SIKKERHED GENNEM ÅBENHED: Open source som et strategisk valg

31. marts 2025

Af Tobias Fonsmark

Da jeg i sin tid valgte at benytte og arbejde med open source løsninger professionelt var min primære årsag: Sikkerhed. Med en ny og mere uforudsigelig geopolitisk situation er sikkerhedsargumentet for open source kun blevet endnu stærkere. I dette indlæg vil jeg fremlægge de forskellige facetter af mine overvejelser.

Det er oplagt at starte ved det grundlæggende: Open source betyder at kildekoden er offentligt tilgængelig. Dette er for mig at se et springende punkt ift. sikkerhed: Offentlig tilgængelig kildekode gør det muligt for enhver at se koden efter i sømmene, og sikre sig at der ikke er nogle skjulte hensigter eller overvågning indbygget. Du kan derfor have tillid til at koden gør det, du gerne vil have den til, hverken mere eller mindre.

I praksis hører det dog til sjældenhederne at vi selv gennemser hele kodebasen i en løsning såvel som i alle dens afhængigheder. I stedet beror vurderingen af et projekt på kvaliteten af koden såvel som følgende: 1) Er der en aktiv gruppe bag projektet, 2) antal bidragsydere, 3) god dokumentation, 4) projektets popularitet og anerkendelse i udviklerfællesskabet 5) nylig aktivitet, f.eks. commits og pull request.

IT-sikkerhed bør aldrig bero på at koden er utilgængelig
Lad os nu tage tyren ved hornene, og se på det forbehold vi ofte møder hos organisationer og IT-folk der (endnu) ikke bruger open source: Hvordan kan det være sikkert hvis kildekoden er tilgængelig så alle kan kigge i den?

Dette spørgsmål hviler på en præmis som i mine øjne er både forkert og farlig: At sikkerheden i en løsning ligger i at dens kode er utilgængelig. Denne form for sikkerhed kan kaldes ’security by obscurity’, og er ikke en anerkendt tilgang til IT-sikkerhed.

Der er talrige eksempler på at venligtsindede hackere forgæves har kontaktet store IT-virksomheder og gjort opmærksom på sikkerhedshuller. Først når hackerne - ofte efter lang tids ubesvarede henvendelser - offentliggør fejlen, bliver der blevet taget hånd om den. Mest prominent er nok Apple, som har ignoreret sikkerhedshenvendelser fra uafhængige sikkerhedsforskere flere gange.

Sikker kode er godt skrevet
I stedet følger open source miljøet i større stil den hollandske kryptograf Auguste Kerckhoffs princip fra 1883 om at ’et system bør være sikkert, selv når alt om systemet, undtagen nøglen, er offentlig viden’.

God og sikker kode betyder konkret at koden er skrevet pænt, er veldokumenteret, at der er opdaterede afhængigheder og reviews af pull-requests og, ikke mindst, at koden er velovervejet og håndtering af sårbarheder er tænkt ind. Kodens offentlige tilgængelighed er dermed ikke en sikkerhedsrisiko, fordi alle de miljøspecifikke ting, såsom viden om ip-adresser, shared secrets og passwords ligger separat fra koden.

Da koden ligger offentligt tilgængelig og mange i open source miljøet kigger med og bidrager, er open source løsninger ofte skrevet rigtig godt. Udviklerfællesskabets bidrag sammenholdt med en gruppe, der tager ansvar og holder øje med løsningen skaber forudsætningen for de gode, sikre løsninger. Open source gør det også muligt at genbruge og sammensætte komponenter efter eget behov, samtidig med at der gives fuld gennemskuelighed i løsningen.

I 2020/21 udviklede vi for Statens It en ny to-faktor-autentifikations-løsning, Geminus 2FA, som baserede sig på open source og samtidig levede op til kundens høje sikkerhedskrav. Vha. genbrug af forskellige velansete og gennemtestede komponenter opnåede vi høj kvalitet i løsningen. Det lykkedes dermed at sammensætte et produkt på en omkostningsbevidst måde, der nu servicerer alle Statens It´s kunder.

Magt, medbestemmelse og leveringssikkerhed
Lad mig nu vende tilbage til indlæggets start: Med den nye administration i USA, er der stor sandsynlighed for at IT-regulering bliver en del af den storpolitiske samtale mellem EU og USA. Europa, og Danmark, har gjort sig afhængige af amerikanske techgiganters produkter, og står nu i en svag forhandlingsposition. Se blot på Microsofts prisstigninger indenfor de seneste 10 år.

Det er usikkert hvorvidt USA-EU aftalen om behandling af europæernes data holder under Trump-II-administrationen. Her rammer vi et andet aspekt af sikkerhed: Kommuner og andre organisationer er i den nuværende situation ramt af vendor lock-in til få store leverandører. Open source tilbyder en udvej – en mulighed for uafhængighed og leveringssikkerhed. Sikkerhed er nemlig også at vide at den løsning du har i dag, også findes i morgen - og at den er lovlig.

Med open source kan du få indflydelse på de løsninger du benytter – og dermed tage medbestemmelsen, og magten, tilbage. I Semaphor har vi de seneste 15 år, med undtagelse af ét sagsarkiveringssystem, kun benyttet open source, samtidig med at vi driver samtlige af vores løsninger selv. Det kan lade sig gøre, og det ér sikkert.

➡️ Besøg OS2 - offentligt digitaliseringsfællesskab her

➡️ Læs hele bladet her