Ingen, absolut ingen, har undgått att höra talas om Code
Red. Vilka andra händelser har fått lika stort utrymme i media? Vad
rapporterade media om egentligen?
När man har lite bakgrundsinformation så är det lätt att man
kritiskt granskar vad som sägs i media. Givetvis är det betydligt
svårare att kritiskt granska något som man inte känner till så väl.
Då blir det till att lita på medias bevakning och rapportering. Av
den anledningen tycker jag vi måste ställa mycket stora krav på
media. Rapporteringen rörande Code Red är ett exempel på hur illa
det är ställt.
Givetvis har jag inte läst och lyssnat på alla massmedier. Men ett
flertal rapporteringar från TT, Ekot, Rapport, Aktuellt, TV4's
nyheter samt debattprogram och morgonprogram i P1, P3, SVT och TV4
har jag tagit del av. Samtliga dessa är massmedier som jag hyser
allra största respekt för, vilket jag tyvärr inte kan säga om TV3,
Kanal5 och reklamradion, men dessa lämnar vi därhän.
Hur kan man summera rapporteringen? Code Red är ett virus som
infekterat hundratusentals datorer under en mycket kort period.
Visst, det är sant. Sedan kan man låta några experter säga samma
sak och sedan kan man debattera detta några vänder. Tyvärr utan att
tillföra speciellt mycket fakta och med allt för få "experter"
tillfrågade. Märkligt nog har det varit näst intill knäpptyst om
vad det hela handlar om.
Indextjänsten som används i Microsoft webbserver har haft en
brist, som uppmärksammades redan i juni och rättningen annonserades
den 19 juni. Sårbarheten innebar att det var fullt möjligt att
skriva programvara som exekverades i webbservern. Att någon sedan
skrev ett finurligt program som kunde sprida sig själv till andra
webbserver och gav programmet ett bra namn ur PR synpunkt är
egentligen inte speciellt märkligt. Det var som att sparka in en
öppen dörr.
Tyvärr är det inte första gången en Microsoft webbserver har en
brist som kan användas till något mindre önskvärt. Ingen har väl
undgått bristerna i Microsoft mailklient som bland annat innebar
att kärleksbrev skickades kors och tvärs utan några större insatser
från användaren. Ni som följer CERT och Microsofts mailinglistor
rörande säkerhetsbrister får i snitt drygt en varning per vecka som
rör Microsofts produkter. Brister som vi stillasittande accepterar
utan någon större protest. Vilken blir nästa brist som
upptäcks?
Hur kommer det sig att man från medias sida inte riktade fokus mot
Microsoft? Generellt rörande deras låga säkerhetsfokus eller
specifikt rörande bristen som möjliggjorde Code Red? I stället så
riktades Code Red bevakningens fokus mot virusprogrammakarna?!?!
För att dra en liknelse med vården, så vad det alltså mer
intressant att fokusera på den medicin som kanske kan upptäcka och
kanske kan desinfektera ett angrepp (=antivirusprogramvara) utan
att för den skull bota sjukdomen i stället för att fokusera på
sjukdomen (=bristen i indexservern) och vaccinet (=rättningen). I
mina ögon ter sig denna rapportering mycket märklig.
När det inte går att ringa larmnumret 112 brukar media informera
om problemet och ge förslag på alternativa nummer. Varför är det
inte så när det gäller nätsäkerhet? I stället så försöker man måla
upp en bild som för en invigd är svår att applicera på
verkligheten. En bild som sedan de minde invigda försöker
applicerat i sin idévärd och sedan är förvirringen total.
Nästa gång en säkerhetsbrist uppmärksammas, så studera
rapporteringen i media med denna blänkare i bakhuvudet.
©2002 Thomas Nilsson, Certezza AB
