Texter

3 oktober, 2020

Show Notes för #94 – Precis som 1984

Tonight only. DJ Winston101 featuring Jack-boot O’Brien and Big Brotha’

Avsnittet heter #94 – precis som 1984
Det spelades in 2020-10-02 och lades ut 2020-10-04.
Deltagare: Mattias Jadesköld och Erik Zalitis
Show notes skrivna av Erik Zalitis.

”Who controls the past controls the future. Who controls the present controls the past.”

George Orwell, 1984

För de av er som känner oss, är det lätt att tro att det var jag som kom på idén till detta avsnitt, men så var det inte. Efter att jag irriterat mig över alla som snackar vitt och brett om att ”det är 1984 nu”, tyckte Mattias att vi borde snacka om det. Och så blev det. Jag har läst boken flera gånger och nu har Mattias gjort det också. Så vi har kollen, även om jag inte minns alla ministerier som finns i Air strip 1. Här är de, för den som annars skulle vilja klaga:

  • Ministry of love
  • Ministry of peace
  • Ministry of plenty
  • Ministry of truth

Se ”Errata” för en korrigering.

Sen kanske jag bör nämna de slogans som Oceanien har:

  • War is peace.
  • Freedom is slavery.
  • Ignorance is strength

Jag tänker inte skriva så mycket om handlingen, eftersom vi gör det i avsnittet.

Ord har makt!

Komikern George Carlin nämner hur språket ofta förändras för att ”desarmera” ord och gör dem ”säkrare”. Det är definitivt inte bara USA som gör det, eller ens uppfann det.

Och nu då?

Så kopplar vi ihop boken med nuet och kommer med följande tankar:

  • Oceanien bygger sin kontroll mer på att bara ge folk EN hårt styrd källa av information än att manipulera dem att välja en väg bland många. Givetvis kan detta i sig ses som en form av manipulation. Men jag nämner detta för att slå fast att det vi tänker på som manipulation i dagens samhälle är till för att styra oss i en värld av mängder av åsikter, källor och fakta. Oceanien har, kan vi säga, ”strömlinjeformat” utbudet.
  • Denna monopolistiska kontroll har ingen motsvarighet i det Svenska samhället eller västvärlden. Här har vi istället en bredvuxen flora av åsikter, fakta och information där vi måste vara den som värderar den. Och detta är en av mina viktigaste motargument mot att ”det är 1984 nu”.
  • Jag säger att nu för tiden är det många som tittar men få som gör något. Vi talar fortfarande om västvärlden och främst Sverige. I andra delar av världen är det en helt annan sak och vi nämner Kina lite snabbt. Det är inte så att jag säger att avlyssningen är ofarlig eller oproblematisk. Faktum är att både jag och Mattias håller oss borta från den diskussionen, då det inte är ämnet för dagen överhuvudtaget. Vår respektive syn på frågan om integritet blir väldigt klar i avsnittet om polisens hemliga dataavläsning.

Men givetvis finns det en hel del analogier med 1984 som är ganska bra:

  • Att betydelsen av ord och vilka ord som anses var acceptabla förändras och en del ord måste väljas bort för att inte skapa ilska, är något som kan liknas vid nyspråk om än bara ytligt. Vi pratar också om hur nyspråket troligen aldrig skulle kunna fungera i verkligheten. Människor är fantastiska på att ge ord andra betydelser och krypa under reglerna. <ironi>INGSOC är dubbel-plus-bra</ironi>.
  • Det finns dock en annan vinkling på det och det efter några generationer av nyspråk, med sitt torftiga ordförråd, kommer folk ha svårare att uttrycka sig. Orwell tror det blir slutet för den fria viljan medan jag tror det blir början på ett riktigt coolt och givetvis olagligt slangspråk.

Errata

  • 11:38 – Erik påstår att miniluv (Ministry of love) är krigministeriet, vilket är inkorrekt. Det är Ministry of Peace som avses.
  • 12:28 – Erik nämner slogans för Oceanien, men minns inte alla. Se ovan för en lista.

