Nätet till folket!
Under denna kategori samlar vi nyheter och notiser som handlar om säkerhet för nätanvändare. Det kan till exempel gälla persondata, kryptering, säkerhetsbrister eller läckor och illasinnade hack som exponerar användare.
Senaste versionen av Microsofts webbläsare Internet Explorer innehåller en pinsam bugg:
The bug allows any currently visited website to view any text entered into the address bar as soon as the user hits enter.
Microsoft har sagt att de kommer att täta hålet med en uppdatering på tisdag.
Computer-forensics firms and investigators determined that [Google] had been hacked not through any fault of Google’s own software, but via an unpatched flaw in Microsoft Internet Explorer 6. Why, [Google co-founder Sergey Brin] wondered, should Google’s security depend on other companies’ products?
In the months that followed, Google began to get more aggressive in demanding that rivals fix flaws in their software’s code. The battles between Google and its peers soon became the stuff of legend. At the center of several of these spats was none other than bug hunter Tavis Ormandy, known for his smashmouth approach to getting flaws fixed.
Läs den fascinerande historien om hur Googles mytomspunna Project Zero bevakar webben och uppmärksammar dess aktörer på allvarliga säkerhetshål:
Fortune: Google’s Elite Hacker SWAT Team vs. Everyone (juni 2017)
I förrgår släpptes Ios 11, den senaste versionen av Apples operativsystem för mobila enheter som Iphone och Ipad.
En nyhet värd att uppmärksamma är det som Apple kallar ”intelligent tracking prevention”, som blockerar tredjepartscookies i webbläsaren Safari. Blockeringen är så effektiv att den fått sex amerikanska annonsörsorganisationer att protestera mot funktionen i ett öppet brev, som publicerats av Adweek (via The Guardian).
Apple kontrar med att man inte blockerar annonsörer som spelar med öppna kort, bara dem som spårar surfarna över flera webbplatser. Läs mer om tekniken hos Webkit, som är den renderingsmotor, baserad på öppen källkod, som Safari använder.
Apple hyllas nu av amerikanska Electronic Frontier Foundation (EFF), som noterar att Apple ligger i framkant i integritetsfrågorna:
Apple has been a powerful force in user privacy on a mass scale in recent years, as reflected by their support for encryption, the intelligent processing of user data on device rather than in the cloud, and limitations on ad tracking on mobile and desktop.
EFF riktar också kritik mot annonsindustrin:
Rather than attacking Apple for serving their users, the advertising industry should treat this as an opportunity to change direction and develop advertising models that respect (and not exploit) users.
Kultfakta: Den svenska knutpunktsoperatören Netnod meddelade att trafiken slog rekord klockan 19 den 19 september 2017 – se graf nedan (facebooklänk). Netnod kan inte se vad trafiken gällde, men det var just då som Ios 11 blev tillgängligt att ladda ner!
Mer kultfakta: En hel del av nyheterna på Femte juli skrivs numera på en Ipad Pro med Ios 11.
Israeliska forskare har tagit fram skadlig kod som kan använda övervakningskamerors infraröda ljus för att läcka data från datorn som koden är installerad på.
Den skadliga koden gör om de data som ska läckas till en serie ettor och nollor, som den signalerar ut genom den anslutna övervakningskamerans infraröda ljus i en hastighet av 20 bitar per sekund. Den som ska ta emot läckan filmar området som täcks av det infraröda ljuset (eftersom ljuset studsar på väggar behöver man inte ens filma själva kameran) och analyserar sedan filmen för att sätta ihop de signalerade bitarna igen.
Förutom att extrahera data på detta sätt fungerar verktyget åt andra hållet också: Genom att låta den skadliga koden i datorn bevaka strömmen från en övervakningskamera kan en angripare låta en infraröd LED blinka ut data som den skadliga koden sedan extraherar ur strömmen. Denna infiltration kan ske i hela 100 bitar per sekund.
Infrarött ljus är osynligt för människor, men används i övervakningskameror för att ge dem mörkerseende. Därmed kan såväl läcka som infiltration ske utan att närvarande människor märker något.
Lägg till detta att övervakningskameror finns typ överallt i dag, i synnerhet på ställen som anser sig ha något att skydda. Bleeping Computer skriver:
Because of today’s proliferation of CCTV and surveillance solutions, malware like aIR-Jumper could be used to steal data and control malware installed on a wide variety of networks, ranging from corporations to secure government institutions, and from police departments to advanced research labs.
