Avisen.dk har de seneste par dage været under voldsom kritik - primært fra bloggeren Michael Lykke, der har opdaget en række alvorlige sikkerhedshuller på Avisen.dks system, der i sin tid blev udviklet til Avisen.dk af firmaet Hello Web.
Da jeg læste anklagerne, troede jeg ærlig talt ikke på dem. Det kunne bare ikke være rigtig, at det udviklede system havde en så ringe sikkerhed, som Michael Lykke med flere har anklaget os for at have.
Her til formiddag må jeg bare erkende, at det er korrekt.
Vi har på baggrund af indlæggene fra Michael Lykke med flere opdaget, at registrerede bruger kan ændre i andre brugeres blog og i nyhedsartikler fra Avisen.dk. Det er naturligvis en meget, meget alvorlig sikkerhedsbrist, som vi øjeblikket arbejder på højtryk for finde og lukke.
Sikkerhedsbristen er ganske banal - faktisk så banal, at vi ikke i vores vildeste fantasi har overvejet at lede efter den. Det tog vores webudvikler Jens Lykke Brandt 30 sekunder at finde bristen, da han først blev gjort opmærksom på det mulige problem.
Det er dybt beklageligt, at det bagvedliggende system på Avisen.dk indeholder en så alvorlig sikkerhedsbrist. Vi tager det naturligvis meget, meget seriøst. Hvis vi ikke indenfor ganske få timer er i stand til at lukke hullet, vil vi lukke midlertidigt for de registrerede brugernes adgang til blogdelen på Avisen.dk. Denne adgang vil i givet fald blive åbnet igen, så snart alle sikkerhedshuller er lukket.
Vi undersøger naturligvis også, om der er andre sikkerhedshuller af samme type, som ovenfor omtalt. Vi kan på nuværende tidspunkt ikke sige noget om, hvorvidt det også er muligt at ændre i brugernes profil.
Som nævnt er det dybt beklageligt, at systemet har vist sig at indeholde så store sikkerhedshuller, som tilfældet er. Det er naturligvis ikke særlig professionelt, at vi ikke har opdaget dem noget tidligere, men som nævnt er der tale om så banale fejl, at vi end ikke har overvejet dem som en mulighed. Det burde vi naturligvis.
Endelig vil jeg gerne præcisere, at sikkerheden på Avisen.dk bliver tjekket forfra og bagfra flere gange, inden vi søsætter reglerne om at man kun kan blogge under fuldt navn.
Spørgsmål til sagen kan rettes her på bloggen eller direkte til mig på olsv@avisen.dk.
Med venlig hilsen
Ole Wejse Svarrer
redaktør, Avisen.dk