Avsnittet heter 83 – Turerna kring kritiserad ansiktsigenkänning
Det spelades in 2020-07-02 och lades ut 2020-07-05.
Deltagare: Mattias Jadesköld och Erik Zalitis.
Show notes skrivna av Erik Zalitis.

Sommaren går nu in i sin lugnaste fas och det är en intressant observation att lyssnandet på podden mattas av något. Borde det inte vara tvärtom? Lyssnar inte folk mer på poddar i hängmattan? Kan vara så, men jag tror IT-säkerhetspodden har en trogen lyssnarskara som är på väg till eller från jobbet. En del poddar är avkoppling, men vår är nog information som folk tycker är vettig i sin yrkesutövning. Hur det än är med det, kan man snabbt konstatera att IT-säkerhetsproblemen inte tar någon semester.

Denna gång pratar vi ansiktsigenkänning och det finns en hel del beröringspunkter med tidigare avsnitt, som pratar djupare om vissa aspekter som vi tar upp i dagens avsnitt:

• Hemlig dataavläsning – där vi pratar igenom polisens ny förmågor för övervakning med hjälp av trojaner.
• AIs utveckling – där IBM och Microsoft pratar bland annat pratar om hur ansiktsigenkänning misslyckas med att känna igen folk och hur AI och maskininlärning inte alltid får till saker rätt.

Men tillbaka till dagens ämne: det finns det tekniska och det finns det sociala. Tekniskt sett är allting uppsatt för en perfekt storm, där datat till stora delar redan finns insamlat så att allt fler aktörer har allt fler korrekta identiteter med ansiktsdata i sina databaser. Det är inte omöjligt att tullen på en flygplats kan känna igen dig, när du äntrar hangaren, även om du är i ett helt annat land. Sen har tekniken brister, men dessa kommer lösas och för varje år som går blir samma data allt mer och mer användbart.

Dessutom kan man lätt se att antalet aktörer som kan få tillgång till ditt ansikte så att säga ökar. Polisen, företagen och troligen även allt fler privatpersoner får tillgång till möjligheter att spåra dig.

Det politiska programmet ”Last week tonight” skräder inte orden. Programledaren John Oliver berättar här om ansiktsigenkänning på ett roligt och ganska läskigt sätt.

Länkar

Som Mattias säger, kan all typ av teknologi som användas gör goda ting. DNA-teknik fångade till sist en serievåldtäktsman/mördare:
https://www.abc.net.au/news/2018-04-26/dna-links-former-us-police-officer-to-serial-killings/9698172

IBM slutar med ansiktsigenkänning efter mordet på Floyd:
https://www.nyteknik.se/digitalisering/efter-protesterna-i-usa-ibm-slutar-med-ansiktsigenkanning-6996868

Amazon likaså:
https://www.nyteknik.se/digitalisering/amazons-kovandning-pausar-forsaljning-av-teknik-for-ansiktsigenkanning-6996990

Svenska polisen använder modern teknik, men helgar ändamålen medlen?:
https://www.nyteknik.se/sakerhet/polisen-identifierade-utsatt-barn-med-kritiserad-app-6990417

Datainspektionens definition av ansiktsigenkänning:
https://www.datainspektionen.se/vagledningar/kamerabevakning/ansiktsigenkanning-och-dataskydd/

• 2 comments

Avsnittet heter 82 – Den nya ”månlandningen”
Det spelades in 2020-06-26 och lades ut 2020-06-28.
Deltagare: Mattias Jadesköld och Erik Zalitis.
Show notes skrivna av Erik Zalitis.

För några veckor sedan var det det förflutnas lärdomar som gällde när vi pratade om ”utdöda säkerhetsteknologier”, men denna gång är det framtiden som den kan tänkas se ut i och med att Kina slänger sin hatt i ringen. AI, Kvantdatorer, Block chain och IoT.

