Tag Archives: smartphone

Lösenord-schmösenord

Bytte du lösenord i söndags? Hoppas det. Säkra lösenord som byts regelbundet och inte går till mer än helst en tjänst är egentligen det enda vettiga sättet att skydda sin information idag. Sen behöver man kanske inte byta bara för att byta..

Men det finns inneboende svagheter i lösenordssystem, och det är att det egentligen inte är en särskilt säker metod för att skydda information. Lösenord har använts i datorsammanhang sedan 60-talet och de går att knäcka oavsett hur ”säkra” och krypterade de är. I vissa fall är det opraktiskt eller tar extremt lång tid, men det går. Dessutom har de en tendens att läcka ut, eftersom det är människor som bygger upp och hanterar databaserna som lagrar dem.

(Det finns två bra sätt att komma runt det här som är ganska vanligt idag. Antingen lägger man in en paus mellan inloggningsförsöken. Den märks knappt, men om man använder ett program för att knäcka ett lösenord så tar det plötsligt väldigt mycket längre tid. En ännu hårdare variant är att begränsa antalet möjliga inloggningsförsök.)

Biometri, då? Det är redan etablerat. Till exempel HP har kört med fingeravtrycksläsare i många av sina bärbara datorer i flera år. Det kan vara praktiskt och enkelt både för att logga in på själva datorn och på webbsidor genom att koppla sidans lösenord till fingeravtrycket.

Frågan är vad som sker när den här informationen kommer ut. När bilder av din iris eller ett fingeravtryck har läckt ut från ett osäkert system, vad gör du då? Laseropererar nya fingeravtryck? Kommer man hitta pastebin-dumpar med fingeravtryck i framtiden, som vi idag gör för lösenord och användarnamn?

Lösenord schmösenord_bild

Jag har svårt att se att biometri kommer att kunna leverera en bra helhetlösning. Det finns några biometriska principer som är mer lovande än andra som t.ex. keystroke-analys. Anledningen till att jag tycker om dem är att de bygger på fler parameterar: analys av HUR du knappar in ditt lösenord – hur snabbt, starkt etc. trycker du på tangenterna? – och även om själva lösenordet. Här tror jag att vi kan hitta sanningen: tvåstegsautentisering. biometri eller ej, två steg ska det bli.

Just detta med två steg i autentiseringen höjer säkerheten till helt andra nivåer. Metoden används som bekant av banker, där man verifierar med hjälp av olika koder som bollas mellan webbsida och en personlig dosa. Kommer någon åt koden har de inte dosan, och har de dosan saknar de sannolikt koden.

I söndags skrev Swedroid om Googles önskan att ersätta lösenord som inloggning på sidor med något nytt och bättre. Förslaget i den texten är någon form av hårdvara som man tar med sig och som låser upp webbsidor automatiskt när den sitter i en port på datorn. En bekväm lösning och fördel med en hårdvarunyckel är att man vet när den är borta och därmed skulle kunna ha en spärrfunktion precis som för ett kreditkort. Ett lösenord och biometriska uppgifter kan andra ha tillgång till utan att du vet om det över huvud taget.

Och tanken på en hårdvarunyckel man inte kan tappa bort? Jag har själv lite svårt för idén med implantat som inloggning, eftersom det skulle kunna bli… obehagligt den dag någon absolut vill ha tag på informationen mot min vilja. Men jag har kanske sett för mycket film. Och vad gör man den dagen någon lägger ut databasdumpar eller liknande från hackade biometriska system på pastebin? Går till plastikkirurgen?

Det finns massor av andra idéer om hur vi ska kunna identifiera oss elektroniskt i olika system, men det tar vi i en annan bloggpost.

Kontentan är att lösenorden lär hänga kvar ett tag, men de är osäkra och ofta opraktiska på till exempel smartphones, även om det finns bra hjälpmedel. Vi kommer att få se flera nya lösningar och förhoppningsvis en standard som kan användas för flera typer av autentisering av olika aktörer.

Till dess säger jag som vanligt – använd ett program som hanterar lösenorden säkert, till exempel open source-programmet KeePass, som funkar väldigt bra.

Mobila kortbetalningar – hur är säkerheten?

Nya mobila lösningar för kortbetalningar har varit på gång under ett antal år. Fantastiskt användbart på mängder av platser och vi har väl alla hört hur det går till i Apples flaggskeppsbutiker där man har rationaliserat bort kassor till förmån för ambulerande expediter med iPhones och små kortläsare. iZettle är en känd svensk lösning, men det finns konkurrenter.

