Slik retter dere det

Avdekk har målt e-post- og nettsidesikkerheten til 1365 norske offentlige virksomheter. Denne guiden forklarer hva funnene betyr, hva som står på spill for innbyggerne, og nøyaktig hva dere skal be om for å få det rettet. Du trenger ingen teknisk bakgrunn for å lese den.

1. Svindelen dette handler om

Tenk deg at det kommer en e-post fra kommunen din. Den ber om at en ubetalt regning gjøres opp, og lenker til et betalingsvindu. Avsenderadressen slutter på kommunens eget domene. Signaturen er riktig. Logoen stemmer.

E-posten er falsk, men adressen er ekte. Ikke etterlignet, ikke stavet litt feil: den virkelige adressen til kommunen, brukt av noen andre. Det er dette som kalles forfalsket avsender, og det er mulig fordi e-post som teknologi ikke ble laget med noen sperre mot å skrive hva som helst i «fra»-feltet. Sperren må legges på i etterkant, av den som eier domenet.

De samme mekanismene brukes mot ansatte og leverandører. En e-post som ser ut til å komme fra kommunedirektøren og ber om en hastebetaling, er langt vanskeligere å avvise når adressen er den riktige. Nasjonal sikkerhetsmyndighet peker på at e-postkontoer er attraktive mål nettopp fordi de kan brukes til svindel og til å komme videre inn i virksomhetens systemer gjennom målrettet sosial manipulasjon.¹

2. Hvorfor innbyggeren ikke kan oppdage det selv

Det vanligste rådet mot svindel er å se nøye på avsenderadressen. Det rådet er godt mot de enkle forsøkene, der svindleren bruker et domene som ligner. Men det hjelper ikke mot en forfalsket ekte adresse, for da er det ingenting å se. Adressen er riktig fordi den er riktig.

Det finnes én effektiv sperre, og den kan bare settes opp av virksomheten som eier domenet. Den heter DMARC, og den forteller mottakerens e-postserver hva den skal gjøre med post som utgir seg for å komme fra dere, men som ikke består ekthetskontrollen: avvise den, legge den i søppelpost, eller slippe den gjennom.

Nasjonal sikkerhetsmyndighet anbefaler DMARC som ett av de grunnleggende tiltakene for sikring av e-post.²

3. De tolv punktene, forklart uten fagspråk

Vi måler tolv ting. Seks handler om e-post, seks om nettsiden. For hvert punkt: hva det er, hva som skjer uten det, og hva dere skal be om.

E-post: hindrer at noen sender post i deres navn

Nettside: hindrer avlytting og etterligning

4. Rekkefølgen: hva dere bør gjøre først

Punktene henger sammen. Tas de i feil rekkefølge, kan dere i verste fall stoppe deres egen e-post. Denne rekkefølgen gir mest sikkerhet raskest, og er trygg:

1. SPF og DKIM først. De er grunnmuren DMARC hviler på. Uten dem har DMARC ingenting å kontrollere mot.
2. DMARC i overvåkingsmodus. Start på p=none med en rapportadresse. Da skjer ingenting med posten, men dere begynner å få rapporter om hvem som sender i deres navn.
3. Les rapportene i noen uker. Her dukker det typisk opp systemer dere har glemt: fakturasystemet, sak- og arkivsystemet, nyhetsbrevverktøyet, et fagsystem som varsler innbyggere. Alle disse må inn i SPF eller signeres med DKIM før neste steg.
4. Stram inn gradvis. Fra none til quarantine, og deretter til reject.
5. Så resten: DNSSEC, MTA-STS (først «testing», så «enforce»), TLS-RPT, og nettsidepunktene.

5. Ferdig bestilling dere kan sende leverandøren

De fleste virksomheter i målingen kjøper drift av noen andre. Da er jobben deres å bestille riktig. Denne teksten kan sendes videre som den er:

Hei,

Vi har fått en ekstern sikkerhetsvurdering av domenet vårt, og ber om at
følgende settes opp. Alt er standard konfigurasjon og krever ingen ny
programvare.

E-post:
1. SPF-post som avslutter med -all.
2. DKIM-signering aktivert, med nøkkel publisert i DNS.
3. DMARC: start på p=none med rapportadresse (rua). Etter en
   overvåkingsperiode, der alle våre legitime avsendere er lagt inn i
   SPF/DKIM, ønsker vi opptrapping til p=quarantine og deretter p=reject.
4. MTA-STS-policy, først i testing-modus, deretter enforce.
5. TLS-RPT-post med rapportadresse.
6. DNSSEC aktivert for domenet.