Månlandning är ju en jämförelse som förpliktigar, eller hur? Men är det vad vi pratar om? USA spenderade enorma pengar på projektet att landa på månen. Komikern Tom Lehrer uttryckte det sähär på sitt karaktäristiska giftiga sätt:

”And what is it that put America in the forefront of the nuclear nations? And what is it that will make it possible to spend twenty billion dollars of your money to put some clown on the moon? Well, it was good old American know how, that’s what, as provided by good old Americans like Dr. Wernher von Braun!”

Må så vara, men projektet lyckades, med liten marginal framför Sovjet. Därefter tacklade Amerikanarna av många år framöver. Men den som uppnår målet att hitta på en revolutionerande ny typ av AI eller kvantdator kommer ha mycket att vinna… För ett tag… Jag kommenterar på att det är en tillfällig seger, eftersom historien visar att andra länder snabbt kommer i kapp, ofta med hjälp av agenter och industrispionage.

Men fem till tio år av att vara marknadsledande kan räcka för att hålla täten eller till och med skifta världens centrum. Jag förutspådde att Kina inom tjugo år skulle kunna ta över ledarrollen från USA. Ett kanske lite kontroversiellt uttalande, men det är en distinkt risk/möjlighet beroende på hur du ser på saken. Kanske är den ”gamla världen”, hur man nu definierar den, i samma tillstånd som det Västromerska imperiet under 400-talet. Spekulativt kanske, men inte omöjligt.

Links

Jag var nog lite väl optimistisk när jag sa att Sovjet var några veckor från att slå Amerikanarna med en bemannad expedition till månen, men det var, precis som jag sa en allvarlig explosion som satte ”p” för den möjlighet de hade:
https://www.youtube.com/watch?v=U9fkYIrRwbo

Faktum är att det var flera explosioner, varav en med många dödsoffer som till sist gjorde det omöjligt att hinna i tid. Och raketerna var inte ens adekvata för uppdraget. Men det är uppenbart att de hade en högst reell chans att slå Amerikanarna i kapplöpningen, vilket USA var väl medvetna om.

Winston Rowntree har en filosofisk, rätt elak och humoristisk version av det hela med månlandningen:
http://www.viruscomix.com/page545.html

En bra genomgång av det hela visar på alla problem som fanns:
https://www.forbes.com/sites/startswithabang/2019/07/11/this-is-why-the-soviet-union-lost-the-space-race-to-the-usa/#43df65c84192

Men tillbaka till nu och framtiden:

IDG rapporterar:
https://computersweden.idg.se/2.2683/1.735175/tencent-investera-ai-molnet?queryText=kina

• 0 comments

Avsnittet heter 80 – Säkerhet kring utdöd teknik
Det spelades in 2020-06-12 och lades ut 2020-06-14.
Deltagare: Mattias Jadesköld och Erik Zalitis.
Show notes skrivna av Erik Zalitis.

Vi har ju redan pratat om saker som WEP –  Wired Equivalent Privacy och varför detta inte fungerade. Men denna gång samlar vi upp säkerhetstekniker som vi behövt ge upp och försöker förstå anledningen till att detta hände i lite mer detalj. Eller för att sammanfatta…

Varför dör säkerhetsteknologier?

• För att de blir för gamla och moderna attackmetoder med bättre hårdvara till sist knäcker dem.
• För att de är gjorda av någon som inte kan säkerhet.
• För att oåterkalleliga problem hittas med dem efter en tid.

Själv idén till det hela fick jag när jag deltog i en diskussion på nätet om idiotiska tekniska lösningar som vi tack och lov inte längre behövde stå ut med. Det var allt från WAP till något protokoll för att skicka webbsidor via SMS-meddelanden. Och jag fick då lite inspiration och tyckte att vi borde ha en motsvarighet inom IT-säkerhetsområdet… Detta blev upptakten till detta avsnitt.

Så vilka är exemplen vi tar upp i detta avsnitt?

