Van Goghs verk ”fiskarna och hackaren”. Från sent 1800-tal. I dagens värld är det ibland svårt med faktakontrollen.

Avsnittet: 268 – Underliga attacker del II
Inspelat: 2024-11-03 (publicerat 2024-11-04)
Deltagare: Erik Zalitis och Mattias Jadesköld.
Detta avsnitt är ett samarbete med Nordlo AB

Lyssna på avsnittet – Underliga attacker

Medan du lyssnar

Så då är våra show notes tillbaka igen. Och idag pratar vi underliga attack-vektorer. Saker som vi inte tänker på när vi tänker på säkerhet, eller historier där slarv och oaktsamhet lett till lyckade angrepp. Och låt oss fundera på vad som är gemensam nämnare för många av dessa attacker: IoT. Jag kanske låter som en surgubb när jag kallar IoT som en förkortning av ”Idiot”. Då menar jag enheterna och inte den som installerat dem. Men kanske måste vi stå ut med IoT-enheter. De är ju här för att stanna vad det verkar.

Vi pratar också om Vastamoo, det finska företaget som tillhandhöll psykologisamtal och vars data läckte efter ett angrepp. Det är en underlig historia och med en bitter eftersmak, då Vastamoo var tvungna att upphöra med sin verksamhet på grund av läckaget. Däremot är det också en bitter ironi att hackaren, som lyckades skicka med sina egna hemkataloger när han slutligen lade upp alla uppgifter han fått tag i. På så sätt fick polisen tag i uppgifterna och det blev fängelsestraff för förövaren, en Aleksanteri Kivimäki.

Sen fläktar och koder. Visst är det en möjlig attack, men rätt svår att genomföra. Man måste lyckas få ner programvaran på datorn man ska avlyssna och sedan ha kontroll över en annan dator i närheten som ska lyssna på fläktens brus och avgöra vad den sänder. Men det finns flera attacker som till exempel (och som vi inte tar upp i dagens avsnitt) LED-lampor på nätverkskort som kan signalera morsekod till en attackerare.

CRA har vi pratat om tidigare och det är något som måste tas med i beräkningarna för alla företag som bygger saker med Internet-koppling till. Bland annat måste man ha ansvar för säkerhetspatchar i upp till tio år. Jag är mycket positiv över detta. Detta och flera andra direktiv från EU hjälper till att göra världen säkrare. I alla fall i EU-området.

Länkar – underliga attacker

• Nordlo
• Fiskhistorien
• Hacker Doxes Himself Accidentally…
• Ny förordning antas av EU
• Lite information och statistik om IoTs enheter
• Vad är Bluesnarfing?

Felaktigheter

• Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om hittar fel i något vi sagt.

Inlägget #268 – Underliga attacker del II dök först upp på IT-säkerhetspodden.

Avsnittet: 191 – Det nya valsystemet
Inspelat: 2022-12-14 (publicerat 2022-12-18)
Deltagare: Erik Zalitis, Mattias Jadesköld och Eric Stenberg.
Detta avsnitt är ett samarbete med SIG Security.

Lyssna på avsnittet – SMS – Valid

Medan du lyssnar

Jag hade 50/50 att gissa rätt. Antingen var det ”valid” eller ”val-id”. Jag försökte med ”val-id” och givetvis var det inte så det uttalades. Systemet valid moderniserar hela röstningsförfarande och leder valarbetet in i framtiden.

Vi har givetvis inte digitala val, men valid behöver för att styra och koordinera valen. Och det gäller båda valet till EU-parlamentet och våra vanliga kommun-, region- och riksval.

Länkar – SMS – förändring

• SIG Security
• Nordlo

Felaktigheter

• Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om hittar fel i något vi sagt.

Inlägget #191 – Det nya valsystemet dök först upp på IT-säkerhetspodden.

Avsnittet: SMS – hur säkert är det egentligen?
Inspelat: 2022-12-01 (publicerat 2022-12-04)
Deltagare: Erik Zalitis och Mattias Jadesköld.
Detta avsnitt är ett samarbete med Nordlo.

Lyssna på avsnittet – SMS – hur säkert är det egentligen?

