En väldigt stor bild som visar hur RFC 7465 uppdaterar och relaterar till andra RFS:er som hjälper oss att komma bort från RC4 strömchiffer:
Ekots lördagsintervju med inrikesminister Anders Ygeman
Ekots lördagsintervju med inrikesminister Anders Ygeman (Poddradio RSS) från 24/1 innehåller en del intressant ur bland annat IT- och informationssäkerhetsperspektiv och är värd att lyssna på.
Några noteringar:
6.55: Om PNR-registret - Ekot frågar "Har ni någon som helst analys av hur effektivt det här skulle kunna vara?". Svaret är "Inte det nya systemet så klart, för det finns ju inte på plats. Vi har bara konstaterat att det är viktigt [...]". En extra följdfråga från Ekot visar att detta med analys inte är något som anses behövas för införa EU PNR.
23.23: Om cyberattacker och incidentrapportering - Inrikesministern säger sig nyss ha träffat chefen för Säkerhetspolisen, Generaldirektören för MSB och chefen för polisens nationella operativa avdelning för att diskutera hur man ska tydliggöra det statliga myndighetsansvaret för informationssäkerhet och mot cyberhot. De jobbar även vidare på att införa obligatorisk incidentrapportering.
Lite tyckande om detta:
Det känns inte speciellt bra att man vill införa ett centralt EU PNR med hänvisning till någon slags "sunt förnuft". Risken nu är att det inte finns underlag att gå tillbaka till om några år för att utvärdera om systemet uppfyller sina syften. Om rättsväsendets nytta faktiskt skulle visa sig blir mindre än förväntat så skulle kanske de inskränkningar i privatlivet som man tidigare bedömt vara befogade inte längre vara giltiga. Men nu riskerar systemet (om det väl införs) antagligen att bli kvar för evigt!
Förutom mer fokus på avvägningen mellan nytta och personlig integritet så önskar jag att lite vetenskaplighet lyser igenom samt att avvägningar och beslut baseras på underlag och analys. Känns ganska grundläggande kan man tycka.
På plussidan: Att ministern följer upp de uttalanden han gjorde i början av november om nationell incidentrapportering är däremot välkommet. Det låter som om detta verkligen är på gång, pådrivet av NIS-direktivet. Kanske kommer MSB:s rapport Nationellt system för it-incidentrapportering att dammas av? Om jag vore en cyniker så skulle jag dock tro att man i stället börjar om med en ny utredning...
Jag tror det är bra med en samordnad koll på incidenter och hot mot samhällsfunktioner, för i dag brister detta grovt med försämrad säkerhet som resultat. Utmaningarna för att få organisationen på plats är dock stora och det finns en del frågor. Kommer det att gälla endast offentlig verksamhet eller, som Ygeman antytt tidigare, även för privata företag? Kommer det att kunna skapas en tillit till den nya organisationen (var den nu hamnar) så att känsligt material verkligen kan samlas där? Och kommer de att ha förmågan att sammanställa materialet till något praktiskt användbart? Jag är hoppfull, men skeptisk.
Övervakning via mobilen
Såg precis en artikel i DN om att Datainspektionen ska granska övervakning via mobilen. Att spåra människor och beteenden i t.ex. köpcentrum är inget nytt, men när leverantören Bumbee Labs hävdar att det aktuella systemet kallat IOPS "inte hanterar några personuppgifter utan att signalerna är helt avidentifierade" så blir jag lite nyfiken. Hur avidentifieras signalerna, frågar sig vän av ordning.
Det fina är att det tydligen finns en förening med namn DFRI som tidigare haft lite invändningar mot anonymiteten i IOPS, och att Bumbee Labs faktiskt svarat ganska utförligt på dessa invändningar.
Utdrag ur Bumbee Labs förklaring av anonymiteten i IOPS:
"Så fort en MAC adress dyker upp i IOPS Wi-Fi nätverket så krypteras den om till en så kallad HASH kod. Efter detta raderas den ursprungliga MAC adressen. Denna nya HASH kod kan aldrig återskapa den ursprungliga MAC adressen. Detta innebär att vi endast räknar passager av HASH koder och ingen kan någonsin återskapa den ursprungliga MAC adressen i våra system. Inte ens Polisen."
Samt:
"Summan blir då att IOPS helt avidentifierat och anonymt räknar besök av HASH koder och dessa är helt tekniskt omöjligt FÖR OSS att koppla ihop med en fysisk person, något telefonnummer eller liknande. Vi får då helt anonym statistik, vilket också är syftet med IOPS."
