Advarer etter fryser­-hacking: – Beskytt ID og passord!

– Mer enn noen gang må man sørge for å beskytte identitetene sine og kartlegge sårbarheter, spesielt direkte mot internett, sier Geir Aasen til kode24. 

Han er teknologiekspert og strategisk rådgiver for IT- og systemarkitektur i det internasjonale programvareselskapet Quest. 

kode24 møter ham på konferansen Make Data Smart ved Dataforeningen i Oslo mandag, på en dag der frysere og kjøleskap i butikker Europa rundt har blitt skrudd opp så de varmer opp maten i stedet for å kjøle den ned. 

Butikkfrysere hacka Europa rundt

Frysere og kjøleskap i matbutikker er rammet i en rekke land i Europa. Ekspert ber butikker ta kjøleskap og frysere av internett.

Det skjer etter et større angrep mot franske butikker midt i oktober, som førte til kasting av tonnevis med mat. 

– Dette kan skje i Norge, det kan vi forvente i økende grad, uttalte sikkerhetsekspert Lars Eirik Berg til kode24 da. 

Kjøleskap hacka i Frankrike – forventer det samme i Norge

Franske butikker må kaste tonnevis mat etter et hackerangrep mot kjøle- og fryseskap. Sikkerhetsekspert Lars Eirik Berg ber nordmenn forberede seg på det samme.

Fant passord og logget seg inn

Det som skjedde i Frankrike, var:

• Noen fant passordet til kjølesystemet til supermarkedkjedene fra leverandøren Danfoss.

• Ifølge International Cyber Digest skal passordet til Danfoss-systemet være «admin», og passordet oppdateres til dagens dato hver dag.

• Selskapet hadde selv advart lenge om at produktene var sårbare og umulige å sikkerhetsoppdatere. 

Mandag var det også Danfoss-produkter som ble angrepet, i alle fall i Belgia. Også produsenten Copelands produkter skal ha blitt rammet. 

Så hvordan kan man sikre seg nå innen operasjonell teknologi (OT), der maskiner er på internett og lettere kan angripes?  

– Man må tenke på at den viktigste angrepsvektoren i disse tilfellene er identiteter, ofte stjålne identiteter eller standardpassord, sier Aasen. 

Han peker på at det finnes enormt mange gamle produkter, også i Norge, som er koblet til internett, men gjerne aldri blir oppdatert. 

– OT-miljøer generelt blir veldig sjelden holdt oppdatert på teknologi og blir lite sikra, fordi man ser på det som lukka miljøer. Der eksisterer ofte gamle operativsystemer, utdaterte sikkerhetsoverflater. 

– I den verden vi er i nå, er det ikke nødvendigvis sånn lenger at miljøa er lukka, understreker Aasen.

KI-utfordring og -hjelp

Videre advarer han mot hva kunstig intelligens kan brukes til av hackere. 

– Med slik type angrep vi ser nå, ser vi jo hva KI-drevne angrep kan få til. Det skjer med et helt annet tempo, frekvens og sofistikering nå enn det gjorde tidligere.

– KI gjør det lettere å finne passord? 

– KI finner lekkede passord på en helt annen måte enn mennesker var i stand til tidligere. 

– Hva bør utviklere tenke på i OT-sammenheng? 

– De bør tenke identitetssikkerhet også når de koder, i alle aspekter. At man er sikre på at det ikke ligger credentials i kode, og at man er nøye med sikkerhetshygiene på alt som er av kode. Spesielt i tilknytning til miljøer med lavere governance, monitorering og fokus.

Aasen peker på at man kan bruke KI til å hjelpe til med å finne gamle passord og brukernavn som måtte ligge i koden. 

Ikke-menneskelige identiteter 

På jobb for Quest er han for tida opptatt av ikke-menneskelige identiteter med mange rettigheter. På engelsk heter det non-human identity (NHI) og handler om tjenestekontoer, API-nøkler, roboter, automasjonsprosesser eller KI-agenter. 

– Kombinert med at det ofte er dårlig sikra, blir det en tikkende bombe. 

Han opplyser at det i en organisasjon i dag ikke er uvanlig med forholdet 1 til 100 mellom menneskelige ansatte og KI-agenter. 

– Har du 7.000 ansatte, kan du fort ha 100-gangeren med identiteter knyttet til KI. Antallet identiteter eksploderer voldsomt hos virksomhetene. Prosessene de har fra før, med forvaltning og sikring, er tilpasset et system med menneskelige identiteter. Det handler om å kartlegge og forstå hva agentene faktisk gjør i infrastrukturen og databasene, sier Aasen. 

Sliter med kartlegging

– I verste fall kan én agent ta ned hele selskapet. Den kan være kreativ, eller bli kompromittert. Når agenten kjører med så høye rettigheter, vil en eventuell angriper med prompt injection eller andre teknikker kunne nå alt det den agenten når, fortsetter han. 

Aasen peker på at utvikleres pipeline og forretningssystemer er avhengige av at identitetsinfrastrukturen er oppe og går. 

– Man må ha et forhold til å teste og øve på gjenoppretting. 

Et eksempel er hvordan OpenAI-agenter i sommer brøt ut av en sandkasse og hacket selskaper som Hugging Face. 

– Det vi hører fra kunder og organisasjoner i dag, er at de sliter med å få oversikt over hva alle de nye identitetene gjør, og dermed sliter de med å sikre det, sier Aasen. 

KI fant PHP-hullene: – Gammel kode er nå lavthengende frukt

Først da forskere med kunstig intelligens avslørte de to sårbarhetene, fikk verden panikk. – All gammel kode med menneskelige feil er nå lavthengende frukt, advarer norsk KI-ekspert.