Universitetet under angrep

Søppelpost er imidlertid ikke det største problemet til Universitetet i Oslo (UiO) på IT-fronten. 200 forsøk på passordsvindel i året, dårlig vedlikeholdte hjemmesider og tre til fire millioner SSH Brute force-angrep i døgnet utgjør langt større trusler.

Passordsvindel

De fleste studenter og ansatte ved UiO har på et eller annet tidspunkt fått en e-post med spørsmål om å oppgi sitt brukernavn og passord til Universitetets senter for informasjonsteknologi (USIT). Dette er alltid svindel.

– Over tid kan det virke som antallet ulike forsøk på passordsvindel øker. Vi ser at stadig flere oversettes til godt norsk, eller er spesielt laget for å ramme UiO-brukere, sier sjefsingeniør i USIT, Espen Grøndahl.

I 2009 behandlet USIT 200 saker på slike svindelforsøk, og det var rundt 30 brukere som gikk i fella. Disse fikk kontoen sin sperret for å hindre misbruk inntil de fikk byttet passord.

På tross av at svindelforsøkene er blitt bedre og mer målrettet, er brukerne blitt flinkere til å gjenkjenne disse e-postene som svindel.

Dårlig vedlikehold

En av de største sikkerhetstruslene ved UiO i dag, kan være bruken av dårlig vedlikeholdte webapplikasjoner som ligger på nettsider tilknyttet universitetets servere. USIT har lite eller ingen kontroll over vedlikeholdet av disse applikasjonene, og sikkerheten blir dermed dårligere.

Det har vært tilfeller hvor applikasjoner har blitt brukt for å få tilgang til UiO sine servere. Hackerne har hittil nøyd seg med å spre søppelpost, men det kan bli mye verre.

– Hvis disse hackerne gjennom slike applikasjoner får fatt i en konto med stor tilgang på UiO sitt nett, kan de gjøre stor skade. De kan også tilegne seg data som ikke skal på avveie, og sensitiv informasjon, sier Grøndahl.

Automatiserte innbruddsforsøk

En annen form for angrep er såkalte SSH Brute force-forsøk. Det er automatiserte forsøk på å gjette passordet til en del standardbrukere fra navnelister som ligger på nett.

I døgnet er det omtrent tre til fire millioner forsøk på SSH Brute force mot UiO.

– Dette blir som om en innbruddstyv kjenner om døra er låst og går videre. I et eller to tilfeller slipper slike gjennom, men da har brukeren valgt et veldig lett passord som forekommer i engelske ordbøker, sier Grøndahl.

Godt sikret

Store institusjoner er vanskelige å sikre da det er mange datamaskiner er i bruk og det er mange brukere. Dette fikk selv politiet erfare, da de 12. mars i fjor ble angrepet av viruset Conficker som slo ut flere tusen maskiner.

IT-direktør Lars Oftedal mener imidlertid at IT-sikkerheten ved UiO er meget god.

– Det som skjedde hos politiet kan ikke skje hos oss. Vi har et høyt fokus på sikkerhet, et godt driftsopplegg for kontormaskiner, vi overvåker mye og vi kjører viruskontroll på samtlige maskiner. Videre har vi ganske god oversikt over hvilke applikasjoner som brukes, men vi ønsker å bli bedre på dette området, sier Oftedal.

Espen Grøndahl ved USIT forteller at de siden 2008 har sett en markant økning i klager UiO mottar i forhold til fildeling. Hovedgrunnen til dette er fordi opphavsindustrien i større grad bruker automatiserte varslingssystemer på fildeling. Disse er imidlertid ikke alltid til å stole på.

Bare tull

– For fem år siden stemte alle klagene vi fikk fra opphavsindustrien, men nå ser vi at mye bare er tull, sier juridisk rådgiver ved USIT Walter Martin Tveter.

For eksempel mottok USIT en klage fra de som hadde opphavsretten til tegneserien Iron Man. De mente at det lå en fil på UiO sine servere som de hadde opphavsretten til. Ved nærmere undersøkelse viste det seg imidlertid at filen det var snakk om var en PDF-fil med ordene Iron Man i tittelen.

Stoler på brukerne

Når USIT mottar en klage om fildeling, informerer de brukerne om dette via e-post. De ber også om en tilbakemelding på om UiOs IT-reglement med tilhørende retningslinjer er lest og forstått. Tveter mener dette er en løsning som fungerer brukbart.

– Vi merker en økning i nedlastninger, basert blant annet på mottatte klager og økt bruk av linjen. Det er trolig at mange oppfatter en advarsel som mindre avskrekkende enn en utestengning. Slik opphavsrettsindustrien opptrer, er det imidlertid ikke mulig å feste særlig tillit til deres klager. For fem år siden stemte nok de fleste klagene vi mottok fra opphavsrettsindustrien, men nå ser vi at mye av det ikke stemmer.