Jag har markerat en del med rött för jag tycker det är en lämplig färg. Argumentationen för anonymiteten i systemet bygger på användningen av en envägsfunktion och att MAC-adresser inte lagras i systemet, men detta håller inte. MAC-adressen är lätt att återskapa från hash-koden som lagras. Eftersom det finns en begränsad mängd möjliga MAC-adresser så är det inga större problem att gå igenom alla dessa om man är ute efter att härleda en specifik MAC-adress. Detta tar antagligen endast några sekunder med rätt utrustning.
(Exempel: Det finns i teorin 2^48 möjliga MAC-adresser, det är rätt många, närmare bestämt 281.474.976.710.656 stycken. Få av dessa är dock i bruk. Dagsnoteringen är att 20272 st 24-bitars OUI:s är officiellt registrerade1, vilket ger 2^24*20272=340.107.722.752 möjliga MAC-adresser i användning, motsvarande 0,12 % av det totala utrymmet. Endast en bråkdel används av mobiltillverkare, men samtidigt används även ej registrerade adresser i praktiken, så låt oss ändå för enkelhetens skull anta att just 340.107.722.752 st är i bruk (faktiskt antal spelar egentligen ingen större roll). Säg att vi är intresserade av en specifik hash-kod som lagrats i systemet, hur lång tid skulle det ta att räkna ut den MAC-adress som den hör till? Låt säga att någon (t.ex. Polisen som omnämns ovan) har tillgång till ett kraftfullt men helt normalt datorsystem (ex PC4 från http://hashcat.net/oclhashcat/) för knäckning av hash-koder, och säg att IOPS har använt en SHA1-hash. Då tar det som längst 11,34 sekunder och i snitt bara hälften av denna tid att räkna ut tillhörande MAC-adress. IOPS kan ha använt en långsammare hash-funktion och möjligen tillfört andra fix och trix (salt är dock inte användbart) som slöar ner beräkningarna, men det är irrelevant. MAC-adressen går att återskapa utan större besvär.)
Jag hoppas att Datainspektionen inte väljer se denna hash som en anonym identifierare på det sätt som Bumbee Labs hävdar, för det är den alltså inte. MAC-adresser lagras i praktiken i systemet även om de är förvrängda. Hur vida en MAC adress kan vara en personuppgift är dock en annan fråga, och det är detta som DI behöver fundera på. En parameter som kanske kan påverka denna bedömning är att MAC-adresser ingår som en komponent av IPv6-adresser, och att IP-adresser kan vara personuppgifter har Datainspektionen redan slagit fast. När användningen av IPv6 ökar och NAT minskar så kommer anonymiteten att radikalt försämras.
Hittade ett relaterat dokument om WiFi-åtkomstpunkter, "Yttrande 13/2011 om geografiska lokaliseringstjänster på smarta mobila anordningar" från Arbetsgruppen för skydd av personuppgifter inom EU, med en del intressanta skrivningar:
"Smarta mobila anordningar är oskiljaktigt knutna till fysiska personer. Det finns normalt både direkt och indirekt identifierbarhet." (s. 10)
"Alla smarta mobila anordningar har minst en unik identifierare, dvs. MAC-adressen. [...] Det är möjligt att identifiera anordningens ägare, särskilt med upprepade iakttagelser." (s. 10)
"Enligt arbetsgruppens yttrande 4/2007 (WP 136) om begreppet personuppgifter bör mot ovanstående bakgrund även begreppet unik identifierare noteras, vilket gör det möjligt att spåra en användare av en specifik anordning och följaktligen kunna ”särskilja” användaren även om hans/hennes riktiga namn inte är känt." (s. 10)
"EU:s rättsliga ram för användningen av geografiska lokaliseringsuppgifter från smarta mobila anordningar är främst direktivet om skydd av personuppgifter. Lokaliseringsuppgifter från smarta mobila anordningar är personuppgifter." (s. 20)
"Balansen mellan den registeransvariges rättigheter och den registrerades rättigheter kräver att den registeransvarige erbjuder användarna rätten att enkelt och permanent välja bort att vara med i databasen (opt-out), utan krav på ytterligare personuppgifter." (s.21)
"Om operativsystemets utvecklare och/eller den registeransvarige för infrastrukturer för geografisk lokalisering behandlar ett unikt nummer, som en MAC-adress eller en UDID i samband med lokaliseringsuppgifter, får det unika identifieringsnumret endast lagras i högst 24 timmar, för operativa ändamål." (s. 21-22)
Skulle kännas mycket märkligt om inte DI också landar i att MAC-adresser kan vara personuppgifter, och det blir intressant att se vad konsekvensen blir av detta!
Tillagt 2015-01-28: Artikel om detta hos IDG. Bra kommentarer av Markus Bylund, SICS.
Nyhetssajter som går att nå över HTTPS
Aktuell status för införande av HTTPS på de största nyhetssajterna i landet:
Det är ju lätt att säga noll procent men ett diagram gör det hela så mycket tydligare. 🙂 Hoppas nu att det blir förbättringar under 2015!
