Sveriges Radio kritiseras för bristande säkerhetsrutiner

Dagens DN ger lite mer substans: https://www.dn.se/sverige/msb-ser-allvarligt-pa-det-intraffad...

Eftersom folk i tråden som inte har tillgång till DN efterfrågar detaljer, så klipper jag in artikeltexten (utan formattering):

Kärnan verkar som tidigare vara i "Dokumentationen, som DN har sett, ..." och delat med säkerhetsexperten Robert Malmgren.

Artikelserien är till mångt och mycket en kråkfjäder. Första artikeln hände innan den nya Säkerhetsskyddslagen tillkom, och om jag minns rätt, innan Ryssland började bete sig i omvärlden. VMA-artikeln är väl mer seriös, men det verkar som att DN har blandat ihop två tekniskt skiljda uttalanden från Malmgren: att "efterapa" ett VMA och en ren intrång och fjärrstyrning av VMA-funktionen.
Att göra intrång och fjärrstyra är svårare om du har schysst antivirus, segmenterade nätverk och intrångsdetektering. Å andra sidan rätt svårt att detektera om det är nå ny intrångsvektor. Som någon skrev, inget system som är anslutet mot Internet är helt säkert.

Att phisha efter nått på Internet är relativt enkelt. Dock finns det teknik att mitigera detta när det gäller webbsidor, domäner och IP-adresser, HTTPS, DNSSEC och RPKI (för BGP).
vmaapi.sr.se nyttjar HTTPS, så sidan är signerad och innehållet pålitlig. sr.se-domänen skyddas av DNSSEC, så så länge din DNS-resolver eller ISPs rekursiva DNS-resolver validerar signaturerna är du hemma. ISP:erna i Sverige är duktiga med detta (efter en tabu med DNSSEC). Jag hade varit mer orolig om de använt en domän som inte nyttjar DNSSEC och/eller haft en krånglig domän, likt sverigeradio.se. RPKI är mer avancerat och otroligt trist om nått blir fel, så många ISP:er drar sig för att implementera detta. Dock är det på G (https://isbgpsafeyet.com/) men långt ifrån klart.
Garanterar att alla större och en del mellanstora nyhetssiter nyttjar SRs API för VMA. Rätt trist att ha skiftgång ifall ett VMA kommer, eller ligga 8h efter alla andra.

Jag har genomgått ett flertal RK2-processer, de frågar om droger, jag måste berätta om skulder, lön och värde på allt jag äger, om jag är politiskt aktiv, om min barndom var bra, mina föräldrar, min partner, är jag aktiv på konstiga webbsidor och om jag har andra medborgarskap än svenskt (RK1 och 2 kräver svenskt medborgarskap hos myndighet, region eller kommun, dock kan jag ha helt andra medborgarskap utöver detta). Tänk på, SR(och SVT/UR) är ett privat bolag som är helt ägt av en stiftelse, som i sin tur får "donationer" från staten/oss skattebetalare.
Men, viktigt att veta är att det inte är SÄPO som har veto. De letar bara upp info och att det jag sagt stämmer. Kanske att de rekommenderar bu eller bä, men det är i slutändan alltid upp till arbetsgivaren som tar beslut.
Ni kan dock tänka er om ett bolag eller myndighet inte följer SÄPOs bedömning om nått skulle hända.

Informationssäkerhet (inte IT-säkerhet) är otroligt komplext, det är upp till dokumentförfattaren att sätta en nivå (Intern, hemlig, konfidentiell etc) som sen ska efterföljas av de som läser eller kopierar filerna.
Fundera på hur detta tekniskt skulle hanteras, ett attribut i själva filen ska sättas (kunna ändras?) och sen ska alla system som rör vid filen följa detta enligt regler som en tekniker sätter i varje system.
Nått sånt finns inte helt enkelt. Så man förlitar sig på policyn som är flummigt skrivna av nån chef eller advokat och personer som inte orkar. Finns det en informationssäkerhetsansvarig kan man fråga denna, men denna person brukar inte ha större koll så man får flummiga svar tillbaka.
Med detta i åtanke så kan man tänka sig att man sätter allt som "hemlig". Men om allt är hemligt så finns det heller inget hemligt.
Personligen är jag förespråkare av keep it simple, vägra molnfan. Så behöver du knappt tänka på det så mycket. Dock inte så lätt när alla chefer älskar Teams när det finns on-prem lösningar.
Moln passar dock startups och bolag som inte vill eller kan ha en mängd hårdvara ståendes nånstans. Känner inte till att några svenska molnbolag skulle ha SaaS-tjänster, så då hamnar saker oftast utomlands. MS på en dragning var stolta över att det inte var dom som ägde ett Azure-datacenter i Tyskland, utan det var Tyska staten som ägde den. För Tysklands motsvarighet till SÄPO/MUST inte alls är intresserade eller har kunskaperna att läsa sig in. Amerikanska Cloud Act är inte beroende på datacentret eller hårdvaran, utan datat på hårdvaran.

Precis så, men skulle vilja vända lite på det, oftast är säkerheten "over the top" så att det skapas skugg-IT. Användarna väljer andra molntjänster för att säkerheten på de man valt är så krånglig. Men säkerhet behöver inte vara krånglig. Mycket handlar om tekniker som vrider på fullt och tycker det är enkelt själva istället för att ta ett steg tillbaka och förstå eller tänka som en användare. Minst lika mycket behövs det utbildning för personalen, inget avancerat oftast.
Jag var på en säkerhetsdragning där en anställd berätta att hen använde sin jobbmail privat. Att folk gjorde så var/är för mig ofattbart.

