Krack och Roca – så farliga är veckans säkerhetshål

Amerikanska Electronic Frontier Foundation (EFF) har publicerat en grundlig genomgång av Krack, det vill säga den sårbarhet för trådlösa nätverk som presenterades i måndags.

EFFs slutsats är att Krack inte är så farligt som man kan tro, eftersom:

Note that WPA’s privacy goals were always very limited. It was never intended to provide complete confidentiality of your data all the way to its final destination. Instead, protocols like TLS (and HTTPS) exist which protect your data end-to-end.

EFF har varit en förespråkare av krypterad webbtrafik, HTTPS, just för att komma runt risken för avlyssning i både kabel och trådlösa nät.

Krack möjliggör förvisso avlyssning av trafik, men avlyssnaren måste vara på plats med en antenn, vilket gör att tekniken är olämplig att använda i större skala. EFF menar att den krackfria avlyssning som sker på ISP-nivå är lika allvarlig.

Detta sagt, patcha upp era trådlösa routrar och enheterna som ansluter till dem, avslutar EFF.

Och hur farligt är Roca?

Just som Krack sågs som det värsta hotet presenterade tjeckiska och slovakiska forskare Roca – Return of Coppersmith’s Attack.

Roca gör det möjligt att använda den publika delen av en RSA-nyckel för att lista ut den privata delen. Attacken fungerar bara på nycklar som genererats med ett kodbibliotek utvecklat av det tyska företaget Infineon Technologies AG.

Wccftech beskriver den viktigaste skillnaden mellan Krack och Roca:

While KRACK may have been taking all of the news space, ROCA is an even bigger issue since while KRACK only works for attackers that are within range, ROCA has serious ramifications both in the government and outside.

Forskarna kommer ge närmare detaljer under en säkerhetskonferens i Dallas den 2 november.

VPN-tjänst sparade användarnas loggar och lämnade ut dem till polisen

I USA har VPN-tjänsten Pure VPN (ingen relation till förra artikeln) lämnat ut loggar av användarna till myndigheter, som genom dessa kunde få fast en kille som trakasserade en tjej.

Det intressanta i sammanhanget: Pure VPN hävdade att de inte sparade några loggar:

We Do Not monitor user activity nor do we keep any logs.

Händelsen understryker hur man som användare är helt utlämnad åt att lita på VPN-operatören. Det är närmast regel att VPN-leverantörer slänger sig med fraser som ”We log nothing – period” och så vidare – men vem vet hur det egentligen ligger till? Och vem som ligger bakom tjänsten?

5 juli-stiftelsen driver VPN-tjänsten Integrity VPN. Jag nämner det delvis för transparensens skull, men också för att en av grundidéerna bakom Integrity VPN var att användaren ska kunna se tydligt vilka det är som ligger bakom tjänsten (här är de). Dessa människor har alltså satsat sin trovärdighet på att leverera en seriös tjänst – de har något att förlora på ett integritetshaveri liknande det som Pure VPN orsakade. Det är den typen av öppenhet och ansvarstagande som i stort saknas i VPN-branschen.

VPN betyder Virtual Private Network och är en anonymiseringsteknik.

Är du renlärig nog för att gilla Purism?

Purism är företaget som vill skydda sina användares privatliv. I somras släppte Purism två bärbara datorer efter en crowdfundingkampanj som drog in 2,5 miljoner dollar.

Läs gärna denna utförliga recension av Librem 13 v2, skriven av den unge österrikiske utvecklare som även var med på ett hörn i 5 juli-poddens avsnitt 17.

Nu är det dags att ta steget över till telefoner. Efter att ha crowdfundat 1,5 miljoner dollar kommer Purism att börja tillverka telefonen Librem 5:

The device promises total protection of your privacy, thanks to custom hardware, support for Linux-based software platforms (including PureOS), and features like end-to-end encrypted communications as well as hardware killswitches for the camera, Wi-Fi, Bluetooth and baseband.

”It will be a phone for the people, by the people”, säger företaget i en video.

Vad tycker ni om Purisms produkter?

Bärbara datorer är en sak och det är roligt att Purism tar upp kampen mot Apple och company där, som den nya underdogen.

Däremot har jag svårt att förstå poängen med en smartphone som värnar om sin ägares integritet. Är inte själva poängen med en denna leksak att ge upp integriteten medan man skrollar sig genom det ena flödet efter det andra? Den som verkligen värnar om integriteten skippar smartphonen helt och hållet. Att göra en smartphone integritetsvänlig är lite som att göra ett happy meal nyttigt. Det går, men … what’s the point?

