El teu proveïdor d'identitat no és una aplicació: és infraestructura

Deu serveis públics noruecs van deixar de funcionar dilluns. Uns quants no tenien res trencat: s'havia embussat el portal de l'edifici, i tant se val que els pisos estiguin impecables si no pots passar del rebedor.

A les 03:38 de dilluns 24 d'agost, hora central europea, va començar un atac de denegació de servei contra la infraestructura digital compartida de l'Estat noruec: la que sostenen l'agència de digitalització, Digdir, i Vivicta, l'empresa que l'opera per a ells. Quan escrivim això fa més de dos dies que dura. Va arribar en onades —els tècnics van estabilitzar la situació dilluns a la tarda i al vespre va tornar a torçar-se— i el portaveu de Digdir, Are Kvistad, va dir a l'agència NTB que era «dues o tres vegades més gran» que l'anterior. És el tercer de l'estiu: un a finals de juny, un altre a principis d'agost i aquest. La policia judicial noruega, Kripos, té oberta una investigació pels tres.

Deu serveis afectats, segons el recompte de The Record. Els comunicats de Digdir esmenten aquests: ID-porten, MinID, Maskinporten, Altinn, eInnsyn, eFormidling, ELMA, Ansattporten, les solucions d'autoservei, eSignering i el registre de contacte i reserva. Mentre escrivim això, l'actualització de la pàgina d'estat de les 01:42 de dimecres 26 diu que ID-porten «segueix amb limitacions», sense hora estimada de restabliment. I a tots els comunicats es repeteix la mateixa frase: no hi ha indicis de bretxa ni de dades personals compromeses.

El servei de signatura no estava atacat: li havien tancat la porta

ID-porten és la porta única: on els ciutadans —més de quatre milions i mig, segons The Record— s'identifiquen per entrar en qualsevol servei públic. I Digdir escriu a la seva pàgina d'estat, en noruec i amb totes les lletres, què li va passar al servei de signatura electrònica: «eSignering és inaccessible a causa de les limitacions a ID-porten. Encara es poden crear encàrrecs de signatura, però és la signatura en si el que és inaccessible».

Llegeix-ho a poc a poc, perquè aquí hi ha tot el post. El servei de signatura no tenia res. Els seus proveïdors van acabar aplicant mesures pel seu compte i el van tornar a la normalitat de matinada, amb ID-porten encara limitat. Un incident de disponibilitat al punt d'identificació no es reparteix entre els serveis que en depenen: es multiplica per ells. És l'aritmètica menys intuïtiva d'una arquitectura que, altrament, està ben feta.

Hi ha una segona lectura en aquells comunicats que gairebé no s'ha explicat fora de Noruega. A les 16:09 de dilluns, amb l'atac encara a sobre, Digdir escriu: «L'atac continua, però les solucions són estables amb les limitacions que s'han posat». Part del que no funcionava no ho havia tombat l'atacant. Ho havien apagat ells, a propòsit, per sostenir la resta. Això és un pla de degradació executant-se, i és la part de l'incident que va sortir millor.

L'inici de sessió únic continua sent la decisió correcta

La conclusió fàcil seria que centralitzar la identitat va ser un error. No ho creiem, i dir-ho aquí seria barat: l'alternativa —cada organisme amb el seu propi inici de sessió, la seva pròpia gestió de contrasenyes, el seu propi segon factor a mig fer i la seva pròpia manera de donar de baixa qui se'n va— és pitjor en seguretat, més incòmoda d'utilitzar i força més cara de mantenir. Quan algú deixa l'administració pública noruega, la baixa passa en un sol lloc. Aquest és exactament el valor que es compra amb la centralització, i no és poc.

La lliçó de dilluns és una altra. En concentrar, la porta canvia de categoria, i gairebé ningú no fa la paperassa d'aquesta reclassificació.

Què canvia quan una cosa passa a ser infraestructura

Una aplicació es compra, s'instal·la, s'apedaça i se li posa una còpia de seguretat. Una infraestructura es dimensiona, s'enruta, es degrada amb ordre i s'assaja. Són dos repertoris diferents, amb dos pressupostos diferents i dues converses diferents amb el comitè. El problema és que el proveïdor d'identitat gairebé sempre entra a casa per la primera porta —una aplicació més del catàleg, amb la seva llicència per usuari— i s'hi queda per sempre, encara que amb els anys hagi acabat decidint qui treballa cada matí.

