Category Archives: Säkerhet

Varför väljer vi inte digitalt?

Kanske reagerade någon på den 1800-talsmässiga linjal som används som verktyg för att bocka av väljare från den lika 1800-talsmässiga röstlängden i papper i EU-valet härförleden. Varför röstar vi inte hemma, till exempel med e-legitimation? Det skulle ju kännas modernt?

vallokal

Jo: Det är praktiskt taget omöjligt att skapa ett helt säkert system, oavsett vad det ska användas till. Att ta fram stora, offentliga, i det här fallet till och med nationella, system, som ska hantera miljontals användare, är dessutom mycket svårt (åtminstone om man ska tro nyhetsrapporteringen).

Många människor lever dessutom än idag helt analoga liv, vilket gör ett digitalt system uteslutande. Kanske kan vi leva med att vissa saknar möjligheten att gå in på ett postkontor eller göra fysiska bankärenden, men att vissa skulle dra sig för att rösta för att de inte förstår processen är värre.

Varför röstar vi då inte elektroniskt? Jag ser följande risker.  

  • Valfusk
    I ett val är det väldigt illa om någon lyckas påverka resultatet. Elektroniska val skulle av vissa kunna ses som mycket säkrare än dagens, men personligen ser jag en risk i att någon lyckas påverka resultatet på ett sätt som är närmast omöjligt att spåra. Dagens transparens gör att alla kan se hur processen går till.
  • Valhemligheten
    I en demokrati är det jätteviktigt att valhemligheten bevaras. Väljer du elektroniskt måste din röst kopplas till bekräftandet av din identitet på något sätt. Det innebär en tydlig risk. Med papper i kuvert dör spåren till dig så fort kuvertet släpps ner i lådan.
  • Storebror
    Nästan samma sak som invändningen om valhemligheten, men med andra skosnören. Möjligheten att kartlägga väljare blir en potentiell risk. En elektronisk överföring av information lämnar spår, det är fullt möjligt att någon, någon gång, skulle använda dessa spår för att samla information om medborgare.
  • Tvång
    Med ett elektroniskt valsystem är det plötsligt möjligt att tvinga någon att rösta som de vill, eftersom vi då skulle kunna göra det från hemmet. Man kan med våld, hot eller socialt tryck påverka hur andra röstar, eftersom de plötsligt kan övervaka processen. Det blir också ännu enklare att sälja sin röst och för köparen att kontrollera vad han får.

Jag skulle väldigt gärna se att det gick att välja elektroniskt, om inte annat skulle det kunna underlätta rösträkning och spara pengar, men punkterna ovan gör det lätt att argumentera emot. Erfarenheter från USA med elektroniska röstningsmaskiner göra mig också tveksam – kanske kommer ni ihåg debaclet i Florida när George W. Bush valdes till president för andra gången.

Nu då, kan man manipulera valsystemet idag? Visst. Det vanligaste sättet att påverka ett val är genom social ingenjörskonst. Genom olika typer av löften och argument manipulerar man väljarna att rösta för ett visst parti.

Men skämt åsido så dyker det då och då upp fall av valfusk i Sverige. Då handlar det ofta om att en överambitiös lokalpolitiker ombudsröstar åt till exempel äldre, och då kan tänkas rösta för sitt eget parti. Att någon i någon större omfattning skulle manipulera valresultatet i svenska val skulle vara svårt, helt enkelt för att systemet är ganska säkert. Till exempel räknas rösterna flera gånger och det är öppet att gå och se hur det går till för allmänheten. Processen är helt enkelt genomskinlig på ett sätt som skulle vara nästan omöjligt att åstadkomma om valen skedde elektroniskt.

Den sorgesamma berättelsen om bitcoinbörsen MtGox

Så, fast på engelska, heter ett inlägg jag skrev om bitcoin och MtGeox på min nya engelska blogg, https://anders.io. MtGox gick från att vara en tradingsida för Magickort till att bli en tradingsida för bitcoin och ganska snart en aktör med stora problem.