Länkar


26 september, 2020

Show Notes för #93 – Mikko Hyppönen

Vinnare 2018, 2019 och 2020 av priset ”Bistraste minen i IT-säkerhetsbranschen”. Segertippad även för det kommande decenniet. Man blir så av att jobba i branschen, tro mig.

Avsnittet heter 93 – Mikko Hyppönen
Det spelades in 2020-09-22 och lades ut 2020-09-27.
Företaget heter F-secure.
Deltagare: Mattias Jadesköld, Miko Hyppönen och Erik Zalitis
Show notes skrivna av Erik Zalitis.

Så, sitter här mitt i natten och skriver på Show notes. Just klar med FOIs 20/20CTF, där jag var med i ett lag och tävlat i att hacka system. Vi kom på en rätt hygglig plats, trots allt, men inte bland topplagen. Sånt ska man hålla på med för se att att fortsätta vara skärpt som säkerhetstestare, tycker jag. Men nog om detta.

För ett antal år sedan tyckte en kompis att ”han inte ville ha en säkerhetsprogramvara gjorda av några paranoida finnar”. Men det kan man nog mycket väl vilja. Mikko Hyppönen har varit kopplad till F-secure så länge att han minns när de var kända som ”Datafellows” på 90-talet.

mikko on Twitter: "The original Data Fellows logo was done by Risto.… "
80-talet ringde och ville ha tillbaka sin logga. 90-talet ringde direkt efter och ville ha tillbaka ”x ringde och…”-skämtet. Jag har ingen telefonledning till huset längre, så jag kunde inte svara.

Tittar man när på deras gamla logga ser man att den faktiskt formar bokstäverna ”DF”.

Mikko dundrar på om att man inte behöver ha sin brödrost uppkopplad mot nätet och att detta huvudsakligen sker för att företagen vill ha din användningsdata. Men hackarna vill ju också in. Han låter som vi gjort i texter och avsnitt sedan 2018. Skönt att inte vara ensam.

Han kallar sig en nörd och ståtar med en Atari-tröja dagen till ära. Jag vill inte öppna diskussionen om hur mycket bättre Amigan är. Känns synd att sabba intervjun redan innan den börjat.

Mikko minns 2000-talets maskar och hur han direkt drabbades av dem, precis som alla vi andra som jobbade med IT under den tiden. Men till skillnad från oss, har han sett spektaklet på ett mycket närmare och djupare håll.

Vild panik och strulande maskiner

Allt strular som vanligt… Det vore inte produktion om det inte innehåller minst en total härdsmälta och en situation där ingen hör den andre…

Inspelningen var planerad till 17 lokal Svensk tid och jag satt klockan 15 och pratade i lugn och ro med min chef. Allt var väl, tills Mattias slet upp dörren och sa att det börjar nu. Men…. Men…. Det visade sig att tidzonerna blandats ihop och klockan i Finland visade att det var dags. Istället för att sätta upp och testa allt en timme innan start, kastade jag ihop allting och riggade upp i vild panik. En ny programvara skulle testas och helt plötsligt var det svårt att höra varandra. Sen ledde ett kabeltrassel till att det sprakade i Mattias ljud. Så jag har haft att göra genom att försöka tråckla ihop allting. Det låter hyggligt, men spraket gick inte att göra så mycket åt.

”We’ll fix it in post”, alltså att fixa det i post-produktion, är en mycket tveksam sak att säga under inspelning. Säger man det, är det 100% sannolikhet att det inte kommer att gå. Men… men… Allt ska inte vara en dans på rosor. Varför säger man så egentligen? Är inte rosor ganska taggiga? Dansar hellre på glödande kol…

Errata

  • Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om något vi sagt.

Länkar

Företagets hemsida:
https://www.fsecure.com/

19 september, 2020

Show Notes för #92 avancerat skydd med Joakim Sundberg

Välkommen till nyheterna. Detta händer just nu: alla hackar allt, man DDOSor också hela tiden och sen händer ibland även dåliga saker. Detta var nyhetssändningen, nu tillbaka till dagens pausfågel.

