Falska larm om strålning och gatustrider spridning via ukrainska flyglarmet, miljoner skickades ner i skyddsrum utan en enda rysk robot, appen byggd med statligt stöd fungerar bara för att ingen ifrågasätter den, västvärlden bygger liknande nationella larmsystem och Ukraina har just genomfört penetrationstesten

Bilder

bnonews.com

Ukrainare vakade på söndagen av nödupprop som varnade för strålningsfara, kemiska angrepp och gatustrider i Kiev, Charkiv och Zaporizjzja – inget av det var verkligt. Landets luftvapen bekräftade att inget strålningshot förelåg och uppgav att Luftvarningsappen, verktyget som miljontals förlitar sig på för att söka skydd ryska robot- och drönarangrepp, sannolikt utsatts för "fientlig påverkan".

De falska meddelandena spände över hela katastrofregistret: kärnfaror, kemiska hot och gatustrider i Charkiv, artillerield i Zaporizjzja, strålningsvarningar i huvudstaden. Vissa uppgifter tyder på att de falska larmen till och med utlöste sirener. Applikationen är utvecklad av Ajax Systems och Stfalcon med stöd av digitaliseringsministeriet, och dess värde vilar just på den statliga ryggen: när larmet går flyr folk till skyddsrum utan att kontrollera något annat.

I det förtroendet ligger sårbarheten. En befolkning som i nästan fyra år tränats att betrakta appens notis som det slutgiltiga ordet om inkommande robotar kan inte kontrollera signalen på egen hand – hela systemet fungerar bara för att ingen förväntas tvivla på det. Den som kapat applikationen behövde inte avfyra ett enda vapen för att fylla källare med panikslagna civila, eller för att lära miljontals människor att nästa äkta larm kanske också är falskt. Luftvapnets svar var att hänvisa användarna till sin officiella kanal: ett centraliserat system ersattes med ett annat centraliserat system.

Det är värt att notera hur sårbarheten uppstår. En statlig infrastruktur byggd på obetingat förtroende har ingen inbyggd mekanism för felkorrigering – ingen aktör inom systemet bär den direkta kostnaden för ett misslyckande, och därför blir kontrollen aldrig en prioritet förrän det är för sent. En privat larmtjänst som förlorade sina användares förtroende skulle mista sina kunder; en statlig monopolapp behåller sin publik oavsett. Det är därför sådana system hackas, inte för att teknikerna är klumpiga, utan för att incitamenten att skydda dem är svaga.

Samtidigt bygger västerländska regeringar, inklusive den svenska med sitt system för offentliga varningar till varje mobiltelefon, liknande infrastruktur – rikstäckande nödvarningar som ska litas blind på och ifrågasättas aldrig. Myndigheterna säljer in det som en säkerhet, men varje centraliserad kanal till alla telefoner är också en enda angreppsyta för den som vill så panik eller avtrubba beredskapen. Ukraina har just genomfört intrångstesten åt dem alla. Frågan är om våra egna myndigheter tar lärdomen, eller om de, enligt invanda mönstret, nöjer sig med att peka på en ny officiell kanal.