Per donar l'escala: un 99,9 % de disponibilitat anual són 8,76 hores caigut en tot l'any. Noruega en porta més de dos dies. No ho diem com a retret —contra un atac sostingut d'aquesta mida el número se l'endú qualsevol—, sinó com la mesura exacta de per què la porta mereix una altra categoria de pressupost que l'aplicació de gestió de vacances.

En concret, tractar-la com a infraestructura vol dir quatre coses que a una aplicació no se li exigeixen:

• Capacitat pròpia. La que necessiten alhora tots els serveis que la fan servir en el seu pitjor moment, que és força més del que la porta mou un dia normal. Dimensionar-la pel seu propi trànsit és l'error d'origen.
• Camí propi. Si entra per la mateixa adreça, el mateix enllaç i el mateix proveïdor que tota la resta, el que has fet és posar dues etiquetes al mateix cable. És la diferència entre tenir dos enllaços i tenir dos camins.
• Un pla de degradació. Què poden continuar fent els serveis de darrere quan la porta no contesta. Sessions que sobreviuen una estona, un camí d'emergència per a un grapat de comptes crítics, una pantalla que expliqui què passa en comptes d'un error genèric. Els noruecs en tenien alguna cosa —per això podies continuar creant un encàrrec de signatura encara que no el poguessis signar— i es nota. Res d'això no és de franc, i per això s'ha de decidir amb calma i no a les quatre de la matinada.
• Assaig. Apagar-la a propòsit, en horari d'oficina, i mirar què cau. És l'única manera de descobrir la dependència que ningú no havia documentat —normalment n'hi ha tres— abans no la descobreixi per tu algú que ni tan sols sabia que existies.

L'últim punt és el que més es resisteix, perquè sona a temeritat i és just el contrari. Trencar el teu propi sistema a propòsit, amb la gent al davant i el cafè acabat de fer, és el preu de no descobrir-ho a les fosques. Nosaltres ho fem amb simulacres de recuperació cronometrats: l'últim complet van ser catorze minuts. És una dada interna i la donem com el que és —una prova nostra, no una garantia contractual—, però aquest número només existeix perquè algú va apagar una cosa a propòsit un matí feiner. El mateix val per a l'alta disponibilitat, que no evita la caiguda sinó que l'escurça: serveix en la mesura en què algú l'hagi provada.

Tant se val que fos un DDoS

Sobre la mecànica de l'atac tenim poc de nou a afegir: ja vam escriure al juliol, com a operador de xarxa, per què un tallafocs no atura un DDoS volumètric i per què el blackhole de l'RFC 7999 no és mitigació sinó rendició ordenada. Allà hi ha el detall tècnic i allà segueix sent vàlid.

El DDoS només és una de les formes d'embussar el portal, i ni tan sols la més freqüent. La porta s'embussa igual si el certificat caduca un diumenge, si una regla d'accés condicional surt malament, si el proveïdor extern d'identitat té el seu propi mal dia o si algú toca una configuració un divendres a la tarda. Aquesta última pesa més del que sembla: en un estudi del 2003 sobre tres grans serveis d'internet, Oppenheimer, Ganapathi i Patterson van trobar que l'error d'operador —majoritàriament de configuració— era la primera causa de caiguda visible en dos dels tres. I els mateixos autors hi afegeixen el matís que aquí importa: el maquinari falla més sovint, però la redundància ho tapa. L'error humà no el tapa ningú. L'atacant és una de les maneres que la porta s'embussi. La resta de maneres les posem nosaltres.

La mateixa geometria, amb dos zeros menys

Canvia-li l'escala i és la teva empresa. El teu directori decideix cada matí qui entra al correu, a l'ERP, al CRM, a la carpeta compartida i a la VPN. Si aquest directori viu al mateix lloc que tota la resta, comparteix el mateix camí de xarxa i no té un pla per quan no contesta, llavors has muntat la mateixa geometria que Noruega amb dos zeros menys.

