermicro, der bruges i mange datacentre, f.eks. Amazons. https://www.bloomberg.com/news/articles/2018-10-09/new-evidence-of-hacked-supermicro-hardware-found-in-u-s-telecom
Hvad angår Huawei-routere, så kan man populært sige, at når der står "4G" i øverste, venstre hjørne af din mobiltelefon, så kan kineserne "kigge med". De kan også registrere ("logge") og analysere datakommunikation til, fra og i Rigspolitiet.
Huawei startede for nogle år siden beskedent med at piratkopiere de amerikanske Cisco-routere (som blev produceret i Kina), inklusive hele deres software, og anvendte endda fotokopier af Ciscos installationsmanualer (privat kilde, der fik dem udleveret, da han bad om dokumentation). Men nu er de nogle af de allerbedste i Verden, hvad angår teknologien - og de er meget billigere end konkurrenterne pga massiv statsstøtte og tyveri af teknologi. Det samme gælder et andet kinesisk foretagende, ZTE. Og nogle gange arbejder de sammen: https://www.aspistrategist.org.au/the-african-union-headquarters-hack-and-australias-5g-network/
I forbindelse med udrulning af den nye 5G-teknologi er Huawei helt fremme, både hvad angår teknologi og pris, og er det stærkeste bud. Alligevel har USA, UK, Australien, Canada og New Zealand med flere besluttet sig for ikke at lade dem levere udstyr til 5G-nettet, fordi de kan se og måle, at der kan sive data til Kina, når kineserne har lyst til det. Danmark bør følge deres eksempel og ikke blot vælge en så afgørende teknologi fordi det er billigst. Det er på høje tid, at vi sætter Danmark og vores fremtid i højsædet i forbindelse med den stadigt mere omfattende digitalisering af vores samfund. 5G-teknologien handler nemlig ikke kun om mobildata, men også om hele Internet of Things-revolutionen, der gør os ekstra sårbare.
Thomas Liebetrau, tidligere ansat hos CfCS, nu forsker på Københavns Universitet, opsummerede situationen skarpt her: https://www.version2.dk/blog/cybertruslen-stiger-hvem-skal-goere-hvad-hvornaar-indhyllet-taage-1086272
Ja, det er en stor mundfuld, og mange har svært ved at tro på, at det kan være så slemt. Mange jeg taler med, også offentlige chefer for vigtige institutioner, er fristede til bare at give op og vente på en løsning udefra.
For mig personligt - trods en IT-baggrund - har min rejse ind i landet cyberspace været dybt chokerende.
Men chok kan vi ikke bruge til noget. Vi bør alle starte med at erkende, at vi har et kæmpe problem og dernæst kortlægge problemets omfang.
Først da kan vi beslutte os til, hvad vi skal gøre for Danmark og vores fælles fremtid.
Kommentarer
Send en kommentar