Sikkerhedshul i industriel forsynings-software

Jens Madsen skrev:
Er det overhovedet rimeligt, at give fængselsstraffe, til dem som søger at vaxinere vort samfund? Hvad med at sætte læger i fængsel, fordi de vaxinerer folk, og giver dem en uskyldig virus, før det går løs?

Jeg kan godt røbe, at hvis en læge forsøgte at give mig en vaccine mod min vilje, ville jeg ikke nødvendigvis være vildt begejstret, medmindre det var livsnødvendigt, og jeg ikke selv havde mulighed for at give mit samtykke.

Hvis vaccinen derimod er valgfri, er det helt fint.
Men sådan er det nok sjældent når det drejer sig om virus der sendes til min computer.

Jens Madsen skrev:
Hvad med at give fængselsstraffe, til programmørene og de ledelsesansvarlige for den ramte software, hos ICONICS?

Problemet er, at virksomhederne ikke forstår, at sikkerhedsproblemer altså er alvor. Skal de forstå det, må der høje bøder på bordet - og fængselsstraffe til såvel programmørerne, som deres ansvarlige leder.

Vi er alle enige om, at fejlen ikke opstår på grund af virus programmørerne. Men på grund af dem, der programmerer sikkerhedsbrister!

Uanset, at en fejl skyldes uheld, så er rimeligt, at den giver fængselsstraffe. Hvis vi ikke havde færdselslove, vil alle bare køre rundt og køre hinanden over i trafikken. Også fejl og uheld, kan undgås ved lange fængselsstraffe. Folk tænker sig ganske enkelt om, før de lægger en fejl på.

Derimod hjælper intet, at gøre mod dem der laver virus. Tværtimod skal vi takke dem, fordi at virussen ikke har ødelagt alt. Sikkerhedsfejl, der ikke opdages, giver en alvorlig risiko, for synkroniseret samtidigt angreb, af dem der har lagt fejlene ind, eller som har kendskab til fejlene. Virus, kan når de er uskyldige, fungere som vaxine.

Er det overhovedet rimeligt, at give fængselsstraffe, til dem som søger at vaxinere vort samfund? Hvad med at sætte læger i fængsel, fordi de vaxinerer folk, og giver dem en uskyldig virus, før det går løs?

Dem, der skal fængsles, er de ansvarlige for sikkerhedsbristen - og i mange tilfælde, også programmørerne. Er fængselsstraffe til programmørerne, vil de tænke sig om, og de vil nægte at tage imod ordre, der sætter dem i spjældet. Er ikke fængselsstraffe, vælger de at misforstå ordrer, så de kan opnå at få fejl lagt ind. Såvel programmør, som de ansvarlige må stå til regnskab for fejl.

Har samfundet ikke råd til at miste deres arbejdskraft, er det intet problem. Mange fængsler har arbejdslejrer, hvor de indsatte kan få lov at arbejde. Det er intet problem, at tilbyde softwarejobs i fængsler, under hensyn til hvad personerne har af straf, og man mener man kan tilbyde dem, med sådanne forudsætninger. Ikke alt software, er af sikkerhedsmæssig risiko, så der er nok at lave, også for dem der ikke formår at opnå tilstrækkeligt høj sikkerhedsniveau. Og ellers er det nok fordi de kan undværes.

Jeg må tilstå at jeg ser ovenstående som noget totalt vås fra start til slut.
Alt kan misbruges, hvis man vil, og du vil have at software skal være så sikkert så misbrug er umuligt. Det vil i såfald være det eneste, der ikke kan misbruges - og hvorfor skal det så have en særstilling?
Nej, selvfølgelig skal misbrugerne straffes og ikke udviklerne af softwaren. Det kan i hvert fald først komme på tale, hvis firmate nægter at rette diverse kritiske og kendte fejl.

Jeg tror ikke, at softwarebranchen tager sikkerhedsbrister alvorligt. Og i mange tilfælde, er det tydeligt tale om kriminalitet, og ikke fejl.

Hvis du indbygger en feature, der muliggør at kode kan sendes som post, eller på andre måder mellem computere, og kan initialiserer sig automatisk, og sende kode af sted til andre computere - så er det klart tale om en ulovlighed. Det er forbudt opførsel.

Jeg mener, at det er relativt nemt, at se fejl, fra kriminalitet. Fængselsstraf, skal naturligvis kun gives ved kriminalitet, eller groft uforsømmelighed.

Hvis du har defineret en feature, i dit operativsystem, der tydeligvis muliggør virus, så er det klart uacceptabelt og bør være kriminelt.

For at tydeligtgør at det er kriminel opførsel, er en fordel med en lovgivning, på samme måde som vi har for alt andet af sikkerhedsmæssig betydning i vort samfund. Vi skal have lov for operativsystemer, der direkte forbyder at de implementerer features, der muliggør kriminel opførsel, såsom virus.

Det er så ganske tydeligt, når nogle implementerer dette - enten i specifikationen, eller ved at implementere udokumenterede bagdører.

Jeg har meget svært ved at forestille mig, at andet end kriminelle softwarefolk, kan forsvare nogen, der lægger bagdører ind i software, der muliggør at computeren kan overtages af kriminelle, eller af virus. Vi har brug for, at softwarebranchen gør noget for at undgå fejl. Og det sker desvære kun med lovgivning, ansvar, og straffe.


Vi står med meget alvorlige problemer i vort samfund, fordi at vi har en helt branche - computerbranchen - der styres, og ledes af kriminelle. Det er helt uacceptabelt, og det er nødvendigt, at vi får nogle love, så de kriminelle kan sættes i fængsel. Vi kan sagtens undvære 50 - 60% af ansattte i branchen, hvis det er nødvendigt. Jeg tror dog, at med lovgivning, vil de fleste programmører nægte at kode noget ulovligt. Og reelt vil vi kun se ganske få fængselsstraffe. Årsagen til de mange kriminelle, er alene, at der ikke er lovgivning, og så er det jo reelt ikke kriminelt, at "køre råddent". Hvis, vi får love, vil de fleste holde sig indenfor lovens grænser.

Uskyldige fejl, som enhver programmør kan komme til, og ikke har nogen mulighed for at kunne anvendes til terror, eller politisk, mener jeg naturligvis ikke bør give store straffe.