Vill du veta mer om MtGox och eventuellt dessutom få lite större inblick i hur bitcoin fungerar tycker jag du ska ta dig igenom inlägget – med brasklappen att det är ganska långt. 🙂

 

MtGox

Bitcoinstöld från Mac-användare

TechWorld skriver idag om en ny trojan som stjäl bitcoin från Mac-användare. Det är rätt intressant, för jag såg hur hela historien utspelade sig, allt eftersom det hände.

En användare på den populära webbplatsen Reddit skrev att han utvecklat ett nytt program kallat ”StealthBit” som skulle göra anonyma bitcoin-överföringar enklare. Programmet släpptes tillsammans med källkoden på GitHub och länkade vänligt till ett kompilerat program.

StealthBit

StealthBit

Rätt snart så varnades det för att köra programmet eftersom det var en okänd person som postat det, och man vet aldrig om det kompilerade programmet verkligen överensstämmer med källkoden, om man inte kompilerar om det själv.

Tyvärr var det så att utöver programmet i sig, så fanns det skadlig kod inbakad. När programmet kördes la det in sig som tillägg/plugin i Safari och Chrome vilket i princip ger det full kontroll över all webbtrafik. Detta utnyttjades för att stjäla inloggningsinformation till flera stora bitcoin-webbplatser, vilket i sin tur användes för att stjäla bitcoin från folk. Programmet hade även stöd för att ladda hem och köra fler program, vilket i princip gav attackeraren fri tillgång till användarens Mac.

Tyvärr är det så att just trojaner är det vanligaste sättet att drabbas av skadlig kod. Oavsett om du är hemanvändare eller företag som kör Windows, Mac eller Android. Användaren väljer att köra ett program, och oavsett om man kör det som administratör eller ej, så kan de få full tillgång till allt från online-konton till datorn i sig. De kan autostarta, ladda hem och köra andra program eller börja spara användarnamn och lösenord. Oavsett enhet eller operativsystem.

Användaren som postade programmet på Reddit kallade sig ”trevorscool” (Trevor is cool), och på GitHub hette kontot ”Thomas Revor” (T. Revor). Ett liknande program, även det för Mac med en trojan i sig, postades för snart ett år sedan. Det programmet hette ”Bitvanity”, och användarnamnet då var ”Trevory”. Tydligen behöver man inte vara så kreativ för att skapa trojaner, lura folk och tjäna pengar.

De bekräftade stölder som skett hittills är i dagens värde över 100.000 kronor.

Lexbase – lite tankar

Jag är en sån där människa som tycker att offentlighetsprincipen är en mycket bra princip. Jag vill leva i ett samhälle där vi har och ger varandra insyn. Viktig information om medborgare ska vara öppen och tillgänglig och information om myndighetsbeslut offentlig verksamhet också. Maktutövandet ska vara genomskinligt.

Lexbase_screen

Trots det kan jag komma med några invändningar mot Lexbase verksamhet.

  1. Ett privat företag tjänar pengar på vår egen nyfikenhet efter sliskiga detaljer. Folk har inte ”rätt att veta”, vilket är den vanliga existensmotiveringen från företag som Lexbase och Ratsit med flera. Man har rätt att ta reda på.
  2. Frågan om människors brottsregister är en komplex och känslig fråga. Vilken rättshaverist som helst har alltid kunnat begära ut domar om folk, men principen är att man efter avtjänat straff ska kunna gå vidare i livet. Det tycker också de flesta, vilket inte minst de senaste årens debatt om Tomas Quick och Göran Lambertz gjort tydligt.
  3. Vi ser endast domar avkunnade under de senaste fem åren, vilket innebär att många grova brott, som faktiskt kanske skulle kunna vara mer relevanta att känna till, hamnar under radarn. Trenden att arbetsgivare begär utdrag ur brottsregister har vuxit under de senaste åren och fått kritik från många håll, frågan om vem som ska bry sig om andras förehavanden och när är viktig.
  4. Det går att se vilka som är lagförda helt gratis, men man måste betala för detaljer. Briljant affärsstrategi, men många kommer att misstänkliggöras utan folk känner till omständigheterna.