Avsnittet heter 92 avancerat skydd med Joakim Sundberg
Det spelades in 2020-09-11 och lades ut 2020-09-20.
Företaget heter Baffin bay networks.
Deltagare: Mattias Jadesköld, Joakim Sundberg och Erik Zalitis
Show notes skrivna av Erik Zalitis.

Först den uppenbara geografiska kopplingen till företaget: Baffin bay är ett riktigt ”fly over”-territorium för den som ska till t.ex. San Francisco.

Havet är tydligen lite blåare här, om man tror att kartor alltid visar världen som den ser ut, men annars verkar det inte vara så mycket som verkar pågå.

Baffin Bay Networks må ha snott namnet från just den bukten, men de är bra mycket mer intressanta för IT-säkerhetsfolk rent allmänt. Joakim, som jobbar där och även är en av grundarna, ger klara besked både om vad som krävs för att skydda stora tjänster och hur attackerna på nätet ser ut.

Det som förvånade mig, som ju tror att jag vet något om IT-säkerhet, var när Joakim berättade att DDOS-attacker oftast är ”digitalt klotter” utan avsikter att utpressa ägaren till systemet. Men så är det givetvis.

Rätt uppenbart är det otroligt svårt att skydda mot alla hot på nätet. Och de mest krävande systemen kräver idag att trafiken måste gå genom ett avancerat filter där man plockar bort allting som kan skada det mottagande systemet. Och statiska filter som tar bort kända signaturer räcker förmodligen inte för system som är utsatta. Baffin bay har tagit fram en ”avancerad molntjänst” som ställer sig i vägen för trafiken som ska till deras kunder. Detta gör att det som väl når fram, precis som jag skrev ovan, har gått igenom stora mängder kontroller och sannolikheten att något skadligt nått fram är därför låg.

Idag kan ingen vara en ”single point of failure”, så de har inte nöjd sig med ett data center på en plats. Istället har man data center i närheten till kundens datacenters geografiska position. Man använder peering för att kunna vidmakthålla bra prestanda genom tjänster.

Metropolen Västberga. Före detta huvudkontor för Ericsson.

De har placering i Singapore, Frankfurt, Amsterdam, Stockholm… och Västberga… Känns som en rätt udda plats, givet hur internationella de andra städerna känns. Sist jag kollade, låg väl dessutom Västberga i Stockholm också.

Förutom skydd för attacker mot server, är deras viktigaste skydd att de kan hindra distributed denial of service-attacker från att lyckas ta ner tjänster.

Vi hinner också snacka lite om störningar på Century networks och varför det gick som det gick (hint: det var inte aliens, hackare eller butlern som gjorde det).

Spelas det en Abba-cover på radion? Nix, det är faktiskt lite mer allvarligt än så.

Går du till deras hemsida, finns en nödknapp som ger dig ett telefonnummer att ringa om du är utsatt för elaka typer som försöker sabba din nätnärvaro. Visserligen en bra sak, men tror de flesta mår bäst av att fixa sin säkerhet innan det smäller. Dock vet vi att många väntar tills allt går åt skogen innan de funderar på sådana saker.

FPGA – virtualisering för dina transistorer

Vi pratar en del om FPGA (Field-Programmable Gate Array). Så vad är det? Om du kör en virtuell maskin, vet du säkert att den presenterar det operativsystem som körs virtuellt med en ”fejk-hårdvara”. Men denna ”hårdvara” fungerar inte som dess riktiga motsvarighet gör, utan bara tar emot samma kommandon och ger samma svar som den riktiga skulle ha gjort.

En FPGA virtualiserar däremot hårdvaran på grindnivå (alltså logikgrind, som en transistor i ett chip). Man kan alltså bygga ett riktig chip i mjukvara. Detta användes till en början för att bygga chippen som just mjukvara för att inte behöva bygga dem på riktigt innan man testat att de fungerar som de ska. Mycket billigare än att ringa fabriken varje gång man hittar en bugg.

