FE: Central CSC-database var let at åbne for uvedkommende

Foto fra maj 2011 hvor der var aktioner foran CSCs hovedkvarter i Valby. Foto: Joachim Adrian/POLFOTO/arkiv

Via en simpel søgning på Google kunne hackere skaffe vigtige adgangskoder til følsomme offentlige registre.

Ritzau

Sikkerheden omkring en nøgledatabase hos it-virksomheden CSC var ifølge Forsvarets Efterretningstjeneste (FE) let at omgå, da hackere i løbet af 2012 trængte ind i et af virksomhedens avancerede computeranlæg.

Det er kommet frem i Retten på Frederiksberg torsdag, hvor afdelingschef Thomas Kristmar fra FE's Center for Cybersikkerhed vidner i sagen, hvor to mænd er tiltalt for at så bag omfattende hacking af offentlige registre, som blev opbevaret hos CSC.

Hackerne har blandt andet stjålet oplysninger fra en såkaldt RACF-database, som indeholder brugeroplysninger, som igen blandt andet kan bruges til at få adgang til registrene.

- Det er ret simpelt at knække en RACF-database med svage kompleksitetskrav, fortæller Thomas Kristmar, hvis afdeling på foranledning af politiet har forsøgt at knække CSC's RACF.

Via en instruks, som dukker op ved en simpel Google-søgning på "crack RACF", formåede FE på 40 minutter at dekryptere 811 af de kodeord, som lå i databasen.

En kopi af databasen er fundet på en beslaglagt computer i hackersagen. Databasen indeholdt 81.445 unikke brugeroplysninger.

For eksempel har alle ansatte i politiet en såkaldt RACF-nøgle, som de skal bruge, når de går ind i forskellige it-systemer.

I hackersagen er der fra CSC's computeranlæg blandt andet stjålet personfølsomme oplysninger om 91.011 dømte danskere fra politiets kriminalregister.

Derudover er der stjålet godt 1,1 million oplysninger fra det såkaldte Schengen-register, som indeholder oplysninger om internationalt efterlyste personer.

Forskellige myndighedspersoner, for eksempel politifolk, vil normalt kunne slå op i de registre ved hjælp af deres RACF-nøgle. Ved at stjæle sådanne nøgler kan uvedkommende få adgang.

- Når man stjæler en liste over brugernavne og kodeord, så er hele formålet, at man vil bevæge sig rundt på netværket som en legitim bruger, fortæller Thomas Kristmar.

FE har ifølge Thomas Kristmar ikke foretaget egentlig efterforskning i hackersagen, men man har efter ønske fra politiet udarbejdet en række tekniske erklæringer.