pa|Vi är ett produktoberoende konsultföretag med specialisering inom information- och IT-säkerhet. Vårt mål är att erbjuda en långvarig relation till våra kunder där säkerhetsarbetet blir en naturlig del av den totala IT-verksamheten. Informations- och IT-säkerhet har blivit vardag för företag och myndigheter. Verksamhetens krav på tillgänglighet vägs mot behovet att skydda informationen. Med komplexa IT-lösningar blir det svårare att upptäcka brister. Man antar att allting är tillräckligt bra – tills en incident sker. Som experter kan vi se över er befintliga Informations- och IT-säkerhet. Vi kan hjälpa er säkerställa säkerheten under utveckling av IT-miljön. Vi kan analysera marknadens verktyg och se hur dessa passar era säkerhetskrav. Såklart hjälper vi er om ni råkat ut för en IT-incident! Nuläge Kvantdatorer hotar att inom en inte allt för avlägsen framtid allvarligt äventyra säkerheten i vår kommunikation. Det finns redan idag väletablerade algoritmer för att knäcka asymmetriska kryptoalgoritmer som RSA och EDC, vilka är ämnade för kvantdatorer. Dessa kryptoalgoritmer är idag välanvända vid nyckelutbyte, digital signering och används i många kryptovalutor. I grund bygger asymmetriska […] Som titeln ger tydliga ledtrådar om så handlar dagens blogg om hur .NET Reflection kan användas för att utnyttja Linq-injection-sårbarheter. Linq-injection uppstår då dynamiska Linq-uttryck används tillsammans med felaktig eller saknad indatakontroll. .NET Linq-uttryck är vanligen inte sårbara för injektionsattacker eftersom de är explicit parametriserade. Men sedan Microsoft skänkte världen dynamisk Linq skapar det möjligheter […] I denna (typ) femte del kommer vi att avsluta uppgifterna om ECB, börja titta på CBC, och sedan direkt börja prata om något helt annat... Vi kommer nämligen avsluta denna bloggpost med att beskriva sårbarheten Zerologon som blev aktuell för några månader sedan.
h1|Experter på Informations- och IT-säkerhet
h2|Vardagliga hot och risker Vi kan hjälpa er
h3|Senaste från bloggen
sp|Vägen mot den kvantsäkra kryptostandarden  Publicerat 2021-03-26 En kort reflektion över felande länkar  Publicerat 2021-03-19 Cryptopals – del 5+0 av ?  Publicerat 2021-03-14 Copyright © 2021 - Simovits AB
pa|Nuläge Kvantdatorer hotar att inom en inte allt för avlägsen framtid allvarligt äventyra säkerheten i vår kommunikation. Det finns redan idag väletablerade algoritmer för att knäcka asymmetriska kryptoalgoritmer som RSA och EDC, vilka är ämnade för kvantdatorer. Dessa kryptoalgoritmer är idag välanvända vid nyckelutbyte, digital signering och används i många kryptovalutor. I grund bygger asymmetriska […] Som titeln ger tydliga ledtrådar om så handlar dagens blogg om hur .NET Reflection kan användas för att utnyttja Linq-injection-sårbarheter. Linq-injection uppstår då dynamiska Linq-uttryck används tillsammans med felaktig eller saknad indatakontroll. .NET Linq-uttryck är vanligen inte sårbara för injektionsattacker eftersom de är explicit parametriserade. Men sedan Microsoft skänkte världen dynamisk Linq skapar det möjligheter […] I denna (typ) femte del kommer vi att avsluta uppgifterna om ECB, börja titta på CBC, och sedan direkt börja prata om något helt annat... Vi kommer nämligen avsluta denna bloggpost med att beskriva sårbarheten Zerologon som blev aktuell för några månader sedan. Lösenordsbaserad autentisering är den vanligaste typen av autentiseringsmetod. Vi diskuterar ofta olika tillvägagångssätt att skapa säkra lösenord och hur användare bör hantera dessa. En intressant frågeställning är huruvida användarvalda lösenord, i motsats till pseudoslumpmässiga lösenord som genereras av lösenordshanterare exempelvis, exponerar information om oss och i sådant fall i hur stor grad detta kan användas […] Denna veckas blogg belyser interna hot inom organisationer. Anledningen till ämnet är att det nyligen lyftes i samband med en scenariobaserad riskanalys. Frågeställningen handlade om huruvida detta hot, utöver att det identifierats som relevant, verkligen realiserats överhuvudtaget? Existerar det fall då detta verkligen inneburit en avsevärd påverkan på en organisation och i så fall på […] Efter det förnedrande intrånget på Ryska järnvägen i januari i år [1][2] , så kom jag över en artikel[3] i den ryska motsvarigheten till Engadget – habr.ru som citerade ett ”axiom” som förklaring till varför just Ryska järnvägen blev hackad. Författaren hade snällt länkat till den ursprungliga artikeln som beskrev ett antal axiom/lagar kring Cybersäkerhet […] Simovits Consulting deltar som sponsor på Försvarshögskolans Cyber Challenge 2021. Här hittar ni