Medan du lyssnar

Alla säger det: du kan inte lita på SMS eller epost. Det är vykort och så är det ju. Men SMS har man aldrig försökt fixa, så det är säkert nog för vår tid. Och det lär inte hända i framtiden heller. Om man vill ha en meddelandetjänst med säkerhet, kan man ladda ner signal. Även Whatsapp, Teams och Messenger är mycket säkrare i sig själva, även om de inte ger full ”end-to-end encryption”. Alltså en kryptering som är obruten mellan avsändare och mottagare.

2018-01-18 är dagen då folket på Hawaii fick ett SMS-meddelande som varnade för att kärnvapen var påväg. Det var ett misstag som gjorts av en operatör. Det var alltså lite längre sedan än som jag minns det.

Jag driver på rätt snabbt för att komma fram till säkerhetsfrågan och landar sedan i frågan om varför det ser ut som det gör.

Men det finns en mekanism som kan säkerställa att sändaren är korrekt autentiserad. Den standarden kallas ”SMS SenderID” och fungerar bra. Dock är den inte tillåtet i alla länder och inte garanterat att finnas och fungera där du är. Jag jämför det med ”den blåa checkboxen” i Twitter, som är ungefär lika säker som jag ser det. Det är överdrift, men jag anser inte att en liten ikon som säger ”detta är korrekt och säkert” räcker längre.

För att sammanfatta det hela: det är inte säkert, har aldrig varit det och kommer aldrig att bli det.

Länkar – SMS – hur säkert är det egentligen?

• Vad är SMS-tjänsten egentligen?
• SMS-bluffare låtsas vara barn till föräldrarna som får meddelandet.
• Tullverket varnar för bedragaren under black week.
• SMS och kryptering
• Nordlo

Felaktigheter

• Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om hittar fel i något vi sagt.

Inlägget #189 – SMS – hur säkert är det egentligen? dök först upp på IT-säkerhetspodden.

Avsnittet: 188 – Det frivilliga dataläckaget
Inspelat: 2022-11-17 (publicerat 2022-11-20)
Deltagare: Erik Zalitis och Mattias Jadesköld.
Detta avsnitt är ett samarbete med Nordlo.

Lyssna på avsnittet – Det frivilliga dataläckaget

Medan du lyssnar

En historia jag har läst ska enligt tidningen som skrev om den vara sann. IT-chefen pratade med journalisten om hur de låst ner nätverket, så folk inte kunde ladda upp eller ner filer hursomhelst. In kom då en glad användare i rummet, och sa att alla problem han hade med den nya säkerhetpolicyn nu var lösta. Han vidarbefordrade sin mail till Hotmail, Microsoft gratismail i vad som senare kom att kallas molnet. Ridå!

Säkerhet står ofta emot enkelhet i att använda systemen och då blir folk kreativa med dataläckage som följd. Det finns många tjänster för den som vill dela filer med varandra. Vi pratar om Pastebin, Dropbox och Mega. Den sistnämnda har haft ett antal problem med sin säkerhet.

Och sen har vi Github, som haft dataläckage flera gånger. Alla repositories där är inte publika, men även de blir röjda. Vi diskuterar också GDPR och Max Schrems. Det blir en utvikning till huvudämnet, vilket är vanligt för oss på IT-säkerhetspodden.

Lastpass och Keepass har vi också pratat en hel del och kommer in på att det nu finns verktyg för att knäcka lösenord i Keepass. Verktygen nämns inte i avsnittet, men det finns Mod0keecrack och keepass2john. Det sistnämnda läser ut lösenordssträngen som är krypterad och låter verktyget John the Ripper försöka knäcka det.

Kanske är det så allvarligt att vi behöver en liten svart bok för våra hemligaste lösenord i framtiden. Tanken har roat mig, eftersom jag brukade ha alla mina lösenord i just en liten svart bok.

Länkar – Det frivilliga dataläckaget

• Nordlo
• Att knäcka Keepass-lösenord

Felaktigheter

• Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om hittar fel i något vi sagt.

Inlägget 188 – Det frivilliga dataläckaget dök först upp på IT-säkerhetspodden.

