Løsningene vi lager i dag inneholder morgendagens problemer

LILLEHAMMER (digi.no): Det ambisiøse temaet Hugh Thompson, formann i programkomiteen til RSA-konferansen, hadde valgt for sitt foredrag under Sikkerhetsfestivalen, som denne uken arrangeres på Lillehammer, var «The Future of Privacy and Security.»

Der kunne han fastslå at mange av de sikkerhetsfeilene vi ikke oppdager i løsningene vi lager i dag, for eksempel maskinlæring, i framtiden vil kunne skape problemer som det kan ta lang tid å bli kvitt, blant annet fordi fordi det tar lang tid skifte ut systemer og standarder.

Som eksempel nevnte Thompson blant annet et eksperiment som viste at dersom man plasserer tapebiter på gitte steder amerikanske «full stopp»-skilt, så vil skiltgjengjenningssystemer i stedet anse det som er sannsynlig at det dreier seg om et skilt som viser en fartsgrense på 45 miles i timen. Med en selvkjørende bil kan dette være katastrofalt.

Farlig tilkobling

Et eldre og godt kjent eksempel er at det ikke er noen autentisering av periferienheter som kan kobles til en PC. Dermed vil for eksempel enhver enhet som sier at den er en mus eller et tastatur når den kobles til, bli akseptert og umiddelbart virke. Dette utnyttes av maskinvarebaserte hackerverktøy som Rubber Ducky og P4ownP1.

– Dette er en massiv sårbarhet, sa Thompson.

– Mye av det vi bruker i dag ble designet i en helt annen tid. Vi bør ta oss tid til å omgjøre dette.

Han mener nyere teknologier, som maskinlæring og kvantedatamaskiner, ikke nødvendigvis er noe bedre. Også disse kan inneholde egenskaper som vi ikke tenker på i dag.

Maksimerer nytte framfor risiko

Thompson var i sitt foredrag også inne på hvordan mennesker vurderer risiko. Han mener at vi generelt ikke gjør dette rasjonelt, og viste til en avisartikkel om at antall haiangrep på mennesker per år globalt hadde økt med 25 prosent. Det ble store ramaskrik, men antallet var likevel under hundre i året, fordelt på hele verden.

Han fortalte også om at hans kone i som i en barnefamilie framsto som en liten krise. Vaskemaskinen hadde gått i stykker. Kona endte opp med å kjøpe en vaskemaskin som kan kobles til nettet. Hele hensikten er å kunne varsle med en melding at den er ferdig med vasken.

«Praksisk», tenkte kona.

– Folk flest er ikke designet for å tenke risiko. De er opptatt av nytteverdi i stedet. Og vi fortsetter å tilby dem valget mellom nytte og sikkerhet, sa Thompson, og viste til varsler om i nettlesere om utgåtte sikkerhetssertifikater, hvor det likevel er mulig å omgå advarselen og laste siden.

Avlæring

Et siste poeng Thompson nevnte, var at det noen ganger er nødvendig at vi avlærer oss praksiser som én gang ble oppfattet som de riktige.

Han vist til hvordan man i dag lærer at man skal ha hendene på rattet i en bil. Tidligere ble man lært opp til å hendene i posisjonene tilsvarende klokken 2 og klokken 10 på en urskive. I dag lærer man at man skal holde hendene lengre ned. Ikke fordi man styrer bedre på den måten, men fordi er direkte farlig å ha dem så høyt oppe rattet som tidligere på grunn av airbagen som biler i dag er utstyrt med.

Verden har endret seg, og det må også praksisen, selv om den en gang var korrekt.