Ge mig gärna mothugg.

Minns även Blackphone – ”a smartphone built to ensure privacy” – som lanserades av det schweiziska företaget Silent Circle 2014. Två år senare var företaget nära bankrutt. Numera marknadsför man bara en mobil brandvägg.

Och minns för all del också Firefox OS, det öppen källkod-baserade operativsystem för telefoner som Mozilla lanserade 2012 och lade ner 2016.

Slutsats: Folk vill inte ha integritetsvänliga telefoner. I alla fall inte när de ser ut som något från 2009 samtidigt som de stora tillverkarna överträffar varandra i bling.

Apparna som spionerar på dig

Att många appar för telefonen tillskansar sig mer information om användaren än de behöver är nog ingen nyhet för Femte juli-läsaren. Men exakt hur stora friheter apparna – eller deras utvecklare, rättare sagt – tar sig framkommer i ny forskning vid Karlstads universitet.

Doktoranden Nurul Momen säger till Sveriges Radio:

Även om jag inte använder appen och telefonen ligger på ett bord är apparna aktiva. De vaknar upp och tillskansar sig min privata information, vad jag har sparat, var jag har varit och så vidare. Vi vet inte varför, men det är vi intresserade att ta reda på mer om.

Momen har utvecklat ett program som visar vilka appar som är ”överprivilegierade”, till exempel genom att kräva access till telefonens mikrofon.

Programmet är ännu bara på prototypstadiet, men Momen skulle gärna se ett framtida samarbete med Konsumentverket, för att öka medvetenheten om appspionaget.

Allvarligt säkerhetshål i färska Macos 10.13 High Sierra

High Sierra, som den senaste versionen av Apples operativsystem Macos heter, har i dagarna gett macanvändare världen över en ny bakgrundsbild med den amerikanska bergskedjan i höstskrud. Vackert!

I övrigt låg de flesta nyheterna under huven. Vi har berättat om de nya säkerhetsfunktionerna i webbläsaren Safari, som bland annat blockerar vissa typer av cookies från alltför aggressiva annonsörer. Denna nyhet i Ios 11 har alltså nu också kommit till Macos 10.13 High Sierra.

Men allt är inte frid och fröjd. Säkerhetsanalytikern Patrick Wardle har hittat ett allvarligt säkerhetshål i funktionen Keychain, där han lyckades komma åt användares lagrade lösenord i klartext:

Normally, all Keychain information is locked down with a user’s master password. But Wardle was able to extract passwords from the Keychain without entering a master password, showing that an attacker with access to an unlocked computer might be able to steal Keychain data.

Hacket funkar även i äldre versioner av Macos. Wardle rapporterade buggen till Apple den 7 september 2017 och säger till Gizmodo att han räknar med att Apple snart släpper en patch. Tills dess kommer han inte att göra hacket offentligt.

De macanvändare som angett ett separat huvudlösenord för Keychain berörs inte av säkerhetshålet.

Striden om privatsfären

Är det lagligt för amerikanska gränspolisen (Customs and Border Patrol, CBP) att söka igenom amerikanska medborgares elektroniska enheter vid inresa till USA?

Det är dags att domstolarna säger sitt, resonerar amerikanska Electronic Frontier Foundation (EFF) och American Civil Liberties Union (ACLU), som i en grupptalan har stämt Department of Homeland Security.

Målsägande är tio amerikanska medborgare och en person med permanent uppehållstillstånd i USA som har fått sina elektroniska enheter genomsökta av gränspolisen. Anklagelsen är att detta förfarande bryter mot det första och det fjärde tillägget till den amerikanska konstitutionen.

En av målsägarna är Sidd Bikkannavar, den USA-födde nasaingenjören som skapade rubriker tidigare i år när han tvingades uppge koden till sin telefon till säkerhetspersonal på Houstons flygplats. Telefonen tillhörde Nasas Jet Propulsion Lab, som efter händelsen analyserade telefonen för att försöka ta reda på vad Customs and Border Patrol (CBP) gjort med den under den halvtimme de behöll den. Bikkannavar fick direkt en ny telefon av sin arbetsgivare.

Idén att flygplatser är något av ett laglöst land är inte ny. Techcrunch berättar om flera fall där gränspolis tänjt på lagen historiskt.

Att gränspolisen går igenom folks, och i det här fallet amerikanska medborgares, elektroniska enheter lär höra till ovanligheterna, men den typen av genomsökningar har ökat under den senaste tiden – vi rapporterade om detta i avsnitt 46 av 5 juli-podden.

