Nätet till folket!
Under denna kategori samlar vi nyheter och notiser som handlar om säkerhet för nätanvändare. Det kan till exempel gälla persondata, kryptering, säkerhetsbrister eller läckor och illasinnade hack som exponerar användare.
”Hackers can hack into a robot or a robotic device and have full control of the connections, arms, legs and other attached tools like knives or welding devices.”
Säkerhetsföreläsaren Nick Patterson om sårbara sexrobotar i en NY Post/The Sun-artikel med rubriken Hackers could program sex robots to kill.
Forskare vid Armis, ett företag specialiserat på säkerhet för sakernas internet (”internet of things”/iot), har upptäckt ett säkerhetshål i den trådlösa standarden Bluetooth. Hålet gör det mycket lätt att infiltrera enheter med Bluetooth påslaget, skriver Ars Technica:
Virtually any Android, Linux, or Windows device that hasn’t been recently patched and has Bluetooth turned on can be compromised by an attacking device within 32 feet. It doesn’t require device users to click on any links, connect to a rogue Bluetooth device, or take any other action, short of leaving Bluetooth on. The exploit process is generally very fast, requiring no more than 10 seconds to complete, and it works even when the targeted device is already connected to another Bluetooth-enabled device.
Forskarna har döpt säkerhetshålet (eller attacken det möjliggör) till Blueborne. De rapporterade det i tysthet till berörda tillverkare, som under sommaren släppte uppdateringar som tätade hålet.
I tisdags berättade man offentligt om Blueborne, och därmed är det också dags att se till att man som användare är fullpatchad.
Wired rekommenderar att man stänger av Bluetooth när man inte använder det, men det är lättare sagt än gjort för enheter som ständigt använder till exempel ett trådlöst tangentbord.
Förra veckan läckte 143 miljoner amerikaners uppgifter – namn, adresser, födelsedatum, försäkringsnummer, körkortsinformation, i vissa fall även kreditkortsnummer – från kreditupplysningsföretaget Equifax.
Det har nu framkommit att Equifax kände till säkerhetshålet som gjorde läckan möjlig, men lät bli att täta det i tid, skriver TNW:
The company learned that its attackers took advantage of a security flaw in the Apache Struts Web Framework, that allowed them to remotely execute code on Equifax’s systems. The bug was revealed in March, along with recommended patches to fix it – but clearly, Equifax didn’t move quickly enough to prevent nearly half of all Americans’ names, addresses and dates of birth from being stolen.
Equifaxläckan är en av de största i historien, enligt TNW. De läckta uppgifterna kan lätt användas för identitetsstöld.
En artikel i Wall Street Journal (bakom betalvägg) avslöjar hur Facebook spionerar på android- och iosanvändare genom VPN-appen Onavo Protect.
Poängen med ett VPN (Virtual Private Network) är att man kan skydda sin internettrafik mot övervakning. Den svaga länken är dock VPN-leverantören, eftersom all ens trafik passerar deras servrar. Samtidigt som man skyddar sig mot att övervakas av staten eller internetleverantören kan det alltså hända att man övervakas av VPN-leverantören.
Onavo Protects affärsidé var att tillhandahålla en gratis VPN-tjänst som hjälpte användarna att hålla koll på telefonens dataanvändning. I gengäld samlade man in i princip allt användarna gjorde på sina telefoner och sålde denna information till tredje part, till exempel annonsörer.
Företaget lät bli att nämna denna pikanta deal på produktsidorna, men skrev tydligt i sin privacy policy:
Information collection
To enable our Services, we receive all of your mobile data traffic, including location data, after you download and agree to use our Apps, which direct your mobile data traffic through or to our server. We may also receive personally identifying information such as your name, email address, or other contact information.
Use of Information
We use the information that we receive to operate and improve the Services, develop new products and services, analyze usage of our Apps and other applications on your device, to support advertising and related activities, and for other purposes.
Facebook köpte Onavo 2013 och fick då tillgång till all information som Onavo samlat om sina användare. Exempel på hur Facebook lär ha använt denna information:
Kort sagt, Facebook driver en gratis VPN-tjänst som ger företaget konkurrensfördelar och möjlighet att sälja användarnas information till annonsörer.
Signaturen Bdubzilla skriver på Onavo Protects produktsida i App Store:
SPYWARE OWNED BY FACEBOOK!
Beware this VPN software monitors everything you do and sends it to Facebook. Wonder why you get ads for things you view on your phone? Well now you know why.
Med andra ord, förbli skeptisk mot allt som säger sig vara gratis.
Som bekant samlar amerikanska National Security Agency på säkerhetshål, så kallad ”exploit hoarding”. Myndigheten har fått kritik för att inte informera tillverkarna om de säkerhetshål de hittat i routrar, operativsystem, med mera. Det visade sig till exempel att lösensummeviruset Wannacry baserades på säkerhetshål som läckt ur NSAs arsenal.
Nu går Rick Ledgett, vice direktör på NSA mellan januari 2014 och april 2017, ut och kritiserar användarna av produkter med otätade säkerhetshål:
Customers who buy software should expect to have to patch it and update to new versions periodically.
Som Techdirt påpekar hjälper det inte att uppdatera sina system om tillverkaren själv inte är medveten om säkerhetshålet.