Stormen rasar om Lexbase samtidigt som servrarna har varit överbelastade sedan lanseringen. Vi är moraliskt indignerade, men kollar upp våra grannar med andra handen.

Det finns en besläktad fråga om offentliga uppgifter och privata företag – flera myndigheter säljer medborgarnas personuppgifter, det rör sig om Bolagsverket, Tranportstyrelsen och Skatteverket. Det är enligt mig något de inte borde göra, även om uppgifterna är offentliga. Varför ska offentliga uppgifter säljas i kommersiellt syfte? Skillnaderna i fallet Lexbase är att uppgifterna inte säljs av myndigheter utan begärs ut.

Lagen

Ett annat aktuellt fall är kvinnan i Kalmar som begärde ut tusentals handlingar och tog flera heltidstjänster på Kalmar kommun i anspråk genom att utnyttja/missbruka sina medborgerliga rättigheter. Bland annat begärde hon ut alla handlingar diarieförda under 2013. Kommunen har nu tröttnat och blockerar kvinnans mejl och välkomnar en rättslig prövning. Vem har moraliskt rätt och vem har juridiskt rätt?

Följer man medieflödet så är det tydligt att de flesta tycker att Lexbase affärsidé är omoralisk, även om den inte bryter mot någon lag. Man jobbar helt utan hänsyn till konsekvenserna för enskilda, vilket går stick i stäv med hur vi i övrigt anser att företag ska handla, med hänsyn till och ansvar för omvärlden. 

Har du en ASUS-router och NAS/FTP hemma?

 

I förrgår skrev Daniel Åhlin på Techworld en artikel om ett enligt mig ganska allvarligt problem: Användare av ett antal routermodeller från ASUS delar utan att veta om det mängder av privat information med hela internet via FTP.

Orsaken till detta är enkel – ASUS har valt den märkliga vägen att göra alternativet ”limitless access rights” som standardval vid installationer. Det här har lett till att tiotusentals människor, både offentliga personer vanliga okända samt företag och myndigheter, har publicerat material fritt åtkomligt på nätet. Det rör sig om semesterbilder, CV:n, piratfilmer och mycket annat med den gemensamma nämnaren att det inte är avsett för andras ögon.

aidisk
asus-how-to-share-folder

Problemfunktionen är i sig användbar, en USB-enhet ansluten till routern kan delas i nätverket som en NAS. Möjligheten att ordna åtkomst till den via FTP kan eventuellt vara använbar för någon enstaka, men varför det ens finns en inställning för att komma åt en NAS via anonym extern FTP år 2014 är åtminstone för mig ett mysterium. Varför den är default är ännu mer konstigt.

Man kan självklart argumentera för att de får skylla sig själva som inte har koll på inställningarna i sin egen router, men jag vill nog peka ett anklagande finger mot ASUS – man måste hjälpa användaren att göra rätt val. Tack och lov har de lovat att ändra inställningen framöver och även skicka ut en uppdatering. Det är bra, men problemet är att väldigt, väldigt få loggar in på sin router efter installationen.

Berörda routrar är RT-N66U, RT-N56U, RT-N15U, RT-N65U, RT-AC66U, DSL-N55U och RT-N16 – har du någon av dem hemma och dessutom en lagringsenhet i nätverket ansluten via den är det bäst att du kollar igenom säkerhetsinställningarna.

 

Nu är version 7 här!

 

 

Nu har vi släppt version 7 av dina favoritprogram, ESET Smart Security och NOD32.

Skillnaderna kommer du inte att märka av i form av stora, skrymmande verktyg som du inte har bett om och inte använder. Istället handlar det om tre nya funktioner för att möta nya beteenden hos modern skadlig kod.

ESS-och-EAV

1. Laga trasiga fönster och dörrar

Hela tiden rapporteras nya säkerhetshål i PDF-läsare, webbläsare, och e-postklienter. Idag sker stora delar av alla angrepp och intrång via svagheter i tredjepartsprogram.

