synapser

Detta är ju så klassiskt så man vet inte om man ska skratta eller gråta…

Apple har alltså missat i sin paradutgåva att sätta root passwd för MAC Os High Sierra. Alltså det som är helt vanlig standard att en användare ska förstå när dom kör ett Unix system. Men eftersom nästa generations mac-användare som bara köper produkter utan den tekniska kompetensen som man traditionellt fick under 80-90 och 2000-talet, så går sunt förnuft med teknik upp i det blå.

REF: http://omni.se/extremt-allvarligt-sakerhetshal-i-mac-os-high-sierra/a/bKK17v
REF: https://techcrunch.com/2017/11/28/astonishing-os-x-bug-lets-anyone-log-into-a-high-sierra-machine/

Sen måste man ju älska Apple’s respons:
“Mac-användare som kör High Sierra rekommenderas nu att under inga omständigheter lämna sina datorer obevakade till dess att Apple har rullat ut en lösning på problemet. “

…nej för vi får inte anta att dagens mac-användare förstår att man kan byta lösenordet själv för root, öppna en terminal och slänga lite enkla kommandon är något vi inte får anta att en normal användare ska kunna.

Sen får vi tänka på en sak till, våra mobila enheter, om Apple kan klanta sig så brutalt som dom faktiskt gör emellanåt, hur svårt är det då för dom som kan att använda din iPhone som guldgruva? För det flyger ju såklart även förbi den vanliga användaren idag, att även en iPhone kör Unix med samma adopterade säkerhetsrutiner och bibliotek av mjukvara som sin urfader…

Det känns som att jag får påminna den nya generationen igen om att det finns teknik-vett där ute om man är villig att läsa på lite. Här är t ex hela min föreläsning jag håller på Universitetet om teknisk baskunskap och säkerhet.

REF: Teknisk Baskunskap för Ekonomer, Peter Carlsson – Handelshögskolan.

Du kanske sällan noterar detta med transaktioner som görs med din personliga information på websidor idag använder 80% av fallen SSL/TLS autentisering (Secure sockets Layer/Transport Layer Security).

Som många av oss IT-Tekniker vet, så är SSL den mest använda “Secure Access” över web. SSL metoden är 128-bitar kryptering som var uppfunnen av teamet bakom Netscape och är idag den mest välanvända anslutningen mellan två enheter. SSL är egentligen TLS idag eftersom SSL hade en del säkerhetshål som nu är åtgärdade i och med TLS protokollet. TLS – Transport Layer Security är huvudsakligen det man menar när man nämner SSL idag. Lättast att uppmärksamma detta är när man ser HTTPS istället för HTTP i adressfältet i din browser. Men det är inte en garanti för att det faktiskt är en beviljad SSL autentisering om du inte loggat in och erhållit ett certifikat.

Dom flesta SSL “överföringarna” som sker med “känslig data” så som personlig information eller elektroniska affärssystem är på just “E-Business“. T ex Casino verksamhet online.

Exempel på detta:
* 10bet.com använder standard 128-bitars SSL krypterad anslutning för deras kunder att använda kredit överföringar för att spela casino spel. Emellan dessa system har 10bet casino mjukvaru-brandväggar av olika slag för att säkerställa den interna överföringen om skadlig kod läcker igenom dom första lagren.

* Fikacasino.com använder också standard 128-bitars SSL krypterad anslutning för deras kunder att använda kredit överföringar för att spela casino spel. Fikacasiono har däremot lagt en del av sin säkerhetsaspekt kring “cookies” som vanligen används för att “tracka/spåra” användaraktivitet på deras sidor. Genom att använda cookies på Fikacasinos sidor så identifierar dom istället användaren dom har registrerad hos sig för att se att transaktionerna som genomförs är äkta, dvs att det är en “mänsklig” användare bakom profilen som “handlar”. Detta är också ett sätt för dom att på rätt sätt betala sina samarbetspartners med Fikacasino där användningen faktiskt genomförs.

