Persónuvernd á tímum veirusýkinga

„Interpol und Deutsche Bank, FBI und Scotland Yard

Flensburg und das BKA, Haben unsere Daten da“

Meðlimir hljómsveitarinnar Kraftwerk hafa líkast til ekki þótt pólitískir á sínum æskuárum. Á meðan John Lennon söng um Víetnam og kvenfrelsi voru lagasmíðar Kraftwerk að mestu textalausar. Þeir textar sem þó leyndust í einstaka lagi einkenndust af naumhyggju og umfjöllunarefnið var oftar en ekki firring manneskjunnar í tæknivæddum heimi. Þetta stef er vissulega ráðandi í línunum hér að ofan en ef vel er að gáð leynist þar einnig beitt ádeila á söfnun ríkisins á persónuupplýsingum.

Interpol, Deutsche Bank, FBI og Scotland Yard eru flestum kunn nöfn, en seinni línan þarfnast e.t.v nánari skýringa. Í Flensburg eru höfuðstöðvar þýsku bifreiðaskráarinnar (þ. Verkehrsamt), sem geymir m.a. upplýsingar um bílnúmer og sektir fyrir of hraðan akstur, og BKA er skammstöfun fyrir Bundes Kriminal Amt eða þýsku alríkislögregluna. Kraftwerk-liðar hafa greinilega áhyggjur af þeim gögnum sem þessar stofnarnir safna um þegnana, og ekki að ósekju.

Mikilvægi persónuverndar

Persónuvernd er ein af grundvallarstoðum lýðræðisþjóðfélags. Meginmarkmiðið er auðvitað að tryggja kjósendum frelsi til þess að hafa skoðanir sem ekki hugnast valdhöfum, en málið hefur einnig aðra fleti sem ekki eru jafnaugljósir. Jafnvel þótt við gætum treyst valdhöfum fullkomlega fyrir því að nota upplýsingarnar aðeins til góðra verka, þá er sjálf tilvist gagnanna hættuleg ein og sér. Ógnin stafar af því að aðrir, en þeir sem til þess hafa umboð, gætu komist yfir þau. Slíkt ógnar ekki einungis einstaklingum heldur einnig viðskiptalífinu í heild. Ef einn aðili á markaði kemst t.d. yfir mikilvægar persónuupplýsingar um stóran hóp viðskiptavina þá er samkeppnisstöðu fyrirtækja augljóslega raskað.

Kveikja þessara vangavelta um persónuvernd er reyndar ekki tónleikahald þýskra raftónlistarmanna í Hafnarfirði, heldur fréttir um nýjan veiru- (eða orma-) faraldur í tölvum sem brúka Windows stýrikerfið frá Microsoft. Slík tíðindi birtast nú jafnreglulega í fjölmiðlum og veðurfréttirnar. Beinn kostnaður vegna viðbragða við veirusmiti getur verið gríðarlegur, t.d. má nefna að öryggisfyrirtækið mi2g telur að MyDoom veiran hafi kostað fyrirtækin á Jörðinni þrjá miljarða bandaríkjadollara vegna tapaðra viðskipta, minni framleiðni, álags á tölvukerfi o.s.frv. Kostnaðurinn féll ekki til vegna þess að veiran stæli gögnum eða skemmdi þau, hún var meinlaus að því leyti. Veiruhöfundurinn ákvað einfaldlega að hnýsast ekki í gögn þeirra sem hann smitaði þótt honum væri það í lófa lagið. Veirussmiður, sem hefði stuld persónuupplýsinga að markmiði, gæti því haft enn verri áhrif. Það veldur því áhyggjum að opinberar stofnanir, sem safna persónuupplýsingum, nota Windows stýrikerfið í ríkum mæli.

Hvað er að Windows?

Útbreiðsla Windows stýrikerfisins er slík að fyrir mörgum er viðmót þess skilgreiningin á tölvu. Hinir miklu yfirburðir Microsoft á stýrikerfamarkaði gera Windows að girnilegu skotmarki fyrir veiruhöfunda. Hins vegar eru einnig tæknilegar skýringar á veirufaraldrinum í Windows-heiminum.

Í bók sinni, The Art of UNIX Programming, fjallar Eric S. Raymond um sögulegan bakgrunn Windows og nokkur grundvallarhönnunarmistök sem valda því að í raun er ómögulegt að gera kerfið öruggt. Stýrikerfaframleiðsla Microsoft hófst með DOS og Windows nútímans ber rótum sínum ófagurt vitni. DOS var hugsað sem einfalt stýrikerfi fyrir fyrstu ódýru heimilistölvunnar frá IBM (IBM PC vélarnar). Ekki var gert ráð fyrir nema einum notanda og nettengingar voru ekki á döfunni. Af þessu leiddi að forrit fyrir DOS voru ekki skrifuð með öryggi í huga. Í gegn um tíðina hefur Microsoft svo haldið fast við þá stefnu að lágmarka breytingar á stýrikerfinu sem gætu valdið vandræðum við að nota gömul forrit með nýjum útgáfum þess. Sú stefna hefur reynst góð herkænska í samkeppninni á einkatölvumarkaðinum en ókosturinn er sá að Windows stenst alls ekki öryggiskröfur nútímatölvuumhverfis.

Raymond nefnir nokkur dæmi máli sínu til stuðnings. Dæmin eiga við þá útgáfu af Windows sem hann kallar Windows NT (þar með talið er Windows 2000, sem er í raun Windows NT útgáfa 5, og Windows XP, sem er Windows NT útgáfa 5.1). Þótt skráakerfi Windows NT leyfi nákvæmar aðgangsstýringar, eins og nauðsynlegt er í fjölnotendakerfi, þá leyfir stýrikerfið að farið sé fram hjá þeim til þess að tryggja virkni gamalla forrita. Engar öryggishömlur eru á samskiptum milli tveggja forrita sem nota myndrænt notendaviðmót. Þótt Windows NT noti MMU (e. Memory Management Unit) vélbúnaðarins, til þess að tryggja að forrit geti ekki komist í gögn hvor hjá öðru, þá notar gluggakerfishluti stýrikerfisins sama minni og kjarni þess, til þess að auka hraða. Í nýlegum útgáfum Windows NT hefur vefþjóninum meira að segja verið leyft að komast í minni kjarnans, til þess að auka hraða vefþjónsins. Þessi hönnunarmistök auðvelda veiruhöfundum til mikilla muna sinn leiða starfa.

Af þessu er ljóst að allir þeir sem vinna með persónuupplýsingar í Windows stýrikerfi verða að gæta þess að ekki séu opnuð á vélunum keyranleg viðhengi með tölvupósti, þær séu bak við eldvegg eða bara alls ekki nettengdar. Hinn möguleikinn er auðvitað að nota annað stýrikerfi, draga þar með um leið úr einsleitni tölvukosts jarðarbúa og auka líkurnar á því að staðhæfing Kraftwerk manna í lokalagi Computerwelt plötunnar verði að veruleika: „It’s more fun to compute“.

Nánari upplýsingar:

Sophos um MyDoom

mi2g um kostnað við MyDoom

The Art of UNIX Programming

Öryggisleysi Windows