Regeringens corona-app forbudt for alle ansatte i Udenrigsministeriet

Siden den danske statslige app, der skal opspore smittekæder, blev klar i midten af juni, har sundhedsmyndighederne gang på gang forsikret befolkningen om, at de trygt kan installere den – uden frygt for, hvad der sker med deres data.

»Det har været afgørende, at appen lever op til det højeste niveau af privatlivsbeskyttelse og datasikkerhed,« har sundheds- og ældreminister Magnus Heunicke (S) blandt andet sagt. Ved udgangen af måneden havde over 600.000 danskere downloadet appen.

Alligevel viser det sig nu, at Udenrigsministeriet har forbudt samtlige medarbejdere at installere appen på telefoner og tablets, der er udleveret af ministeriet – »af sikkerhedsmæssige årsager«.

Direktør for organisation og borgerservice i Udenrigsministeriet, Erik Brøgger Rasmussen, bekræfter over for Information, at man blandt andet har skrevet ud på ministeriets intranet, at medarbejdere ikke må downloade appen på ministeriets telefoner. Det skyldes, at den kun fungerer, hvis Bluetooth er konstant slået til.

»Bluetooth er en åben kanal, og derfor er den relativt nem at penetrere for dem, der nu har lyst til at følge med i, hvad der foregår. Derfor tillader vi generelt ikke brug af Bluetooth på vores telefoner.«

Det er altså ikke selve appen, men den funktion, den kræver for at virke, der er problemet. Alligevel står Udenrigsministeriets udmelding i kontrast til, hvad vi ellers har hørt fra myndighederne om appens datasikkerhed. Det mener formand for IT-Politisk Forening, Jesper Lund.

Ifølge ham, er det »uden for diskussion«, at Bluetooth gør ens telefon mindre sikker. 

»Så det er i en eller anden forstand dobbeltmoralsk, at nogle dele af staten tigger og beder borgerne om at installere appen, og samtidig er der andre dele af staten, hvor man ikke vil gøre det,« siger han.

Spørger man Henrik Kramselund, der til daglig rådgiver virksomheder i cybersikkerhed og underviser i emnet på Københavns Erhvervsakademi, KEA, er det »problematisk«, at så mange danskere render rundt med Bluetooth permanent tændt på deres telefoner. Og det gælder ikke kun ansatte i ministerier eller andre institutioner, der arbejder med klassificeret indhold, men også helt almindelige danskere, mener han.

»Man kan spore og tracke folk, og man kan risikere at få delt data, man ikke ønsker at få delt. Og når først man kan identificere folk, kan man kortlægge, hvem der mødes og hvor ofte,« siger han.

»Så jeg vil forvente, at nogen prøver at udnytte det.«

Magnus Heunicke er på ferie, og det har derfor ikke været muligt at få en kommentar til sagen. Ministeriet henviser dog til det advisory board, der har rådgivet myndighederne under udviklingen af appen.

Formand for Dansk Magisterforening og medlem af Dataetisk Råd, Camilla Gregersen, sad med i den rådgivende gruppe, og hun mener ikke, at der er sikkerhedsproblemer med hverken appen eller brugen af Bluetooth. Hun frygter derimod, at Udenrigsministeriets beslutning kan skabe ubegrundet mistillid til appen.

»Det kan blive nogle blandede signaler, man kommer til at sende, og det ville være rigtig ærgerligt, hvis det medfører, at befolkningen bliver usikre på sikkerheden,« siger hun og understreger, at hun ikke udtaler sig på vegne af Dataetisk Råd. 

En skidt situation

Den danske smittesporingsapp lå klar til brug den 18. juni. Men allerede først på foråret, da lignende apps kom på tale rundt omkring i verden, besluttede Udenrigsministeriet, at alle smittesporingsapps, der anvender Bluetooth, skulle forbydes på enheder, der er sikkerhedsgodkendt af ministeriet.

Så i juni, da den danske app kom på markedet, lavede man en specifik udmelding på ministeriets intranet om brugen af den.

»Det har ikke noget med den danske app og dens indhold at gøre, men fordi den kræver permanent Bluetooth, vil vi ikke have den af sikkerhedsmæssige årsager,« siger Erik Brøgger Rasmussen og forklarer, at beslutningen blev taget af ministeriets informationssikkerhedsteam i dialog med de danske sikkerhedsmyndigheder.

Jesper Lund kan godt se fornuften i ministeriets beslutning.