Lyssna på avsnittet – rullande säkerhet

Medan du lyssnar

Jag har inget körkort – där, nu har jag sagt det. Mattias har körkort, men kör inte så mycket bil. Så vi är troligen inte redo att skapa en bilpodd. Men IT-säkerhet i bilar, det kan vi. Jag har pentestat en bildatorn i från en truck för några år sedan. Och det är på riktigt när det gäller rullande säkerhet. Ett misstag kan få dödliga konsekvenser.

Andy Greenberg från tidningen Wired, lät ju sin bil hackas av ett gäng pentestare när han åkte på en motorväg. Hans radio spelade helt plötsligt hiphop, kylanläggningen gick på högsta effekt och han styrde ut mot och vägrenen. Ja, han tappade helt kontrollen över fordonet.

Så, vi vet att dessa moderna bilar är mirakel av funktionalitet. Men är vi medvetna om säkerhetshoten? Så är nog inte fallet. Det finns skäl till oro när frågor som ”vem är skyldig i en krock om assistentsystemet slutar fungera korrekt?” eller ”är föraren verkligen i full kontroll över sitt fordon?”.

Vi pratar också om Volvo, vars nyckelord säkerhet har varit ett har något de blivit kända för. Vi måste här också nämna skillnaden mellan ”safety” och ”security”. Det är två olika typer av rullande säkerhet för bilar och där det förstnämnda varit viktigt för industrin, så är det sistnämnda något som inte övervägts tillräckligt.

Greenbergs bil hade en ”kommunikationsbuss”, alltså en form av nätverkskanal, som gjorde att alla komponenter som radion, kylanläggningen och radio kunde kommunicera med varandra. Hackarna hade därför inga problem att ta över bilen.

När vi får självkörande bildar, kommer säkerhetsproblemet visa sig. Det är nu vi måste kräva av industrin att de bygger allting säkert.

Länkar – rullande säkerhet

• Nordlo
• LPD-bandet
• Hur säkra är vi i bilen?
• Volvos säkerhet genom tiden
• Problem med självkörande bilar
• Dödsfall med självkörande bilar

Felaktigheter

• Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om hittar fel i något vi sagt.

Inlägget #187 – Rullande säkerhet dök först upp på IT-säkerhetspodden.

Lyssna på avsnittet – säkerhetsguru

Medan du lyssnar

Attrition.org har en sida med en ganska ensidig kritik utvalda it-säkerhetsinnovatörer, som de ser som charlataner. Steve Gibson har funnits på den i många år. Är det honom förtjänt? Kanske. Mannen hade en ovana att skriva med säljsnack och uttrycka sig drastiskt och självsäkert och fick sin hemsida hackad som straff. Och han säljer även sig själv som säkerhetsguru.

Han retade upp folk på nätet, så han blev DDOS-ad. Men han har också byggt ett användbart verktyg för att rädda data från skadade hårddiskar och har ett antal verktyg på sin hemsida som ger dig hjälp att välja bättre lösenord eller kolla vilka portar du har öppna på din router.

SQRL är i min mening den mest intressanta lösning han tagit fram. Den låter dig logga in utan namn och lösenord med en QR-kod. Företagen kan spara data om dig och då blir de nöjda. Du kan logga in utan en koppling till din identitet. Men tyvärr verkar inte SQRL ha slagit. Den togs fram 2013 och säkerhetsgurun själv verkar inte kunna knuffa lösningen framåt.

En historia, vi missat att prata om är att han anses ha myntat begreppet spyware. Han blev misstänksam mot RealAudio som var en mediaspelare som skickade hem data om dig, medan den spelade musik. Steve hängde ut Realmedia, som tillverkar programvara och kallade den för ”Spyware”.

Sen är han programledare för podden ”Security Now!” där han tillsammans med Leo LaPorte talar om det senaste i säkerhetssvängen. Och snacka, det kan ha. Leo får knappt en syl i vädret. Men den är bitvis intressant, förutsatt att han inte säger någon groda.