PHPs ”Magic quotes”

Läs under Criticism-delen av artikeln, så ser ni hur illa lösningen fungerade:
https://en.wikipedia.org/wiki/Magic_quotes

Den togs bort i version 5.4 av PHP, vilket jag inte var säker på om det hade skett, men det har det alltså.. Good riddance…

Microsofts kryptering av PST-filer

Det är ju lite svettig läsning när Microsoft säger att PST-filerna enbart är menade att skyddas på ”UI-nivå”, alltså direkt från Outlook:
https://docs.microsoft.com/en-us/openspecs/office_file_formats/ms-pst/48468b1e-cc81-4e2b-82a7-9bf61adc948e

De rekommenderar istället att du använder EFS, alltså krypteringsfunktionen i Windows för att skydda dem. Antar att det enklaste på en klient faktiskt ändå är Bitlocker eller Bitlocker to go.

XSS-filter i webbläsare

Faktum är att XSS-skydden lever farligt nu när allt fler webbläsare tar bort funktionerna:
https://www.packetlabs.net/browsers-dropping-xss-protection/

PPTP – Point-to-Point Tunneling Protocol

Spännande test där man använde Marlinspikes crackertjänst för att knäcka PPTP. Det fungerade precis som det skulle även om de upplevde tjänsten som lite omogen och strulig.
http://www.h-online.com/security/features/A-death-blow-for-PPTP-1716768.html

Det verkar som om denna tjänst är nedlagd idag. Jag hittar den inte i alla fall. Men verktyget finns givetvis kvar:
https://github.com/h1kari/chapcrack

WEP –  Wired Equivalent Privacy

Min morfar köpte en skivspelare av märket ”Braun”. Denna hade vunnit flera priser och min mamma undrade varför han alltid satt och försökte reparera den. Hennes fråga var ”Vad är fel med den?”. Svaret blev ”Det är inte det att det är något fel med den, utan det är snarare att ingenting är rätt med den”. Min morfar dog 1994 och behövde aldrig uppleva WEP, men jag tror citatet är högst relevant ändå…

Vad är fel med WEP? (Allting?):
http://www.opus1.com/www/whitepapers/whatswrongwithwep.pdf

Länkar

Intressant artikel om hur Linux hanterar lösenord
https://www.slashroot.in/how-are-passwords-stored-linux-understanding-hashing-shadow-utils

• 0 comments

Avsnittet heter 79 – Anonym med Tor och Tails
Det spelades in 2020-06-06 och lades ut 2020-06-07.
Deltagare: Mattias Jadesköld och Erik Zalitis.
Show notes skrivna av Erik Zalitis.

Skulle man bara prata anonym surfning, skulle vi kunna hålla på i timmar. Men om vi väljer ut den lilla tårtbit av anonymisering som heter TOR (The Onion Router) och den vanligaste vägen att använda det, Tails, har vi i alla fall ett väl avgränsad diskussion.

Vi har hållit oss från att dyka allt för djupt i den snåriga djungel som är att vara anonym.

Först en korrigering: Runt 11:10 säger jag att det troligen är mycket svårt att dekryptera en HTTPS-förbindelse på vägen givet att man inte hittar en sårbarhet (eller kan använda ett förfalskat certifikat som webbläsaren litar på). Det är sant förutsatt att man använder HSTS eller lösningar som HTTPS Everywhere. Gör man inte det, kan program som SSLStrip lura browsern att köra i klartext… Eller kunde.. För moderna webbläsare skriker i högan sky om en site inte är krypterad. Så det är nog inte så lätt längre att dekryptera, men för att vara så korrekt som möjligt (Vilket är den önskvärda nivån av korrekthet) bör det ändå påpekas.

En till korrigering: min kritik mot icke-härdade operativsystem skulle kunna tolkas som att Tails alltid är helt säkert, fast det är det ju inte så alls. Men det har mindre attackyta och är därför mycket mer lämpligt för anonymisering än att köra Windows 10 eller, säg, Ubuntu. Bara så det är klart. 🙂

Sen till funderingarna om HTTPS gör det svårare att injicera skadlig kod i en webbläsare. Det är såvitt jag kan se sant, men det finns ju fortfarande siter som inte har HTTPS, och då blir liknande attacker möjliga. De sårbarheter som användes av FoxAcid är sedan länge fixade. Men det är värt att notera att det är en fördröjning av patchningen av FireFox i Tails, eftersom det inte finns en uppdateringsmekanism, utan kräver att Tails uppdateras i sig.