Hur som så är SSL/TLS inte en garanterad säkerhet för användarna som använder trådlös nät i publika områden. Jag refererar såklart till “The Man in the Middle Attack”. Attackeraren i detta fall lägger om och ibland även ändrar transaktionen av data mellan två aktörer som i sin tur tror att det är just bara 2 som kommunicerar med varandra. Det är lite som att rida på någons rygg men personen som erbjuder att bära känner inte att någon hänger med, dvs deras internet anslutning. Det är ganska lätt genomfört, så länge attackeraren befinner sig i samma räckvidd som användaren av samma trådlösa nätverk så kan attackeraren placera sig som “mannen i mitten”. Allt som krävs är att stationen går att ta över, likt vad en Administratör gör när dom ska uppdatera eller konfigurera sin Wifi-station. Detta är väl-använt på flygplatser, tåg-centraler och andra publika områden där många vistas för att använda den publika internet-anslutningen, bara Caféer är en bra källa.

Om vi återgår till den “publika nyckel infrastrukturen” som SSL/TLS så kan denna attack försvåra “Transmission Control Protocol” mot en “Man-in-the-middle-attack“. Sådana strukturer bygger på klient och server överföringar som byter certifikat mellan varandra och godkänns av en pålitlig tredjepart som skapat certifikatet (CA). Om inte skaparen själv av certifikaten blivit utsatt av en MITM attack så är certifikatet delegerat av CA och används för att autentisera kommunikationen mellan parterna. Samma sätt kan man använda för att delegera certifikat från båda hållen för att öka säkerhetsaspekten kring kommunikationen, på så sätt minskar man ännu mer för en MITM attack. Dock är det förstnämnda det mest använda och det är också så dom flesta sidor är konfigurerade som du använder idag.

Så hur ligger det då till med Internetbank? Jo samma regler gäller även där med deras huvudsakliga algoritm för att säkerställa privata överföringar är såklart “bankdosan”. Majoriteten av oss har denna lilla elektroniska decipher dosa som genererar koder till och översätter från Online Banken du ansluter mot. Detta är dock ännu svårare för en MITM attack, då personen/attackeraren i frågan bara ser transaktionerna som genomförs men inte vilka koder du knappar in i din bankdosa. Det enda troliga som skulle kunna hända är om attackeraren lyckas ändra din transaktion destination i sista sekund som du genomför den genom att byta ut vart pengarna ska ta vägen istället, vilket kräver en oerhörd timing att utföra. Vi känner också alla till att våra tidigare inmatade “vänner lista” med bank-konton och PG/BG registreringar också finns lagrade på vår internetbank sen tidigare. Även dom måste autentiseras med bankdosan för att det ska vara godkända destinationer för transaktionerna. Så ni ser, problematiken ökar för en attackerare när ytterligare en säkerhetsaspekt i form av en decipher dosa implementeras i överföringen.

Dock får ju detta en tanke att blomma upp, iaf hos mig och säkert ni andra; Swish och Paypal som är så vida använt och inte använder “Internet-bank” principen. Hur svårt kan ni tänka er att en MITM attack kan ske där?

– “En bra hacker, är en tyst hacker. Man avslöjar bara säkerhetshål när dom hittas av andra” – Peter Karlsson

Så vad är sensmoralen bakom den här artikeln? Undvik Wifi! Wifi kan du använda för att slösurfa; läsa nyheter, kolla film, spela spel eller bara kommunicera med andra användare. Men så fort du genomför en login som inte är säkrare än SSL så blottar du dig mot det trådlösa nätverket och tro mig, det finns folk som gärna tittar på.

Vill du lära dig mer om hur det ser ut på det trådlösa nätverket? Lär dig “Wireshark”:
https://www.wireshark.org/
https://sv.wikipedia.org/wiki/Wireshark

För mer information om säkerhetsrutiner idag kontra igår så kan ni se min undervisning av Handels studenter på Handelshögskolan i Göteborg där ni får en inblick i hur sköra våra “säkra” system är:
URL: https://www.youtube.com/watch?v=ExzGV6YQMYA

Den här artikeln är ett samarbete med CasinoGratis.