Verktyget kallas Air-jumper (eller aIR-Jumper) eftersom det möjliggör dataläckage även från ”air-gapped networks”, det vill säga nätverk som är så känsliga att de inte har någon kontakt med internet – ett slags digitala luftfickor alltså.
Återstår bara att hitta ett sätt att få in den skadliga koden på datorerna i luftfickan. Något för Elliot i teveserien Mr Robot kanske.
Bleeping Computer: Malware Uses Security Cameras With Infrared Capabilities to Steal Data
Uppmärksamma wordpressanvändare upptäckte nyligen att det populära tillägget Display Widgets innehöll skadlig kod i sina senaste versioner. Koden gjorde det möjligt för en utomstående att ta sig in via en bakdörr och skapa nya sidor på användarens webbplats. De nya sidorna innehöll spamlänkar men visades inte för inloggade användare, vilket gjorde dem svåra för en sajts administratör att upptäcka.
WordPress är världens populäraste CMS (Content Management System) och är kanske mest känt som bloggverktyg. Tillägget Display Widgets gjorde det möjligt att välja vilka widgets som skulle visas på vilka sidor. När den skadliga koden upptäcktes och Display Widgets togs bort från WordPress officiella tilläggssamling hade tillägget 200 000 användare. (Jag var en av dem, men jag använde Display Widgets på en avsomnad sajt som var så ouppdaterad att jag inte ens hunnit uppdatera till de skadliga versionerna av tillägget.)
Det har nu visat sig att WordPress varnat tilläggets ägare tre gånger tidigare för att ha brutit mot reglerna för tillägg. WordPress har kritiserats för att inte ha gått hårt nog åt tilläggets ägare, men ta i beaktande att tilläggssamlingen underhålls av ideella krafter.
Sajten Bleeping Computer berättar att det populära tillägget såldes i maj 2017 för 15 000 dollar och att de skadliga uppdateringarna dök upp kort därefter. Sajten går igenom varje uppdatering; hur de anmäldes och slutligen togs bort av WordPress – bara för att följas av nya uppdateringar med den skadliga koden utformad eller dold på ett annat sätt.
Sajten Wordfence har spårat köparen av tillägget och genom ett fängslande detektivarbete tagit reda på mer om honom. Den nye ägaren av Display Widgets visar sig vara en 23-årig man som specialiserat sig på att köpa populära tillägg, eventuellt för att manipulera dem på samma sätt som skedde med Display Widgets. Wordfence lyckas till och med kommunicera med honom. 23-åringen säger sig vara sjuk i lungcancer och ”only have a few months/maybe a year left on this earth”. De hittar honom i diverse sociala nätverk och konstaterar att han lever lyxliv i Monaco, kör en Ferrari och går på exklusiva cocktailbarer där drinkarna kostar 16 dollar styck.
Läs gärna Wordfence genomgång! Det finns något rörande över den. All denna infernaliskt inkilade skadliga kod, alla dessa spamsidor och affiliatelänkar som dyker upp på webben i tid och otid. Bakom alltsammans finns alltid ett ansikte, och den här gången tillhör det en 23-årig brittisk brat som dessutom verkar samarbeta med någon i Ryssland. Det känns som att få glänta lite på dörren till internets undervärld. Tycka vad man vill om de där 18-25-åriga grabbarna (vem orkar ägna sig åt denna katt-och-råtta-lek efter 30?) som oförtröttligt hittar nya vägar att klämma ut ännu en dollar, men visst är de en del av internets ekologi.
”Hackers can hack into a robot or a robotic device and have full control of the connections, arms, legs and other attached tools like knives or welding devices.”
Säkerhetsföreläsaren Nick Patterson om sårbara sexrobotar i en NY Post/The Sun-artikel med rubriken Hackers could program sex robots to kill.
Forskare vid Armis, ett företag specialiserat på säkerhet för sakernas internet (”internet of things”/iot), har upptäckt ett säkerhetshål i den trådlösa standarden Bluetooth. Hålet gör det mycket lätt att infiltrera enheter med Bluetooth påslaget, skriver Ars Technica:
Virtually any Android, Linux, or Windows device that hasn’t been recently patched and has Bluetooth turned on can be compromised by an attacking device within 32 feet. It doesn’t require device users to click on any links, connect to a rogue Bluetooth device, or take any other action, short of leaving Bluetooth on. The exploit process is generally very fast, requiring no more than 10 seconds to complete, and it works even when the targeted device is already connected to another Bluetooth-enabled device.
