DDOS, IoT og Bitcoin

"Termostatenes grusomme hevn" er tittelen på Morgenbladet
sin omtale av det IoT-baserte DDOS-angrepet
(Ill: Kristoffer Nilsen)

Den siste tida har vore prega av omfattande DDOS-angrep mot fleire mål. DDOS står for Distributed Denial of Service og er eit par hakk opp frå Denial of Service (DOS) der du ved hjelp av ei eller nokre få maskiner bombarderer ein web-server med førespurnader slik at den til slutt knelar. Eit DDOS-angrep set i verk tusenvis av maskiner og det er den distribuerte delen.

Eit av dei siste angrepa var retta mot domenenamn-tenesta (Domain Name System - DNS) Dyn. Det spesielle med angrepet var at Internett-dingsar (Internet of Things - IoT) vart nytta som angrepshær, og at angrepet vart retta mot ei namneteneste. Dette set søkjelys på to viktige og sårbare område:

1. Den sentraliserte domenenamn-tenesta på nettet (organiseringa av DNS-systemet)
2. Dei sårbare "dingsane" som blir kopla til nettet i stor skala (Tingas Internett - IoT)

Majoriteten av Internett-dingsar var overvakingskamera. Angrepet var like enkelt som det var sofistikert, i følgje pcmag.com: Angriparane leita seg fram til overvakingskamera og heime-ruterar av merket Hangzhou Xiongmai Technology, som har Linux i botnen. Dei prøvde seg med standard-innstillingane frå fabrikken, og dei lukkast i stor grad å logga inn på utstyret med det (!). 

Sentralisert domenenamn-teneste

Angrepet på DNS-tenesta Dyn set søkjelyset på eit problem med dagens Internett: Den sentraliserte delen DNS som held styr på koplinga mellom ip-nummer og namn. Internett vart designa som eit distribuert nettverk nettopp for å unngå eitt eller nokre få sentrale og sårbare punkt (single point of failure). DNS-systemet har dessverre ikkje den same distribuerte strukturen og blir difor meir sårbart fordi angrep kan setjast inn på sentrale DNS-serverar.

Tingas Internett - Internet of Things (IoT)

Tingas Internett der alle slags dingsar skal koplast til nettet, er eit av dei store og viktige utviklingstrekka på nettet. På same tida som det opnar for spennande mulegheiter opnar det også for nye sårbare punkt, som dette DDOS-angrepet ettertrykkeleg har fått fram. Det er særleg to ting som gjera at IoT blir ekstra sårbare:

• Utviklinga har gjort at det er enklare og billegare å bruka komplette datamaskiner (fullverdig prosessor ++) på bittesmå dingsar enn nedskalerte versjonar (det som blir kalla "embedded hardware"). Det gir dingsane meir kraft og mulegheiter, men gjer dei også like sårbare for misbruk som vanleg IT-utstyr.
• Dei små dingsane kjem ikkje med eigne skjermar og blir vanskelegare å setja opp og kontrollera. Dei må typisk setjast opp via eit web-grensesnitt. Det fører til at mange berre pluggar i utstyret og brukar fabrikkinnstillingane. Det siste DDOS-angrepet har vist at det finst ganske mange dingsar som ikkje har endra desse innstillingane og som difor er vidopne for inntrenging.

Kva har dette med Bitcoin og blokk-kjede å gjera?

Mykje av spam-problemet er knytt til at det er så å seia gratis å senda meldingar på nettet, og prisen er den same om du sender ei melding eller 100 mill. Dette gjeld særleg spam knytt til e-post, men også DDOS-angrep. Mange forslag til løysing for e-post har komme opp gjennom åra, og dei har ofte vore baserte på økonomiske straffemekanismar. Men det er først med "Internet of Money", særleg Bitcoin, at ei praktisk løysing ser ut til å vera mykje nærmare. Teknologien bak kryptovaluta opnar for mikrotransaksjonar, noko som er heilt nødvendig for å få betaling til å fungera i denne samanhengen. Dagens betalingssystem er for dyre til at det gir meining å krevja nokre øre, for ikkje å seia fraksjonar av eit øre. 

Det må kosta å senda spam

Dersom det hadde kosta eitt øre å senda ein e-post, ville ordinær bruk av e-post knapt merkast økonomisk. Men om du prøver å senda ein million e-postar, ville det ha kosta kr 10 000,-. Det ville straks ha lagt ein dempar på iveren etter å spamma. 

Betalingssystem for mikrotransaksjonar er her snart, den store utfordringa blir å integrera det i e-postprotokollen.

DDOS-angrep må også kosta

For DDOS-angrep er det andre mekanismar som må på plass. Her vil ei mikrobetaling for http-oppslag kanskje vera ei løysing. Det er mykje som må på plass for å få dette til å verka, men betaling via kryptovaluta vil sakte, men sikkert bli integrert i stadig fleire delar av Internett.

