Brønnøysundregistrene har siden fredag jobbet med å tette sikkerhetshullet i sin skjemamotor.

– Vi var ikke klar over situasjonen før vi ble varslet. Men nå har vi satt i verk et stort arbeid for å finne en løsning, sier kommunikasjonsdirektør Geir Arne Glad.

digi.no kunne tirsdag morgen avdekke at elektronisk skjema for Samordnet registermelding åpner for systematisk kobling av navn og fødselsnummer.

Id-tyveri
En lektorstudent ved NTNU oppdaget sikkerhetshullet ved en tilfeldighet og en god porsjon nysgjerrighet. Hun varslet både Brønnøysundregistrene, Altinn og Datatilsynet.

Fødselsnummer er ikke definert som sensitive data.

Ekspertise ved både Norsis og Universitetet i Bergen understreker imidlertid at det kan benyttes som deler av verktøy til annen kriminalitet, blant annet id-tyveri.

Professor Kjell Jørgen Hole ved UiB peker på muligheten for å kjøre et script mot skjemaet for å søke opp og hente ut korrekte kombinasjoner av navn og fødselsnummer i stor skala.

Blokkerer datahøsting
Det er den muligheten Brønnøysundregistrene nå jobber for å stoppe.

– I påvente av en permanent løsning, har vi forbedret loggingen av tjenesten. På den måten vil et script bli avslørt. Og vi vil kunne se hvem som står bak gjennom innloggingen i Id-porten, forklarer Glad.

Neste skritt blir en sikkerhetsløsning som automatisk oppdager og deretter blokkerer forsøk på programvarebasert uthenting av navn og fødselsnumre.

Balansegang
Det aktuelle skjemaet har vært i funksjon siden desember 2006. I alle disse årene har det vært mulig å legge inn fødselsnumre i tur og orden for å finne det rette. Og det er en bevisst funksjon.

– Her snakker vi om en balansegang mellom brukervennlighet og sikkerhet. Hvis du skriver feil fødselsnummer, skal du slippe å få skjema i retur. Du får heller en umiddelbar beskjed om at nummeret er feil, sier Glad.

Nå er utfordringen å finne en sikker løsning som ikke blokkerer denne funksjonen.

Ikke sensitivt
Brønnøysundregistrene er klare på at sensitiv informasjon ikke er kommet på avveier.
Årsaken er at fødselsnummer ikke defineres som sensitiv informasjon.

– Men kan dere vite om fødselsnumre er blitt hentet ut i store mengder og brukt til å skaffe andre data, som ER sensitive?

– Vi har ikke indikasjoner på at det har skjedd. Brukere må logge seg inn gjennom Id-porten, som er omgitt av største sikkerhet, så jeg nærer ingen frykt for det, sier Geir Arne Glad til digi.no.

Hvem er hvem?
Noen detaljer om forholdet mellom Brønnøysundregistrene og Altinn:

Da saken ble kjent tirsdag morgen, la digi.no vekt på at det aktuelle skjemaet var tilgjengelig gjennom tjenesteportalen Altinn.

De første reaksjonene kom fra Altinn-organisasjonen, som fryktet ufortjent dårlig omtale av tjenesteplattformen Altinn – selve infrastrukturen for offentlige tjenester.

I denne saken er det snakk om en såkalt lenketjeneste, der Brønnøysundregistrene har en digital tjeneste med egen skjemamotor som ikke bygger på Altinns tekniske komponenter, men gjort tilgjengelig med en lenke i Altinn-portalen.

Denne tjenesten har Registrene ansvar for.

Merkevare
Brønnøysundregistrene forvalter Altinn, og kommunikasjonsdirektøren medgir man har et «merkevareproblem».

– Det byr på utfordringer, jeg skal ikke legge skjul på det. Men hovedsaken er at tjenestene som er tilgjengelige gjennom Altinn uansett holder en meget høy kvalitet der sikkerhetsaspektet er godt ivaretatt, sier Glad.