I maj 2017 spredte WannaCry sig med stor hastighed til hundredtusindvis af computere verden over.
WannaCry er en såkaldt ransomware, som er i stand til automatisk at kryptere udvalgte filtyper på ofrets computer, slette originalerne og opkræve en løsesum for at dekryptere filerne igen.
Spredningen af WannaCry forårsagede stort kaos. Sygehuse, regeringskontorer og større virksomheder i mere end 150 lande blev hårdt ramt.
WannaCry blev dermed et globalt symbol på, hvor vitalt grundlæggende beskyttelse af it-systemer er – og på hvad der kan ske, når beskyttelsen halter.
I et nyt studie har vi brugt denne case til at undersøge, hvordan nye offentligheder opstår, når det ikke kun er den enkelte stat, der skal sikre it-sikkerheden, men et større netværk af stater og virksomheder på tværs af grænser.
\ Forskerzonen
Denne artikel er en del af Forskerzonen, som er stedet, hvor forskerne selv kommer direkte til orde.
Her skriver de om deres forskning og forskningsfelt, bringer relevant viden ind i den offentlige debat og formidler til et bredt publikum.
Forskerzonen er støttet af Lundbeckfonden.
WannaCry: en kompliceret hackerhistorie
En afgørende årsag til at WannaCry spredte sig så hurtigt var, at den udnyttede en sårbarhed i Microsofts meget anvendte Windows-operativsystem.
Sårbarheden, der er kendt som EternalBlue, er udviklet af den amerikanske efterretningstjeneste National Security Agency (NSA). Den blev imidlertid stjålet fra NSA i sommeren 2016.
Sårbarheden blev sidenhen delt af den formodede russiske hacker-gruppe Shadow Brokers i april 2017. NSA underrettede imidlertid først Microsoft om tyveriet af sårbarheden i februar 2017.
Microsoft udgav umiddelbart herefter en sikkerhedsopdatering. Sikkerhedsopdateringen blev ikke installeret på mange computere verden over, hvilket efterlod dem åbne for angreb.
Placeringen af skyld og ansvar for WannaCry involverer således mange aktører og er ikke en entydig størrelse.
Hvem i verden er ansvarlige?
Traditionelt har militæret, efterretningstjenester og andre nationale sikkerhedsinstitutioner været ansvarlige for nationalt definerede offentligheder.
På den måde har samfundet bygget bro over spændingen mellem (ekstraordinær) national sikkerhedspolitik og (normal) demokratisk politik.
Men når cyberhændelser, der går på tværs af territorielle grænser med stor hastighed, bliver mere almindelige, bliver de traditionelle statsbundne institutioner og foranstaltninger udfordret.
Det er problematisk, da de normalt sikrer åbenhed, ansvar og demokratisk kontrol.
Sikkerhedshændelser som WannaCry stiller dermed samfundet overfor en stor politisk og demokratisk udfordring: Hvem skal holdes ansvarlig for hvad og af hvem, når en cyberhændelse rammer? Hvem udgør offentligheden i forhold til grænseoverskridende cyberhændelser?
Flertydig dannelse af digital offentlighed
WannaCry eksemplet viser, at den berørte offentlighed ikke udelukkende kan defineres på forhånd i overensstemmelse med et nationalt politisk fællesskab. Dannelsen af offentligheder i forbindelse med WannaCry er ikke entydig, men multipel, flygtig og anfægtelig.
Det betyder, at det er uigennemsigtigt, hvem der har et legitimt krav på sikkerhed, samt hvilke aktører der skal stilles til regnskab for WannaCry.
Det understreger behovet for at forstå, undersøge og reagere på dannelse af offentligheder som en aktiv proces, der relaterer sig til bestemte sikkerhedshændelser.
Jagten på it-sårbarheder afslører et stort dilemma
Umiddelbart efter, WannaCry indtraf, begyndte ofre, politikere og medier at udpege de ansvarlige for angrebet.
NSA blev fra starten hængt ud som den store syndebuk. Det var nemlig NSA, som opdagede sårbarheden i Windows, men undlod at kontakte Microsoft, hvorefter NSA mistede kontrol over sårbarheden.
Desuden kom det frem, at NSA havde diskuteret muligheden for at fortælle Microsoft om sårbarheden grundet dens ualmindeligt store skadespotentiale. En afsløring af sårbarheden ville medføre, at NSA ikke selv kunne udnytte den, så NSA valgte ikke at kontakte Microsoft.
Den amerikanske regering forsøgte ad flere omgange at aflede opmærksomheden fra NSA.