IDG skrev nyligen att mobilbetalningarna är alldeles för osäkra och att de nya teknikerna säkerhetsmässigt är ett steg tillbaka i tiden. Problemet är att kortköpet bekräftas med signatur och inte kod, och att kortet dessutom inte ens behöver finnas närvarande – det räcker med att knappa in kortnumret på telefonen. Debatten pågår fortfarande.

Kortbetalningar har tidigare säkrats i butiker med hjälp av chip och pinkoder och i e-handeln med hjälp av 3D-secure, dvs. bekräftelse av köpet mot banktjänsten. Det här har gjort kortköp ganska oproblematiskt, men nu har vi kanske ett nytt problemområde. Samtidigt görs tusen och åter tusen signaturköp varje dag, så frågan är varför det skulle vara mindre säkert på en smartphone?

Vad jag erfarenhetsmässigt kan säga är att där möjligheterna finns hittar vi snart också personer som vill utnyttja dem, så det dröjer nog inte länge innan vi hör talas om stulna kort som använts för mobila kortbetalningar. Dessutom, demokratiseras kortbetalningarna med den här tekniken så att kortköp blir ännu mer spridda så ökar naturligtvis även bedrägerier i samma skala.

Säkerhetsradion: Hur påverkar BYOD-trenden företag och anställda?

Att låta företagsanställda använda privatägda mobiler, datorer etc i tjänsten är en konstant växande trend som kallas för BYOD (Bring Your Own Device). Det kan låta smidigt och ekonomiskt att slippa köpa in denna utrustning till företaget, men det finns också en viss problematik som många missar. I dagens podcast ska vi prata om för- och nackdelarna med BYOD-trenden.

Säkerhetsradion: Så skyddar du din smartphone

Att mobilen ska bli stulen är inte längre det enda vi bör oroa oss för när det gäller våra telefoner. I takt med att vi använder smartphones mer och mer som datorer och lagrar mängder av känslig information på dem, så ökar även riskerna för att drabbas av infekterade appar, stöld av kontoinformation och så vidare. I dagens podcast pratar vi om vilka hot som finns mot våra smartphones och hur man på bästa sätt kan skydda sig.

ESET siar om cyberhotåret 2012: mobilattacker, botnät och riktade attacker

ESET:s samlade säkerhetsexperter världen över har sammanställt en lista över hur vi tror att hotlandskapet på nätet kommer att se ut under 2012. Högst upp på listan finns hot mot smart­phones. Android har vuxit i rasande fart och kommer att utgöra huvudfokus för cyber­skurkar som inriktar sig på mobila enheter.

Vi estimerar att topp fyra kommer att se ut ungefär såhär:

  • Mobila attacker
  • Hot mot Windows 7
  • Riktade attacker
  • Stärkt social engineering

Under 2011 har vi sett ett flertal varianter av skadlig kod riktad mot mobila enheter, så som SMS-trojaner som infekterar mobiltelefoner och orsakar ofrivilliga SMS-utskick till dyra nummer samt mobila botnät som förvandlar en mobil enhet till en hub för kriminella ändamål. Under 2012 kan vi också räkna med att se mer spyware (som till exempel SpyEye och Zeus som härjade i juli i år) och andra hot för mobila enheter, som blir mer och mer utsatta genom ökad lagring av känslig infor­mation.

I oktober i år hade ESET identifierat 41 varianter av skadlig kod för Android, där 30% av hoten låg gömda i nedladdningar från Android Market, 37% var SMS-trojaner och 60% av den skadliga koden hade botnätegenskaper (alltså någon form av fjärrstyrning).

Men Androidhoten utgör inte den enda trend vi kan se gällande säkerhet för operativsystem. Gartner har förutspått att Windows 7 kommer att vara det mest använda operativsystemet under slutet av året, vilket innebär att hot som rootkits för 64 bit-Windows sannolikt kommer att öka under 2012. I takt med att skydds- och antivirusmöjligheterna blir mer avancerade kan vi även räkna med att cyber­skurkarna tar till allt mer komplexa metoder för att kunna fortsätta göra skada.

Under 2012 kan vi också räkna med att se fler specifika fall av skadlig kod utvecklad för att attackera särskilda mål, som Stuxnet gjorde under förra året. Just nu kan vi se Duqu (som vi tidigare pratat om i Säkerhetsradion) och sannolikheten är stor att fler hot av samma typ dyker upp nästa år.

En annan stor trend som vi troligtvis kommer att se under 2012 är en förändring i spridnings­metoder för cyberskurkar. De traditionella kanalerna, så som e-post, IM eller USB-enheter kommer förmodligen att se en minskning i attacker medan sociala ingenjörstekniker för sociala nätverk och blackhatsmittade SEO-resultat borde se en ökning. Även drive-by-nedladdningar, alltså skadlig kod installerad på känsliga, men legitima webbsidor, borde utgöra en attraktiv kanal för den som vill orsaka skada.

