En helsesjekk viser at mye er ugjort innen sikring av web, e-post og DNS

(RETTELSE: Det finnes også en norsk utgave. Saken er oppdatert 3. november 2022, klokken 08.47 med nye opplysninger.)

Hvor godt sikret er nettjenestene innbyggere flest bruker hver dag? Svaret på det spørsmålet var ganske nedslående da Internetstiftelsen i fjor lanserte en egen helsesjekk.

Gjennom et samarbeid med analyseverktøyet Hardenize blir drøyt 1.500 av Sveriges viktigste nettressurser løpende kartlagt i en tjeneste kalt Hälsoläget. En håndfull andre land har etablert en lik tjeneste.

Dette er et dashbord med hvor godt de enkelte domenene scorer innen sikring og konfigurering av web- og e-posttjenester.

Aktørene er også gruppert, slik at det er mulig å drille seg ned på eksempelvis banker, nettaviser, kommuner, myndighetene, akademia eller internettleverandører og banker for å nevne noen kategorier.

Motoren bak tjenesten er utviklet av sikkerhetsekspert Ivan Ristic, gründeren av SSL Labs. Hardenize er tidligere omtalt på Digi.no og anbefalt blant annet av det norske Digitaliseringsdirektoratet.

Midt på treet

Svenskene lanserte sin digitale helsesjekk i juni 2021, og resultatet imponerte i hvert fall ikke dem selv. Færre enn halvparten av de kartlagte domenene levde opp til en tilstrekkelig bra standard.

42 prosent hadde det Internetstiftelsen definerte som et godt nivå på sikring av web, mens 41 prosent nådde opp til kravene på konfigurasjon av e-postservere.

Et svakt resultat kan enten bety at man ikke har innført ulike sikkerhetstiltak eller -funksjoner, eller at man ikke har gjort det bra nok, konstaterte den svenske virksomheten som har ansvaret for å forvalte toppnivådomenet .se.

Om det kan tilskrives oppmerksomhet eller rett og slett at tiden har gått, vites ikke, men et drøyt år senere har Sveriges samlede score økt noe til 48 prosent og 49 prosent for henholdsvis web og e-postsikring.

Hardenize har lagd tilsvarende dashbordtjenester for Estland, Litauen, Ungarn, Sveits og Den dominikanske republikk. I tillegg vedlikeholder de selv en global toppliste som for tiden omfatter mer enn 5.000 verter.

43 prosent på den globale listen får godkjent for konfigurasjon og sikring av web, mens det tilsvarende prosentandelen for e-postservere er 52 prosent, noe foran Sverige.

Norge henger bakpå

Digi.no spurte først Norid, som forvalter det nasjonale domeneregisteret i Norge for .no, om det er aktuelt for dem å etablere et tilsvarende dashbord, som Hardenize.com tilbyr gratis.

– Norid har for øyeblikket ikke planer om å ta i bruk hardenize-tjenesten for å lage et web-dashbord for ulike bransjer i Norge. Vi har imidlertid en oversikt over utviklingen på DNSSEC i Norge der vi både følger med på andelen domenenavn hos det offentlige som sikres, og hvor mye av porteføljene til de store domeneforhandlerne som er sikret, sier administrerende direktør Hilde Thunem i Norid.

Men etter publisering er Digi blitt gjort oppmerksom på at det faktisk eksisterer en norsk utgave av Hardenize-dashboardet. Tjenesten er vedlikeholdt av JustisCERT.

For tiden er 1.024 norske verter løpende kartlagt. Norge gjør det relativt svakt i denne målingen med bare 37 prosent godt konfigurerte webtjenester. Én av tre har feil eller kritiske mangler ved oppsett av HTTPS, viser oversikten.