Notering: DN och Expressen har HTTPS men certifikaten är utfärdade till Akamai. 🙁 Aftonbladet har fungerande certifikat, men omdirigerar HTTPS till HTTP. 🙁
Tack för tips och empiriskt data @reuteras:
Finns det någon svensk dagstidning som erbjuder sina läsare https för nyheter? Fail för @Aftonbladet, @Expressen, @dagensnyheter och @SvD.
— Peter Reuterås (@reuteras) January 17, 2015
Data från 2013: https://reuteras.wordpress.com/2013/01/06/tidningar-lankar-robots-txt-och-https/
Tillagt 2015-01-24, länkar att testa:
Svårigheten att bedöma risker
Aktuellt kl 21 i kväll frågade ”Hur stort är hotet [från terrorister] mot Europa i dag?”. Hans Brun, terrorismforskare vid King's College svarar att ”Säpo […] har sagt sedan hösten 2010 att det finns ett förhöjt hot mot både Sverige och Europa, och den bedömningen tycker jag är både realistisk ganska sansad”. Han lägger även till att ”Problemet är att det räcker med att en eller två personer bestämmer sig för att göra någonting i Europa för att de ska få katastrofala konsekvenser”, och att ”Det finns ett ganska konkret hot”.
Om man nu tittar på Aktuellt för att lära sig något, vad ska man då tro? Ordet "förhöjt" säger ingenting om nivån vi kom ifrån eller ligger på, så den första utsagan bortser jag ifrån. Däremot har vi faktiskt fått fram sannolikheten (typ) "ganska konkret hot" och konsekvensen "katastrof". Där finns kanske lite att jobba vidare med...
Terrorism vore inte terrorism om den inte försökte störa demokratin och injaga fruktan, men om man i stället snävar ner konsekvensfrågan till död, hur stort är då hotet? Hur man än skulle räkna är risken att drabbas minimal om man ställer det i relation till andra vardagliga risker som t.ex. hala badkar och bilåkning.
Problemet är att om det är något som injagar fruktan så är det att svepande prata om katastrofala konsekvenser och ökade hot utan att relatera till något konkret och helst kvantifierbart.
Bristen på underlag till rationella beslut igen känns igen allt för ofta inom informationssäkerhetsområdet.
”Cyberhoten ökar mot svensk industri”
DN skriver att cyberhoten ökar mot svensk industri. Belägg för detta i texten:
- Ett handplockat fall i Tyskland.
Tyvärr inget mer. En röst på FOI säger även att intresset för styrsystem har ökat inom "hackercommunityt". Mycket möjligt, antagligen troligt, men om intresset nu leder till hot, till vilken nivå har hoten (riskerna) ökat, och vad baseras detta på för underlag? Sony-hacket tas också upp, detta är dock inte relaterat till styrsystem.
Yttrande:
- Argumentationen bygger på "cherry picking".
- Vad vi har att göra med är klassisk "fear mongering".
- Brister är inte hot!
Som tillägg kan nämnas att CERT-SE (MSB) har hanterat cirka en (1) incident under de senaste två åren som relaterar till SCADA. (Jag ber att få återkomma till denna siffra i senare inlägg.) Nu ger inte data från CERT-SE en samlad bild av problematiken, men jag tycker det är lite intressant ändå.
Tyvärr kan man väl inte lära sig något mer av detta än att det är uppenbart att det behövs bättre underlag för att bedöma eventuella risker.
Experternas bästa råd mot malware – nu och i framtiden…
Läste just http://www.idg.se/2.1085/1.601473/framtidens-malware-kan-sanka-samhallet
Sammanfattning: Framtidens malware ska hanteras med gårdagens kontroller och med 1900-talsteknik, säger experter.
Alltså, jag menar inte att det är inte fel på gårdagens kontroller, de är bra! Om vi gör det vi visste om och borde ha gjort redan för 10-15 år sedan så kan vi sova både gott och länge.
Jag ser dock inte några argument, i artikeln eller annorstädes, som övertygar mig om att vi står inför ett paradigmskifte. Moln, mobilitet, diskmaskiner med bitcoin miners..., det ger oss inte några fundamentalt nya utmaningar. Vilket jag alltså anser bekräftas av att råden som ges i artikeln kunde ha skrivits för mycket länge sedan.
Jag tror att det som behövs mest i säkerhetsbranschen är att inte glömma bort gammal kunskap, samt noggrannhet och analys.