Sen till det där med ”rent mjöl i påsen”. Jag kallade det för en idiotisk debatt, vilket det verkligen är. Men om någon undrar hur jag ser på det hela, finns en längre text skriven av mig här. TLDR: jag avskyr begreppet då det kommer med en outtalad anklagelse mot alla som vill hålla något hemligt, trots att det inte är något annat än den frihet vi alla måste få kräva.

Dock är det uppenbart att TOR-nätverket historiskt visserligen har fungerat men även ofta blivit en väg där underättelsetjänster och andra aktörer hare kunnat fånga folk som de tror har något att dölja.

En lite otäck tanke är att kanske är anonymitet i framtiden enbart en möjlighet om man inte försöker vara det, utan ser till att se ut som alla andra på nätet. Den som vägrar ha en Facebook-sida eller något annat socialt media sticker i och med detta ut själv, vilket är en oroväckande utveckling i sig.

• 0 comments

Avsnittet heter #73 – Nigeriabrev från fängelset
Det spelades in 2020-05-01 och lades ut 2020-05-03.
Deltagare: Mattias Jadesköld och Erik Zalitis.
Show notes skrivna av Erik Zalitis.

Vi har under den tid vi funnits karvat ut en egen liten nisch för oss själva. Där andra pratar om det absolut senaste som hänt, tittar vi ofta bakåt och funderar på hur vi hamnade där vi nu är nu inom IT-säkerhetsområdet.

Nigeriabrev är en gammal företeelse, som funnits långt före epost blev en grej.

Hope Olusegun Aroke verkar vara en tvättäkta ”kriminell hjärna” som inte låter någon form av hinder stoppa hans framfart. Så honom har vi garanterat inte hört det sista från.

Men har han skickat Nigeriabrev? Det vet vi faktiskt inte. Det står bara om bedrägerier, så det kan han mycket väl ha sysslat med. Därför tar detta avsnitt två spår: det berättar dels om honom och dels om Nigeriabrevet som fenomen.

Nigeriabrev

UC förklarar begreppet.
https://www.minuc.se/id-stold/vad-ar-nigeriabrev

För den som tror att det bara är de okunniga som åker dit på dem.
https://www.aftonbladet.se/nyheter/a/ngWlMm/han-atalas-for-miljardsvindel

Jag anser att girighet snarare än dumhet är förklaringen till att folk blir lurande. Men en mer djuplodande analys finns att läsa här.
https://www.bbc.com/worklife/article/20180727-why-so-many-people-fall-for-scams

Jo, jag sa ju att det är lukrativt nog att dra in mycket pengar så att bedragarna fortfarande vill hålla på med det… och det är det ju…
https://www.cnbc.com/2019/04/18/nigerian-prince-scams-still-rake-in-over-700000-dollars-a-year.html

Spamhaus och spam

Spamhaus ROKSO (Register of Known Spam Operation) visar att antalet ”spamoutfits” numera bara är runt 100 stycken, snarare än de runt 200 de var på den tiden jag var system admin. Kan man tänka sig att de minskat som en effekt av att spam som företeelse inte är lika lukrativt längre?
https://www.spamhaus.org/rokso/

Sanford ”Spamford” Wallace var i fängelse fram tills 2018 och han verkar inte ha hittat något sätt att spamma efteråt, så han har just nu ”indisponibel” för att fortsätta med sitt kall. Men vi lär inte ha hört det sista från honom…
https://en.wikipedia.org/wiki/Sanford_Wallace

Får också be om ursäkt för ett fel i programmet, det var inte Sanford Wallace, utan en annan spammare, Alan Ralsky som fick tonvis med reklamblad per post som en hämnd. Annars stämmer ju historien i sig…
https://www.theregister.com/2002/12/11/spammer_gets_junk_mailed/

Man ska ju kunna backa upp sina påståenden också, och här är en bra graf för att visa att spam-mängden minskar:
https://www.statista.com/statistics/420391/spam-email-traffic-share/

Redan 2015 var det ganska klart att spammens glansdagar var över och det har inte blivit ”bättre” sedan dess:
https://www.bbc.com/news/technology-33564016

(Eller, jo, det har blivit BÄTTRE. Beror på ens perspektiv på saken 🙂 )

För den som undrar vad som hänt, så kan man ju lätt se att spear-phishing och riktade attacker är det som växer i populäritet snarare än spammens breda ”hagelbrakar-spridnings”-metod för att nå ut.