Men denna teknologi har visat sig extremt snabb, effektiv samt säker. En hel del nätverksutrustning har gått över till FPGA-teknik för att göra prestandan bättre. De kan hantera nätverkstrafiken på ”tuple”-nivå, och på så sätt hålla koll på pågående sessioner utan att det kräver stora mängder prestanda. Effekten är att varje modul kan hantera stora mängder paket och kan hålla koll på TCP/UDP-sessioner utan att nödvändigtvis fylla upp en tillståndstabell (state table) när det blir mycket trafik.

De ger också möjligheten att bygga kretskort till gamla datorer som accelererar dem till oanade hastigheter. Apollos ”Vampire” till Commodore Amiga innehåller en 68080, en processor som aldrig funnits, men bygger på och förbättrar den Motorola 60060 som var den sista modellen innan serien lades ner.

Errata

  • Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om något vi sagt.

Länkar

Företagets hemsida:
https://www.baffinbaynetworks.com/

Katastrof just nu? – de har givetvis även tänkt på detta:
https://www.baffinbaynetworks.com/under-attack

FPGA ger många fördelar för utveckling, säkerhet och hastighet. Men kan de trots detta hackas?:
https://www.darkreading.com/edge/theedge/meet-fpga-the-tiny-powerful-hackable-bit-of-silicon-at-the-heart-of-iot/b/d-id/1335730

IP reputation kommer från mailvärlden, men är givetvis inte begränsat till just detta:
https://www.mailchannels.com/what-is-ip-reputation/

12 september, 2020

Show Notes för #91 Digital kvinnofrid

Glada miner, trots ett allvarligt ämne. Matilda Sjöstrand till vänster och Mattias Jadesköld till höger.

Avsnittet heter 91-digital-kvinnofrid/
Det spelades in 2020-09-11 och lades ut 2020-09-13.
Deltagare: Mattias Jadesköld, Matilda Sjöstrand och Erik Zalitis
Show notes skrivna av Erik Zalitis.

Inte riktigt vad man tänker på när man hör ordet ”alltid uppkopplad”, men kanske borde man göra just det.

Länkar

Deras hemsida:
https://www.digitalkvinnofrid.se/

12 september, 2020

Hur en attack kan se ut…

Phishing Prevention | Avoid Financial and Brand Damage | DomainTools
All your snabel-a are belong to us…

Imorgon blir det poddavsnitt, men idag tänkte jag berätta om hur man kan jaga spammare/phishers via nätet. Allt är på riktigt och allt händer nu!

Läs här:
https://erik.zalitis.se/it-security/the-anatomy-of-an-attack/

6 september, 2020

Show Notes för #90 – Technical support scam

Microsofts ”What me worry”-pose. Eller är det för elakt? De är faktiskt ganska aktiva i att informera allmänheten om dessa typer av brottslighet och hur man undviker att gå i fällan.

Avsnittet heter 90 – Technical support scam
Det spelades in 2020-09-04 och lades ut 2020-09-06.
Deltagare: Mattias Jadesköld och Erik Zalitis
Show notes skrivna av Erik Zalitis.

”Hello, we’re calling from Windows support”. Denna typ av support-scams har varit väldigt framgångsrika under de senaste tio åren, men de börjar bli mindre vanliga nu. Kanske har de gjort sitt och faktiskt blivit mindre lukrativa. Eller så finns det bättre metoder att lura folk? Som jag säger i podden, har varje attack sin tid eller som man säger i det stora landet i väster ”Every dog has it’s day”.

Letar man på Google efter Tech support scams, är det ”Scambaiters” som dyker upp först. Precis som vi säger i podden. är det personer som gärna djävlas med supportscammarna genom att ringa dem och försöka sabba för dem eller ta över deras datorer.

Episode 100: 100th Episode Spectacular | The Agile Revolution Podcast
Fråga: varför lägger man så mycket vikt vid faktor 10 av vår gemensamma talbas? Skulle folket i Babylon som baserade sin aritmetik kring bas 60 ens ha brytt sig? Troligen inte, det fanns nämligen inga podcasts på deras tid, jag säger bara det.

