Intersect AS

Rundt klokken 00.50 natt til mandag 3. august startet et tjenestenektangrep som rammet flere av Digitaliseringsdirektoratets tjenester. Angrepet fikk store konsekvenser for det digitale Norge og samfunnskritiske aktører som Skatteetaten og Norsk Helsenett fikk problemer med å levere de digitale tjenestene sine. Angrepet var det andre mot Digitaliseringsdirektoratet denne sommeren og det er neppe siste gang de norske fellesløsningene blir utsatt for slike trusler. Burde vi hente inspirasjon fra hvordan Estland sikrer digital stabilitet når fellesløsninger blir angrepet?

Hva er disse fellesløsningene?

To av de viktigste fellesløsningene i Norge er ID-porten, som lar brukere logge inn på offentlige tjenester, og Maskinporten, som lar offentlige virksomheter dele data med hverandre og med private virksomheter. Statistikk fra Digitaliseringsdirektoratet viser at ID-porten sikrer rundt 30 millioner innlogginger på en vanlig måned. Mellom 4000 og 5000 norske virksomheter benytter Maskinporten til å hente data fra en av de 63 offentlige virksomhetene som har publisert data gjennom løsningen i løpet av en måned. Maskinporten brukes blant annet av Skatteetaten, NAV og SSB til å dele data om arbeidsforhold og lønn. Det er med andre ord systemer som er kritiske for at vårt digitale samfunn skal fungere.

Hvordan fungerer Maskinporten?

Med Maskinporten kan man gi en virksomhet tilgang til data gjennom et API. Når en virksomhet skal hente data fra en annen virksomhet skjer det i fire steg (se figur 1):

1. Virksomhet 1 identifiserer seg ovenfor Maskinporten og sier hvilke data den vil ha tilgang til.
2. Maskinporten sjekker at virksomhet 1 faktisk skal ha tilgang til dataene og sender tilbake et token (et slags passord med kort varighet) som gir tilgang til dataene.
3. Virksomhet 1 sender token som bevis på at den skal ha tilgang til etterspurt data fra Virksomhet 2.
4. Virksomhet 2 finner frem dataene som har blitt etterspurt og sender den til Virksomhet 1.

Fordelen med en slik løsning er at det blir enkelt for norske virksomheter å samarbeide og dele data. Ved å bruke en felles løsning for å gi og få tilgang til data slipper man at det opprettes egne brukere hver gang data skal deles, og det blir enklere, raskere og tryggere å samarbeide på tvers av virksomheter.

Hva er et DDoS-angrep?

I forrige uke opplevde Norge et DDoS-angrep. Disse går ut på at man genererer store mengder trafikk mot en tjeneste med mål om å overbelaste tjenesten. Når tjenesten blir overbelastet vil den ikke kunne håndtere vanlig trafikk og brukere av tjenesten vil oppleve at den er utilgjengelig. Sofistikerte DDoS-angrep kan generere enorme mengder trafikk fra ulike kilder mot en tjeneste og kan være svært vanskelige å forsvare seg mot. De blir også stadig mer vanlige. I et slikt angrep blir ikke data stjålet, men tjenester kan bli utilgjengelige over lengre tid, slik vi var vitne til på mandag.

Hvordan påvirker digitale angrep brukere av Maskinporten?

Når Maskinporten blir utilgjengelig vil det ikke lenger være mulig å skrive ut tokens og identifisere virksomheter. Dette gjør at datadeling mellom Virksomhet 1 og Virksomhet 2 fra Figur 1 stopper opp helt til Maskinporten blir tilgjengelig igjen. Det vil ikke føre til at data kommer på avveie, men gjør at viktig informasjonsflyt stopper opp.

I en tenkt situasjon hvor en angriper får tilgang til Digitaliseringsdirektoratets systemer er resultatet et annet. Da vil angriperen kunne komme seg rundt autentiseringen i Maskinporten og dermed urettmessig få tilgang til data som er sikret gjennom løsningen. Dette kan følge disse tre stegene (se figur 2):

1. Angriper benytter tilgangen til Maskinporten til å skrive ut et token til seg selv.
2. Angriper benytter token til å verifisere seg mot en intetanende virksomhet.
3. Virksomhet sender etterspurt data til angriperen.