Nettsted:
7. Automatisk omdirigering fra http til https.
8. HSTS-header.
9. TLS 1.0 og 1.1 avskrudd, kun 1.2 og 1.3 aktive.
10. Gyldig sertifikat med automatisk fornyelse, som dekker domenet både
    med og uten www.
11. Sikkerhetsheadere: Content-Security-Policy, X-Content-Type-Options,
    Referrer-Policy, X-Frame-Options.
12. IPv6 (AAAA) for nettstedet.

Vi ber om en tilbakemelding på hva som allerede er på plass, hva som kan
settes opp, og eventuelt hva som ikke lar seg gjøre i vårt oppsett og
hvorfor.

Vennlig hilsen

Har leverandøren behov for de tekniske detaljene, finnes de i den tekniske utgaven av denne guiden, med eksakte DNS-poster og kommandoer for å verifisere hvert punkt.

Teknisk utgave: oppskrift per punkt → Eksakte DNS-poster, oppsett for Microsoft 365, Google Workspace og egen server, og kommandoer for å verifisere hvert punkt selv.

6. Slik sjekker dere at det faktisk er gjort

«Leverandøren sier det er fikset» er ikke det samme som at det er fikset. Alle tolv punktene kan kontrolleres utenfra, av hvem som helst, uten tilgang til noe system:

• Siden deres hos oss. Søk opp virksomheten i rangeringen. Hvert punkt står med hake eller kryss, og måledatoen står øverst. Er datoen eldre enn endringene deres, viser siden fortsatt det gamle bildet.
• En uavhengig test. Den nederlandske tjenesten internet.nl måler mye av det samme, og er metoden vår er bygget på. Får dere grønt begge steder, er det gjort.
• Si fra til oss. Skriv til redaksjonen@avdekk.no, så måler vi på nytt og oppdaterer siden.

7. Hva det koster

Elleve av de tolv punktene er konfigurasjon, ikke innkjøp. De handler om å publisere noen DNS-poster og skru på innstillinger som allerede finnes i tjenestene dere betaler for. Sertifikat kan fås gratis. Kostnaden er arbeidstid og kompetanse, ikke lisenser.

Den reelle innsatsen ligger i DMARC-opptrappingen, fordi den krever at noen faktisk leser rapportene og finner fram til alle systemene som sender e-post i virksomhetens navn. I en stor kommune kan det være mange. Det er den jobben som skiller virksomhetene på topp fra resten, og den kan ikke hoppes over.

8. For deg som er innbygger

Så lenge en virksomhet ikke har dette på plass, er det du som må ta støyten. Nkom har samlet råd om hvordan du beskytter deg mot digital svindel.³ De viktigste vanene:

• Ikke stol på avsenderadressen alene. Den kan være ekte og likevel misbrukt. Det er nettopp derfor denne målingen finnes.
• Ikke klikk på betalingslenker i e-post. Gå til nettstedet selv, eller ring et nummer du har funnet på egen hånd. Aldri nummeret som står i e-posten.
• Vær ekstra oppmerksom på hastverk. Tidspress er svindelens viktigste virkemiddel, fordi det hindrer deg i å sjekke.
• Har du betalt? Kontakt banken straks, og meld fra til politiet.

Merk at selv en virksomhet med alt på stell kan bli etterlignet med et domene som ligner, for eksempel med en bindestrek eller en annen endelse. DMARC stopper misbruk av den ekte adressen, ikke oppdiktede adresser som ser like ut. Årvåkenhet blir derfor ikke overflødig, men det blir én stor kategori svindel mindre.

Vil du vite hvordan din egen kommune ligger an, finner du den i rangeringen.

Kilder

1. Nasjonal sikkerhetsmyndighet, om e-postkontoer som mål for svindel og sosial manipulasjon — nsm.no
2. Nasjonal sikkerhetsmyndighet, «Grunnleggende tiltak for sikring av e-post» — nsm.no
3. Nkom, «Beskytt deg mot digital svindel» — nkom.no
4. Avdekks egen måling av 1365 offentlige virksomheter — metode og resultater