Men vänta lite! Vi måste ju också konstatera att vi just nått vårt första 100! Just det, idag lägger vi ut vårt hundrade avsnitt på Internet. Hurra… Vad blir det för firande? Inget, men vi är i alla fall glada över att det hänt!

Framtiden är dyster – för dem, inte för oss

En nedbrytning av olika typer av vägar som man kan råka ut för. De där samtalen man får, är uppenbarligen inte de enda vägarna in i eländet.

Antalet rapporterade fall av dessa bedrägerier har minskat från 68% till 63% enligt PCMag. Men en av fem kommer i alla fall att låta bedragarna leda dem vidare även om långt i från alla av dem blir avlurade pengar. 2018 rapporterades att 6% av alla som kontaktas förlorar pengar som en direkt effekt. Det är enkelt att se att detta är mycket bra siffor jämfört med t.ex. Spam. … Eller kanske ska vi säga dåliga siffror, eftersom vi faktiskt inte vill att de ska lyckas.

Errata

Nytt stycke där jag skriver om felaktigheter i avsnittet eller förtydligar saker som kan missförstås. Vi har givetvis gjort detta tidigare också, men det är tydligare att ge dem ett eget stycke.

  • Dock inget att rapportera denna gång. Kommentera gärna om ni inte håller med om något vi sagt.

Länkar

PC-mags artikel om bedrägeriets nedgång:
https://uk.pcmag.com/news/118079/tech-support-scams-still-a-problem-but-things-are-improving

Det kan gå tufft till i branschen:
https://www.cbc.ca/news/canada/british-columbia/microsoft-tech-support-scammer-recorded-threatening-to-kill-b-c-man-1.2980453

En hel del matnyttigt som vanligt på Wikipedia:
https://en.wikipedia.org/wiki/Technical_support_scam

Kitboga, en av många lyckade ”Scam baiters”:
https://en.wikipedia.org/wiki/Kitboga_(streamer)

29 augusti, 2020

Show Notes för #89 – När Twitters VD blev nazist

Det kanske är elakt att se det som hände som en modern variant av en busringning, givet att det som skrevs var riktigt vidrigt, men det finns onekligen en del paralleller med samtal där man utger för att vara en känd person för att få denne att framstå i dålig dager.

Avsnittet heter 89 – När Twitters VD blev nazist
Det spelades in 2020-07-02 och lades ut 2020-08-30.
Deltagare: Mattias Jadesköld och Erik Zalitis
Show notes skrivna av Erik Zalitis.

Ok, det kanske inte är det mest finstämda att skriva en rubrik som invokerar Godwins lag, men där är vi. Det var ju också ganska exakt så det såg ut, när Jack Dorsey, Twittrade ett antal riktigt hemska Tweets. Men sanningen klargjordes rätt snabbt när Twitter meddelade att kontot hackats.

Visst kan man nöja sig med att bara snacka om hur det förmodligen gick till, vilket vi också gör. Men diskussionen går sedan i vidare svängar när vi funderar på om Svenska telebolag skulle kunna luras att aktivera SIM-kort de själva inte skickat ut. Sedan fortsätter vi att fundera på vad det innebär när vem som helst kan utge sig för att vara en viss person eller ha en viss kunskap och hur det påverkar hur vi tolkar och bedömer nyheter. Twitter är onekligen kraftfullt så att det skrämmer länder till att försöka stoppa tillgången till det, vilket blev standard för diktaturer att göra efter Arabvåren.

Men vad hade kunna hända om man inte bara använt kontot för att jävlas? Tänk på vilken skada något som kunde ha påverkat börsen skulle kunna ha gjort? Eller att läcka riktig information på detta sätt. En impersonering som denna hade kunnat användas för att göra bra mycket värre saker än vad som faktiskt hände.

Vi hade också en del tankar om hur detta kopplar till identitetsstölder, vilket detta på ett sätt faktiskt skulle kunna ses som. Detta inkluderar en sann historia där anti-piratbyråns ”piratjägare” Henrik Pontén fick sitt namn bytt hos Skatteverket.

