Avslöjandet att ip-trafik kan användas för att ta kontroll på internet genom så kallade botnet är inte bara ett orosmoln för Skype. Det lär även ge sömnlösa nätter för it-chefer som inte vill ha problem med sina nätverk.

I ett botnet infekteras ett antal persondatorer med trojaner, vilket gör det möjligt att kontrollera dem från avstånd, exempelvis för att genomföra attacker. Skype blir den kanal som kidnappningen sker genom och som gör det möjligt att skicka ut instruktioner till de drabbade persondatorerna.
Ett botnet kan spåras av de kommandon som används för att kontrollera dem, ofta i form av meddelande- eller chattströmmar.

– Internettelefoni ger nya möjligheter att dölja information i trafiken, säger Ian Brown, som leder forskningsgruppen Communications Research Network, CRN, som ligger bakom avslöjandet.
– Det finns en massa trafik därute och ljudtrafiken består ofta av en mängd slumpmässiga strömmar. Om man inte upptäcker meddelandena i ett botnet kan man inte heller ta bort hotet.

Enkelt skapa hot
Enligt John Crowcroft, professor i kommunikationsteknik på Cambridge, är det väldigt enkelt att skapa denna typ av hot. Ingen vet hur stort problemet med reguljära dos-attacker är, eftersom de sällan rapporteras.

CRN rekommenderar att användarna skapar en ny tjänst för att rapportera hot, vilket kan hjälpa till att skapa mönster i dos-attackerna.
– Kriminell aktivitet på internet borde inte gå spårlöst förbi, utan bör registreras i en central databas, säger CRNs styrelseordförande David Cleevely.

Det finns betydligt fler personer med ärligt uppsåt än personer med brottsliga ambitioner på internet.
– Men ju mer information de delar emellan sig, desto mer hamnar de i riskzonen, säger Cleevely.

Skype är utformat för att vara enkelt att installera, utan stöd från en operatör eller it-chef. Verktyget måste fungera på egen hand, vilket innebär att det lätt måste ta sig förbi brandväggar och andra säkerhetsskydd.

För ett företag innebär detta ett hål i brandväggen. Dessutom uppstår en ny kommunikationskanal som i många fall kan vara ett brott mot nya lagregler. Skypes klient agerar också som en server och använder sig av överföringskapacitet för att hantera samtal.

Många it-chefer vill slippa stänga Skype.
– Jag säger inte att vi alltid blockerar Skype, men detta är något som personalen måste vara medveten om, säger Ian Brown.

På Skype förnekar man att programmet skulle vara impopulärt hos it-avdelningarna.
– Jag talar ofta med it-chefer om hur de ska integrera Skype i sin arkitektur, säger Kurt Sauer, säkerhetschef på Skype.

Tidigare har bland annat Storbritanniens universitetsnätverk blockerat Skype, uppger Crowcroft.
– Vi gör det inte för att hindra folk att ta emot gratis samtal, utan för att okontrollerad extra trafik ger oss en stor extra nota och det är mot våra regler, säger han.

Tappade kunder
I samma veva förlorade Skype två miljoner betalande kunder.

– Här pågår ett ställningskrig mellan brandväggstillverkare och program som Skype, säger Ian Brown. It-chefer bör blockera Skype så mycket de kan, men ofta tar sig programmet igenom brandväggarna ändå.

CRN offentliggjorde hotet för att övertala Skype och andra att bli bättre på att hantera säkerhetsfrågor. Om företagets routigspecifikationer publiceras, kan it-cheferna lägga ut det i sina nätverk och följa trafiken.

– Kunderna borde kräva att Skype ansluter sig till gällande krav, säger Brown. Och Crowcroft uppger att detta nu ligger i Skypes intresse, eftersom företaget skulle kunna nå en större marknad på detta sätt.
Det skulle också vara bra för operatörerna. Om de kände till routingspecifikationerna skulle de kunna skapa tjänster med högre kvalitet och säkerhet för dem som använder internettelefoni.

På Skype håller man inte med om detta.
– Det är kanske vad Gartner och vad våra konkurrenter vill, säger Sauer, som tror att det är för tidigt att övergå till standard:
– Internettelefoni är mitt inne i en innovationscykel, det är ingen hyllprodukt. Det skulle minska vår förmåga att skapa nya innovationer.

Eftersom Skypes användarbas är privatpersoner, inte företag, kan de ignorera kraven på att följa standard. Det är kanske förklaringen till varför CRN offentliggjorde problemen på det sätt som har skett.
Eftersom CRN jobbar med en standard för meddelanden, som har inkapslats i form av en säkerhetsvarning, kan det vara så att den verkliga trojanen bakom problemen faktiskt är CRN.

IDG News
Bearbetad av Martin Wallström