SolarWinds: Beviserne var tekniske, ikke personlige

Moskva-området i Rusland, hvor SVR siges at have haft rolle i SolarWinds-sagen

Maps

Washington, DC-området i USA, hvor amerikanske myndigheder var berørt af SolarWinds-hacket

Maps

Det var cybersikkerhedsfirmaet FireEye, der i december 2020 offentliggjorde, at virksomheden selv var blevet kompromitteret, og kort efter pegede efterforskningen på SolarWinds-opdateringerne som adgangsvejen. FireEye offentliggjorde både tekniske indikatorer, analyser af bagdøren kendt som Sunburst og en tidslinje, der viste, hvordan angrebet var blevet bygget op over måneder. Siden fulgte amerikanske myndigheder og flere sikkerhedsfirmaer med mere dokumentation, og mistanken samlede sig hurtigt om Ruslands udenlandske efterretningstjeneste, SVR. ^[2]

Den åbne sårbarhed og den lukkede bevisbyrde

Det er den del, der er veldokumenteret. Mere usikkert bliver det, når enkeltnavne bliver trukket ind i fortællingen om, hvem der "afslørede" hvad over for Rusland, eller hvem der skulle have båret ansvaret for en lækage eller brist.

I sådanne sager sker der ofte det samme: tekniske fund bliver hurtigt politiske, og politiske forklaringer bliver hurtigt personlige. Men cyberefterforskning er sjældent lineær. Et spor i logfiler, en intern advarsel eller et offentliggjort dokument kan pege i én retning uden at bevise motiv, ansvar eller målperson med sikkerhed.

Hvis den person, der er blevet udpeget, viser sig ikke at have været målet eller slet ikke at have haft noget med sagen at gøre, er skaden ikke kun teoretisk. En fejludpegning kan ramme omdømme, arbejdsliv og personlig sikkerhed, især når anklagen knytter sig til Rusland, efterretningstjenester eller sikkerhedsbrister i statslige systemer. I den digitale offentlighed hænger sådanne beskyldninger ved længe efter, at de er blevet svækket eller tilbagevist. ^[3]

Hvad der faktisk blev offentliggjort

Kompromitterede softwareopdateringer

Orion-opdateringer med indlejret skadelig kode blev identificeret som den centrale adgangsvej. ^[4]

Analyse af Sunburst-bagdøren

Indikatorer for kompromittering

Myndigheder og private aktører delte tekniske kendetegn, så andre organisationer kunne undersøge, om de også var ramt.

Tidslinjer og angrebsmønstre

Efterforskningen viste, at operationen havde været i gang længe før offentligheden kendte til den, med testforløb i 2019 og bred udrulning i 2020. ^[5]

Det er vigtigt, fordi det adskiller dokumenteret kompromittering fra mere spekulative påstande om enkeltpersoners rolle. Der findes omfattende offentlig dokumentation for selve angrebet. Der findes langt mindre åben dokumentation, når diskussionen glider over i, hvem der eventuelt blev ramt "forkert".

Derfor opstår fejludpegninger

Det lyder tørt, men pointen er enkel: I sager som denne er det let at afsløre en sårbarhed. Det er langt sværere at bevise præcist, hvem der udnyttede den, hvem der opdagede den først, og hvem der reelt var målet.

Hvorfor sagen stadig er vigtig

Det er derfor den afgørende skillelinje i dag ikke kun går mellem USA og Rusland, men mellem det, der kan dokumenteres teknisk, og det, der bliver hævdet om enkeltpersoner. Hvis den forkerte er blevet ramt, er det ikke en detalje. Det er en ny sikkerhedsfejl, denne gang i den offentlige håndtering af sagen.