Därför skapade ESET Exploit Blocker i version 7, en funktion som hindrar skadlig kod från att utnyttja säkerhetshål. Exploit Blocker finns i både NOD32 och Smart Security och övervakar processer och letar efter beteenden som är specifika för exploits.

När Exploit Blocker triggas så analyseras den misstänkta processen och kan blockeras omedelbart. Metadata skickas till ESET:s molnsystem LiveGrid där det behandlas och samkörs. På så sätt kan man hitta nya, okända hot, dvs. zero-day-attacker.

2. Hitta det som är svårt att hitta

En utveckling vi har sett på senare år är att skadlig kod krypteras i flera lager för att inte upptäckas av säkerhetsprogram.

Det gör att många program får problem med att packa upp koden och ju längre tid det tar, desto större är risken att infektionen faktiskt kan genomföras. Med version 7 möter NOD32 och Smart Security det här på ett nytt sätt som kompletterar den heuristiska detektionen och traditionella emuleringstekniker.

Den avancerade minnesskannern övervakar skadliga processers beteende genom att analysera dem när de packas upp i minnet för att köras och ser då vad koden försöker göra. Det här ger ett skydd även mot riktigt svårläst kod som i vissa fall passerar de andra systemen.

3. Gör angreppsvägarna svårframkomliga

För att öka säkerheten finns ytterligare en ny funktion i ESET Smart Security, ESET:s fullständiga säkerhetspaket. En sårbarhetssköld, egentligen en förlängning av brandväggen, blockerar kända svagheter på nätverksnivå. Den är programmerad med signaturer för vanliga sårbarheter i alla de viktigaste nätverksprotokollen som SMB, RPC och RDP.

Sammanfattningsvis alltså tre nya lager av skanning, var och en specialiserad för att möta modern skadlig kod.

Varför är DU en hackermåltavla?

Efter Prism och övervakningsskandalen i USA har diskussionerna kring datorintegritet gått varma. En vanlig reaktion från många har varit ”Jag har ingenting att dölja”.

Den här inställningen möts jag ofta av när det gäller datorsäkerhet. Många privatanvändare känner helt enkelt att deras digitala närvaro inte har någon betydelse för cyberbrottslingar och att de därför inte borde vara av något intresse för hackare. Tyvärr är den här inställningen är farlig eftersom den innebär en falsk trygghetskänsla och ofta negligerande av de egna IT-säkerhetsvanorna.

Du behöver inte vara miljonär eller toppolitiker för att vara en måltavla för cyberskurken. I princip är varje dator eller annan digital enhet ett attraktivt mål för en hacker. Eurosecure har gjort en inventering av all information som vanligtvis finns på en dator och det är det som gör den till en måltavla för cyberkriminella. Och det handlar inte alltid nödvändigtvis om pengar.

Bland dessa finns:

Privata bilder – Olaga spridning/användning i falska konton.

Konto- och inloggningsinformation till olika onlinetjänster – stulna sociala mediekonton, e-poståtkomst, identitetsstöld, åtkomst till känslig information osv.

Anhöriginformation – genom dig hitta känslig information om din familj eller dina vänner för att i sin tur även kunna utsätta dem för en attack.

Bankinformation – stulen kreditkortsinformation, hackat bankkonto osv.

Fjärrstyrningsmöjligheter – uthyrning av din dator till zombinätvärk för spridning av skadlig kod, eller riktade attacker.

 

 

Infographic2_annat teckensnitt

Fem säkerhetstips inför semestern

Under årets sommarveckor kommer fler personer än någonsin att använda digitala enheter. Därför har vi sammanställt de fem viktigaste tipsen för att skydda dina prylar på semestern. De flesta är noga med att skydda sig själva, med både solskydd, myggmedel och försäkring, men när det gäller tekniska enheter, så som mobiler, läsplattor och datorer, så tas många onödiga risker. Våra fem tips ger dina enheter och dess innehåll en tryggare tillvaro under semestern:

1. Säkerhetskopiera innan du reser bort

Om du planerar att ta med din laptop, läsplatta etc på semestern, förbered dig genom att backa upp all data på din hårddisk innan du ger dig av. På det sättet förlorar du ingen värdefull information om din dator skulle bli stulen eller infekterad med skadlig kod.

