All innhentet informasjon i dette innlegget er offentlig tilgjengelig. Ingen “hacking” er utført. Alle svakheter og sårbarheter som er nevnt er offentlig synlig for alle med nødvendig kunnskap på Internett. Ingen svakheter eller sårbarheter er “nye”, de har vært tilstede i flere år, om ikke tiår.

Nasjonal sikkerhetsmyndighet (NSM)sine grunnprinsipper for IKT-sikkerhet (versjon 2.1 pr 28.10.2024) er blitt et populært og velkjent verktøy for å 1) identifisere og kartlegge, 2) beskytte og opprettholde, 3) oppdage (hendelser) og 4) håndtere og gjenoprette når hendelser inntreffer.

Dessverre følger ikke NSM sine egne anbefalinger på flere punkter for beskyttelse av epost. De overholder heller ikke anbefalinger som er gitt fra Norwegian Digitalisation Agency (Digdir) for grunnleggende datakommunikasjon. Her er det snakk om internett standarder anbefalt av fagfolk over hele verden. Internett standarder som er obligatoriske krav hos myndigheter i flere andre land, f.eks. Tyskland og Nederland.

Kanskje enda verre: de overholder ikke krav gitt i Forskrift om IT-standarder i offentlig forvaltning, gjeldende fra 1 januar 2023, med siste frist for iverksetting 1 januar 2025.

Er det på tide å sende et varsel til Riksrevisjonen ?

Kaninhullet går dypere. MYE dypere!

Her kommer en forklaring på hva testresultatene betyr og hvorfor problemene strekker seg langt utover NSM.

Not reachable via modern internet address, or improvement possible (IPv6)

Dette punktet er egentlig ikke en sikkerhetsfunksjon. IPv6 er fremtidens adresseformat for absolutt alt som kobles til Internett. Det finnes ingen alternativer, IPv6 ble standardisert for mange år siden, og det er ingen vei utenom for fremtiden. Nettsiden ipv6ioffentligsektor.no holder oversikt over stat, fylke og kommune og hvorvidt nettsider, epost og dns for disse er tilgjengelig med IPv6 adresser.

Det er et krav i Forskrift om IT-standarder i offentlig forvaltning §12 at alle offentlige virksomheter skal ha alle nye og eksisterende tjenester tilgjengelig på både IPv4 og IPv6. Dette skulle være på plass 1 januar 2023, med mulighet iht §16 om å søke DigDir om inntil 2 års utvidet overgangsordning.

Not all domain names signed (DNSSEC)

Når man spør etter nettsiden www.nsm.no så spør man DNS om å få IP adressen til nettsiden. Ved å legge på en digital signatur på svaret tilbake til deg, så VET man at man ikke har fått feil svar, altså at ingen har klart å sende deg et svar som sender deg til en falsk nettside.

DNSSEC er på plass for NSM sitt domene, men mangler for mailserverne deres som heter mx1.fd.dep.no og mx2.fd.dep.no. Det er mailservere som står logisk plassert hos Forsvarsdepartementet (FD), og de betjener også epost for nettopp dem.

Som en fattig trøst til NSM så er epost sikkerheten til Forsvarsdepartementet (40% score) enda dårligere sikret enn for NSM (56% score).

Authenticity marks against email phishing (DMARC, DKIM and SPF)

Noen av de mest grunnleggende sikkerhetsfunksjonene er på plass for NSM. Hvitlisting av hvem som kan sende post på vegne av NSM (SPF), digitale signaturer på utgående epost fra NSM er i bruk (DKIM), og de har en policy (DMARC) som gir dem rapporter tilbake fra hele verden hvor de kan se om noen forsøker å utgi seg for å være NSM på epost – og stanse det.

Mail server connection not or insufficiently secured (STARTTLS and DANE)

På dette punktet viser det seg at mailserverne for NSM, driftet av Forsvarsdepartementet, har mangelfullt oppsett av kryptografi for nettopp å kunne kryptere informasjon som sendes på epost. 24 mars 2025 publiserte Nasjonal Sikkerhetsmyndighet sine oppdaterte kryptografiske anbefalinger i en veileder. Om denne har gått Forsvarsdepartementets “hus forbi” vites ikke, men oppsettet må nesten graderes usikkert med tanke på dagens anbefalinger og krav.

