Vil oppdatere alle verdens dingser

Mobiltelefoner, PC-er, TV-er, bilen – pluss en rekke andre dingser basert på maskinvare og programvare – trenger stadige oppdateringer. Feil i programvare, ny funksjonalitet og ikke minst nye sikkerhetstrusler gjør det nødvendig å fornye deler, eller av og til all programvaren i enhetene. Det er vi vant til. Vi oppdaterer regelmessig de viktige dingsene våre og gleder oss stort sett over nye funksjoner og mer sikkerhet og at en eller annen ergerlig feil forsvinner.

Men dette gjelder stort sett de dyre dingsene våre. De med store konserner i ryggen som er avhengig av å bli oppfattet som troverdige, sikre og at de har kundene i fokus. Hva med alle de andre? De som pumper ut billige produkter i milliarder? Gjerne fra små selskaper med en ide om å lage maskinvare og med begrensede ressurser på programvare, og ikke spesielt store økonomiske ressurser.

Vil hjelpe alle

Det norske selskapet Northern.tech har satt seg fore å lage standarden som fikser problemet en gang for alle. En løsning som gjør det lett å sende oppgraderinger over nettet til alle slags dingser som i dag ikke blir oppgradert, og som derfor står som åpne låvedører for botnet og andre slags trusler.

Løsningen skal også være for de som prøver å oppgradere selv, men som ikke har de kunnskapene som trengs til å gjøre det på en god og sikker måte. Northern.tech vil lage standarden for OTA – Over The Air oppdatering av alle verdens dingser.

– Mender.io er først og fremst en standard som vil forenkle måten å gjennomføre programvareoppdateringer til alle som i dag benytter dårlige hjemmesnekrede løsninger, og for alle de som rett og slett ikke har mulighet for remote oppdatering. De er det mange av og det betyr at det årlig distribueres milliarder av usikre dingser som så å si bare venter på de som vil bruke dem til å snike inn skadevare. Dette er med på å gjøre hele internett mer sårbart, sier Thomas Ryd.

Ryd leder selskapet som har hovedkontor i Forskningsparken. Selv jobber han fra Palo Alto i Silicon Valley.

Perfekt programvare er fantasi

Ryd har ingen tro på at vi noen gang får helt sikker og feilfri programvare. I snitt er det rundt en feil per tusen kodelinjer som skrives, så behovet for å oppgradere selv enkel programvare vil være der hele tiden, i alle slags dingser.

Det at programvare trenger oppgradering har svært mange som utvikler elektronikk, og ikke minst de som bruker den, erfart. Verre er det at slike dingser blir brukt i botnet og som bakdører inn i ulike private hjem og organisasjoner. Det er ikke alltid like lett å oppdage, men det kan gjelde alt fra den smarte ringeklokken til det smarte kjøleskapet, eller noe morsomt og nettkoblet man har kjøpt billig et eller annet sted.

Det er dessverre ikke slik at problemet blir mindre, det øker i omfang og utgjør et hav av muligheter for datakriminelle.

De færreste dingser oppgraderes

Programvareløsningen selskapet har utviklet løser utfordringen med OTA for nesten alle dingser. Det vil si de som gjør hjemmesnekret OTA og alle som ikke gjør det i det hele tatt. De siste utgjør rundt 70 prosent av alle dingser som sendes ut i verdensmarkedet. De hjemmesnekrede utgjør litt over 20 prosent, mens den lille andelen som er igjen er ressurssterke selskaper som gjør dette på sin egen og profesjonelle måte, som for eksempel smarttelefonen din.

Det at alle skal lage sin egen OTA-løsning er svært lite realistisk og vil sannsynligvis skape like mye problemer som det løser. For å utvikle den nye OTA-standarden har Northern.tech trukket på masse egen erfaring fra tidligere virksomhet og samarbeidet med over hundre systemingeniører.

Åpen kildekode

– Vi bruker programvare basert på åpen kildekode i løsningen for at dette skal bli billig nok. Det gjør at vi kan skape et samfunn av utviklere som kan bidra til løsningen. De kan også assistere selskaper som utvikler tilkoblede dingser. OTA-løsningen vår er en såkalt freemium-modell. Det innebærer at den er gratis å bruke for småprodusenter, mens de større må betale litt for ekstra funksjonalitet.

– Vi tror dette vil gi oss veldig mange brukere slik at dette blir en de facto-standard for sikker trådløs oppgradering over nettet. Brukerne kan selv velge å distribuere oppgraderinger fra sin egen server, eller kan vi gjøre det fra vårt datasenter mot brukerbasert betaling, sier han.

Mange skrekkeksempler

Selv store aktører tråkker i baret av og til. Feil i programvare gjorde at Chrysler i mai i år måtte kalle tilbake rundt 5 millioner biler, og man kan gjette hva det kostet. I følge Ryd er det bare Tesla som har en rimelig godt fungerende OTA-løsning i dag.

– Dette er et veldig stort tema hos bilprodusentene for tiden. De ser hva Tesla har gjort og har skjønt at dette er noe de må ha, men de fleste har et stykke å gå, på tross av at så mye av verdiskapningen i en moderne bil ligger i programvaren. Jeg vil nesten sammenlikne dette med at Teslas OTA-løsning er en moderne 4K-flatskjerm mens de andre bilprodusentene fremstår på nivå med et sorthvitt katodestrålerør, sier Ryd.

Han peker også på et selskap som leverer elektroniske dørlåser som måtte oppgradere programvaren etter at dørene stengte folk ute. Da kom det frem at alle låsene de hadde solgt hadde et globalt hardkodet passord som kunne åpnet alle sammen. Om det hadde kommet ut til innbruddstyver ville det blitt riktig ille; som å stjele godteri fra et barn.

– Det er ikke lenge siden mange produsenter av wifi hjemmerutere hadde Admin1 som innebygget passord. Det kunne kanskje fungere før, men ikke i dag og det er ikke alltid lett å fikse det uten en fornuftig OTA-løsning. De fleste dingser som lages i dag bruker Linux som operativsystem. Og alle vet at det må oppgraderes av og til for å være sikkert. Men sårbarhetene trenger ikke bare være i operativsystemet, de kan også ligge i mellomvaren, eller i appen som kontrollerer alt, sier Ryd.

Alene i markedet

Så langt er mender.io den eneste brede plattformen i markedet for OTA som kan tilby slike sikkerhetsoppgraderinger til alle slags tilkoblede produkter.

Northern.tech har fått over to millioner euro fra Horizon 2020-programmet for å videreutvikle standarden. EU har skjønt at dette er et problem og vil ha fart på utviklingen.