Ni minutter til at sende filen. Så blev internettet stille.
Hvordan kaprede apparater i almindelige hjem lagde store hjemmesider ned langt væk, og hvad CRA siger om produkter, der skader andres tjenester.
Fakta
Hvad skete der
Et Mirai-botnet, bygget af kaprede kameraer, optagere og routere, oversvømmede Dyn med trafik. Dyn leverer DNS, adressebogen der omsætter navne på hjemmesider til internetadresser.
Hvad det førte til
Adgangen til store sider som Twitter, Spotify og Reddit blev forstyrret. Skaden ramte virksomheder og brugere langt fra de hjem, hvor de inficerede enheder stod.
Hvad CRA nu kræver
Minimér den negative påvirkning af tilgængeligheden af tjenester fra andre enheder eller netværk (bilag I, del I, nr. 2, litra i); reducér virkningen af en hændelse (bilag I, del I, nr. 2, litra k).
Kilde: Krebs on Security, "DDoS on Dyn Impacts Twitter, Spotify, Reddit", 21. oktober 2016
Historien
Rachel havde ni minutter til at sende filen. Kunden ventede, det var fredag morgen i oktober 2016, og hun havde lovet det. Hun trak filen ind på hjemmesiden, og siden ville ikke indlæse. Hun åbnede Twitter for at se, om andre havde problemer, og Twitter ville heller ikke indlæse. Spotify var stoppet midt i en sang. Reddit var en blank skærm. Lamperne på hendes internetboks lyste alle grønt, hvilket på en eller anden måde gjorde det værre.
Hvad Rachel ikke kunne se, var en virksomhed ved navn Dyn, som fungerer som internettets telefonbog: når du skriver navnet på en hjemmeside, slår den op, hvor siden faktisk ligger. Dyn blev oversvømmet af falske forespørgsler, som en telefonlinje blokeret af millioner af robotopkald på én gang. Opkaldene kom fra kameraer, videooptagere og internetbokse i almindelige hjem, overtaget i hemmelighed. Ejerne var ved at spise morgenmad. De anede intet.
Det er historiens mærkelige kerne: skaden ramte hundredvis af kilometer fra de apparater, der forårsagede den, og ramte folk, der aldrig havde købt et. Cyber Resilience Act er skrevet til netop dette. Et produkt må ikke skade tilgængeligheden af andres tjenester, og det skal bygges, så skaden forbliver lille, hvis nogen bryder ind. Læg et forbud mod fælles fabriksadgangskoder og en pligt til at blive ved med at rette svagheder oveni, og den hær bliver aldrig hvervet. Rachel sender sin fil med otte minutter til overs.
Personerne og scenerne er illustrative. Hændelsen og fakta er virkelige.
Systemet, der ville have fanget det
At begrænse den skade, et kapret produkt kan gøre, er et designkrav til selve produktet. At beslutte, hvad produktet må sende, og holde releasen tilbage, indtil det er begrænset, kræver én ejer.
5. Beslut og tag ejerskab
Én navngiven person med ansvar for CRA-arbejdet, med et budget og myndighed til at stoppe en release. Beslutninger skrives ned på én side.
Sådan virker systemetKunne I gøre det i dag?
Ved I, hvad jeres produkt kunne sende ud på internettet, hvis nogen overtog det?
Hvis den gælder, hvor klar er vi?
Seks ja-eller-nej-spørgsmål, to minutter. Jeres nej'er kommer tilbage i den rækkefølge, de skal løses.
Usikker på, om CRA gælder for jeres produkt? Tjek det først