Tag Archives: Twitter

Säkerhetsradion: Om hetsjakten på följare i sociala medier

Hur viktigt är det egentligen med många följare på ditt Twitterkonto? Och hur mycket status betyder ett stort antal likes på din senaste Instagrambild? I vår senaste podcast diskuterar vi popularitetshetsen och bekräftelsebehovet i sociala medier, som har lett till försäljning av falska likes på svarta marknaden.

Säkerhetsradion: Mini-Duke och riktade storattacker

I vår senaste podcast pratar vi om spionprogrammet Mini-Duke och om säkerhetsläget för statliga instanser och storföretag. Är säkerhetsalternativen tillräckliga idag? Vilken roll spelar sociala medier? Och hur undviker man som företag att drabbas?

Vad kan man lära sig av #sdgate?

När det första lugnet efter #sdgate-stormen börjar infinna sig i olika medier så finns det ett par saker man kan lära sig:

  • Lösenordssäkerhet. Lösenordssäkerhet. Lösenordssäkerhet.
    Att vara försiktig med sitt lösenord är något som många kanske tänker att de borde vara, men inte efterlever i praktiken. I det här fallet så är det två uppenbara saker som orsakat problem.

    Först och främst är det ett stort problem att folk använder samma lösenord på flera olika tjänster. Bloggtoppen hackades, och i samband med det spreds lösenorden. De som då har haft samma lösenord på sitt Bloggtoppen-konto som på t.ex. Twitter, sin e-post eller sin blogg kan redan ha fått sina andra konton hackade, utan att de vet om det. Det lutar ju mot att det var så de tog sig in på Petzälls konto, för att han använde samma lösenord där, som på sitt Twitter- eller e-postkonto.

    Man borde VERKLIGEN ha olika lösenord på olika tjänster, eller i alla fall se till att man har unika och säkra lösenord på de viktigaste kontona (främst e-posten då det kan användas för att ta över andra konton). Det finns flera olika lösningar som kan hjälpa användaren att ha säkra lösenord, och personligen så gillar jag programmet KeePass som finns för ”alla” operativsystem och mobiltelefoner.

    MEN, det är inte bara användarna som behöver tänka på lösenordssäkerhet, utan även utvecklare och webbtjänster måste ta det seriöst. När man utvecklar en tjänst där användarna ska kunna logga in måste man kunna autenticera dem på något sätt. Antingen använder man en tredjepartstjänst (t.ex. att man loggar in via sitt Google- eller Facebook-konto), eller att användaren får ett eget konto och lösenord tjänsten. Om man får ett eget konto på webbplatsen, så måste de spara användarnamn och lösenord i någon form. I värsta fall sparas de direkt i klartext, vilket gör att sajtägaren eller någon hackare kan se lösenorden på gång.

    Man kan även välja att spara lösenorden antingen krypterade, eller, något som är ännu säkrare, hashade. Då sparas istället för själva lösenordet, en checksumma av lösenordet. Hos Bloggtoppen sparades lösenorden med ett MD5-hash. Problemet med det är att med just MD5 så går det rätt snabbt att räkna ut vilket lösenord det är baserat på checksumman, och att det går att få ännu bättre säkerhet genom att använda ett så kallat ”salt”. Mer information om hash och salt finns på wikipedia. Istället för bara MD5, så kan man spara lösenordet hashat med ett salt, eller en säkrare algoritm, såsom Bcrypt.

  • Säkerhet vid utveckling
    Utöver problemet med att spara lösenord ”rätt”, så är det också viktigt att man ”programmerar säkert” för att minska risken att bli hackad. Bloggtoppen hackades via en så kallad SQL-injektion, vilket innebär att hackaren kan påverka det som skickas till databasen där allting sparas. På så sätt kan man hämta ut information om exempelvis lösenord, eller t.ex. skapa nya inlägg på en blogg, utan behörighet.

    Vid utveckling av webbtjänster finns det en sak som är viktigare än allting annat. Kontroll av input! Man måste kontrollera att man får in värden som man förväntar sig. Om du t.ex. har ett fält för ålder, finns det ingen anledning att någon ska skicka annat än siffror, så då ska allting annat än siffror blockeras på serversidan.

Som användare kan man inte alltid lita på att webbplatser man skapar konton på är säkra, men det minsta man kan göra, är att undvika att ha samma lösenord på olika webbtjänster. Det är kritiskt viktigt, något som snabbt visas i fall som dessa.

Det är långt från första eller sista gången som en webbplats hackas, och det är ofta bara en bråkdel av gångerna som sajtägaren vet om det, eller som användarna i sin tur får veta om att deras kontouppgifter kan ha spridits. Enligt uppgift så verkar säkerhetshålet på Bloggtoppen ha varit känt i flera månader. Om någon av de över 90.000 användare som hade konto där, hade samma (eller liknande) lösenord på sin e-post, sin Facebook eller sin Twitter, borde man faktiskt räkna med att någon okänd redan har loggat in där, och gått igenom allting. När sådana listor sprids publikt så brukar det inte ta lång tid innan alla konton testats, även om det är tiotusentals användare.

Hacktivismen: Fler hackers under än ovan ytan

Lulzsec lägger av, det har varit en stor nyhet några dagar. Medlemmarna, enligt uppgifter sex till antalet, återansluter sig till Anonymous, en större hackergrupp med betydligt mindre väldefinierade gränser.

