Årsrapport 2007 IKT SoS (2003 2008) Året 2007 Basert på utlysningene i 2003 og 2004 ble det bygget opp en prosjektportefølje som dekket budsjettrammene for programmet ut programperioden. Det har derfor ikke vært gjennomført utlysninger i 2007 utover fem mindre prosjekter på til sammen 450 KNOK. Disse prosjektene hadde informasjons tiltak og nettverk som fellesnevner i form av konferanser og seminarer. I tillegg bidro de til økt internasjonalt samarbeid. For å sluttfinansiere inngåtte stipendiatkontrakter i pågående prosjekter, samt å gjennomføre planlagte informasjonstiltak er Forskningsrådet avhengig av at rammen vedtatt av Stortinget opprettholdes. Dette har ved flere anledninger blitt tatt opp med departementet uten at saken er avklart. Programmet skulle etter planen vært avsluttet i 2007. FAD har ennå ikke bekreftet bevilgninger som dekker behovet til og med 2007, men har indikert at den manglende finansiering blir vurdert dekket gjennom bevilgninger i 2008. Programperioden har derfor blitt forlenget med ett år. Omfanget av siste del av programmet er avhengig av den sluttbevilgning som blir gitt. Programmets mål Sikkerhet i datanettet var en prioritet for Nærings- og handelsdepartementet da programmet ble igangsatt i 2003. For å sikre langsiktig kompetanseoppbygging innen dette viktige feltet ønsket NHD at satsingen innen sikkerhet og sårbarhet skulle etableres som et program. Forskningsprogrammet har som målsetning å frembringe og gjøre tilgjengelig ny viten og kunnskap som kan bidra til å øke sikkerheten og redusere sårbarheten ved bruken av dagens og morgendagens IKT-systemer. IKT SoS vil støtte forskning som har til hensikt å studere, analysere og utvikle løsninger for bedret informasjonssikkerhet, slik at informasjon og informasjonsflyt ved bruk av IKT-systemer i organisasjoner kan gis en riktig beskyttelse mot uønskede hendelser og at brukeres behov for sikkerhetsløsninger kan sikres gjennom tilstrekkelig tilgang til spisskompetanse for å kunne få utviklet dette. Disponibelt budsjett i 2007: Forbruk i 2007: Programmets finansieringskilder i 2007: Antall og type prosjekter i 2007: 10 MNOK 12,8 MNOK FAD 14 forskerprosjekter 5 formidlingsprosjekter Samlet vurdering av mål, status og faglige utfordringer Basert på utlysningene i 2003 0g 2004 ble det bygget opp en prosjektportefølje som ville dekke budsjettrammene for programmet ut programperioden. Det har derfor ikke vært gjennomført nye utlysninger i 2007.
Porteføljen har prosjekter som samlet gir en god faglig bredde og som inkluderer en balansert sammensetning av FoU-miljøer som har kompetanse på ulike sider ved IKT sikkerhet som sentralt i sin strategi. Programmets sentrale målsetting har vært å bygge opp kompetanse på spørsmål rundt IKT sikkerhet og sårbarhet på områder som er viktige for Norge og hvor det er behov for å styrke tilgangen på kunnskap og kompetanse for næringsliv og offentlige virksomheter. Dette bl.a. med bakgrunn i Sårbarhetsutvalgets anbefalinger, Sårbarhetsmeldingen (St.meld. 17, 2001-2002) og Nasjonal strategi for informasjonssikkerhet. Prosjektene er av typen forskerprosjekt, men prosjektforslag med et anvendelsesperspektiv har vært prioritert. I de fleste prosjektene er det samarbeid mellom flere institusjoner, og enkelte bedrifter og offentlige virksomheter er med i prosjektaktiviteter eller referansegrupper. Noen prosjekter har samarbeid med og besøk fra eller ved utenlandske universiteter Den internasjonale aktiviteten har, sett under ett, vært lavere enn ønskelig for prosjektene i programmet, men flere prosjekter har hatt konkret samarbeid med forskergrupper og universiteter i Europa og USA. Dette har vært gjennomført i form av seminarer, workshops, gjesteforskeropphold og utenlandsopphold for norske forskere. IKT sikkerhet og sårbarhet har for mange miljøer vært et ferskt forskningsfelt, og det tar tid å bygge opp et internasjonalt kontaktnett som vil kunne være et grunnlag for økt internasjonalt forskningssamarbeid. Nøkkeltall, 2007 Antall prosjekter: 19 prosjekter er eller har vært bearbeidet i IKT SoS i 2007 hvorav 5 ble startet opp i 2007 Dr.grads.stipendiater: 15 PhD-stipendiater finansieres av IKT SoS, herav 4 kvinner Postdoktorstipendiater: 4 Postdoc-stipendiater finansieres av IKT SoS, hvorav 2 kvinner Kommentarer til tallene: Tallene er i tråd med planlagt aktivitet. 2