2. Lås dina enheter

Sätt lösenord på precis ALLTING, från datorer till plattor och telefoner. Se till att du har varje enhet inställd på ”time out” när du inte använder dem, så att tjuven inte får åtkomst vid en snabb stöld. Lösenord håller givetvis inte tjuven borta, men försvårar stölden rejält genom att ge dig tid att lokalisera och återfå din enhet.

3. Trolla bort bytet med fjärrstyrd wipe

Smartphones innehåller ofta en stor mängd privat data som du gärna inte vill se i fel händer, men tack och lov så behöver din privata information inte bli stulen även om din enhet skulle bli det. Fjärrstyrd återställning, en funktion som finns hos flera Android-appar (bland annat i ESET Mobile Security), gör det möjligt för dig att rensa din stulna enhet på all information via fjärrstyrning. Så även om din mobil blir stulen kan du förhindra att tjuven kommer över din e-post, känslig kontoinformation och andra privat data.

4. Spåra dina enheter

Anti-stöldfunktionen är smart och det är oftast inte tjuven. Aktivera anti-stöld på mobilen, läsplattan och datorn och lär dig hur funktionen fungerar innan du ger dig iväg på resan. Att få tillbaka en stulen enhet är inte omöjligt med anti-stöld, vilken låter dig ta emot information (som GPS-koordinater och webbkamerafoton) när din stulna enhet används för att komma åt Internet.

5. Skryt inte med teknologin

Ditt hotell har en säkerhetsbox av en anledning – förvara dina enheter där när det är möjligt. Om ditt rum är utrustat med en box som kräver en säkerhetskod, välj inte 1-2-3-4 (det är den första kombinationen tjuven kommer testa). När du lämnar hotellrummet, visa inte upp dina ägodelar för tjuvarna. Parkera till exempel inte bilen och gå synligt till bakluckan för att låsa in dator och mobil. Göm istället alla värdesaker i bakluckan innan du parkerar, så att eventuella åskådare inte ser dig förflytta de dyrbara enheterna.

Sist men inte minst, glöm inte att ta en paus då och då

Teknologi är fantastiskt, men på resande fot bör du vara medveten om vilka faror som kommer från att använda teknologin lite för mycket… Som att snubbla medan du navigerar dig fram över främmande gator med blicken klistrad på GPS-appen.

Och, skulle du vara på resande fot och misstänker att din Windows-laptop har blivit infekterad, testa en gratis onlinescanning från ESET.

Vanliga frågor om Prism och övervakning

Nyhetsflödet den senaste tiden har kretsat kring avslöjandet att den amerikanska regeringen ska ha lekt ”storebror ser dig” på Internet genom att använda ett övervakningsprogram kallat Prism. Jag har fått en hel del frågor kring Prism, hur det påverkar oss och vad det är för något. I vårt senaste avsnitt av Säkerhetsradion pratar vi mer om ämnet och nedan besvarar jag de vanligaste frågorna jag har fått:

 

Vad är Prism?

Prism är ett övervakningsprogram som drivs av NSA och påstås ha tillgång till information från flera stora aktörer på Internet, till exempel Facebook, Apple, Skype och Google. Det sägs ha funnits sedan 2007 och infördes av George W Bush, för att sedan förnyas av sittande president Obama under 2012.

 

Borde vi ha inställningen att allt på Internet är offentligt?

Om du använder sociala medier så bör du vara medveten om att tjänsten lagrar din information och att företaget kan komma åt den och, om de vill, lämna ut den till berörd regering. Så ja, ha inställningen att allt du säger och gör på nätet alltid går att hitta.

 

Hur kan det här påverka mig som privatperson?

