Kategori: Säkerhet

FBI kan ha klantat sig i avkrypteringen av Sutherland Springs-skyttens iphone

Karl Andersson Lämna en kommentar

Enligt obekräftade källor ska den misstänkte gärningsmannen i söndagens skjutning i Sutherland Springs, Texas, USA, ha haft en iphone, och enligt andra källor ska FBI inte ha kontaktat Apple under de första 48 timmarna efter gärningsmannens död för att få hjälp med att låsa upp denna iphone, rapporterar Reuters:

The delay may prove important. If Kelley had used a fingerprint to lock his iPhone, Apple could have told officials they could use the dead man’s finger to unlock his device, so long as it had not been powered off and restarted.

Vem vet, kanske behövde inte FBI Apples hjälp med att förstå att de kunde låsa upp telefonen med den dödes finger.

Men nyheten ska ses mot bakgrund av ”slaget om krypteringen” som utkämpades mellan FBI och Apple efter San Bernardino-skjutningen 2015, då FBI krävde att Apple skulle utveckla verktyg för att avkryptera innehållet i en telefon som använts av en av gärningsmännen. Apple vägrade och företagets vd Tim Cook skrev ett öppet brev till kunderna där han förklarade Apples beslut.

Kan Apple och Google se dina privata porrbilder?

Karl Andersson Lämna en kommentar

Frågan ställs av Techcrunch med anledning av dessa företags till synes magiska förmåga att tagga användarnas foton med de föremål de innehåller. (Jag verkar inte ha den funktionen på min ipad, men iphoneanvändare kanske vet vad som menas.)

Techcrunch förklarar att inga bilder skickas till företagen för analys – algoritmerna är numera så sofistikerade och optimerade att de arbetar lokalt på våra telefoner.

Men vem vet. Techcrunch lovar återkomma med företagens svar på frågor om hur de behandlar användarnas data.

Vad man också bör vara uppmärksam på är vilka friheter enskilda appar tar sig, efter att man gett dem tillgång till telefonens foton eller rentav dess kamera.

En utvecklare med kopplingar till Google visade nyligen hur en iphoneapp med kamerarättigheter teoretiskt sett kan ta bilder utan att användaren märker det, och direkt ladda upp dessa bilder.

Frågan är dock om en sådan app skulle slinka igenom Apples strikta godkännandeprocess. Samma idé i en androidtelefon är kanske mer realistisk.

Tacka NSA för de senaste utpressningsvirusen

Karl Andersson 1 kommentar

En ny våg av ransomware har svept över världen. Utpressningvirus? Lösensummevirus?

Nu har säkerhetsforskare kommit fram till att den skadliga koden utnyttjar samma säkerhetshål som amerikanska National Security Agency känt till sedan länge, och som läckte via gruppen Shadow Brokers tidigare i år, vilket bland annat möjliggjorde lösensummeviruset Wannacry.

Wccftech skriver:

While Microsoft may have patched up the flaw before they were sold to criminals and/or publicly dumped, the security vulnerabilities that the United States’ National Security Agency likely sat on for years continue to prove devastating. So far a number of major ransomware epidemics have been powered by these SMB-focused flaws leaked from NSA, including WannaCry – one of the most disastrous attacks that crippled entire networks of major hospitals.

Det verkar alltså som att vi återigen kan tacka NSA för de senaste attackerna mot våra datorer.

Krack och Roca – så farliga är veckans säkerhetshål

Karl Andersson Lämna en kommentar

Amerikanska Electronic Frontier Foundation (EFF) har publicerat en grundlig genomgång av Krack, det vill säga den sårbarhet för trådlösa nätverk som presenterades i måndags.

EFFs slutsats är att Krack inte är så farligt som man kan tro, eftersom:

Note that WPA’s privacy goals were always very limited. It was never intended to provide complete confidentiality of your data all the way to its final destination. Instead, protocols like TLS (and HTTPS) exist which protect your data end-to-end.

EFF har varit en förespråkare av krypterad webbtrafik, HTTPS, just för att komma runt risken för avlyssning i både kabel och trådlösa nät.

Krack möjliggör förvisso avlyssning av trafik, men avlyssnaren måste vara på plats med en antenn, vilket gör att tekniken är olämplig att använda i större skala. EFF menar att den krackfria avlyssning som sker på ISP-nivå är lika allvarlig.

Detta sagt, patcha upp era trådlösa routrar och enheterna som ansluter till dem, avslutar EFF.

Och hur farligt är Roca?

Just som Krack sågs som det värsta hotet presenterade tjeckiska och slovakiska forskare Roca – Return of Coppersmith’s Attack.

Roca gör det möjligt att använda den publika delen av en RSA-nyckel för att lista ut den privata delen. Attacken fungerar bara på nycklar som genererats med ett kodbibliotek utvecklat av det tyska företaget Infineon Technologies AG.