»Ud fra en rent sikkerhedsmæssig synsvinkel kan jeg sagtens forstå det, for der er ikke nogen tvivl om, at din telefon er mere sikker, hvis Bluetooth er slukket,« siger han.

»Omvendt er der andre dele af staten, der mener, at appen er et vigtigt led i at styre den pandemi, vi står i. Og så er der jo ikke rigtig noget alternativ – på godt og ondt. Men der kommer nogle sikkerhedsrisici med.«

Henrik Kramselund kalder det en »helt generel sikkerhedsanbefaling, at man lukker Bluetooth, når man ikke bruger det«.

Men alligevel kan de hundredtusindvis af danskere, der har hentet appen, nu gå rundt med Bluetooth tændt permanent.

»Det er en skidt situation,« siger han. Og det kan ifølge hans vurdering både udnyttes til kriminelle og kommercielle formål. 

Appen bygger på en teknisk løsning, der er udviklet af Google og Apple, men er herhjemme blevet udviklet af Sundheds- og Ældreministeriet og Digitaliseringsstyrelsen, mens Styrelsen for Patiensikkerhed har foretaget en konsekvensanalyse af databeskyttelsen.

Her konkluderes det, at den væsentligste risiko i forbindelse med befolkningens databeskyttelse er, at »borgerne ikke kan overskue konsekvenserne af deres accept af frivilligt at dele information om smittestatus med andre«. 

Birthes iPhone og Henriks telefon

Ligesom internet er Bluetooth helt grundlæggende en måde at transportere data på. Det rækker bare kun omkring ti meter og bliver ofte brugt til små enheder, som en trådløs mus eller høretelefoner, forklarer Henrik Kramselund.

»Hvis man har Bluetooth åbent, kan telefonen modtage data ude fra luften, og de data kan potentielt være skadelig trafik fra nogen, der prøver at angribe os. Så det er almen kendt, at man skal slukke det, når man ikke bruger det,« siger han. 

Der kan være forskellige typer sikkerhedsfejl i teknologien, som gør, at det er lettere at trænge ind i telefonen, og der er generelt en række risici forbundet med brugen af Bluetooth, mener Kramselund.

Først og fremmest er det hans vurdering, at man vil kunne identificere folk og kortlægge, hvem de mødes med. Blandt andet fordi mange danskere ikke er opmærksomme på, at de har funktionen ’synlig’ slået til i deres Bluetooth-indstillinger, hvilket betyder, at deres navn fremgår, når de tænder for Bluetooth.

»Så alene ved at slå Bluetooth til, vil mange fortælle, hvem de er, og hvor de er, fordi der står ’Henriks telefon’ eller ’Birthes Iphone’. Og nogle gange vil det være et fuldt navn,« forklarer han.

Samtidig er der mange apps, der bruger Bluetooth, når først funktionen tændes i forbindelse med smittesporingsappen. Når du bruger appen, tillader du altså derigennem formentlig også en lang række andre apps at anvende bluetoothforbindelsen.

Og så bliver sikkerheden et spørgsmål om, hvilke apps du ellers har installeret, hvilke tilladelser du har givet dem, hvad de bruger af data, og hvordan de bruger den data, siger Henrik Kramselund.

»Og der er desværre masser af eksempler på apps, der henter for meget data, og vi ved, at forbrugerne i mange tilfælde bliver snydt.«

Et andet scenarie kunne være, at kriminelle bruger bluetoothforbindelsen til at sende brugerne beskeder. Man kunne forestille sig, siger han, at nogen vil udgive sig for at være sundhedsmyndighederne og sende beskeder med links, man bliver bedt om at klikke på, som lokker folk i uføre.

»For at udnytte den slags sårbarheder skal man bruge meget få dimser. Man skal bare bruge en bluetoothsender, der kan sættes i en bærbar computer, og så kan man hacke,« siger Henrik Kramselund.

Det er hverken dyrt eller særlig kompliceret, vurderer han. 

Bluetooth er ikke bare Bluetooth

Det er ikke kun Udenrigsministeriet, der har en bekymring om brugen af Bluetooth.

Forsvarsministeriet har ikke lavet en tilsvarende udmelding om smittesporingsappen til deres medarbejdere, men her henvises til dets genelle retningslinjer for datasikkerhed på ikkeklassificeret materiale fra mobile enheder.

Uden forbindelse til Bluetooth virker den statslige smittestopapp ikke.