Distribuert DNS på blokk-kjeda

Endeleg er ei desentralisering av DNS-systemet påkrevd. Også her gir Bitcoin og blokk-kjedeteknologi god grunn til håp. Det finst alt Bitcoin-tenester for å handtera DNS (registrering m.m.), t.d. Dot-Bit som byggjer på Bitcoin-kopien Namecoin. I tillegg til å vera sikrare mot DDOS-angrep, vil blokk-kjedebaserte DNS-system også vera motstandsdyktige mot sensur. Du blir i praksis din eigen Internett-registrar om du brukar ei slik teneste.

Myter om blokk-kjeda

I går deltok eg på Norstella sin konferanse om blokk-kjeder. Tittelen var "Norstellas blockchain konferanse" - ein god illustrasjon av at språk er ei stadig større utfordring, særleg innan IT. Eg var nok den einaste som brukte ordet "blokk-kjede", over alt elles heitte det "blockchain. Litt synd...
Men konferansen var god, og det var så mange påmelde at den måtte flyttast til eit større lokale.

Bitcoin i offentleg sektor
Eg hadde invitert meg sjølv til å snakka om "Offentlege register og blockchain", ein tittel eg endra til "Bruk av Bitcoin og blokk-kjede i offentleg sektor". Bitcoin er eit noko belasta ord i dette miljøet, men eg vart positivt overraska over at fleire av innleiarane ikkje berre tok ordet i sin munn, men poengterte fordelen med opne kontra lukka blokk-kjeder. På same tida har eg forståing for at bank & finans ikkje utan vidare kan hoppa på Bitcoin..

Framleis mange myter og mistydingar
Konferansen viste likevel at det er ein del mistydingar ute og går med tanke på teknologien blokk-kjede, og at det er eit stort behov for å rydda i dette landskapet. Så er konseptet og teknologien både såpass ny at slike konferansar fort blir "dei som forstår blokk-kjede driv og forklarer kvarandre kva det er", som ein av foredragshaldarane treffande formulerte det.

Så til ein del mistydingar og myter kring Bitcoin og blokk-kjeder:

1. Bitcoin blir berre brukt av kriminelle
Eg kan ikkje seia at denne myta var framtredande på konferansen, men den er likevel ein viktig grunn til at mange vil halda seg borte frå Bitcoin. Forskinga viser likevel at den delen av transaksjonar som går til "lyssky" aktivitetar (svarte marknader, gambling ++) har vorte sterkt redusert dei siste par åra. Frå å vera ein dominerande del av Bitcoin-handelen fram til 2013, er den no redusert til  5 - 10 % av alle transaksjonar. Sjå artikkelen "The Evolution of the Bitcoin Economy_ Extracting and Analyzing the Network of Payment Relationships" for meir detaljar om dette.

2. Ei blokk-kjede er sikker i seg sjølv
Denne myta er ganske utbreidd. Mange set likskap mellom blokk-kjede og sikkerheit. Det er ein stor feil, for ei blokk-kjede er avhengig av den sikkerheitsmodellen det er lagt opp til. For Bitcoin er det "proof of work" som er bruk av eksterne ressursar (energi = pengar) , for andre kan det vera eigarinteresser i systemet og valutaen (Proof-of-stake"), og for private/lukka blokk-kjeder kan det vera tillit til dei som har skrivetilgang til blokk-kjeda. Særleg for det siste punktet, lukka blokk-kjeder, er det farleg å tru at blokk-kjeda i seg sjølv vil gi sikkerheit. Den må først sikrast mot innsyn frå andre enn partane, deretter må sjølve blokk-kjeda ha ein sikkerheitsstruktur som hindrar endringar av historikken. Det siste må baserast på tillit til partane, i sterk motsetning til den originale blokk-kjedeteknologien som nettopp har fjerne dette behovet for tillit.

3. Ei blokk-kjede vil gi betre ytelse
Ei blokk-kjede er ein konstruksjon som vil gi dårlegare ytelse enn ei rein database-løysing. For opne, globale blokk-kjeder som Bitcoin, vil ytelsen bli radikalt dårlegare, medan for lukka blokk-kjeder vil reduksjonen i ytelse ikkje vera så dramatisk og neppe vera eit stort problem. Men teknologien i seg sjølv kan ikkje samanliknast med databasar i rein transaksjonsytelse.

Det er muleg bank- og finansnæringa kan betra ytelsen med innføring av blokkjede-teknologi, men eg er ikkje så sikker på om det er nok til å redusera friksjonen i betalingssystema slik at me vil sjå ei stor endring. Eg trur at store delar av friksjonen skuldast andre grunnar, som tungrodde organisatoriske forhold, inkompatible system m.m. Eg er redd nissen vil følgja med på blokkjede-lasset..