Länkar – säkerhetsguru

• Nordlo
• Attritions charlatansida
• SQRL
• The Register (”el reg”) undrar om han tappat förståndet
• G.E.N.E.S.I.S.
• GRCs egen sida om SQRL

Felaktigheter

• Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om hittar fel i något vi sagt.

Inlägget 186 – Profet, charlatan eller säkerhetsguru? dök först upp på IT-säkerhetspodden.

Avsnittet: 185 – Digital affärsrisk
Inspelat: 2022-11-03 (publicerat 2022-11-06)
Deltagare: Erik Zalitis och Freddie Rinderud.
Detta avsnitt är ett samarbete med Nordlo.

Lyssna på avsnittet – Digital affärsrisk

Medan du lyssnar

I en värld med över nio miljarder uppkopplade enheter kombinerat med accelererande digitalisering och geopolitisk osäkerhet är det väsentligt för oss att fokusera på digital affärsrisk. Vad innebär begreppet och hur ska man tackla detta?

Det vet Freddie Rinderud som är Head of Advisory Service på analysföretaget Radar.

Digital affärsrisk är den risk som du har när du har nätverksuppkopplade maskiner med data. Och Freddie menar på att man har slarvat med säkerheten, så den halkat efter i utvecklingen. Covid19 ritade om kartan och viss utveckling snabbade upp medan andra delar inte gjorde det.

Det är talande att från att digitalisering varit ett honörsord, så är det idag säkerheten som sitter i förarsätet. Detta samtidigt som det är en akut brist på senior IT-säkerhetspersonal.

Jag upplever Freddie som glasklar när han förklarar situationen och var vi står just nu. Det verkar som om infosec, it-säkerhet och det politiska läget har smält ihop och därför påverkar allting varandra.

Men kan man inte bara sluta med Internet och gå tillbaka till penna, papper och skrivmaskin? Nja, visst GÅR det, men en liten kamera, inmonterad i en penna kan användas för att läcka data. Och vi kan ju knappast lägga ner digitaliseringen. Digital affärsrisk måste då förstås.

Freddie kastar in en brandfackla genom att säga att man ska gå ifrån kvalitativ riskmodellering och gå över till en kvantitativ. Det är bättre att kunna gå till CIO med ”Kostnaden för en förlust beroende på risken x är en miljon” än ”vi har bedömt att risken för systemet x är 56/100”.

Länkar – Digital affärsrisk

• Nordlo
• Radar group

Felaktigheter

• Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om hittar fel i något vi sagt.

Inlägget #185 – Digital affärsrisk dök först upp på IT-säkerhetspodden.

Avsnittet: 183 – Etiken på internet 3/3 (pliktetik)
Inspelat: 2022-10-22 (publicerat 2022-10-22)
Deltagare: Mattias Jadesköld och Erik Zalitis
Detta avsnitt är ett samarbete med Nordlo.

Lyssna på avsnittet – pliktetik

Medan du lyssnar

Så når vår urspårade spårvagn till sist fram till sitt mål. Vi har pratat om dygdeetikern och konsekvensetikerns syn på IT-säkerhet, medan vi skapat en väg fram till den tredje filosofin som påverkar oss. Vad säger då pliktetikern? Han eller hon som anser att lagar och regler ska följas utan tanke på vad som är rätt och fel, medan andra troligen inte håller med.

Exempel på pliktetikerns syn på IT-säkerhet som svar på utförda handlingar

• Jag tänker att vi tar några scenarion om hur en dygdetiker kan agera på . Ok?
  • ”Jag hackar mig in på en site och meddelar siteägaren att felet finns”
    • Tveksamt. Det är förbjudet att göra intrång utan tillstånd. Kan accepteras om siteägaren accepterar att inte stämma den som gjort det. Annars inte.
  • ”Jag piratkopierar spel eftersom jag inte har råd att köpa dem. Sen skickar jag det till mina kompisar som jag tror inte annars skulle köpa dem”.
    • Olagligt. Inga undantag. Pliktetikern sätter ner foten!
  • ”Jag hittade en svaghet I systemet som jag testade utan att ha tillstånd. Meddelade givetvis siteägaren, men jag kräver att de slutar med en del verksamhet jag inte gillar att de gör. Annars får de inte veta.”
    • Olagligt. Inga undantag.
  • ”Jag är del av ett kollektiv som använder DDOS-attacker för att ta ner intoleranta siter, maffians kommunikationer eller helt enkelt saker som kollektivet finner omänskligt”.
    • Olagligt. Inga undantag.