Ifølge Camilla Gregersen skal man dog ikke være urolig ved at bruge sundhedsmyndighedernes app.

Digital smittesporing bruger Bluetooth, men hun påpeger, at det er telefonens eget styresystem, der bruger Bluetooth til at registrere kontakten med andre brugere, som potentielt kunne være smittet med COVID-19. Selve appen hverken sender eller modtager Bluetooth-signaler. 

»Så man behøver ikke at stole på selve appen – det afgørende er, om man stoler på telefonens underliggende styresystem,« siger hun. 

»Bluetooth er den eneste måde, telefonerne kan kommunikere direkte uden at gå via udefrakommende wifi eller 4G, så på den måde er Buetooth godt for sikkerheden. Jeg vurderer ikke, at kontaktsporing er usikkert, når det ligger inde i telefonenes styresystem.«

– Så der er ikke nogen mulighed for, at folk kan hacke sig ind gennem Bluetooth?

»Tidligere versioner af Bluetooth har absolut nogle sikkerhedshuller, men de telefoner, hvor smittesporing er mulig, bruger nyere versioner af Bluetooth, hvor der p.t. ikke er kendte sikkerhedshuller. Et af branchens mest anerkendte sikkerhedsfirmaer har udført omfattende sikkerhedstest af appen, herunder af Bluetooth-funktionen. De fandt ingen sikkerhedsproblemer i Bluetooth-funktionen.«

– Skal det forstås sådan, at du ikke mener, at Udenrigsministeriets it-sikkerheds-team har forstået teknologien ordentligt, siden de har lavet et forbud?

»De har måske bare nogle andre hensyn og interesser. Udenrigsministeriets it-afdeling har ikke til opgave at sikre danskerne i en ny COVID-19-bølge. De bliver ikke belønnet for at vægte befolkningens sundhed højere end deres interne it-systemer,« siger Camilla Gregersen.

»Tværtimod. Hvis der senere måtte vise sig et sikkerhedsproblem, som ingen kan se nu, kan de blive aftvunget en forklaring.«

Kan skade coronakampen

Camilla Gregersen har selv installeret appen på sin telefon, og hun anbefaler andre at gøre det samme.

Spørger man hende, er det heller ikke ukorrekt, når Magnus Heunicke har sagt, at appen lever op til de »højeste standarder for datasikkerhed og privatlivsbeskyttelse«.

På nuværende tidspunkt er hendes største bekymring, hvad udmeldingen fra Udenrigsministeriet kan betyde for danskernes tillid til appen.

»Det sender i hvert fald nogle blandede signaler, og det ville være rigtig ærgerligt, hvis det medførte, at befolkningen bliver i tvivl om sikkerheden ved smittesporing. Hvis flere myndigheder vælger at give denne her melding, så kan det begrænse udbredelsen af smittesporingen, og det, mener jeg, vil være et problem for almenvellet.«

Men beslutningen om at forbyde smittesporingsappen på arbejdstelefoner skal ikke forstås som en generel opfordring til, at folk ikke installerer appen, understreger direktør for organisation og borgerservice i Udenrigsministeriet, Erik Brøgger Rasmussen.

»I modsætning til de fleste privatpersoner, så har Udenrigsministeriet informationer tilgængelige i vores systemer, som nogle udenforstående har interesse i. Hvis nogen får adgang til vores data, så kompromitterer det potentielt hele Danmarks sikkerhed,« siger han.

Derfor har ministeriet højere sikkerhedsstandarder end de fleste privatpersoner og mange andre offentlige institutioner – og de er lovmæssigt forpligtede til at passe ekstra godt på deres data, forklarer Erik Brøgger Rasmussen.

Henrik Kramselund kalder det en »valid bekymring«, ministeriet har, og han ville anbefale alle myndigheder med fortrolige oplysninger at gøre det samme.

Men han vil også anbefale det samme til folk i den private sektor, der ligger inde med oplysninger, som andre kunne være interesserede i. Kramselund har desuden hørt eksempler på aktivister, som er forsøgt sporet gennem denne teknologi, og han mener, at problemet kan være relevant for en del andre danskere.

»Vi taler ofte om terror og sådan nogle ting, men i Danmark har vi jo langt flere stalkingsager, ekskærester der er sure på hinanden, og ægtefæller, der er hinanden utro. De data kan både bruges til at afpresse folk og smadre familier. Så de data skal beskyttes rigtig, rigtig godt.«