4. Det som er lagra på blokk-kjeda, er sant
Det er fort gjort å tenkja at om informasjon er lagra på blokk-kjeda, er den sann. Men det er like lett å lagra feilaktig informasjon som rett informasjon på ei blokk-kjede. Eg snakkar då om tilleggs-informasjonen som kan lagrast på ei blokk-kjede ved hjelp av valutaen som eit "token".

5. Ei blokk-kjede er eit universalmiddel
Det finst ikkje noko vidundermiddel som kan løysa alle problem. Blokk-kjeder som teknologi, er gode på ein del ting, og mindre gode på andre. Så er det også eit viktig poeng at det er stor skilnad på opne og lukka blokk-kjeder, og at dei har ulike eigenskapar. Figuren under viser nokre av dilemma i valet mellom ope og lukka:

Elles var det om tidlegare nemnt, kjekt å høyra også andre framheva at det innan opne blokk-kjeder innvasjonen i stor grad skjer, og at det er der den disruptive krafta finst.

Presentasjonen eg heldt i går:

norstella blockchain from Vestforsk.no

Let's Make Money!

Innlegg om Bitcoin-graving ("mining") og korleis den teknologiske utviklinga på det området opnar for større grad av desentralisering. Blogginnlegget er skrive på Medium.com

"Gravemaskina" mi, ein Antminer R4

Forvaltningsinformatikk

Arild i kjent driv og stil

Torsdag 13.10 vart professor Arild Jansen takka av frå Universitetet i Oslo etter å nådd aldersgrensa på 70 år. Dagen vart markert først med eit seminar og seinare med festmiddag i Det Norske Videnskaps-Akademi sin staselege bygning ved Drammensveien. Som det står i programmet for seminaret: "Seminar for professor, hedersmann og sportsmann Arild Jansen, 70 år". Biletet som illustrerte seminaret viser tydeleg sportsmannen Arild. Me snakkar her om ein av landets sprekaste 70-åringar! Til dømes kan det nemnast at Arild har gått Birkebeinarrennet 38 ganger, og teke merket 38 ganger!

Faget forvaltningsinformatikk
Faget forvaltningsinformatikk er ei blanding av jus og IT, sett inn i eit forvaltningsmessig perspektiv. Avdeling for forvaltningsinformatikk (AFIN), der Arild har arbeida sidan 2003, ligg under institutt for privatrett, som igjen ligg under juridisk fakultet ved UiO. AFIN høyrer vidare til Senter for rettsinformatikk, eit senter starta av Jon Bing. Jon Bing opplevde dessverre ikkje å bli takka av som 70-åring sidan han døydde kort tid før. I staden for festseminar vart det minneseminar etter Jon Bing, eit seminar som har vorte arrangert sidan 2014.

Vil AFIN mista informatikk?
Faget forvaltningsinformatikk kom først i gang i 1993, og det er professor Dag Wiese Schartum som har vore den leiande fagmannen sidan den gangen. Dag fortalde om historia til faget og AFIN og la vekt på betydninga av å få inn informatikk-kompetanse i form av Arild i 2003. Forvaltnings-informatikk ligg i skjeringspunktet jus og IT og det seier seg nesten sjølv at begge fagdisiplinane er viktige. Dessverre ser det ikkje ut som dei leiande ved UiO ser dette, og det er fare for at stillinga etter Arild Jansen blir teken bort frå AFIN. Det vil i så fall vera veldig synd for eit fagmiljø som har markert seg sterkt og som har utdanna mange kandidatar som etter kvart har fått viktige posisjonar innan offentleg IT-utvikling.

Sjølve ordet "forvaltningsinformatikk" er kanskje ikkje det mest seljande i dagens utdannings-samfunn. Kanskje skulle avdelinga og studiet hatt eit nytt namn? Og kanskje også eit namn som ikkje i så stor grad er knytt til offentleg sektor? Men akkurat her er det meir enn namnet ein må sjå på. Eg trur denne utdanninga vil vera svært nyttig også for dei som skal arbeida i næringslivet.

Tilbake til eit desentralisert Internett?
Eg har arbeida saman med Arild i mange år, særleg med sampublisering, og me har skrive mange fagartiklar saman. Det var difor ei stor ære å bli spurd om å halda innlegg på avslutningsseminaret. Her er presentasjonen "Tilbake til eit desentralisert Internett" som eg heldt torsdag:

Tilbake til eit desentralt internett from Vestforsk.no

Fermats siste teorem

Simon Singhs kjende bok om
Fermats siste teorem

Fermats siste teorem ser forførande enkelt ut:

xⁿ + yⁿ = zⁿ har inga løysing for n > 2 (n=2 er jo Pytagoras' kjende formel)

Men å bevisa dette har ridd matematikarar som ei mare sidan 1637! Det manglar ikkje på folk som har prøvd seg på oppgåva, men dei har køyrt seg fast på ein eller annan måte. Ikkje før i 1993 vart denne setninga bevist, og det var engelske Andrew Wiles som stod for bragda. Då hadde han meir eller mindre isolert seg i 7 år og nesten berre jobba med problemet.