Det beror förstås på vem du är och vad du gör. Är du till exempel vän med en brottsmisstänkt person eller gillar ”fel” saker påverkas ditt ”rykte” i Prism-systemet. Dock borde personer i Sverige inte märka av det alls. Det är däremot inte otänkbart att en svensk skulle kunna stoppas från att resa till USA efter att ha blivit scannad av Prism.

 

Hur kan den här typen av övervakning påverka företag, organisationer och samhället?

Det är till exempel relativt vanligt att företag och myndigheter använder Google-mail. Den som har ett konto eller en server i ett annat land, eller använder en tjänst baserad i ett annat land, bör anta att andra länder har tillgång till dessa tjänster.

 

Hur skiljer sig det här övervakningssystemet från det vi har i Sverige (FRA)?

FRA har ganska specifika regler som säger att inget ska riktas mot medborgares aktiviteter i Sverige. Däremot kan det vara svårt att definiera vad som menas där, då e-post ofta använder en tjänst som studsar mot något i utlandet. Men generellt ska FRA inte användas mot trafik inom landet. Samtidigt säger ryktet att Prism har använts både inom landets gränser, men också utanför dem.

Den dolda risken med öppna wifi-nätverk

Jag har länge pratat om att mobilsäkerhet inte är ett problem eller en utmaning som ligger långt fram i tiden, utan har försökt belysa att det är aktuellt redan idag, och har varit det ett tag. Det är ett problem som många inte är medvetna om eller ens reflekterar kring.

SVT bad mig demonstrera problemet med mobila enheter som automatiskt loggar in sig på tillgängliga wifi-nät när användarna rör sig ute i världen.

Många använder sig idag av wifi-nätverk hemma, på jobbet, ute på tågstationer, bussar, caféer osv. Problemet som uppstår är när en telefon väl har registrerat ett nätverk, så glömmer den inte bort det och kommer fortsätta söka efter det. Det betyder alltså att din telefon då och då kommer leta efter tillgängliga nätverk som du har använt tidigare.

Och det är här som hackarna kommer in i bilden. Genom att lyssna efter de nätverksnamn din enhet söker efter och sätta upp ett eget med samma namn kan hackaren få din telefon att koppla upp sig mot det falska nätverket. Hackaren får då full tillgång till trafiken till och från telefonen och kan då enkelt stjäla till exempel inloggningsuppgifter, få dig att köra skadlig kod eller visa egna versioner av annonser och webbsidor.

Faktumet att enheter som söker efter nätverk – eller Bluetoothenheter – kan också användas för att spåra folk. Antingen generellt, eller för att t.ex. hitta personer som jobbar på ett visst ställe, eller som brukar besöka vissa platser.

Det finns företag som säljer sådan spårning som tjänst, där en butiksinnehavare kan använda detta för att spåra hur personer rör sig mellan hyllor, och hur länge de stannar vid en viss reklam. Det finns alltså en möjlighet till avancerad spårning och kartläggning som kan användas även där GPS-mottagaren är avstängd.

Inget av detta är egentligen någon nyhet. Problemen har varit kända länge inom säkerhetskretsar, men jag tror att det är få som är medvetna om det och jag tror inte ens att så många av dem som arbetar med säkerhet på företagen tänker på det. Vissa enheter försöker förhindra att de ansluts till öppna nätverk, även sådana de varit ansluta till tidigare, men det hjälper inte när ägaren till mobiltelefonen aktivt letar efter och vill ansluta till ”Free Wifi here!”-nätverk.

Personerna som SVT intervjuade var inte alls medvetna om riskerna som de kunde utsättas för genom att ständigt ha wifi påslaget och sökande. Var alltid försiktig när du loggar in på öppna wifi-nätverk. Använd gärna en VPN-tjänst för att kryptera din trafik. Det kan även, för din egen skull, vara värt att ha wifi avstängt och använda mobilnätet istället och endast använda wifi på arbetsplatsen och hemma i lugnets trygga vrå.

 

ESET_WiFi