Säger färgen på din hatt något om pliktetikerns moraliska kompass?

• Svart hatt – möt vit hatt.
  • Jag hackar allt för pengar och ger den som betalar, det de vill ha”
    • Olagligt. Inga undantag.
  • ”Jag hackar allt för pengar, men om någon har en ond site som jag kan ta ner, så gör jag det gratis”
    • Olagligt. Inga undantag.
  • ”Jag meddelade siteägaren om ett säkerhetshål de hade, men de struntade I det och då utnyttjade jag felet och bytte ut deras förstasida mot en som förklarade att de är ett gäng idioter”
    • Olagligt. Inga undantag.
  • ”Jag meddelade siteägaren om ett säkerhetshål de hade, men de struntade I det och då meddelade jag dem och resten av Internet hur man använder sårbarheten.”
    • Helt okej. Vi måste följa reglerna.
  • ”Det invaderande landet har skadat det land de invaderade svårt. Jag vill hjälpa till att bekämpa invarderarna, så vi tar ner deras siter, läcker deras information och hindrar dem på alla sätt vi kan här hemma I den bekväma soffan”.
    • Mot lagen. Fast vilken lag? Det beror på om var du själv bor.

Länkar – pliktetik

• Nordlo

Felaktigheter

• Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om hittar fel i något vi sagt.

Inlägget #183 – Etiken på internet 3/3 (pliktetik) dök först upp på IT-säkerhetspodden.

Avsnittet: 180 – Etiken på internet 2/3 (Konsekvensetik)
Inspelat: 2022-09-23 (publicerat 2022-09-25)
Deltagare: Mattias Jadesköld och Erik Zalitis
Detta avsnitt är ett samarbete med Nordlo.

Lyssna på avsnittet – Konsekvensetik

Medan du lyssnar

Jag tror ingen är 100% konsekvens-, dygde- eller pliktetiker. Var och en av dessa etiska mallar är för oflexibla för att kunna fungera. För att förenkla, en konsekvensetiker ser goda effekter som eftersträvansvärda. Dygdeetiken pratade vi om för några veckor sedan och den handlar om det som är rätt att göra. Ofta det andra gör och det man ”förväntas göra”.

Exempel på konsekvensetikerns syn på IT-säkerhet som svar på utförda handlingar

• ”Jag hackar mig in på en site och meddelar siteägaren att felet finns”
  • Det fungerar, eftersom det gynnar alla som använder siten och det gör det bättre för majoriteten (användare) på bekostnad av minoriteten (hackare, brottslingar och black hats)

• ”Jag piratkopierar spel eftersom jag inte har råd att köpa dem. Sen skickar jag det till mina kompisar som jag tror inte annars skulle köpa dem”.
  • Nej. Det missgynnar spelindustrin. Piratkopieringen skadar marknaden och därmed tillgång till spel för stora massor.

• ”Jag hittade en svaghet I systemet som jag testade utan att ha tillstånd. Meddelade givetvis siteägaren, men jag kräver att de slutar med en del verksamhet jag inte gillar att de gör. Annars får de inte veta.”
  • Beror på om det de sysslar med är skadligt för allmänheten eller inte. Troligen inte ok.

• ”Jag är del av ett kollektiv som använder DDOS-attacker för att ta ner intoleranta siter, maffians kommunikationer eller helt enkelt saker som kollektivet finner omänskligt”.
  • Beror på om det de sysslar med är skadligt för allmänheten eller inte. Troligen inte ok.

Vad får färgen på din hatt för konsekvenser?

• ”Jag hackar allt för pengar och ger den som betalar, det de vill ha”
  • Nej, du ställer till mer skada än nytta.

• ”Jag hackar allt för pengar, men om någon har en ond site som jag kan ta ner, så gör jag det gratis”
  • Nej, du ställer till mer skada än nytta.