Man kan ju undra hur “inte daily” en blog får vara. Ja nu har ni svaret på den frågan. Jag är som sagt till och från med detta, men konceptet är som innan; “Jag skriver när det finns intresse av att dela med mig”.

Förhoppningarna är dock mer än med 2 års mellanrum 😉 Orsak? Familj! Som många (hoppas jag) pappor till sina barn så engagerar man sig primärt på familjen under småbarnstiden och det är vad jag har gjort. Men tiden går och efter en lång föräldra-“ledighet” så vill jag faktiskt snacka om teknik igen!

Atea IT Arena 2016. Tydligen med rekord närvaro, så mycket så att dom fick byta konferenslokal till Entre 8 till kongresshallen. Jag kan ha varit skeptiker innan med mina inlägg när jag pratat om IT Arena, men det är också mitt uppdrag som “IT-Invandrare”, att just va skeptisk och kritisk till den IT som presenteras för mig som köpare. Men Atea har vuxit, man märker att dom tar kritiken, den konstruktiva växtvärken har gjort resultat. Är det inte Occulus rift demos på plats så är det 3D printing och är det inte Pep Talks så är det innovativa tankeställare om vad som är den stora flugan “Digitalisering”. Bäst förklarat och Magnus Sallbring på Atea, att vi faktiskt inte är “i” det idag, utom vi har varit där hela tiden. Men dom sena tänkarna har precis insett att det är viktigt för det är inte kontrollerbart längre. Nej det är sant, vi nördar som satt där och nickade instämmande till alla teknik-innovationer som exploderade där runt 2000, kan idag inte sitta och sura att folk är sena att förstå. Det är snarare dags att vi tar på oss den där “viktigpetter”-kepsen igen för det är nu vi ska reagera/agera. Det är vi som ska utmana vår ledning och säga;

Fig 1: Atea IT Arena 2016 – Göteborg

– “Jag har något viktigt att berätta, det handlar om IT-tekniken där ute som ni kanske missat.”

Fig 2: Magnus Sallbring säger: “Digitalisering är nu, men Digitalisering är du”. Sen kommer lite IT ex på Oxford Dictionary Word of the Year som var “LOL” 2015.

Sen slänger ni fram ett kompendie och ordlista, börja med ordet Internet och allt vad det innebär, sen fortsätter ni med säkerhet och allt vad detta innebär. Slutligen så tar ni allt annat som kommer påverkas av det. Dvs allt. För det är i princip vad vi utsätts för idag (IoT), idag läser vi faktiskt om hur Internet som kanal skapar huvudrubriker i tidningar om t ex “Ransomware” eller “Identitets Stöld” osv osv osv. Det har funnits hela tiden såklart, men idag så förstår alla att det är mer eller mindre “kört”. Din arbetsplats då, din ledning eller bara en chef, vad har dom med det att göra nu. Mer än nånsin, är det inte att dina produkter blir smartare och mer multianvändande typ; Paddor/Smartphones så är det såklart hanteringen av hur du faktiskt jobbar. Vi har alla varit där som jobbar som jag gör, med IT och kontorister. Förenklade enheter skapar problem om man inte vet vad det öppnar upp, men sen kommer en “ny/gammal” trend tillbaka; “Social engineering”. Japp, tänk efter så fattar ni varför jag nämner det. Just det; “Gratis Support från (tydligen indiska) Microsoft” som helt på måfå ringer dig och säger att du behöver hjälp med din dator. Så vips så har du någon kollega som är dåligt informerad och öppnar upp ett stort säkerhetshål åt dig eller själv, privat, blir länsad på kontot.

Men det är nu du ska visa detta, berätta om detta och framförallt skapa möten om detta för din omgivning på arbetsplatsen.

Fig 3: Migration till bättre teknik med en Retro twist. Kul jämförelse men det skapar ändå reflektion.