Rapporteringsskyldighet avseende IT-incidenter
Bristen på empiriska data beträffande it-incidenter i samhället försvårar det systematiska arbetet med samhällets informationssäkerhet. -MSB
Inrikesministern överväger en tvingande rapporteringsskyldighet både för myndigheter och företag. Bättre att gå på MSB:s linje med tvång för statliga myndigheter och frivillighet för övriga organisationer, så länge det inte handlar om tjänsteleverantörer till det allmänna.
Kul tajming eftersom jag här om dagen skrev att just bristen på dessa empiriska data hindrar en vettig utvärdering av MSBFS 2009:103.
MSB:s oro över statliga myndigheters informationssäkerhet
I rapporten En bild av myndigheternas informationssäkerhetsarbete 20141, som MSB släppte 1 september, redovisas hur väl föreskriften MSBFS 2009:102 tillämpas ute på myndigheterna.
Resultaten som redovisas är överlag är dystra. Exempelvis har endast 35 % av myndigheterna en kontinuitetsplan. Av dessa har 36 % även övat den. Ca 13 % har således både tagit fram en plan och övat den.
13 % är en riktigt dålig siffra! Eller? Hur är det med detta egentligen? Vi kan anta att det faktiskt inte alls är bra, men ingen vet hur pass dåligt det är i praktiken. Vi kan inte heller ta reda på detta!
Det finns inom statsapparaten ingen sammanställd statistik över brister och incidenter, och det finns inte heller någon rapporteringsplikt. Vi kan därför inte analysera om efterlevnad av föreskrifterna faktiskt ger en säkerhetshöjande effekt.
Nu när MSBFS 2009:10 är under revision så hade det varit guld värt att veta vilka krav i föreskriften som faktiskt har givit resultat, vad som behöver läggas till eller förtydligas och inte minst vad som kostar mer än det smakar - och ska tas bort. Lägga till och fördyra är lätt, att ta bort krav kräver mod och underlag.
Många år av prat om "ständig förbättring" har passerats. Evidensbaserad infosäk fortsatt svår att hitta.
Incab?
Hur man misslyckas med att skapa förtroende för kortbetalning på nätet
Handlade precis på Adlibris. De upplyser snyggt och fint före kortbetalning att DIBS kommer att hantera kortköpet.
Förvisso kan någon ha hackat Adlibris och lagt ut desinformation, men DIBS är jag bekant med och jag är ännu så länge fullt trygg.
När man går vidare så blir man skickad till en sajt som vill ha ens kreditkortsuppgifter. Det är förväntat och helt i sin ordning, om det inte vore för att sajten inte alls ligger under dibs.se utan under secure.incab.se...
Vad tusan är Incab? Adlibris har just sagt att jag ska genomföra kortköpet på "en sida hos DIBS", och de förväntar sig nu att jag matar in mina uppgifter till incab.se. Okej..., eller så är incab.se något helt annat än vad den utger sig för att vara, trots den fina DIBS-loggan och allt. Hur ska jag veta?
Jag Googlar! Får dock inga resultat för "incab site:dibs.se", och även noll träffar vid sökning på "incab" med sökfunktionen på http://www.dibs.se/, okej…
Hur ska jag veta att jag hamnat på rätt ställe? Någon har gjort ett riktigt dåligt jobb här!
Men okej, ett sista försök. Jag tittar i certifikatet för secure.incab.se och ser att det är utfärdat till organisationen "DIBS Payment Services".
Kollar upp http://www.thawte.com/ssl/ och ser att de genomför en "Full organization validation" innan certifikatet lämnades ut, om man nu inte köpt ett SSL123-cert. Vet inte vad valideringen innebär, men nu är jag trött och jag väljer att tro på att det är en bra validering, eftersom det inte står "123" som utfärdare.
Det finns många problem här, och jag väljer att lista några uppenbara:
- Att upplysa om att DIBS är PCI-certifierad hjälper föga när kunder skickas till incab.se.
- Att upplysa om att DIBS är PCI-certifierad hjälper inte för att öka förtroendet för att hackers inte har tagit över adlibris.se och att inhämtandet av kortuppgifter dirigeras till deras egen sajt.
- Någon på Adlibris bör ta sig en rejäl funderare över sin betalningslösning och den information som går ut till kunderna.
- Någon på DIBS bör ta sig en rejäl funderare över användandet av domänen incab.se.
- Att inte ta detta med "redirect" på större allvar leder till att säkerhetsmedvetandet på Internet avtrubbas! Detta är ett ansvar som här faller på Adlibris och DIBS.
PCI DSS 3.0 förtydligar i viss mån kraven för organisationer liknande Adlibirs, då de dirigerar trafik till betalsajter. Detta kommer förhoppningsvis att leda till ett högre säkerhetstänk hos e-handlare, men det gör det inte lättare för konsumenter att bedöma trovärdighet på nätet. För detta behövs just den tydlighet och stringens som Adlibris och DIBS nu saknar.