Forsvarsdepartementet har ikke lagt ut en liten tekstfil kalt security.txt som lar sikkerhetsforskere i hele verden enkelt finne kontaktdetaljer for å rapportere sårbarheter og svakheter. Sant skal sies, dette er en funksjon som fører til mye unødvendig støy, men bedre med ett tips for mye enn et for lite? Sikkerhetsselskapet Kovert har forøvrig nettsiden securitytxt.no hvor de følger med på offentlige organisasjoner som har fått security.txt på plass.

Forsvarsdepartementet har heller ikke en CAA publisert i DNS. Dette er en kort liste over sertifikatutstedere som har lov til å utstede krypteringssertifikater for nettopp Forsvarsdepartementet. Listen vil normalt også inneholde en epost adresse hvor sertifikatutsendere kan sende varsel dersom noen uten tillatelse ber om å få utstedt et slikt sertifikat.

Slike sertifikater kan brukes til å kryptere informasjon og de kan brukes til å signere dokumenter og programmer for å bekrefte hhv avsender og opphav. Uten denne listen kan “hvem som helst” både i teori og praksis få utstedt et ekte sertifikat i Forsvarsdepartementets navn, men bruke det til illegale formål. Jeg skal la være å utdype mulige konsekvenser av dette videre.

Sist men ikke minst har ikke Forsvarsdepartementet implementert støtte for DANE. Dette er en standard som sørger for at epost fra en mailserver til en annen blir sendt med tvungen kryptering, og krypteringen blir autentisert. På godt norsk: systemet sjekker at epost blir sendt til riktig mottakerorganisasjon, og innholdet krypteres slik at ingen kan avlytte, lese eller manipulere informasjonen som sendes på epost.

Siden disse sikkerhetsstandardene ikke er på plass hos Forsvarsdepartementet så rammer det også Nasjonal Sikkerhetsmyndighet direkte.

Unauthorised route announcement (RPKI)

I disse geopolitisk ustabile og spennende tider er dette punktet kanskje spesielt viktig. En gang for lenge siden, før hvermannsen fikk adgang på internett, så stolte man rimelig blindt på alle dem som var tilknyttet internett. Det endret seg raskt.

BGP er en protokoll som forteller internett leverandører av ulike slag hvilken retning de skal sende data for å få dem frem til mottaker. Alle som bruker BGP, for eksempel internett leverandører i Russland, Kina og Iran kan via BGP annonsere “Hei, jeg har IP adressene til Forsvarsdepartementet i Norge, så alle som skal sende data til FD kan sende dem til oss.”

Jeg antar at det ikke ville være ønskelig for hverken NSM eller Forsvarsdepartementet at alle mulige typer internett trafikk til og fra dem plutselig tok en omvei via Russland for avlytting, lagring og manipulering underveis. Derfor bør man ta i bruk RPKI. Dette er å legge på digitale signaturer for å sikre at egne IP adresser ikke blir redirigert til feil sted, med de konsekvenser det kan få. Jeg skrev om dette her på Linkedin 10 juni 2024 og tagget NSM og ikke minst Norwegian Communications Authority (NKOM).

Mer interessant er det kanskje at NKOM i sin EkomROS 2019 omtaler RPKI. Det gjør de også i sin “Internett i Norge” årsrapport 2022 og 2023, og man finner det i Regjeringens ekspertutvalg for nasjonal kontroll med kritisk digital kommunikasjonsinfrastruktur – ekomsikkerhetsutvalget. Bare for å nevne noen steder dette har blitt nevnt, diskutert og anbefalt. Men det er altså ikke tatt i bruk av Forsvarsdepartementet, og det rammer NSM, Departementenes Service Senter (DSS), Departementenes Digitaliseringsorganisasjon (DIO) og ikke minst Statens graderte plattformtjenester. Igjen, bare for å nevne noen av de berørte.

Jeg avslutter dette punktet med å vise til blogginnlegget fra danske Yoel Caspersen hos Ingeniøren/Version2 i Danmark, datert 2 mai 2020: “Weekendprojekt – Bedre sikkerhed med RPKI“. Her forklarer han teknisk hvordan ved bruk av gratis programvare i løpet av en helg setter opp RPKI støtte for et nettverk. En person, en helg. Gratis programvare.

I forbindelse med lanseringen av NSM sin årsrapport “Risiko 2025: Et sikkert Norge i en usikker verden” uttalte sjef NSM Arne Christian Haugstøyl at det er “på høy tid å gå fra ord til handling.”

Jeg venter i spenning.