Forskarna har döpt säkerhetshålet (eller attacken det möjliggör) till Blueborne. De rapporterade det i tysthet till berörda tillverkare, som under sommaren släppte uppdateringar som tätade hålet.
I tisdags berättade man offentligt om Blueborne, och därmed är det också dags att se till att man som användare är fullpatchad.
Wired rekommenderar att man stänger av Bluetooth när man inte använder det, men det är lättare sagt än gjort för enheter som ständigt använder till exempel ett trådlöst tangentbord.
Förra veckan läckte 143 miljoner amerikaners uppgifter – namn, adresser, födelsedatum, försäkringsnummer, körkortsinformation, i vissa fall även kreditkortsnummer – från kreditupplysningsföretaget Equifax.
Det har nu framkommit att Equifax kände till säkerhetshålet som gjorde läckan möjlig, men lät bli att täta det i tid, skriver TNW:
The company learned that its attackers took advantage of a security flaw in the Apache Struts Web Framework, that allowed them to remotely execute code on Equifax’s systems. The bug was revealed in March, along with recommended patches to fix it – but clearly, Equifax didn’t move quickly enough to prevent nearly half of all Americans’ names, addresses and dates of birth from being stolen.
Equifaxläckan är en av de största i historien, enligt TNW. De läckta uppgifterna kan lätt användas för identitetsstöld.
En artikel i Wall Street Journal (bakom betalvägg) avslöjar hur Facebook spionerar på android- och iosanvändare genom VPN-appen Onavo Protect.
Poängen med ett VPN (Virtual Private Network) är att man kan skydda sin internettrafik mot övervakning. Den svaga länken är dock VPN-leverantören, eftersom all ens trafik passerar deras servrar. Samtidigt som man skyddar sig mot att övervakas av staten eller internetleverantören kan det alltså hända att man övervakas av VPN-leverantören.
Onavo Protects affärsidé var att tillhandahålla en gratis VPN-tjänst som hjälpte användarna att hålla koll på telefonens dataanvändning. I gengäld samlade man in i princip allt användarna gjorde på sina telefoner och sålde denna information till tredje part, till exempel annonsörer.
Företaget lät bli att nämna denna pikanta deal på produktsidorna, men skrev tydligt i sin privacy policy:
Information collection
To enable our Services, we receive all of your mobile data traffic, including location data, after you download and agree to use our Apps, which direct your mobile data traffic through or to our server. We may also receive personally identifying information such as your name, email address, or other contact information.
Use of Information
We use the information that we receive to operate and improve the Services, develop new products and services, analyze usage of our Apps and other applications on your device, to support advertising and related activities, and for other purposes.
Facebook köpte Onavo 2013 och fick då tillgång till all information som Onavo samlat om sina användare. Exempel på hur Facebook lär ha använt denna information:
Kort sagt, Facebook driver en gratis VPN-tjänst som ger företaget konkurrensfördelar och möjlighet att sälja användarnas information till annonsörer.
Signaturen Bdubzilla skriver på Onavo Protects produktsida i App Store:
SPYWARE OWNED BY FACEBOOK!
Beware this VPN software monitors everything you do and sends it to Facebook. Wonder why you get ads for things you view on your phone? Well now you know why.
Med andra ord, förbli skeptisk mot allt som säger sig vara gratis.
Som bekant samlar amerikanska National Security Agency på säkerhetshål, så kallad ”exploit hoarding”. Myndigheten har fått kritik för att inte informera tillverkarna om de säkerhetshål de hittat i routrar, operativsystem, med mera. Det visade sig till exempel att lösensummeviruset Wannacry baserades på säkerhetshål som läckt ur NSAs arsenal.
Nu går Rick Ledgett, vice direktör på NSA mellan januari 2014 och april 2017, ut och kritiserar användarna av produkter med otätade säkerhetshål:
Customers who buy software should expect to have to patch it and update to new versions periodically.
Som Techdirt påpekar hjälper det inte att uppdatera sina system om tillverkaren själv inte är medveten om säkerhetshålet.