Inalles en ganska intressant diskussion som gjorde bara dagar innan det senaste intrånget på Twitter kom att ske. Så det kanske verkar som vi missat det, men så är inte fallet, vi är helt enkelt inga Nostradamus. Inte för att de hade hjälpt givet dennes ”track record” för korrekta förutsägelser.

För att avsluta det hela, kan jag meddela att detta är det 99:onde avsnittet. Tillsammans med alla specialavsnitt som också gjorts, är vi faktiskt redan där. Nästa blir då ett 100-avsnittsjubileum.

23 augusti, 2020

Show Notes för #88 – Från det kalla kriget till dagens spioner på nätet

Avsnittet heter 88 – Från det kalla kriget till dagens spioner på nätet
Det spelades in 2020-07-07 och lades ut 2020-08-23.
Deltagare: Erik Zalitis, Fredrik Eriksson (Försvarshögskolan)
Show notes skrivna av Erik Zalitis.

“To know your future you must know your past” – George Santayana

Det kanske kan tyckas märkligt att avsnittet pågår i över 50 minuter innan IT-säkerhetsområdet berörs. Men detta är inte så konstigt. Hur länge har IT-säkerhet ens varit ett ämne? Inte lika länge som vi haft spioner, agenter, provokatörer och underrättelsetjänst. Vårt kära område ärvde allt detta innan det ens kommit en meter på vägen mot den verklighet vi har idag.

Fredrik Eriksson jobbar på Försvarshögskolan och har god koll på historien. Man skulle, som ni säkert vet, kunna säga att kalla kriget började efter 1945 när de såta vännerna USA och Sovjet började titta snett på varandra. Den värld som Roosevelt, Stalin och Churchill skapade på Jalta efter ett fylleslag eller två har vi levt i sedan dess. Sovjet må ha fallit och nya spelare har dykt upp, men kalla kriget är inte dött.

Någon gång på 2000-talet började världen ändras i en allt snabbare takt och Internet ändrade ekvationen totalt. De spelare som såg möjligheterna vann och de andra fick nöja sig med att gå kräftgång.

Fredrik Eriksson på Försvarshögskolan.

Fredrik har en enorm kunskapsbank som han gärna öser ur och avsnittet är faktiskt en timme långt, men Fredrik har inga problem att hålla det hela intressant och spännande.

Det är lätt att bli kallad foliehatt när man oroar sig för säkerhet och privat information, men Fredrik berättar klart och koncist om hur hoten faktiskt ser ut, baserat på sin egen och Försvarsområdets totala kunskap. Kalla mig gärna paranoid, men den dag Försvarsmakten INTE är det, då har vi problem.

Runt 49:30, citerar jag Asimov. Hela citatet ovan.

Länkar

Några tankar om framtiden från mig:

En mycket intressant diskussion om hur USA tappat mark och nya spelare tar över:
https://www.youtube.com/watch?v=hhMAt3BluAU

Kanadensaren JJ McCoullough berättar roat om påverkansaktioner han sett i verkligheten:
https://www.youtube.com/watch?v=2mQ8plzWl9g
(Alla påverkansaktioner görs inte nödvändigtvis av stater, man kan råka ut sekter, politiska organisationer eller andra aktörer som säljer ideologier eller synsätt)

… och till sist, jag passar på att tipsa om ett högst personligt litet projekt, en ”radiostation” som spelar Amiga-musik blandat med anekdoter från Amigans storhetstid. Det är inte en uns IT-säkerhet i den dock. Men allt kan inte handla om det, bara nästan allt…

https://www.youtube.com/watch?v=_4d6jszGais&t=41s
Watch my YouTube-channel, please! I’m a starving artist/entrepeneur/influencer who just wants free stuff! 🙂
15 augusti, 2020

Show Notes för #87 – Hollywood och hackaren – tre filmer som gör det rätt

Ok, det är film-hackning, men vad sjutton gör växeln -0??