Läser också det som autentiseringsnycklar, vilket är trist att de hamna i klartext i dokumentation, men inte alls förvånad att nycklar hamna i dokumentationen om författaren är av "gamla gardet" där allt ska finnas på ett ställe istället för att referera till en lösenordshanterare (dock annat problem, har driftansvariga åtkomst till rätt vault?).
Oavsett så låter det som att filer har skickats till DN, inte att filerna har läckt från M365/Teams/molntjänst.

SMS är otroligt lätta att förfalska, du behöver en lite mer avancerad SMS-klient så är du hemma i att ha avsändare som vem som helst. De flyger i bruten kryptering i luften också så otroligt lätta att läsa av (RCS!).

Läste att SVT litar på SR. Tänka sig. What are the odds? 😆

Jag har genomgått ett flertal RK2-processer, de frågar om droger, jag måste berätta om skulder, lön och värde på allt jag äger, om jag är politiskt aktiv, om min barndom var bra, mina föräldrar, min partner, är jag aktiv på konstiga webbsidor och om jag har andra medborgarskap än svenskt (RK1 och 2 kräver svenskt medborgarskap hos myndighet, region eller kommun, dock kan jag ha helt andra medborgarskap utöver detta).

Precis så, men skulle vilja vända lite på det, oftast är säkerheten "over the top" så att det skapas skugg-IT. Användarna väljer andra molntjänster för att säkerheten på de man valt är så krånglig. Men säkerhet behöver inte vara krånglig. Mycket handlar om tekniker som vrider på fullt och tycker det är enkelt själva istället för att ta ett steg tillbaka och förstå eller tänka som en användare. Minst lika mycket behövs det utbildning för personalen, inget avancerat oftast.

Detta har ju i stora drag tillbakavisats, SR säger att de visst kontrollerat konsulten, och att detta gjorts i paritet med den inte speciellt känsliga info de menar att han hanterat. Och nej, man behöver inte säkerhetsprövas för att vistas på skyddsobjekt.

Att ha tillgång till ett skyddsobjekt innebär inte automatiskt att man arbetar med säkerhetskänslig verksamhet (och måste genomgå en säkerhetsprövning eller placeras i säkerhetsklass). Skyddsobjekt är ett juridiskt begrepp och hjälpmedel för att ge tex en myndighet utökade befogenheter att efterleva säkerhetsskyddslagen på en fysisk plats där tex säkerhetsklassad verksamhet bedrivs. Det innebär dock inte automatiskt att allt i lokalen är säkerhetsklassat. Bara för att ett äpple växer på träd innebär det inte att alla träd är äppelträd.

Skyddsobjektsklassning innebär att obehöriga inte har tillträde, och att du alltid behöver identifiera dig för att få access. Du kan alltså gå på guidade visningar inom skyddsobjekt utan att genomgå en stor säkerhetsprövning, eller besöka flygplatser som är skyddsobjekt.

Vem som är behörig och till vilka delar bestäms av myndigheten själva. Beroende på om du arbetar med att bygga sändningsinfrastruktur, eller om du är komiker i Morgonpasset kan man alltså göra helt olika bedömningar för om, och isf till vilken nivå du behöver säkerhetsprövas.
Poängen är att myndighetens ansvar slutligen är att skydda säkerhetsklassificerad information. Det menar SR i sin inlaga att de gjort till fullo och det tycker jag är nyanserande och ger dom trovärdighet.

Och där är den mina damer och herrar! Den politiskt färgade jämförelsen med en organisation som inte har någonting alls med tråden i fråga att göra. Skönt, trodde att vi skulle vara utan när det tog sådan tid.

Bättre ide att hålla det här till SR kanske?

Fast nu är det väl knappast politiskt att vilja att pengarna ska gå till fattiga...? Precis som vi vill att pengarna ska skötas rätt i SR.

Lite udda läsning, han tycker det är horribelt att en server för öppen API står på Internet. Men inget om hur sällan man faktiskt pentestar servrar eller funktioner som ställs nåbara från Internet. Verkar måla fan på väggen då han om vad man kanske missat, men inget om sånt man kanske har lyckats med grundläggande.
Är inte utvecklare men brukar bli indragen i ett litet hörn pga mitt jobb. Jag hade gärna velat veta hur ofta man gör de analyser och rapporter han lyfter i tråden på utvecklingsprojekt, både statligt och privat.

Malmgren har en del 2 för intresserade: https://threadreaderapp.com/thread/1550045525721993216.html

SÄPO är inte så allsmäktig som man tror, de är väldigt begränsade till Sverige, svenska medborgare och register. De skriver själva i sin vägledning för personalsäkerhet från 2021:
T ex vill OKG, som äger och driver Oskarshamns kärnkraftverk, att den ansökande själv ska skicka in sitt egna registerutdrag från sitt lands belastningsregister.

Jag säger inte att SR inte har gjort en blunder, utan jag vill visa på att det inte är så lätt alltid, verkligen inte med den mjuka säkerhetsaspekten. Övertro att SÄPO har koll på allt och alla i världen är inte bra heller. Det visar sig rätt enkelt att kringgå en sån granskning, speciellt om personen inte är svensk medborgare.
Det går inte att sandboxa en person i en månad, likväl sandboxing av mjukvara i en brandvägg i 20min, där malware slår till först efter ett halvår eller senare (APT-attack).
Den nya Säkerhetsskyddslagen från 2019 underlättar en del säkerhetsaspekter (kontroller, rutiner etc), och samtidigt sätter större krav på både staten och företag. SR själva berättar att de har stramat till sig efter att lagen började gälla.