Svenska landsting hör till de allra sämsta när det gäller it-säkerhet kring webbplatser och namnservrar. 40 procent har akuta brister eller felkonfigurationer som gör att systemen enkelt kan slås ut eller användas som vapen i attacker mot andra servrar.

Det slås fast i en granskning som Krisberedskapsmyndigheten, KBM, och Stiftelsen för internetinfrastruktur offentliggör i dag, måndag. Med ett specialutvecklat verktyg har 828 domäner som tillhör landsting, kommuner, myndigheter, börsnoterade bolag och stora medieföretag granskats under två månader.

Den privata sektorn är bättre på att säkra sina system, men även hos de största börsnoterade bolagen hittades samma brister i drygt tio procent av de granskade systemen.
Motsvarande siffra för hela den svenska toppdomänen ligger strax över 20 procent, men skulle enligt II-stiftelsen kunna sänkas till 15 utan stora ansträngningar.

Genom att slå ut namnservrar kan ett företags verksamhet lamslås, eftersom i princip alla tjänster, från webb till ip-telefoni och e-post är beroende av domännamnet. Men i många fall läggs betydligt mindre resurser på stabil drift av namnservrarna än på till exempel webbservrar.

Felen betraktas alltså som akuta och måste enligt KBM och II-stiftelsen åtgärdas omedelbart. I många fall har organisationerna inte säkerställt att mer än en namnserver finns tillgänglig. Det gör att bara en server behöver slås ut eller haverera för att hela systemet ska sluta fun­gera.

– Vi har råd och rekommendationer. Man ska ansluta kritiska resurser till flera operatörer. Då sprider man riskerna och de blir svårare att slå ut. Allt det här har vi själva lärt oss den hårda vägen, säger Anne-Marie Eklund Löwinder, ansvarig för informationssäkerhet på II-stiftelsen och en av Sveriges främsta experter på dns-säkerhet.

Även helt andra system runt om i världen kan drabbas av den dåliga säkerheten. Genom en felaktig inställning kan namnservrar hos en mängd svenska landsting, myndigheter och företag användas som vapen i överbelastningsattacker. Med så kallad rekursion påslaget kan det svar som namnservern sänder ut skickas till en tredje part, som därmed kan dränkas i trafik och sluta fungera.

– De kan användas som bas för tillgänglighetsattacker. Jag kan knappt se några legitima skäl att ha rekursion påslaget utan det beror på försummelse eller okunskap.

Gammal mjukvara som inte längre stöds är ett annat problem. Av de undersökta servrarna använder elva procent fortfarande dns-servern Bind 8, sju år efter att version 9 släpptes. Internet Systems Consortium, som ligger bakom mjukvaran, avråder starkt från att använda version 8 och släpper sedan augusti i år inte några som helst uppdateringar, inte ens för kritiska säkerhetshål.