Avsnittet heter 87 – Hollywood och hackaren – tre filmer som gör det rätt
Det spelades in 2020-07-02 och lades ut 2020-08-16.
Deltagare: Mattias Jadesköld och Erik Zalitis.
Show notes skrivna av Erik Zalitis.

Såååååå…. Vi är tillbaka med ett lite mer skämtsamt avsnitt där vi skrattar gott åt Holywoods oförmåga att förstå hackning. Helt ärligt behandlar de hackare som om de vore magiker från en fantasy-story. Kommandona de skriver på sina terminaler är ingenting annat än besvärjelser som de kastar vid tangentbordet. Så min jämförelse med alignments i rollspelvärlden är inget jag valt på slump. Det heter dock chaotic neutral och inte tvärtom:
http://easydamus.com/chaoticneutral.html

Sen vill jag notera att det låter som jag säger att NMAP kan användas för war dialing, det kan den inte. Jag uttryckte mig lite klumpigt, men menar helt enkelt att NMAP är som en war dialer fast för nätverksenheter. Egentligen inte en felsägning, men behöver förtydligas.

En accoustic coupler. Att tala om två muffar på en sandal är nog ingen vidare liknelse. Det är mer två muffar på en glasögonlåda, eller hur?

Mattias är nog rätt trött på mina utvikningar om retroprylar vid det här laget, men jag måste ändå få nörda ner mig i IMSAI-datorn och sandalen… eh… modemet.

Toneloc var en av den gamla tidens war dialers:
https://en.wikipedia.org/wiki/ToneLoc

Hollywood OS

Nu kan jag inte hitta det, men första gången jag såg begreppet Hollywood OS, var i en web serie där några IT-snubbar byggde ett och givetvis hade det blinkande varningsmeddelanden, rullande text, ljud när man tryckte på knapparna och så vidare. Eftersom jag inte hittar den (Vadå ”Internet glömmer aldrig” ?) får ni nöja er med dennas guide:
http://nand.net/~demaria/hollywood.txt

Nmap och porr

Screen is up here, dude!

För ett antal år sedan hade Nmaps hemsida en artikel om en filmad användarguide där en barbröstad kvinna lärde ut hur man använder verktyget, men de fick ta ner den, på grund att alla laddade ner bilderna och det blev för dyrt för dem ha dem kvar. Ibland undrar jag om vi människor egentligen är illa evolverade Bonobos…

Filmen heter ”HaXXXor Volume 1: No Longer Floppy” där E-lita (3-13378?) demonstrerar Nmap. Jag rekommenderar att man INTE söker efter den av ganska uppenbarliga skäl.

Här är alla gånger som Nmap setts i filmer (inklusive exemplet ovan!):
https://nmap.org/movies/

Portskanning är inte ett brott!

Tycker inte ja i alla fall, så om du har dolda portar som du inte vill ska hittas, bör du nog tänka om. Det är svårt att skydda sig mot att folk skannar dina nät om de kan nås från Internet.

Film: War games

Vi går ju igenom handlingen rätt ordentligt, så vi kanske inte ska prata så mycket mer om den här. Jag läste nyligen att John Lennon var tänkt att spela professorn i filmen. Men hans liv tog slut när han mördades av Mark Chapman december 1980, så det blev aldrig av.

Film: Matrix reloaded

Ja, jag gillade aldrig Matrix reloaded och Matrix revolting… ehh… revolutions. Däremot gillar jag att man kan hacka AI med SSH.

Och det är nördpoäng på att pausa sin DVD eller VHS

Appropå det där Family guy-avsnittet jag pratar om…

JA! Jag är #kränkt! Skämtet borde vara roligare. Seth för tusan!

Film: Office space

”Det är ju min häftapparat” tyckte mannen som inte riktigt fattade att han fått sparken, men ändå satt kvar. Filmen är ganska absurd och slutar med mordbrand och rutten moral.