Wccftech beskriver den viktigaste skillnaden mellan Krack och Roca:

While KRACK may have been taking all of the news space, ROCA is an even bigger issue since while KRACK only works for attackers that are within range, ROCA has serious ramifications both in the government and outside.

Forskarna kommer ge närmare detaljer under en säkerhetskonferens i Dallas den 2 november.

VPN-tjänst sparade användarnas loggar och lämnade ut dem till polisen

Karl Andersson Lämna en kommentar

I USA har VPN-tjänsten Pure VPN (ingen relation till förra artikeln) lämnat ut loggar av användarna till myndigheter, som genom dessa kunde få fast en kille som trakasserade en tjej.

Det intressanta i sammanhanget: Pure VPN hävdade att de inte sparade några loggar:

We Do Not monitor user activity nor do we keep any logs.

Händelsen understryker hur man som användare är helt utlämnad åt att lita på VPN-operatören. Det är närmast regel att VPN-leverantörer slänger sig med fraser som ”We log nothing – period” och så vidare – men vem vet hur det egentligen ligger till? Och vem som ligger bakom tjänsten?

5 juli-stiftelsen driver VPN-tjänsten Integrity VPN. Jag nämner det delvis för transparensens skull, men också för att en av grundidéerna bakom Integrity VPN var att användaren ska kunna se tydligt vilka det är som ligger bakom tjänsten (här är de). Dessa människor har alltså satsat sin trovärdighet på att leverera en seriös tjänst – de har något att förlora på ett integritetshaveri liknande det som Pure VPN orsakade. Det är den typen av öppenhet och ansvarstagande som i stort saknas i VPN-branschen.

VPN betyder Virtual Private Network och är en anonymiseringsteknik.

Är du renlärig nog för att gilla Purism?

Karl Andersson 3 kommentarer

Purism är företaget som vill skydda sina användares privatliv. I somras släppte Purism två bärbara datorer efter en crowdfundingkampanj som drog in 2,5 miljoner dollar.

Läs gärna denna utförliga recension av Librem 13 v2, skriven av den unge österrikiske utvecklare som även var med på ett hörn i 5 juli-poddens avsnitt 17.

Nu är det dags att ta steget över till telefoner. Efter att ha crowdfundat 1,5 miljoner dollar kommer Purism att börja tillverka telefonen Librem 5:

The device promises total protection of your privacy, thanks to custom hardware, support for Linux-based software platforms (including PureOS), and features like end-to-end encrypted communications as well as hardware killswitches for the camera, Wi-Fi, Bluetooth and baseband.

”It will be a phone for the people, by the people”, säger företaget i en video.

Vad tycker ni om Purisms produkter?

Bärbara datorer är en sak och det är roligt att Purism tar upp kampen mot Apple och company där, som den nya underdogen.

Däremot har jag svårt att förstå poängen med en smartphone som värnar om sin ägares integritet. Är inte själva poängen med en denna leksak att ge upp integriteten medan man skrollar sig genom det ena flödet efter det andra? Den som verkligen värnar om integriteten skippar smartphonen helt och hållet. Att göra en smartphone integritetsvänlig är lite som att göra ett happy meal nyttigt. Det går, men … what’s the point?

Ge mig gärna mothugg.

Minns även Blackphone – ”a smartphone built to ensure privacy” – som lanserades av det schweiziska företaget Silent Circle 2014. Två år senare var företaget nära bankrutt. Numera marknadsför man bara en mobil brandvägg.

Och minns för all del också Firefox OS, det öppen källkod-baserade operativsystem för telefoner som Mozilla lanserade 2012 och lade ner 2016.

Slutsats: Folk vill inte ha integritetsvänliga telefoner. I alla fall inte när de ser ut som något från 2009 samtidigt som de stora tillverkarna överträffar varandra i bling.

Apparna som spionerar på dig

Karl Andersson Lämna en kommentar

Att många appar för telefonen tillskansar sig mer information om användaren än de behöver är nog ingen nyhet för Femte juli-läsaren. Men exakt hur stora friheter apparna – eller deras utvecklare, rättare sagt – tar sig framkommer i ny forskning vid Karlstads universitet.

Doktoranden Nurul Momen säger till Sveriges Radio:

Även om jag inte använder appen och telefonen ligger på ett bord är apparna aktiva. De vaknar upp och tillskansar sig min privata information, vad jag har sparat, var jag har varit och så vidare. Vi vet inte varför, men det är vi intresserade att ta reda på mer om.

Momen har utvecklat ett program som visar vilka appar som är ”överprivilegierade”, till exempel genom att kräva access till telefonens mikrofon.

