Eskilstunaföretaget som fick hjärtat att sluta blöda

När databuggen som kallas Heartbleed ("mitt hjärta blöder") upptäcktes förra tisdagen reagerade teknikföretaget Westermo i Stora Sundby direkt.

– Väldigt tidigt när vi fick informationen så tittade vi igenom vår produkt och fann i vår analys att det här var också ett problem för vår mjukvara, säger Pierre Öberg, utvecklingschef på Westermo.

Westermo tillverkar bland annat så kallade Ethernet-switchar som kopplar ihop olika system i främst industriella och infrastruktur-nätverk. Bland kunderna finns ABB, Fortum och flera kommuner.

– Vissa kunder använder våra produkter för att ha access ut mot internet, och det är ju då som man helt plötsligt finns åtkomlig för attacker på internet, säger Pierre Öberg.

Heartbleed-buggen öppnar ett kryphål i mjukvaran OpenSSL. Ungefär två tredjedelar av alla webbtjänster i världen använder mjukvaran. Buggen har fått namnet Heartbleed eftersom den utnyttjar en funktion i OpenSSL som heter Heartbeat. Genom att sajterna blöder lösenord och inloggningsuppgifter blir det möjligt för hackare att komma över personlig information.

– Det här var ett riktigt allvarligt säkerhetshål som upptäcktes. Det var rakt över alla olika industrier, alla webbservrar. Det här var en riktigt allvarlig händelse. Det var därför vi verkligen ville agera så snabbt som möjligt, berättar Pierre Öberg på Westermo.

Westermo gav högsta prioritet för mjukvaruutvecklarna att arbeta på att hitta en lösning på problemet som skakat om hela IT-världen och betecknats som den största säkerhetsläckan i internets historia.

– 'Katastrofal' är det rätta ordet. På en skala från ett till tio är det här en elva, skrev den amerikanske säkerhetsexperten och kryptografen Bruce Schneier på sin blogg.

Robert Jonsson är ställföreträdande chef för Cert-se vid Myndigheten för samhällsskydd och beredskap, MSB.

– Risken för allvarliga konsekvenser är stor, men vi har inte sett konsekvenserna än.

Vilken typ av konsekvenser handlar det om?

– Att stora mängder användardata som lösenord eller kreditkortsnummer kommer på drift.

Buggen i OpenSSL rättades till samma dag som den offentliggjordes. Systemägare behöver dock installera den rättade programvaran för att avvärja hotet.

I slutet på förra veckan hade Westermo implementerat och kvalitetssäkrat en lösning åt företagets kunder.

– Vi beslöt oss för att direkt byta ut den dåliga koden mot ny kod där det här säkerhetshålet inte fanns, och sedan genomgå en lång testcykel för att se att det här verkligen löste problemet och att inga nya problem upptäcktes, säger Pierre Öberg.

I fredags kunde Westermo som första tillverkare av industriella Ethernet-switchar släppa lösningen till sina kunder.

– Vi har tagit fram en lösning på rekordtid, säger Magnus Jansson som arbetar med marknadskommunikation på Westermo.

Det är dock inte alla sajter i världen som har uppdaterats och de är nu hett villebråd för nätkriminella som vill utnyttja säkerhetsbristen.

– Redan förra onsdagen fanns det verktyg som man kan använda för att söka efter den sårbarheten, säger Robert Jonsson vid MSB.

– Vad vi har sett är att brottslingar har börjat ta med det här i sin verktygslåda.

Enligt Robert Jonsson vid MSB är det bästa sättet för privatpersoner att skydda sig att ändra sina lösenord på de sajter som uppdaterat till en säker version av OpenSSL.

– Allting från de stora sajterna, till exempel Facebook och LinkedIn, ner till lokala föreningssajter där man har inloggning, och inte att förglömma alla appar som man använder på telefonen.

– Om de inte har uppdaterat OpenSSL på en viss sajt ska du vänta med att uppdatera ditt lösenord där. Se till att du har olika lösenord till dina inloggningar på internet.

Pierre Öberg på Westermo tror att Heartbleed-buggen kommer att leda till att frågor om internet och säkerhet får större uppmärksamhet.

– Hela området cyber security kommer att få mer och mer attention. Det är så viktigt för oss alla att system är säkra. Det finns så många som försöker hitta sätt att ställa till det.

– Det är en otroligt spännande kamp som pågår mellan oss som vill få säkra system och de som gör allt för att hitta på elände.