Idag är ju en majoritet av systemen byggda med säkerhet som ett viktig mål. Det går inte att fortsätta använda uråldriga principer för att skapa nya program och ny hårdvara. Så allting borde ju vara på väg i rätt riktning. Och det är det nog faktiskt. Men… Om man nu skulle tro att det inte finns en stor del kvar av en svunnen tid, är det bara att titta runt.

ShodanHQ visar hur mycket gammalt skräp som fortfarande finns uppkopplat. Eller webbtjänster med sårbarheter man trodde vara borta sedan länge. Eller system som inte är patchade eller helt enkelt saknar krav på inloggning för att få användas. Det är snart ett år sedan Pewdiepie fick gratis reklam på tusentals osäkra skrivare uppkopplade till nätet. Riktigt bedrövligt att det fortfarande finns skrivare du kan koppla upp till över Internet. Vem kopplar i dessa tider överhuvudtaget in saker utan en brandvägg? Alltså utan en teknologi som folk började använda på bred skala när bredbanden blev populära.

Jag talar både om saker som borde försvunnit för 15 år sedan, men lika mycket om saker som är moderna men inte klarar av att stå på nätet. Den stora massan av undermåliga system formar en lång svans av plattformar för hackare att ta över. På 2000-talet var en stor mängd av skräpet dåligt skyddade Windows-burkar som folk kopplade in utan någon brandvägg. Windows XP hade en riktigt värdelös brandvägg som inte blev användbar förrän man faktiskt fick ordning på den med service pack 2 år 2004.

En del saker var kanske någotsånär säkra när de var nya men har, som sagt, sedan länge övergetts av tillverkaren. Detta har vi pratat om i tidigare inlägg, men det är fortfarande värt att tänka på. För något år sedan fick jag en fråga av en kund vad man kunde göra med en Windows NT-server som måste vara kvar och kopplad till nätet. Hur skulle den skyddas om den var tvungen att vara nåbar över SMB-protokollet? De portarna är bland de farligaste att ha öppna på en gammal Windows server. Windows NT slutade utvecklas 1999 för att sätta saker i perspektiv. Det har ingen egen brandvägg och inget skydd mot nätverksbaserade attacker att tala om.

Sen har vi saker som är skrivna i sedan länge övergivna ramverk och programspråk. Webbapplikationer som saknar all typ av skydd mot de vanligaste attacktyperna på nätet.

Ibland är dessa system ett blödande skotthål i ett annars tätt pansar. En uråldrig enhet tillhörande ett nätverk av ordentligt skyddade servrar med välbyggda applikationer. Denna svaga punkt, kan negera allt annat skydd.

Varför finns denna lång svans av smitthärdar kvar i dessa dagar? Det är svårt att säga, men det är fortfarande ett stort problem, och visar inga tecken på att minska. Detta ska läggas till det faktum att det idag dessa dagar kopplas in allt fler och fler enheter till Internet. Hur blir det med IPV6? Kommer det blir ännu värre? Framtiden ser inte ljus ut här.