Sensasjonen i Cambridge
Det hadde gått rykte om at Wiles ville komma med sensasjonelle ting under matematikk-konferansen i Cambridge i 1993, der Wiles hadde fått tildelt plass til ein tredelt forelesings-serie. Tittelen på serien røpa ikkje noko, og den var nøye valt. Men rykta svirra og stemninga bygde seg opp til den siste forlesinga der auditoriet var fullstappa og mange ikkje kom inn. Og etter å ha fylt tavle på tavle med formlar, kom Wiles til slutt fram til den kjende formelen og sa "I think I'll stop here". Applausen braut ut og tilhøyrarane forstod at dei var vitne til noko av det største som hadde skjedd i matematikken dei siste 350 åra! Dei ansvarlege for konferansen hadde alt kjøpt inn champagne, for dei hadde meir enn ei aning om at noko stort kom til å skje.

Djevelen sit i detaljane..
Men djevelen sit i detaljane, og då Wiles' manuskript vart sendt til fagfelle-vurdering før publisering, kom det ein dag eit spørsmål til han om å forklara ein detalj i arbeidet. Wiles hadde fått mange slike spørsmål, for manuskriptet var 200 sider langt og var sjølvsagt ikkje utan feil. Han rekna med at dette var trivielt, som dei andre spørsmåla han hadde fått i dagane og vekene etter at evaluatorane hadde starta arbeidet sitt.

Det som skulle ta ein dag eller to å retta opp, vart til veker og så til månader. Det gjekk opp for Wiles at problemet ikkje var ein bagatell, men derimot fundamentalt. Etter nærmare eit år etter at feilen vart oppdaga, var Wiles i ferd med å gi opp. Men med hjelp av ein kollega klarte Wiles til slutt å finna ein veg rundt problemet, og vegen gjekk via formelen for elliptiske kurver. Han enda dermed opp med ei anna tilnærming enn den første.

10 år og hekta på Fermat
Andrew Wiles vart først kjent med Fermats siste teorem då han var berre 10 år og vart så hekta på det at han bestemde seg for at han skulle klara å bevisa dette ein eller annan gang (det kan vel høyrast ut som ei god historie med etterrasjonalisering, men men..).

"All in" og sju års intenst arbeid
Etter utdanning ved Cambridge vart Andres Wiles professor ved Princeton i USA, eit miljø med dei fremste matematikarane i verda. Han hadde ikkje brukt tid på Fermats problem, men hadde heller ikkje gløymt det. Etter eit stort gjennombrot i midten av 1980-åra der det vart bevist ein samanheng mellom Fermats problem og elliptiske funksjonar, bestemde Wiles seg for å gå "all in" og prøva å løysa problemet. Ulikt det som er vanleg i matematikk-miljøet, og forskarverda elles, valde Andrew Wiles å arbeida heilt åleine og ikkje fortelja nokon annan enn kona om arbeidet han hadde starta på.

Hobby-matematikaren Fermat
Pierre de Fermat var ein hobby-matematikar som dreiv med den store lidenskapen matamatikk på fritida, medan han var byråkrat i den franske statsforvaltninga. Trass i at matematikken var ein hobby, var Fermat uhyre begava og dreiv hobbyen sin på eit høgt nivå. Han vart seinare kalla "Prince of Amateurs" av matematikarar.

"Eg har ei genial løysing.."
I 1637 noterte han ned teoremet i ei utgåve av Diophantes Arithmetica. Han noterte også at han hadde funne ei genial løysing på problemet, men at det var for liten plass til å skriva den ned (!). Men det var likt Fermat å sløyfa eller slurva med detaljar i bevisa, han hadde stor moro av å setja fram påstandar og sjå om andre klarte å bevisa det, der han sjølv sat med beviset. Det er difor framleis ei uløyst gåte om Fermat faktisk hadde komme fram til ei løysing. Matematikarar er delte i spørsmålet, men dei fleste trur nok at han ikkje hadde det. Og viss han trudde han hadde ei løysing, er det stor sannsynlegheit at den var i retning av ei av dei mange blindgatene matematikarar har køyrt seg fast i, i forsøk på å løysa problemet.

Det er den kjende forfattaren Simon Singh som har skrive boka om Fermats siste teorem. Singh er kjent for fleire liknande bøker, mellom anna boka "The Code Book" som handlar om kryptografiens historie.