I dette tilfellet vil all data som er sikret gjennom Maskinporten være tilgjengelig for angriperen. Nå er det liten tvil om at Digitaliseringsdirektoratet er kjent med sitt samfunnsansvar og tar sikkerhet på alvor, men det er viktig å være bevisst på at dette er en risiko med en sentral løsning for tilgangsstyring. Et av fokusområdene i vår nasjonale digitaliseringsstrategi 2024-2030 er at vi skal bli flinkere til å dele mer data og utnytte mulighetene i datadrevet innovasjon. Da er det viktig at systemene vi har for nettopp datadeling er sikre og robuste. Det er liten tvil om at Maskinporten har bidratt til enorm verdiskaping i Norge, og løsningen har siden lanseringen i 2019 forenklet hverdagen til både offentlige og private virksomheter. Allerede i 2024 ble det anslått at løsningen hadde spart samfunnet for en milliard kroner, og besparelsene har bare økt siden den gang. Derfor er det ekstra viktig at systemene fungerer til enhver tid. Angrepet i forrige uke viser noe av sårbarheten. Når vi skal finne løsninger for fremtiden, kan det være bra å se på hvordan andre nasjoner har bygget sine systemer for å ruste seg mot tilsvarende utfordringer.

Hva gjør Estland?

Estland blir ofte løftet frem som et eksempel på en vellykket digital stat. Allerede i 2007 opplevde Estland omfattende DDoS-angrep fra Russland. Denne erfaringen har de tatt med seg i byggingen av sitt nasjonale datadelingssystem X-Road. Dette systemet har hatt et spesifikt mål om at datadeling skal fungere selv når sentrale deler av løsningen blir utilgjengelige. Hvordan har de fått til det?

I et X-Roadsystem har hver virksomhet en sikkerhetsserver, og alle sikkerhetsserverne vet om hverandre ved at de blir publisert i et felles register. Prosessen når System 1 hos Virksomhet 1 skal ha tilgang til data fra System 2 hos Virksomhet 2 blir nå (se figur 3):

1. System 1 etterspør data hos Sikkerhetsserver 1.
2. Sikkerhetsserver 1 spør Sikkerhetsserver 2 om tilgang til data fra System 2.
3. Sikkerhetsserver 2 avgjør om Virksomhet 1 skal ha tilgang til dataene. Hvis tilgangen blir godkjent sendes dataene til Sikkerhetsserver 1 og derfra videre til System 1.
4. Både Sikkerhetsserver 1 og Sikkerhestsserver 2 loggfører hvilke data som har blitt delt og når det ble delt.

I denne løsningen vil ikke et utfall av fellestjenestene gjøre at datadeling stopper opp. Hver sikkerhetsserver har lagret en kopi av informasjonen den trenger fra fellestjenestene, og denne informasjonen kan settes til å være gyldig i for eksempel tre dager. Dermed kan datadeling fortsette i opptil tre dager uten at man blir påvirket av et utfall av fellestjenestene.

Vårt tenkte scenario der en angriper får tilgang til fellestjenestene er fortsatt en alvorlig sikkerhetshendelse, men denne gangen får ikke angriperen tilgang til data han ikke skal ha tilgang til. Grunnen til det er at det er hver enkelt virksomhet, i dette tilfellet Virksomhet 2, som bestemmer hvem som skal ha tilgang til denne virksomhetens data. Selv om fellestjenestene blir kompromittert vil det ikke være mulig å gi seg selv tilgang til data man ikke skal ha tilgang til. Delegering av tilganger og identifikasjon av virksomheter gjøres ikke sentralt, men på virksomhetenes egen sikkerhetsserver.

Hva skal til for at norske virksomheter kan bruke X-Road?

Vi i Intersect er allerede godt i gang. Hos oss kan du bruke X-Road som en tjeneste, og du får dratt nytte av alle fordelene med en av verdens ledende datadelingsløsninger, uten at du må lære deg en ny teknologi. Estland har gjort koden for X-Road åpent tilgjengelig, og prosjektet vedlikeholdes nå av Nordic Institute for Interoperability Solutions i Finland. Det er allerede mer enn 25 land som har begynt å bruke denne løsningen, blant annet Finland og Island. Erfaringene har vært gode og man ser at enkel og sikker datadeling ikke bare løser dagens problemer, men tilrettelegger for bedre og mer sammenhengende innbyggertjenester og et tettere samarbeid mellom det offentlige og private. Ved å koble oss på en internasjonal løsning kan vi i Norge dra nytte av utvikling som gjør det både enklere og sikrere å samarbeide med EU og andre nordiske land. Vi i Intersect hjelper deg med alt fra publisering av tjenester til delegering av tilganger og faglige anbefalinger. Velkommen til en god samtale om hvordan du kan dele og få tilgang til data på en sikker måte!