• ”Jag meddelade siteägaren om ett säkerhetshål de hade, men de struntade I det och då utnyttjade jag felet och bytte ut deras förstasida mot en som förklarade att de är ett gäng idioter”
  • Om det leder till att de rättar sårbarheten, är det väl ok.

• ”Jag meddelade siteägaren om ett säkerhetshål de hade, men de struntade I det och då meddelade jag dem och resten av Internet hur man använder sårbarheten.”
  • Om det leder till att de rättar sårbarheten, är det väl ok. Detta kallas också för ”Full disclosure”.

• ”Det invaderande landet har skadat det land de invaderade svårt. Jag vill hjälpa till att bekämpa invaderarna, så vi tar ner deras siter, läcker deras information och hindrar dem på alla sätt vi kan här hemma I den bekväma soffan”.
  • Ja självklart!! (fast med en liten invändning. Jag tror att en konsekvensetiker lätt kan fångas av opinionen, typ nyheter mm, av vad som är goda konsekvenser. Stora komplexa etiska frågor som t.ex. geopolitik kanske inte vem som helst kan avgöra hur konsekvenserna blir)

Länkar – Konsekvensetik

• Nordlo
• När hacktivism går fel (eller är det överhuvudtaget hacktivism? Lyssna på avsnittet!)
• Mer om begreppet

Felaktigheter

• Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om hittar fel i något vi sagt.

Inlägget #180 – Etiken på internet 2/3 (Konsekvensetik) dök först upp på IT-säkerhetspodden.

Avsnittet: 178 – Bot Roast och Jeanson James Ancheta
Inspelat: 2022-09-08 (publicerat 2022-09-11)
Deltagare: Mattias Jadesköld och Erik Zalitis
Detta avsnitt är ett samarbete med Nordlo.

Lyssna på avsnittet – Bot Roast

Medan du lyssnar

När jag skriver detta, har Sveriges valdag kommit och förhoppningsvis har du uttryckt ditt stöd för ett av Sveriges partier. Men vi ska tillbaka till tiden då kidnappningar av datorer ännu inte automatiskt betydde utpressning.

Det har tjatats om många gånger, men förr i tiden kunde en besviken, arg eller bara kriminell ensling sitta hemma i källaren och hacka system eller sprida skadlig kod. Och herr Ancheta är en av den gamla tidens kriminella entrepenörer, innan hackergängen tog över och allt blev professionellt och dolt.

Klantig var bara förnamnet, när han spridde så mycket spår efter sig att FBI inte hade allt för stora problem att hitta honom. Alla hans rikedomar, som han fått via sin verksamhet, fick han konfiskerade tack vare Bot Roast. Och 57 år på kåken, borde ha fått honom att tänka till.

Vad hade han gjort då? Skapat botnet med kidnappade/kapade maskiner som han kunde kontrollera och skicka spam, startar överbelastningsattacker eller bara hacka andra maskiner.

Denna veritabla Zombie-armé var under hans kontroll och han hyrde ut den och sin förmåga till alla som kunde betala.

Vi pratar också om Bot Roast, som var det illa valda namnet på FBIs plan att fånga honom. Illa valt? Ja, huvudsakligen för att man inte bör kalla sina planer/operationer något som kan avslöja vad de handlar om. Jag nämner ”Blue harvest” som ett bättre förslag och det är en av många referenser till filmserien Star wars som vi gör i detta avsnitt. ”Blue harvest” var nämligen vad man kallade den första filmen för att inte något skulle läcka till pressen innan den var klar. Man tänkte att det lät som ett ointressant drama. Och, ja herr George Lucas plan fungerade. Resten är historia.

Länkar – Bot Roast

• Nordlo
• Mer om Agobot
• Hur attacken gick till (CSOOnline)
• Mer om attacken (Wired)
• Definiera ironi: hans namn används för att skrämma folk att betala (PCRisk)
• Hur fungerar ett botnet?

Felaktigheter

• Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om hittar fel i något vi sagt.

Inlägget #178 – Bot Roast och Jeanson James Ancheta dök först upp på IT-säkerhetspodden.