La versió que més ens trobem: un controlador de domini únic, virtualitzat al mateix clúster que tota la resta, la còpia de seguretat del qual es guarda en un servidor que, per restaurar-se, necessita autenticar-se contra aquest mateix controlador. Ja vam escriure sobre aquesta dependència circular i el que costa desfer-la; aquí n'hi ha prou amb el titular: ningú no la veu fins al dia que s'ha d'utilitzar. La segona versió més freqüent és la contrària i tampoc no és millor: un proveïdor d'identitat al núvol, impecable, del qual depenen quinze aplicacions, i ni un sol compte local d'emergència enlloc perquè «això és insegur». Ho és. També ho és no poder entrar a apagar el foc.

Tres preguntes que reclassifiquen la teva porta

1. Què deixa de funcionar si la teva porta no contesta durant sis hores? La llista completa, escrita, amb noms d'aplicacions. Gairebé sempre és més llarga del que diu la memòria, i gairebé sempre hi apareix alguna sorpresa: la impressora que autentica contra el directori, el fitxatge, el portal del client. La versió llarga d'aquest exercici, aplicada a Microsoft 365, la vam escriure al juliol.
2. Per on entres tu a arreglar-ho? Si el teu accés d'administració depèn de la mateixa porta que s'ha embussat, l'atacant ha aconseguit una cosa millor que tombar-te un servei: t'ha separat de la teva pròpia infraestructura. Hi ha d'haver un camí diferent, amb credencials diferents, i s'ha d'haver fet servir alguna vegada per saber que funciona.
3. Com es diu qui diu «passem al pla degradat»? Un nom i un cognom, escrits abans. Digdir va posar limitacions deliberades dilluns a la tarda i amb això va aguantar; algú va signar aquesta decisió. En una empresa petita la signatura acaba sent per omissió de qui estigui de guàrdia a les cinc de la matinada, que és qui menys context de negoci té per prendre-la.

Les tres es contesten en una tarda i cap no costa una llicència. El que és car arriba la primera vegada que algú te les fa enmig d'un incident.

El que no es dedueix de tot això

Que Noruega ho fes malament, per començar. Van publicar una pàgina d'estat amb les hores posades, van escriure què sabien i què no, i a hores d'ara encara no donen una hora estimada de restabliment en comptes d'inventar-se'n una per quedar bé. És més del que fa molta gent un dimarts qualsevol, i des de fora és molt fàcil opinar sense tenir davant el registre del que estava passant.

I que calgui comprar res. Cap de les quatre exigències de dalt no es resol amb una caixa, i tres de les quatre són feina de disseny i de paper: mirar dependències, decidir què se sacrifica primer i escriure un nom al costat d'aquesta decisió. Nosaltres en vivim, així que pren-t'ho amb la reserva que correspon. Però si en acabar de llegir fas les tres preguntes dins de casa teva i les respostes et deixen tranquil, has guanyat una tarda i no ens deus res.

Fonts: hora d'inici (03:38 CEST de dilluns 24 d'agost), llista de serveis esmentats, les dues cites literals en noruec —la d'eSignering del 25 a les 10:33 i la de «estables amb les limitacions que s'han posat» del 24 a les 16:09— i l'actualització del 26 a la 01:42 amb ID-porten encara limitat i sense hora estimada — pàgina d'estat de Digdir (traducció nostra); les onades i la cita d'Are Kvistad («dues o tres vegades més gran», a l'agència NTB) — The Local Norway, 25-ag.-2026; el recompte de deu serveis, el paper de Vivicta i els més de 4,5 milions d'usuaris d'ID-porten — The Record, 25-ag.-2026; absència de bretxa i de dades compromeses — BleepingComputer, 25-ag.-2026; els dos dies llargs i la investigació de Kripos pels tres atacs de l'estiu — digi.no, 26-ag.-2026 (les dates exactes dels dos atacs anteriors no coincideixen entre fonts, per això aquí van sense dia). L'error d'operador com a primera causa de caiguda visible en dos dels tres serveis estudiats, i el matís que el maquinari falla més però la redundància ho emmascara — Oppenheimer, Ganapathi i Patterson, «Why Do Internet Services Fail, and What Can Be Done About It?», USITS '03, USENIX. Les 8,76 h/any del 99,9 %, els catorze minuts de l'últim simulacre (dada interna nostra), la lectura de la porta única com a infraestructura i les tres preguntes són nostres, no de les fonts.