Resultatindikatorer, 2007 Avlagte doktorgrader: 3 Vitenskapelige artikler med referee: 22 Vitenskapelige artikler uten referee: 36 Allmennrettede formidlingstiltak: 41 Publiserte foredrag: 48 Antall bøker: 2 Oppslag i massemedia: 183 Antall nye metoder/modeller/prototyper: 3 Kommentarer til tallene: Tallene for 2007 er sammenlignbare med 2006, og i tråd med planlagt aktivitet, med unntak av oppslag i massemedia. Hovedgrunnen til dette er den fokus som har vært på manglende sikkerhet i nettbanker. Viktigste aktiviteter i 2007 Programmet har også i 2007 vært preget av situasjonen rundt den manglende forpliktende sluttfinansiering. Aktiviteten har vært begrenset til prosjektoppfølging og en forsiktig planlegging av et avslutningsseminar i 2008. Løsningen av finansieringsspørsmålet vil avgjøre omfanget av dette. På grunn av lovlige permisjoner har fire stipendiater fått innvilget utsatt disputas utover 2008. Som nevnt innledningsvis, ble fem mindre prosjekter med en kostnadsramme på totalt 450 KNOK igangsatt i 2007. Disse prosjektene var vedtatt igangsatt av Programstyret. Prosjektene dreide seg om seminarvirksomhet, work-shops og informasjonsspredning, viktige aktiviteter i programavslutningen når først hovedprosjektene allerede er gjennomført. Dersom IKT SoS mottar forventet finansiering for avslutning av programmet vil disse prosjektene være viktige i forbindelse med en større avslutningskonferanse som planlegges i samarbeid med FAD. Mange av prosjektene i IKT SoS har profilert seg i media. Spesielt gjelder dette Secure Wireless Application som har bidratt aktivt i diskusjonen rundt (manglende) sikkerhet i nettbanker. Programkoordinator har hatt telefonisk kontakt med Programstyrets leder og informert om prosjektenes fremdrift, men det har ikke vært avholdt programstyremøter i 2007. Dersom programmet blir tilført nødvendige midler for en forsvarlig avslutning av programmet, vil det bli rettet en forespørsel til Programstyrets medlemmer om et utvidet styreengasjement ut 2008. 3
Høydepunkter og funn Advanced Cryptographic Techniques (UiB) fokuserer på at digitale tjenester blir stadig mer utbredt i det norske samfunn. En viktig forutsetning for å utnytte fordelene ved slike tjenester er at sikkerheten til brukerne ivaretas. Elektroniske valgsystemer og nettbanker er to eksempler på digitale tjenester der sikkerheten er spesielt viktig. PhD-avhandlingen i prosjektet inneholder seks vitenskapelige artikler som analyserer sikkerheten i disse tjenestene. Utfordringen ved alle typer stemmesystemer er å sikre at stemmene blir registrert og talt korrekt, uten at det skal være mulig for noen å bevise hvordan de har stemt. Avhandlingen foreslår en sikker og skalerbar løsning for stemmegivning over Internett. Viktige sikkerhetsutfordringer ved nettbanker er at kun legitime kunder skal ha tilgang til banken og at mistenkelige transaksjoner detekteres. I avhandlingen blir sikkerheten i to generasjoner av nettbankløsninger i Norge analysert. Flere alvorlige sikkerhetshull er avdekket, noe som har ført til bred medieomtale. IRMA(SINTEF) og AMBASEC(UIA) har i prosjektperioden utviklet et verktøy for måling og bygging av sikkerhetskultur. Resultatene er publisert ved flere internasjonale konferanser og tidsskrifter. Prosjektet har utarbeidet et sett med indikatorer for å kunne tallfeste virkningen av forbedrede rutiner for hendelseshåndtering. I et tett samarbeid har miljøene videreutviklet modellen for hendelseshåndtering. For å kunne modellere hendelser har man inkludert virkningen av introduksjon av nye arbeidsprosesser, ny teknologi og kompetanseøkning. Det er utarbeidet en håndbok med veiledning til hendelseshåndtering i olje- og gassindustrien. BAS5 har vært et samarbeidsprosjekt mellom flere forskningsinstitusjoner, akademia, myndigheter og offentlige og private virksomheter. Prosjektets hovedtema har vært metoder for analyser av samfunnskritiske IKT-systemer. Viktige steg i slike prosesser er å konkretisere hvilket ambisjonsnivå sikkerhetsarbeidet skal ha, spesifisere hva slags roller ulike aktører skal ha og å utvikle gode metoder som kan understøtte arbeidet. BAS5 har i første rekke utviklet metoder med relevans for IKT-sikkerhetsarbeidet i Norge. Målgruppen for de utviklede