Nigeria

Jag sa också att Nigeria har 150 miljoner invånare, vilket visade sig vara lite gamla uppgifter. 2016 års folkräkning fick det till runt 186 miljoner. Alltså ett mycket stort land sett ur ett befolkningsperspektiv.

Nigeria som land.
https://sv.wikipedia.org/wiki/Nigeria

• 0 comments

Avsnittet heter #73 – När Hizbollah knäckte Israels radio
Det spelades in 2020-04-25 och lades ut 2020-04-26.
Deltagare: Mattias Jadesköld och Erik Zalitis.
Show notes skrivna av Erik Zalitis.

De flesta avsnitt vi gör är enkla att källforska till och därför behöver vi sällan spekulera i saker och ting utan kan berätta korrekta fakta om allt vi pratar om. Detta avsnitt är annorlunda och tvunget att bli spekulativt till sin natur, eftersom stridande parter är ovilliga att berätta hemligheter och kan antas sprida information som helt eller delvis inte är korrekt.

Vi berättar historien och pratar om teknikerna som används av de olika parterna utan att beskriva helt exakt hur de olika militärerna använder dem. En del av det är hemligt, annat kan vara svårt att hitta detaljer om och en del kan även vara föråldrat. Så diskussionen blir därför något schematisk men ger dig ändå allt du behöver veta.

Här är några fördjupningar i ämnena vi pratar om:

När kom SDR (Software Defined Radio)?

Tekniken kom till så tidigt som på 1970-talet, men började utvecklas som ersättare för traditionella radiosystem på 1990-talet. På 2000-talet mognade tekniken och blev allt mer vanlig. 2009 fanns den till exempel i många 3G-mobiler. Detta gör att, precis som Erik säger, är det definitivt en möjlighet att Hizbollah kan ha använt denna teknik mot Israel.

https://en.wikipedia.org/wiki/Software-defined_radio

Några noteringar om frekvenshoppning

Förutom de saker vi pratade om vad det gäller frekvenshoppning, kan man lägga till att tekniken också gör det mycket svårare att störa sändningarna eftersom frekvenserna byts hela tiden.

Däremot är ju SDR-tekniken något som ändrat ekvationen och frekvenshopp i sig självt är inte längre nog för att skydda sändningen.

Väl värt att notera är också att det kan vara svårt att följa frekvenshoppande sändningar även med en SDR-mottagare om varje sändning plockas upp så svagt att den ligger nära brusmattan i mottagningen.

Den otroligt duktiga uppfinnaren och skådespelerskan Hedy Lamar anses idag vara frekvenshoppningens moder.

Enigma

Vi kommer in på ett kär gammal diskussion, nämligen Tyskarnas Enigmakrypto och hur det knäcktes. Detta har inte så mycket med ämnet för dagen att göra, men är en intressant avstickare till gamla tiders radioavlyssning. Här kan ni höra avsnittet.

Länkar…

SDR-tävlingen vi pratar om:

https://www.rtl-sdr.com/tag/frequency-hopping/

Bruce Schneier som ställer sig tveksam till sanningshalten i rapporten:

https://www.schneier.com/blog/archives/2006/09/did_hezbollah_c.html

The Registers artikel som herr Schneier refererar till:

https://www.theregister.co.uk/2006/09/20/hezbollah_cracks_israeli_radio/

DVB-T mottagaren vi pratar om:

https://www.amsat.se/2012/11/20/guide-lyssna-med-rtl-sdr-under-100-kr/

• 0 comments