Striden om privatsfären utkämpas alltså på amerikanska flygplatser, och gränskontrollen är dess frontlinje. Det är där tveksamma eller rentav olagliga metoder måste stoppas, innan de sprider sig till resten av samhället.

 

Vem försöker attackera nätaktivister?

Amerikanska Electronic Frontier Foundations (EFF) rapport Phish for the Future går igenom de phishingförsök som människorättsaktivister på organisationerna Free Press och Fight for the Future blivit utsatta för.

Det intressanta är att det inte handlar om phishing i form av massutskick, utan om ”spear phishing” – alltså riktade phishingförsök. Angriparna har i många fall varit ihärdiga och inte gett upp om den första attacken misslyckats. Rapporten beskriver en synnerligen intrikat attack:

One attempt, which targeted Evan Greer, Campaign Director of Fight For The Future, pretended to be a question about where to find the link to buy her music, which is available online. Evan replied with a link. The attacker replied with an email in which they complained that the link was not working correctly, having replaced the link with a phishing page made to look like a Gmail login.

Andra mejl kunde innehålla clickbaitrubriker om Donald Trump, fri press, demokrati och andra beten som man hoppades att de anställda på just dessa organisationer skulle nappa på.

Frågan är vem eller vilka som ligger bakom attackerna. EFF skriver:

Although this phishing campaign does not appear to have been carried out by a nation-state actor and does not involve malware, it serves as an important reminder that civil society is under attack.

Slutligen konstaterar EFF att tvåfaktorsautentisering effektivt stoppar den här typen av phishingförsök.

Oops, Internet Explorer

Senaste versionen av Microsofts webbläsare Internet Explorer innehåller en pinsam bugg:

The bug allows any currently visited website to view any text entered into the address bar as soon as the user hits enter.

Microsoft har sagt att de kommer att täta hålet med en uppdatering på tisdag.

Project Zero – Googles digitala insatsstyrka

Computer-forensics firms and investigators determined that [Google] had been hacked not through any fault of Google’s own software, but via an unpatched flaw in Microsoft Internet Explorer 6. Why, [Google co-founder Sergey Brin] wondered, should Google’s security depend on other companies’ products?

In the months that followed, Google began to get more aggressive in demanding that rivals fix flaws in their software’s code. The battles between Google and its peers soon became the stuff of legend. At the center of several of these spats was none other than bug hunter Tavis Ormandy, known for his smashmouth approach to getting flaws fixed.

Läs den fascinerande historien om hur Googles mytomspunna Project Zero bevakar webben och uppmärksammar dess aktörer på allvarliga säkerhetshål:

Fortune: Google’s Elite Hacker SWAT Team vs. Everyone (juni 2017)

Apple tar användarnas parti mot fräcka annonsörer – hyllas av EFF

I förrgår släpptes Ios 11, den senaste versionen av Apples operativsystem för mobila enheter som Iphone och Ipad.

En nyhet värd att uppmärksamma är det som Apple kallar ”intelligent tracking prevention”, som blockerar tredjepartscookies i webbläsaren Safari. Blockeringen är så effektiv att den fått sex amerikanska annonsörsorganisationer att protestera mot funktionen i ett öppet brev, som publicerats av Adweek (via The Guardian).

Apple kontrar med att man inte blockerar annonsörer som spelar med öppna kort, bara dem som spårar surfarna över flera webbplatser. Läs mer om tekniken hos Webkit, som är den renderingsmotor, baserad på öppen källkod, som Safari använder.

Apple hyllas nu av amerikanska Electronic Frontier Foundation (EFF), som noterar att Apple ligger i framkant i integritetsfrågorna:

Apple has been a powerful force in user privacy on a mass scale in recent years, as reflected by their support for encryption, the intelligent processing of user data on device rather than in the cloud, and limitations on ad tracking on mobile and desktop.

EFF riktar också kritik mot annonsindustrin:

Rather than attacking Apple for serving their users, the advertising industry should treat this as an opportunity to change direction and develop advertising models that respect (and not exploit) users.

Kultfakta: Den svenska knutpunktsoperatören Netnod meddelade att trafiken slog rekord klockan 19 den 19 september 2017 – se graf nedan (facebooklänk). Netnod kan inte se vad trafiken gällde, men det var just då som Ios 11 blev tillgängligt att ladda ner!

Netnod-graf över intenettrafiken i Skandinavien den 19 september 2017, när Ios 11 släpptes

Mer kultfakta: En hel del av nyheterna på Femte juli skrivs numera på en Ipad Pro med Ios 11.