Att en hackersammanslutning syns utåt så tydligt, extravagant och välformulerat som Lulzsec och och följs av ganska vanliga människor på Twitter är något unikt. Det krävs uppmärksamhet för att lyckas med hacktivism, man måste vinna propagandasegrar och måste därför synas. (En intressant artikel i The Guardian tar upp frågan om radikalisering av hackers på grund av olika försök att kontrollera internet.)

Det är dock väldigt viktigt att komma ihåg att det som allmänheten får se av cyberbrott och attacker bara är en mycket liten del av allt som sker. Det allra mesta handlar heller inte om hacktivism utan om helt vanlig brottslighet utan ädla syften. Målet är att stjäla pengar. Dessutom är det otroligt många intrång som aldrig upptäcks och dessutom många som upptäcks men inte anmäls.

Svenskt Näringsliv helt nere – virusangrepp

Jag såg att Svenskt Näringsliv hade problem med någon form av skadlig kod redan igår på Twitter, idag är det mer officiellt. Svårt att veta vad det rör sig om, det kan vara vad som helst. Det kan till och med handla om ett falsklarm – då och då händer det som inte får hända och ett antivirusprogram flaggar en legitim fil som skadlig. Det kan sätta datorer helt ur spel och på ett företag med många likadant konfigurerade datorer med samma säkerhetsprogram kan det bli ganska allvarligt.

För antivirusbranschen är det här något som inte får hända och alla antivirusföretag jobbar mycket hårt för att motverka sådana händelser.

Svenskt Näringsliv lämnar också ganska knapphändig information, det ska bli intressant att se vad som faktiskt hänt.

Varning för Internetspöken på Halloween!

Den här veckan är det många som firar Halloween, kanske främst på andra sidan Atlanten, men allt mer här i Sverige också. Det betyder att vi kan räkna med ökad Internetaktivitet i form av elektroniska vykort, meddelanden via MSN och ICQ samt mer en stor mängd besök på sociala nätverkssidor som Twitter och Facebook.

Halloween

Med ökad aktivitet följer ofta ökade säkerhetsrisker, så jag vill utfärda en liten varning till alla Internetanvändare och besökare av sociala nätverkssidor. När hälsningar som utväxlas online ökar på det här sättet finns det alltid de som försöker utnyttja det, som vanligt genom att försöka lura dig på pengar eller få dig att ladda ner virus. Så håll lite extra koll på vad ni klickar på under denna vecka, så att ni inte luras att installera en trojan eller lämna ut kreditkortinformation.
Nog för att vi gärna vill bli lite skrämda på Halloween, men inte på det här sättet.

Twittra säker med korta länkar

Ni som använder Twitter har stött på de förkortade URL:erna som används för att spara plats, den vanligaste är troligen bit.ly. Ni känner säkert också till att de ofta används för att sprida malware och annat skräp, eftersom man inte kan se vart URL:en pekar. Bit.ly försöker möta detta genom att filtrera länkarna genom till exempel Google Safe Browsing, men en del slinker säkert igenom ändå. Bit.ly har dessutom en insticksmodul för förhandsgranskning, som låter användaren se lite mer information om en länk innan de klickar. Den finns dock bara för Firefox. Även den mycket praktiska Twitterklienten Tweetdeck har en liknande funktion.

TinyURL.com, som också tillhandahåller förkortade URL:er, har en annan approach som funkar på alla webbläsare. Hos dem kan du välja en preview-inställning på en specifik dator som låter dig titta på länkmålet när du klickar på en komprimerad URL. Den som förkortar URL:en kan också skapa en som börjar med http://preview.tinyurl.com/.

Det finns såklart läsare som irriterar sig på att skickas kors och tvärs, men jag tycker nog att det finns en bra poäng med att ta det säkra före det osäkra. Vill man inte se någon preview så kan man helt enkelt klistra in URL:en i webbläsaren och radera ”preview.” före ”http://”.

Twitter i siktet för nätfiskarna

Facebook har nu funnits i mer än fem år och ökar fortfarande i popularitet. Sociala nätverkssidor är omåttligt populära bland användarna, men även bland arbetsgivare, marknadsförare och journalister, eftersom de utgör en veritabel guldgruva för den som söker personlig information om människor. Tyvärr gör detta dem lika omåttligt populära bland IT-brottslingar. Olika former av nätfiske och virusattacker har blivit vardagsmat.

Få är väl de som aldrig fått ett obegripligt meddelande med konstigt språk och en skum länk från någon Facebookbekantskap. Det senaste året har vi också sett att Twitter blivit ett populärt mål för olika former av attacker.

På Twitter sker många angrepp genom Twitters Trending Topics. De som försöker sprida skadlig kod den vägen twittrar samma ord om och om igen, så att de till slut kommer upp på listan över de populäraste ämnena på sidan. Det ger dem en legitimitet, och många klickar på länkarna utan att tänka på vad som ligger bakom.

Vi råder alla användare att undvika att klicka på länkar som innehåller orden TwitterBest.mp eller Zasaden.mp. En sådan länk resulterar ofta i falska virusvarningar eller uppdateringar av mjukvara som kan se legitim ut. Målet är som vanligt att komma åt användarnas personliga uppgifter eller pengar.

Var därför alltid noga med att vara försiktig när du klickar på länkar eller laddar ner program – till och med när det är någon du litar på som postar det. Kolla också in hur du gör om du skulle råka ut för något av detta på Facebooks egen säkerhetssida.