Penny shaving och salami slicing är intressanta attacker där man i små steg, långsamt stjäl stora värden:
https://en.wikipedia.org/wiki/Salami_slicing

Sen låter de ju onekligen ganska ekivoka (vem är Penny, förresten?) vilket inte undgår oss i denna mer flamsiga diskussion.

Länkar

NCIS hanterar hackare riktigt illa … och sedan riktigt väl:
https://www.youtube.com/watch?v=u8qgehH3kEQ

26 juli, 2020

Fler höst-tankar

Ny polis-sketch som mer korrekt visar den som hittade vår poddutrustning och lämnade in den till polisen utan att begära någon hittelön.

Grejerna är tillbaka! Vad kan jag säga? För några dagar sedan ringde polisen i Solna och förklarade att man hittat väskan med vår utrustning och jag åkte sedan över till stationen och hämtade väskan. Grejerna fanns kvar och allting fungerade, så detta är goda nyheter.

Siteflytt och kamp med CSP-headers

Vi är uppenbarligen inte riktigt 100… Och då vi tyvärr inte kan sätta upp IPV6-stöd ännu, så får vi nöja oss med detta. Men alla andra grejer är gröna. Checkbox-security eller värt det? Vad tycker ni?

Jag ruttnade tillsist på Godaddy, där vi haft siten och flyttade det hela till en annan maskin i väntan på en bättre lösning. Men detta gjorde att jag faktiskt bestämde mig för att titta på säkerheten.

Upprinnelsen till detta är en kommentar på Linkedin, där en användare meddelade att vår sida fick dåligt betyg på test-tjänsten ipv6.cool. Denna tjänst sätter betyg enligt fyra kriterier och vi som inte ens hade DNSSec fick därför inga särskilt bra poäng.

DNSSec visade sig knepigt att fixa, då vår domänregistrator inte stödde det. Så jag flyttade domänen till en annan med fullt stöd. Sedan var jag tvungen att flytta domänen från DNS-servern som inte heller stödde DNSSec. När det var gjort, signerade jag zonen och lade upp DS-nyckeln i zonen hos registratorn.

HTTPS har vi ju haft länge, men nu har även det härdats. Jag lade till HSTS och bråkade med Qualys testrapporter tills vi nådde betyget A+.

Har ni gamla mögbrowsers eller tio år gamla mobiltelefoner, kommer inte sidan se så bra ut. Huvudsakligen för att den inte ens kommer gå att ladda. Men vad gör man inte för konsten?

Jag har ju pratat om DANE också och då går det ju bara inte för sig att inte stöda det! Så nu har jag lagt in TLSA-poster och fixat så att certifikaten uppdateras dynamiskt. Och sedan knäppte jag på OCSP-stapling som också hjälper till.

Till sist var det dags att kolla genom alla HTTP-headers som vi skickar tillbaka och detta visade sig var svårast. Testa, testa, testa och slita av sitt hår i förtvivlan när inget fungerar har varit mina senaste tre-fyra dagar.

CSP (Content Security Policies), som deklarerar för webbläsaren vad vår site förväntas göra och varifrån den hämtar data, tog längst tid att få ordning på. Jag har suttit och ändrat och skruvat på den i timmar, men nu är den fullt kompatibel och ser till att om någon skulle kunna få skadlig kod att laddas ner via till exempel en IFRAME som de lyckats få in på vår sida, kommer inte denna kod kunna hämtas.

WordPress med ett antal plugins, här visualiserat som sin motsvarighet i köttvärlden, som Mattias skulle säga. Startar långsamt men rullar sedan bara på.

Till sist satte jag mig och bankade mig igenom Googles performance rating som nu ger acceptabla poäng på sidans snabbhet. Att få de högsta poängen är svårt då WordPress i sig själv är trög som en rysk tank.

I stort är jobbet klart, men det finns massiva mängder saker att göra med våra andra webbsidor och så.

Nu är det dags för en kaffebreak och en lugn söndagseftermiddag… Nästa vecka kommer vi tillbaka. Då blir det vårt försenade loggningsavsnitt – del 2 som dånar ut i den icke-existerande etern.

Scroll to top