metodene er dels myndigheter som arbeider med nasjonal IKT-sikkerhet, dels virksomheter som eier og drifter samfunnskritiske IKT-systemer. Det metodiske arbeidet i BAS5 har vært gjennomført for å utvikle og anvende metodikk for identifisering og rangering av kritiske samfunnsfunksjoner og IKT-systemer, utvikle og anvende metodikk for risikoanalyse av samfunnskritiske IKT-systemer samt utvikle og anvende metodikk for effektivitetsvurderinger av tiltak som kan redusere sårbarheter i IKT-systemer. Security of Approaches to Personnel Authentication (HiG) har som hypotese at det er mulig automatisk å kjenne igjen gangdetaljer på en person basert på data som hentes inn fra en sensor plassert i hofteregionen. Disse resultatene har flere anvendelsesområder. En mulig anvendelse er i forbindelse med mobiltelefoner. Selv om disse har PIN-koder, er mobiltelefonen normalt 'åpen' når vi har den i daglig bruk. Dersom en telefon blir stjålet, er det store muligheter for at gangdetaljene til tyven vil skille seg vesentlig fra riktig eiers gangdetaljer. Når telefonen oppdager dette, kan den f. eks. kreve at brukeren logger på telefonen ved bruk av sin PIN kode. Tyven vil normalt ikke ha denne. Samtidig, hvis eieren har endret sitt gangmønster, vil han ikke nektes adgang til telefonen, men kun bli avkrevd PIN. Det er gjort forsøk for å se hvor lett det er for en person å lure systemet gjennom å etterape andres gange. Disse forsøkene har gitt overraskende resultater. Det ser ut som om personer som prøver å etterape andres gange faktisk er lettere å avsløre når de prøver å etterape enn om de bare hadde gått normalt. En mulig hypotese kan være at forsøk på etteraping fører til at et mer unaturlig gangmønster oppstår. 4
SWAP (UiB) har bidratt til at sikkerhet i nettbanker har vært et aktuelt tema den siste tiden. SWAP har satt fokus på svakheter i flere norske nettbanker. Analyse av slike svakheter er viktig både for å fjerne slike problemer i størst mulig grad, og å kunne sette inn effektive tiltak når noe likevel skjer. Gruppen har deltatt aktivt i nasjonale debatter om sikkerhet og i den sammenheng kan prosjektleder vise til mer enn 100 oppslag i pressen. Spesielt nevnes debattene rundt lekkasjer av fødselsnumre og mangel på sikkerhet i BankID. Gruppen har også skrevet kronikker i Bergens Tidende og Aftenposten. TID (NTNU) undersøker hvordan bevisverdien til digitale tidsstempler kan forbedres ved hjelp av hypotesebasert etterforskning. Det er gjennomført definisjoner av klokkehypoteser, tidsstempler og kausalitet i digitale systemer. Disse konseptene er benyttet til å utvikle metoder for å teste en klokkehypotese for konsistens med tidsstempler funnet ved dataetterforskning, gitt kausalitet mellom hendelser i systemet som etterforskes. Ved å sjekke det store antall tidsstempler som typisk forekommer på et digitalt medium for konsistenser, kan metoden bidra til å bekrefte en klokkehypotese. Dette vil øke troverdigheten til individuelle tidsstempler, og deres bevisverdi. Med denne metoden kan tidsstempler benyttes som bevis uten at man nødvendigvis trenger å sammenholde dem med eksterne data. Legal Information Security Regulations (UiO) fokuserer på rettslig regulering av informasjonssikkerhet, og studieobjektet som er valgt er kommunesektoren. Foreløpige resultater viser at regelverket er lite etterlevd i norske kommuner. Dette skyldes trolig flere forhold. For det første at de aktørene som jobber med implementeringsspørsmål på nasjonalt plan forvalter begrensede ressurser. For det andre at kommunene (spesielt den administrative ledelsen) både mangler kunnskap om og (til dels) forståelse for viktigheten av regelverket. For det tredje at implementering av regelverket krever omlegging av etablert organisasjonspraksis. Og, for det fjerde, fordi regelverket oppfattes som vanskelig å forstå og ressurskrevende å ivareta. Selv om manglende implementering av regelverket er fremtredende i flere kommuner er holdningen til informasjonssikkerhet og personvern god blant mange faggrupper i kommunal sektor. Det kan derfor sies at kommunene praktiserer god informasjonssikkerhet selv om mange ikke befinner seg innenfor rammen av regelverkets bestemmelser, fordi den rettslige reguleringen bare er en av faktorene som påvirker sikkerhetspraksisen. 5