Programmet är ännu bara på prototypstadiet, men Momen skulle gärna se ett framtida samarbete med Konsumentverket, för att öka medvetenheten om appspionaget.

Allvarligt säkerhetshål i färska Macos 10.13 High Sierra

Karl Andersson Lämna en kommentar

High Sierra, som den senaste versionen av Apples operativsystem Macos heter, har i dagarna gett macanvändare världen över en ny bakgrundsbild med den amerikanska bergskedjan i höstskrud. Vackert!

I övrigt låg de flesta nyheterna under huven. Vi har berättat om de nya säkerhetsfunktionerna i webbläsaren Safari, som bland annat blockerar vissa typer av cookies från alltför aggressiva annonsörer. Denna nyhet i Ios 11 har alltså nu också kommit till Macos 10.13 High Sierra.

Men allt är inte frid och fröjd. Säkerhetsanalytikern Patrick Wardle har hittat ett allvarligt säkerhetshål i funktionen Keychain, där han lyckades komma åt användares lagrade lösenord i klartext:

Normally, all Keychain information is locked down with a user’s master password. But Wardle was able to extract passwords from the Keychain without entering a master password, showing that an attacker with access to an unlocked computer might be able to steal Keychain data.

Hacket funkar även i äldre versioner av Macos. Wardle rapporterade buggen till Apple den 7 september 2017 och säger till Gizmodo att han räknar med att Apple snart släpper en patch. Tills dess kommer han inte att göra hacket offentligt.

De macanvändare som angett ett separat huvudlösenord för Keychain berörs inte av säkerhetshålet.

Striden om privatsfären

Karl Andersson Lämna en kommentar

Är det lagligt för amerikanska gränspolisen (Customs and Border Patrol, CBP) att söka igenom amerikanska medborgares elektroniska enheter vid inresa till USA?

Det är dags att domstolarna säger sitt, resonerar amerikanska Electronic Frontier Foundation (EFF) och American Civil Liberties Union (ACLU), som i en grupptalan har stämt Department of Homeland Security.

Målsägande är tio amerikanska medborgare och en person med permanent uppehållstillstånd i USA som har fått sina elektroniska enheter genomsökta av gränspolisen. Anklagelsen är att detta förfarande bryter mot det första och det fjärde tillägget till den amerikanska konstitutionen.

En av målsägarna är Sidd Bikkannavar, den USA-födde nasaingenjören som skapade rubriker tidigare i år när han tvingades uppge koden till sin telefon till säkerhetspersonal på Houstons flygplats. Telefonen tillhörde Nasas Jet Propulsion Lab, som efter händelsen analyserade telefonen för att försöka ta reda på vad Customs and Border Patrol (CBP) gjort med den under den halvtimme de behöll den. Bikkannavar fick direkt en ny telefon av sin arbetsgivare.

Idén att flygplatser är något av ett laglöst land är inte ny. Techcrunch berättar om flera fall där gränspolis tänjt på lagen historiskt.

Att gränspolisen går igenom folks, och i det här fallet amerikanska medborgares, elektroniska enheter lär höra till ovanligheterna, men den typen av genomsökningar har ökat under den senaste tiden – vi rapporterade om detta i avsnitt 46 av 5 juli-podden.

Striden om privatsfären utkämpas alltså på amerikanska flygplatser, och gränskontrollen är dess frontlinje. Det är där tveksamma eller rentav olagliga metoder måste stoppas, innan de sprider sig till resten av samhället.

 

Vem försöker attackera nätaktivister?

Karl Andersson Lämna en kommentar

Amerikanska Electronic Frontier Foundations (EFF) rapport Phish for the Future går igenom de phishingförsök som människorättsaktivister på organisationerna Free Press och Fight for the Future blivit utsatta för.

Det intressanta är att det inte handlar om phishing i form av massutskick, utan om ”spear phishing” – alltså riktade phishingförsök. Angriparna har i många fall varit ihärdiga och inte gett upp om den första attacken misslyckats. Rapporten beskriver en synnerligen intrikat attack:

One attempt, which targeted Evan Greer, Campaign Director of Fight For The Future, pretended to be a question about where to find the link to buy her music, which is available online. Evan replied with a link. The attacker replied with an email in which they complained that the link was not working correctly, having replaced the link with a phishing page made to look like a Gmail login.

Andra mejl kunde innehålla clickbaitrubriker om Donald Trump, fri press, demokrati och andra beten som man hoppades att de anställda på just dessa organisationer skulle nappa på.

Frågan är vem eller vilka som ligger bakom attackerna. EFF skriver:

Although this phishing campaign does not appear to have been carried out by a nation-state actor and does not involve malware, it serves as an important reminder that civil society is under attack.

Slutligen konstaterar EFF att tvåfaktorsautentisering effektivt stoppar den här typen av phishingförsök.