Säg vad man vill om Atea och deras tills nu etablerade teknik mot kunder, men dom öppnar ögonen och samtidigt påminner om de hot som vi faktiskt inte får glömma. Vi vill växa och bli mer orienterade med vår fantastiska teknik. Men vi får gamla problem tillbaka och utan kunskap så blir det bara värre. Här får vi motion för den kunskapen igen, istället för att sitta där och grina att alla är okunniga, så ska vi resa oss upp igen och nicka instämmande till tekniken igen.

Fig 4: Mässan!

Ta emot detta budskap och om du har möjlighet, besök nästa Atea IT Arena, den har blivit mycket bättre, men framförallt så har det iaf för mig, öppnat mina ögon igen.

Fig 5: Japp den Digitala Blöjan var tillbaka i år igen… Den har blivit bättre…

Som kund till Atea så var vi bjudna på det årliga spektaklet. Alla sponsorer var på plats och mycket leksaker skulle testas. Och mycket mycket mycket lyssna på Kund Case. Samma babbel varje gång är ju hur kommuner och skolor köper in Paddor, hur det gick och varför. Det är tydligen väääääääääldigt intressant varje år.

Fig 1: VD:n säger “Tjipp och Hej” samt drar en väldigt lång lista på gamla Göteborgsskämt under dagens presentationer. Folk skrockar på kommando för hövlighetens skull men alla kan ju inte vara karismatiska, det var ändå ett bra försök... *ryggdunk*

Fig 2: Ja det var bara att öppna öronen och filtrera säljsnacket till den egentliga funktionen man sökte. Påfrestande är det alltid men kul på samma gång när man hittar dom små godbitarna man inte visste fanns.

Det var ett upplyft från Atea IT Camp som vad för oss som gick senast, ganska mycket sämre. Trotts det att Atea hade satsat helhjärtat på det eventet och debatterna kring IT/Molntjänster i samhället. Vilket föll platt då debatter inte riktigt blev av istället blev allt åsikter och “kund-case”. I år dock så var det förhållande visst ganska mycket säljsnack med det var gott om bra genomgångar av nya tekniker inom virtualisering, lagring och app-streaming av olika slag.

Fig 3: Min favorit, den elektroniska blöjan. Bra idé eller sorglig? Har vi så dålig framförhållning på sjukvården nu att vi måste sätta sensorer upp i röven för att få vård?

Vi fick även undersöka Oculus Rift brillor och leka fågel i en projicering som skulle likna någon slags virtuell stad som var bebodd av sponsornamn Atea har samarbete med. Kul! Svårt att krascha ner i fontänen eller flyga helt rakt men det var en upplevelse iaf.

Fig 4: Man såg ut som en mupp helt klart men det var det värt!

Helt ur kontext stod en ny Xbox maskin med fet bilspel i som vi unga nördar fick game:a. Det var något man skulle vinna och ha bra tid per lap, brydde mig inte så mycket om orsaken eller vad dom sålde. Det var tidsfördriv!

Fig 5: Whatever xbox med whatever generisk bilspel. Det var bråligt (bra-dåligt)…

Kvällen rundades upp med Jan Bylunds stand up under middagen som var ett väldigt bra uppträdande. Tror inte jag varit på en enda stand up med Jan Bylund där ingen skrattar så tårarna sprutar, killen kan sin social engenieering helt klart

Fig 6: Jan Bylund, the man, the legend…

Tips att hålla ögonen på från mässan:
* Microsoft överhypade Tablet/Padda “Surface” maskin som faktiskt var bra i första glans. Den har bra touch och bra maskineri, ironiskt nog har dom introducerats stylus pennan igen som en “new feature”…
Fig 7: Ja se själv, det funkar?

* Windows 10 som ser ut som det skit man faktiskt sökte i 8:an med start menyn, dock lovar dom samma modul-anpassad platform som ska passa alla maskinvaror den ska ligga på, det återstår ju att se…

* Nya Lenovo Tablets på ingång som jag propsat på tidigare, med tanke på hur nöjd jag är med min x230 Tablet så kommer jag definitivt byta upp mig när det gäller. Enda nackdelen som vanligt; portar försvinner och donglar ska ersätta detta = fail…