900.000 hjem. Ét svagt punkt. Én søndag aften.
Hvordan én fejl, som alle routere af én model delte, slog et helt lands kunder offline, og hvorfor rettelser til hele flåden skal være hurtige.
Fakta
Hvad skete der
En variant af Mirai spredte sig ved at udnytte en fejl i hjemmeroutere i stedet for at gætte adgangskoder. Den samme svaghed fandtes i hver eneste enhed af de berørte modeller.
Hvad det førte til
Mere end 900.000 Deutsche Telekom-kunder i Tyskland blev slået offline. Én fejl på tværs af en hel flåde ramte alle kunder og operatøren på samme tid.
Hvad CRA nu kræver
Begræns angrebsflader (bilag I, del I, nr. 2, litra j); udbedr sårbarheder uden forsinkelse (bilag I, del II, nr. 2); indberet aktivt udnyttede sårbarheder inden for 24 timer (artikel 14).
Kilde: Krebs on Security, "New Mirai Worm Knocks 900K Germans Offline", 30. november 2016
Historien
Jonas havde endelig fået tvillingerne til at sove. Det var søndag aften sidst i november 2016, og han og hans kone havde sparet det sidste afsnit af en serie hele ugen. Intet ville spille. Han gik ud i gangen, kiggede på den lille boks med blinkende lys, som telefonselskabet havde sendt dem, og slukkede og tændte den, som man gør. Intet. Han ringede til kundeservice, og en indspillet stemme fortalte ham, at ventetiden var længere end normalt. Meget længere.
Han vidste det ikke, men mere end 900.000 andre kunder stod i deres egne gange og gjorde præcis det samme. Ingen havde gættet Jonas' adgangskode. Han havde ikke gjort noget forkert. Kriminelle havde fundet et svagt punkt i selve den model af boks, og fordi de alle var bygget ens, faldt de alle sammen, som dominobrikker på række.
Det er faren, der gemmer sig i ethvert succesfuldt produkt: når du sælger det samme til hundredtusinder af hjem, er en fejl aldrig bare én fejl. Efter Cyber Resilience Act skal virksomheder bygge produkter med så få ulåste døre som muligt og rette svagheder uden forsinkelse, så længe de har lovet at understøtte produktet. Hvis kriminelle allerede udnytter et svagt punkt, skal virksomheden advare myndighederne inden for 24 timer. Rettelsen kommer først. Jonas og hans kone finder ud af, hvordan serien slutter.
Personerne og scenerne er illustrative. Hændelsen og fakta er virkelige.
Systemet, der ville have fanget det
2. Hold øje og ret
Et værktøj, der tjekker jeres stykliste mod nyoffentliggjorte sikkerhedsfejl, plus et kort ugentligt møde, der beslutter, hvad der skal rettes og hvornår.
Sådan virker systemetKunne I gøre det i dag?
Får hver sikkerhedsadvarsel en beslutning inden for to arbejdsdage?
Hvis den gælder, hvor klar er vi?
Seks ja-eller-nej-spørgsmål, to minutter. Jeres nej'er kommer tilbage i den rækkefølge, de skal løses.
Usikker på, om CRA gælder for jeres produkt? Tjek det først