En sammanfattande video över vad ESET estimerar kommer bli några av 2012 års största hot finns här.

Var säkra i cyberrymden och ha ett gott nytt år!

Video: Riskerna med smarta telefoner och mobilitet

Smartphones är kanske inte ett ”hett” ämne längre, nu när så många smarta telefoner säljs, det är ju så vanligt och invant? Ur mitt perspektiv är det just det som är problemet – marknaden växer enormt, men användarnas vana och säkerhetstänkande kommer i allmänhet släntrande något år efter.

Här pratar jag om riskerna med mobila enheter och varför man faktiskt behöver någon form av säkerhetsprogram på mobilen.

Tjuvkika på ESET Mobile Security för Android

När det gäller antivirus till smartphones så är Android den kanske intressantaste plattformen av främst två orsaker: För det första så växer den otroligt fort och för det andra finns det en mycket större frihet att installera mjukvara från olika källor, ofta helt utan förhandskontroll. Därför är både marknaden för och behovet av säkerhetslösningar för Android stora. Vi ser rapporter om angrepp mot Android relativt ofta – senast idag skrev bloggaren TkJ om att Google har tagit bort 21 skadliga applikationer från Android Market.

På CeBit-mässan i Hannover, har ESET visat sin kanske hetaste nyhet 2011, ESET Mobile Security för Android – kolla in skärmdumparna nedan.

Funktionerna kommer att bli ungefär de som finns i ESET Mobile Security för andra plattformar:

  • Antivirus med heuristisk analys
  • Stöldskydd med bland annat fjärradering av data, fjärrlås, möjlighet att radera alla data på telefonen om den blir stulen och spåra den via GPS. Innehåller även skydd mot att andra avinstallerar säkerhetsprogrammet.
  • Antispam för SMS/MMS med svart- och vitlistning av telefonnummer
  • Call interceptor – möjlighet för användaren att filtrera telefonsamtal
  • Security Audit – övervaka enhetens säkerhetsstatus och vidta åtgärder

Vi väntar oss en betaversion av ESET Mobile Security för Android inom inte alltför lång tid – lägg till bloggen i RSS-läsaren så får du alla länkar direkt.

Hacking via smartphone – USB och säkerhet

Amerikanska forskare har tagit fram en Androidapp som kan användas för att hacka datorer bara genom att ansluta en Androidtelefon till datorn med en USB-kabel. Telefonen lurar datorn den är ett tangentbord och kan sedan ge kommandon. Här berättar vi om tekniken, om USB-säkerhet och hur man kan skydda sin dator eller verksamhet.

Säkerhetsnyheter på rad

Lösenordsbytardagen är kommen. Bra initiativ av PC för Alla. Byt lösenord ibland!

Ett säkert lösenord…

  • Byts regelbundet
  • Har minst 7 tecken, gärna fler
  • Blandar stora och små bokstäver med både siffror och symboler
  • Skrivs aldrig ut i e-post eller chattar

Ett bra tips är att använda ett program för lösenordshantering, det finns flera kostnadsfria lösningar att testa. Själv brukar jag rekommendera KeePass.

The Christian Science Monitor är inte en helt vanlig källa till säkerhetsnyheter för mig, men via Slashdot.org hittade jag en ganska gammal artikel om hur flottiga fingeravtryck på din smartphone gör det enkelt att hacka den. Det gäller särskilt Androidtelefoner där man kan logga in med en gest som i värsta fall lämnar ett tydligt mönster på skärmen. Ett enkelt knep för att undvika detta är att helt enkelt ta för vana att torka av då och då.

Stuxnet har allmänt ansetts vara unikt i sin komplexitet, men på konferensen Black Hat DC kom i dagarna en avvikande åsikt fram, vilket the The Register berättade igår. Säkerhetskonsulten Tom Parker menade att det finns brister i programmeringen som antyder att skaparna inte var de genier som det påståtts. Enligt Tom Parker hade bland annat bättre skriven kod mask inte läckt ut på Internet. Det går dock inte att komma ifrån att Stuxnet utnyttjade flera dittills okända säkerhetshål och faktiskt krävde stora kunskaper inom vitt skilda områden. Det är helt unikt.

IT World skriver om en ny variant av en gammal phishingteknik – det handlar om ett nytt sätt att få in skadlig kod på småföretagares datorer för att via dem komma in på bankkonton. Nu har cyberskurkarna kommit på att man kan föra in skadlig kod via falska jobbansökningar, och företag som vill anställa är lätta att hitta.