For fire og et halvt år siden lot Petter Reinholdtsen seg overraske over at Ruters billettautomater i hovedstaden fortsatt brukte Windows 2000 Professional.
Han ble ikke noe mindre overrasket da han på tirsdag igjen kom over en automat som hadde krasjet.
Ikke oppdatert siden 2010
I konsollvinduet levde nemlig den eldgamle Windows-versjonen fortsatt i beste velgående.
Produktet har ikke mottatt sikkerhetsoppdateringer siden 2010.
– Denne programvaren har mange feil, og de blir ikke fikset. For en som vet hvordan de skal opptre er det nok veldig enkelt å utnytte systemet. Jeg tror ikke Ruter forstår alvoret når det kommer til sikring av datasystemer, sier Petter Reinholdtsen til digi.no.
Da han kontaktet Ruter for første gang i 2012 gjennom digi.no, fikk han beskjed om at det ikke var noe problem at automatene kjørte med en utdatert Windows-versjonen.
Lukket nett
De stod nemlig i et lukket nett, fikk han beskjed om.
– Tukler man med en kabel i dette «lukkede nettet» er man fort i stand til å bryte seg inn, sier mannen som jobber med automatisering av driftstjenester for styring av datatjenester og maskiner.
Ifølge Reinholdtsen ligger nettverkskablene til automatene lett tilgjengelig i betongkasser spredt over hele Oslo. Microsoft forteller at alle deres kunder blir opplyst om produktenes livssyklus ved kjøp.
– Vi oppfordrer alle kunder til å merke seg viktige datoer i produktets livssyklus, så de kan planlegge oppdatering og modernisering av løsningene sine, sier kommunikasjonsdirektør Vibeke Hansen i Microsoft til digi.no.
Planen til Ruter var egentlig at de gamle Windows 2000-automatene skulle erstattes i 2013, men foreløpig har ingen ting skjedd.
(artikkelen fortsetter under)
– De som produserer billettautomatene har ikke god nok kontroll. Jeg frykter at Ruter vil tape billettinntekter på grunn av dette, sa administrerende direktør Bernt Reitan Jenssen til Aftenposten da.
Windows NT
Det er ikke første gang digi.no skriver om eldgamle systemer i det offentlige. Tirsdag hadde vi en sak om at mye kritisk infrastruktur fortsatt kjører på Windows NT.
Ifølge sikkerhetsingeniør Arnfinn Strand er denne type utstyr en sikkerhetsrisiko.
– Dette er tikkende bomber. Sannsynligvis vil det ikke skje noen verdens ting før noen faktisk blir angrepet. De trenger en grunn før noen ser verdien av å bytte ut utdaterte systemer, sa han til digi.no da.
Også mange norske sykehus sitter på gammel teknologi. Tidligere i sommer skrev digi.no at Oslo universitetssykehus fortsatt hadde 5 000 XP-klienter i nettet sitt.
Står for syv prosent av billettsalget
De gamle billettautomatene til Ruter er ikke så viktige for selskapet lenger.
Det er nemlig stadig færre reisende som benytter seg av automatene når de skal kjøpe billett. Bare cirka syv prosent av billettinntektene til Ruter kommer fra automatene.
Til sammenligning kommer rundt 48 prosent av billettinntektene til Oslo-selskapet fra Ruter-appen.
– Vi mener at automatene er sikre nok, selv om vi ikke har oppdatert operativsystemet, sier pressekontakt Sofie Bruun i Ruter til digi.no.
Ruter: – Sikkerhet er viktig for oss!
Ifølge Oslo-selskapet utsettes datasystemene i Ruter for jevnlige angrep.
Selskapet er ikke kjent med at det har vært risiko for at informasjon i Ruters systemer ha kommet på avveie som følge av det gamle operativsystemet.
– Sikkerhet knyttet til datasystemer er et kontinuerlig arbeid som har høy prioritet hos Ruter, sier Bruun.
Selskapet opplyser at de er kjent med svakhetene i det eldgamle billettautomatene, og at de har et spesielt fokus rundt IT-sikkerheten vedrørende disse.
– Vi har tidligere gjort vurderinger om å oppgradere den eldste plattformen, men har valgt å fase disse ut over tid. Vi har i stedet valgt å gjøre sikkerhetstiltak som vi vurderer som tilstrekkelige, inntil vi kan avvikle plattformen helt, konkluderer hun.
