Tunge, alenlange rapporter. Det er det normale resultat af arbejdet hos EU's cyberagentur, ENISA. Nu har Wikileaks - og hele affæren omkring det kontroversielle whistleblower-site, rusket grundigt op i agenturet.
Agenturet har højst usædvanligt udsendt en erklæring om Wikileaks.
"Vi har set tre store hændelser, der hver især har vigtige implikationer for informationssikkerheden," siger lederen af EU-enheden, professor Udo Helmbrecht.
Sagt med andre ord: Wow, hvad skete der lige her omkring Wikileaks?
Et eksempel er DDoS-angrebene. De bekræfter, siger EU-agenturet, at myndighederne effektivt skal kunne reagere mod trusler mod cybersikkerheden.
"Friheden til at bevæge sig mellem forskellige teknologier og lovmæssige områder, som internettet giver rum for, gør cybersikkerhed til en assymmetrisk udfordring. Men vores økonomi og vores regeringer er voldsomt afhængige af funktionsdygtige og modstandsdygtige systemer. Derfor er det en udfordring, der skal mødes med globalt samarbejde for at sikre alle aspekter af cybersikkerhed," siger Udo Helmbrecht.
Udover truslen fra DDoS-angreb har både lækagen og det efterfølgende pres på Wikileaks skabt panderynker hos EU-folket. I kronologisk rækkefælge fortæller ENISA, hvorfor de europæiske it-sikkerhedsspecialister er rystede.
Truslen fra whistleblowere
For det første viser lækagen hos USA's udenrigsministerium, at det er svært at forhindre trusler indefra, hvor en person beslutter sig for at blive whistleblower. Samtidig viser Wikileaks disse lækagers irreversibilitet; når papirerne først er ude, kan man godt glemme alt om at lægge beslag på dem igen. EU-diplomater har da også over for EUobserver.com fortalt, at de forventer, at den kommende EU-diplomatitjeneste øger sikkerheden efter Cablegate.
Truslen fra cloud-tjenester
Den anden hændelse er problemerne for Wikileaks. Deres amerikanske udbyder trak deres domæner og cloud-tjenester. Selv om firmaerne måske har haft lov i deres betingelser til at lukke for strømmen, så viser det, at firmaer i en global verden kan blive ramt af politisk pres i et andet land, hvor deres tjenesteudbydere har base. Agenturet nævner - i al beskedenhed - at de netop advarede mod jura-problemer i andre forskellige lande i deres analyse af risici ved cloud-tjenester for en måned siden. I rapporten advarer de eksempelvis mod "autokratiske politistater" (risici 21 og 22, side 44-45 i pdf).
Truslen fra DDoS
Den tredje trussel får også mest plads i erklæringen fra ENISA. Det er flokken af rebeller i Anonymous, der har brugt DDoS-angreb til at straffe virksomheder som Visa og Mastercards for at stoppe med at servicere Wikileaks.
Det startede med, at en aktivist, kaldet Jester, lancerede et angreb mod Wikileaks hjemmeside. Derefter gik Anonymous i aktion for at støtte Wikileaks.
ENISA konkluderer, at størrelsen på et DDoS-angreb ikke har den store betydning. Ifølge ENISA var antallet af computere, der havde installeret DDoS-værktøjet LOIC og deltog i angrebet relativt lille - det var i 100'erne, siger ENISA. Agenturet siger, at nogle artikler i medier fortalte om seks gange så mange angribere som i virkeligheden, hvilket viser, at det er svært at fastslå størrelsen på eksempelvis botnet.
Robustheden hos nogle af tjenesterne, som blev angrebet, viser desuden, cloud-arkitekturers modstandskraft mod DoS-angreb, skriver ENISA. Desuden noterer agenturet, at LOIC i visse tilfælde lader fremmede udføre handlinger på ens computer. Deltagere i angrebene afgiver altså kontrol til fremmede - og måske ondsindede personer.
