Slik hackes fødselsnummeret ditt

LAGER LISTE: Programmet lager raskt og greit en liste over personnummer, navn og adresse til alle på en gitt fødselsdato. Navnene og deler av datoen er her fjernet fra skjermbildet. Foto: Skjermbilde

VG Nett følger

Lag din egen RSS

Les også:

- Fikser feilen i dag

Eksterne linker

Artikkelen om personnummer

Det kan være bekvemt å endre alt fra mobilleverandør til fastlege på nettet, men hvor god er egentlig sikkerheten rundt fødselsnummeret ditt? I helgen har debatten gått høyt på norske nettsider etter at et dataprogram ble lansert.

Programmet lar alle personer med en smule teknisk innsikt og tilgang til nettet finne frem personnummer og adressedata, ut fra fødselsdatoen.

Når programmet er fôret med en kode fra Tele2s hjemmesider og fødselsdato vil det gjøre tre ting.

1: Først regner den ut gyldige fødselsnummer til datoen, ut fra en offentlig kjent algoritme.

2: Deretter kontakter programmet den offentlige nettsiden Altinn.no og får svar på om fødselsnummeret er i bruk eller ikke.

3: Til slutt tar programmet de gyldige fødselsnummerene til Tele2s hjemmesider og henter ut adresseinformasjonen. Det er ikke bare Tele2s abonnenter som dukker opp i listen, men tilsynelatende alle i Folkeregisteret.

Tele2: -Vil stoppe muligheten fra i dag

Fungerer strålende

VG Nett har testet programmet og selv i en uraffinert utgave fungerer det relativt kjapt. Enkelte datafiklere har laget lynraske utgaver av programmet, der alle personnumre for en dato kan hentes ned på under et halvt minutt.

- Jeg er ikke overrasket, fordi vi regnet med at noen ville prøve seg, sier doktorgradsstipendiat André Klingsheim. Sammen med professor Kjell Jørgen Hole har han skrevet en fagartikkel om akkurat dette temaet.

- Dette er et tilsvarende program som vi demonstrerte for Datatilsynet.

- Dette krever bare grunnlegende programmeringskunnskaper som mange besitter.

Programmet som sirkulerte på nettet i helgen har også blitt diskutert hos Datatilsynet. Det er ikke første gang de ser slike åpne hull i nettstedenes sikkerhet.

REAGERER: Informasjonssjef Ove Skåra i Datatilsynet reagerer på den utilstrekkelige beskyttelsen av personnummer. Foto: Berit Roald / Scanpix

- Må teleleverandørene nå skjerpe rutinene?

- Visst må de det, vi har allerede vært i kontakt med Tele2 om deres bruk av fødselsnummer, sier informasjonsdirektør Ove Skåra i Datatilsynet.

Men han påpåeker at selv om det i denne omgangen er mobilleverandører som har blitt tatt med buksene nede, er det slett ikke bare de som er slepphendte med sikkerheten.

- Det ikke bare telesektoren, men også andre private og offentlige virksmheter som har løsninger med mulighet for ikke tilsiktet bruk. Det er et veldig generelt problem, sier Skåra.

- Vi har oppfulgt flere av dem og gitt dem pålegg om endringer.
Kan bli ansvarlig

Dersom personopplysninger lekker ut, kan firmaet som distribuerer opplysningene være i hardt vær. Har man tatt på seg ansvaret for anvendelse av informasjonen, kan det få konsekvenser med slepphendt sikkerhet.

- Hvert nettsted er ansvarlig for den løsningen de har lagt opp til, sier Skåra.

- Hvis personopplysninger kommer på avveie og det kan spores tilbake til mangelfull informasjonssikkerhet hos en virksomhet kan det føre til erstatningsansvar.

Ikke bare Tele2

Skaperen av programmet som henter ut informasjon fra Tele2s nettsider hadde i utgangspunktet ønsket å unytte et sikkerhetshull hos en annen teleleverandør, men det ble tettet etter en artikkel om dårlig sikkerhet med fødselsnummer.

(VG NETT 30.07.2007 kl. 10:27, Sist oppdatert 09.08.2007 kl. 10:00)

Utskriftsvennlig versjon i samarbeid med:

Tester: Lyd og bilde

Test Panasonic Lumix: Spennende hybridkamera

Et helt nytt kamerasegment er i ferd med å få fotfeste i markedet. Blant de nye hybridkameraene er Panasonic GF1 kanskje det mest spennende så langt.