Dette er historien om hvordan Tor begynte med fiskeoppdrett. Eventuelt er det historien om hvordan uheldige sikkerhetsvalg fører til uforutsette hendelser. Men mest kanskje om Tor, kompisen Ronny og laksen.
En gang var Tor og Ronny bestevenner. Dessverre endte vennskapet brått sent en lørdagskveld i slutten av første videregående da Lise, Ronnys kjæreste, fant ut hun likte Tor bedre enn Ronny.
De gikk alle tre på Katta og mente selv de hadde strålende karrierer som advokat, lege og IKT-konsulent foran seg. Uheldigvis for Tor var det Ronny som hadde siktet seg inn på IKT-karrieren.
Noen dager etter den skjebnesvangre lørdagskvelden var Tor innom skolebiblioteket for å skrive ut matteleksa fra LMSet. De fem PCene sto på rekke og rad like ved inngangen, under strengt oppsyn av bibliotekaren. Noe beklemt smøg Tor seg ned i stolen foran den eneste ledige maskinen. Beklemt fordi på den ene siden hadde han nå hadde Ronny på PCen til høyre og Lise trippende utålmodig utenfor døra til venstre for seg.
PCen var ferdig innlogget som vanlig så det var bare å fyre opp nettleseren. Firefox, for det var jo sikrere enn de andre. Påpasselig med å huske s’en i https logget han seg inn på LMSet. Etter at lærerne hadde begynt å føre inn karakterer i læringsplattformen måtte de alltid logge inn i to runder. Først brukernavn og passord, og så kom det et engangspassord på mobilen som de måtte skrive inn. Litt irriterende tungvint, men sikrere da. Tor skrev ut leksa på printeren til bibliotekaren, trykket på logout-knappen i LMSet og i tillegg hadde lukket nettleservinduet han hadde åpnet. Raskt rev han med seg papiret og sprintet ut til Lise.
Med et olmt blikk etter de to rullet Ronny bort til PCen som Tor hadde brukt og trykket på noen taster. Et tilfreds glis bredte seg og mens Tor hadde litt kvalitetstid med Lise hadde Ronny litt kvalitetstid han også… Med PCen Tor hadde brukt.
Sommeren ble ikke helt den Tor hadde tenkt seg. Først viste det seg at Lise ikke var helt til å stole på. Når sommerferien hadde begynt reiste hun og noen venninner til Spania, og etter Facebook-bildene å dømme hadde de det veldig… gøy… der nede.
Men i tillegg kom det et par urovekkende meldinger, og et brev han ventet på var sårt savnet. Først dukket det opp et brev fra Kemnerkontoret som påstod at selvangivelsen helt tydelig inneholdt klare feil og mangler. Dette syntes Tor var veldig merkelig i og med at han hadde sett over det han hadde fått tidligere på året og brukt den kjekke “stilltiende samtykke”-funksjonen som nå hadde kommet. Men nå var han altså kalt inn til møte.
Og så fikk Tor SMSen om at han hadde kommet inn på neste trinn på videregående. Han ble noe paff når han skulle gå inn og akseptere tilbudet. Han kunne ikke huske å ha søkt på havbruk på Frøya vgs som sitt første og eneste valg… Og brevet fra lånekassen om at stipend og lån for neste skoleår var i orden hadde jo ikke dukket opp ennå…
Det Tor aldri fant ut av var at når han gikk fra den åpne PCen og trodde han hadde logget ut fra LMSet hadde ikke nettleserprosessen blitt drept. Et annet vindu lå minimert og innloggingssesjonen var fremdeles gyldig og Ronny hadde fritt spillerom til å omforme Tors karriere fra lege til havbruk og lakseoppdretter.
Og moralen i dagens historie… Først av alt: Ikke stikk av med dama til en nerd. Det kan slå hardt tilbake.
Men også:
- Ikke alle funksjoner i en tjeneste er nødvendigvis på samme sikkerhetsnivå. Det kan da være uheldig å bruke samme sikkerhetsnivå på hele tjenesten i og med at en eksponerer alt hele tiden en bruker er innlogget. Om LMSet hadde brukt en sterkere beskyttelse bare de delene av systemet som trenger denne beskyttelsen hadde Tor aldri kommet i dette uføret.
- I et system med Single Sign-on mellom tjenester er det spesielt viktig å skille mellom sikkerhetsnivåer og velge det som er riktig for tjenesten. Bruker en for høyt nivå og det kommer på avveie får man også samtidig tilgang til andre tjenester på samme nivå i SSO-systemet, som her søknadssystemet til videre opplæring, søknad til lånekassen og endring og innlevering av selvangivelsen.
- Ikke alle tjenester bør tillate Single Sign-on. Selv om det er mulig er det enkelte tjenester som ikke bør bruke SSO. En bør selvsagt benytte samme innloggingsmekanisme, men ikke nødvendigvis SSO.
- Global Sign-out er nødvendig! For selv om Tor trykket på logout-knappen i LMSet (som her for illustrasjonens skyld) ikke implementerte global sign-out så var han bare logget ut fra LMSet. I og med at nettleserprosessen overlevde fortsatte SSO-sesjonen å være gyldig. Så Ronny kunne uten videre gå tilbake inn i LMSet som Tor, eventuelt gå til andre tjenester som godtok SSO på samme sikkerhetsnivå.
Vel… Noen tanker sent på kvelden…