Diskussionen om NSA's rolle og ansvar rammer ned i langvarig debat om efterretningstjenesters jagt på sårbarheder i it-systemer.
Efterretningstjenester verden over er i konstant jagt på it-sårbarheder, der kan udnyttes til at angribe fjendens systemer. Det gør de for at varetage den national sikkerhed og beskytte befolkningen.
Men den samme befolkning – inklusiv myndigheder og virksomheder – vil imidlertid ofte være afhængige af de samme it-systemer, som deres efterretningstjeneste finder sårbarheder i.
WannaCry viser dermed et iboende dilemma vedrørende de potentielt afledte effekter og skader, der er indbygget i efterretningstjenesternes jagt på sårbarheder.
Den demokratiske udfordring
WannaCry skadede amerikanske borgere, myndigheder og virksomheder, der således udgør en offentlighed i traditionel forstand. Langt de fleste ofre for WannaCry var imidlertid ikke amerikanere.
Denne gruppe af individer, virksomheder og myndigheder udgør potentielt yderligere en offentlighed vedrørende WannaCry.
Gruppen besad imidlertid kun i ringe grad de nødvendige midler og muligheder for at danne en aktiv offentlighed, der kunne stille de relevante aktører som NSA og den amerikanske regering til ansvar.
Det er en demokratisk udfordring.
\ Læs mere
Nye offentligheder kan blive skabt, når virksomheder holder vagt på tværs af grænser
I kølvandet på WannaCry erklærede Microsoft, at de påtager sig rollen som folkets første forsvarer i forhold til cyberhændelser.
Microsofts præsident og juridiske chef, Brad Smith, sagde, at Microsoft ikke kun er en sikkerhedsaktør, når virksomheden bliver mobiliseret af staten i spørgsmål om national sikkerhed. Microsoft vil aktivt forsøge at forsvare deres kunder overalt i verden uanset nationalitet.
Microsoft stiller dermed spørgsmålstegn ved den traditionelle, nationalstatslige organisering af sikkerhed og fordelingen af ansvar.
Det danner grobund for, at nye offentligheder potentielt bliver skabt.
Ikke kun dit pas skal sørge for din sikkerhed – du er også borger-bruger
Microsoft kræver samtidig, at verdens regeringer tager ansvar og beskytter civile i cyberspace. Microsofts ageren indebærer således både anfægtelse og afhængighed af statens sikkerhedsautoritet.
Microsoft påtager sig rollen som primær beskytter, når det kommer til Microsofts kunders sikkerhed. Det betyder, at retten til beskyttelse og sikkerhed ikke længere udelukkende hviler på pasfarve.
Ifølge Microsoft demonstrerer WannyCry ligefrem, at cybersikkerhed primært er et delt ansvar mellem tech-virksomheder og deres kunder.
Den nye type offentlighed, som Microsoft mobiliserer, går på tværs af landegrænser, og her er sikkerhed, rettigheder og ansvar en handelsvare betinget af kundeforhold.
De rettigheder, som traditionelt er defineret af vores statsborgerskab bliver altså nu også skabt gennem vores relation til virksomheder som Microsoft.
Den traditionelle samfundskontrakt suppleres dermed af virksomheders brugsbetingelser og servicevilkår.
En offentlighed af borger-brugere træder frem.
Brobygning mellem offentligheder
At svare på hvem, der udgør relevante sikkerhedspolitiske offentligheder, herunder hvordan de fremkommer og bliver synliggjort, er både en analytisk opgave for forskningen og en praktisk demokratisk udfordring for os alle.
WannaCry-eksemplet viser, hvorfor det er nødvendigt at forskere tilføjer et perspektiv på offentlighedsdannelse, der rækker ud over de nationalstatslige fællesskaber og institutioner, vi allerede kender.
Det understreger vigtigheden af at forstå dannelsen af offentligheder ud fra de sammenhænge, der gør, at vi opdager dem som nye offentlighed. Derfor er der behov for, at vi er mere opmærksomme på, hvordan mange aktører og teknologier påvirker offentlighedsdannelse.
Det kan danne grobund for yderligere offentlig-demokratisk indflydelse, hvilket der er brug for i en kontekst af cybersikkerhed, der er præget af lukkethed og hemmelighedskræmmeri.
Skal vi styrke demokratiet, er det nødvendigt, at vi bygger bro mellem offentligheder, der bliver skabt af nationale grænser og pasfarve, og de offentligheder, der bliver skabt af ikke-statslige aktører og nye teknologier, der går på tværs af landegrænser.