länkar till presentationer samt utannonserade examensarbeten. Ni är välkomna att ta kontakt med mig (Mikael Simovits) om ni har några frågor. Kontaktuppgifter hittar ni under fliken “Om Oss”. https://simovits.com/om-oss/ Utannonserade examensarbeten hittar ni här: https://simovits.com/examensarbeten-pa-simovits-consulting/ Läs mer om företaget: Inspirational talk: Molntjänster är ett ständigt aktuellt ämne, inte minst sedan den beslutade utbyggnaden av ett par stora serverhallar i Mellansverige som varit omdiskuterade på grund av sin förhållandevis höga elförbrukning. Ur ett säkerhetsperspektiv finns också ett antal nya aspekter att ta hänsyn till även om tekniken i sig har funnits en längre tid. Det som i […] Att skanna QR-koder för autentisering tillåter användare att logga in på webbsidor och applikationer utan behovet att komma ihåg lösenord. QR-koder förenklar processen för inloggning men även för företag som vill annonsera för sina produkter. Genom att placera en QR-kod på exempelvis ett flingpaket gör att konsumenten snabbt och effektivt dirigeras till företagets hemsida för […] Många sårbarheter i program bygger idag på fel hur minnet refereras såsom: Buffertöverskridning (eng: buffer overflow) Följande av null-pekare Användning av minnesreferenser efter att minnet lämnats tillbaka till systemet (eng: use-after-free) Användning av minne som inte initialiserats När minnesreferenser som redan lämnats tillbaka eller aldrig pekat på allokerat minne lämnas tillbaka (igen) Dessa fel resulterar […]
sp| Publicerat 2021-03-26  Skrivet av Erik Aronson  Publicerat 2021-03-19  Skrivet av James Dickson  Publicerat 2021-03-14  Skrivet av Gustav Sædén Ståhl  Publicerat 2021-03-08  Skrivet av Mahdi Khorsravi  Publicerat 2021-02-26  Skrivet av Filip Crona  Publicerat 2021-02-19  Skrivet av Mikael Simovits  Publicerat 2021-01-28  Skrivet av Mikael Simovits  Publicerat 2021-01-11  Skrivet av Tomas Forsberg  Publicerat 2021-01-08  Skrivet av Dennis Nilsson Sjöström  Publicerat 2020-11-20  Skrivet av Daniel Hedencrona Copyright © 2021 - Simovits AB
pa|Simovits Consulting är en av marknadens främsta leverantörer av tjänster inom områdena cybersäkerhet och säkerhetsanalyser avseende fysisk säkerhet. Vi strävar efter att vara förstahandsval som leverantör då vi ger våra kunder rätt nivå av säkerhet, anpassad till deras verksamhet samt till deras behov och möjligheter samt deras potentiella hot. Vi gör säkerhet till en konkurrensfördel för våra kunder. För att konstant utvecklas och bättre möta kundkrav har vi en regelbunden kundkontakt och vi utvärderar resultatet av alla leveranser. Genom att tillämpa etablerade metoder och genom att beakta både problem och möjligheter åstadkommer vi en kontinuerlig förbättring av vår egen effektivitet samt våra tjänster. All personal har stor kompetens inom sina områden och strävar efter att lära sig mer. Kompetens säkerställs genom praktiska erfarenheter, regelbunden utvärdering av tidigare arbete samt genom utbildning och certifiering. Simovits Consulting är medlem i SOFF (Swedish Security & Defence Industry Association) samt SIS/TK 318. IT- och informationssäkerhet CISSP, GAWN IT-säkerhet GCED, GPEN, GPYC, eWPT IT-säkerhet GWAPT, GREM Informationssäkerhet GCED, GWAPT Informationssäkerhet GCED Informationssäkerhet CISSP, CRISC, ISO 27001 LA, ITIL Informationssäkerhet GPEN IT-säkerhet CISSP, GREM IT-säkerhet eCPPT Assistent IT-säkerhet CISSP, CCME, GPEN, GXPN, CHFI, GWAPT IT-säkerhet CISSP, GPEN, GWAPT IT-säkerhet CISSP, GCFA, GREM IT-säkerhet OSCP, OSCE IT-säkerhet CISSP, GCFA, CEH, GCED Informationssäkerhet CISA
st|Simovits Consulting etablerades 1997 med grundidén att leverera informations- och IT-säkerhetstjänster med akademisk noggrannhet och pedagogik. Specialistområde Certifieringar Telefonnummer Specialistområde Certifieringar Telefonnummer Specialistområde Certifieringar Telefonnummer Specialistområde Certifieringar Telefonnummer Specialistområde Certifieringar Telefonnummer Specialistområde Certifieringar Telefonnummer Specialistområde Certifieringar Telefonnummer Specialistområde Certifieringar Telefonnummer Specialistområde Certifieringar Telefonnummer Specialistområde Telefonnummer Specialistområde Certifieringar Telefonnummer Specialistområde Certifieringar Telefonnummer Specialistområde Certifieringar Telefonnummer Specialistområde Certifieringar Telefonnummer Specialistområde Certifieringar Telefonnummer Specialistområde Certifieringar Telefonnummer
h1|Om oss
h3|Våra medarbetare
sp|Mikael Simovits, VD Carl-Douglas Benno Daniel Hedencrona Dennis Nilsson Sjöström Erik Aronson Filip Crona Gustav Sædén Ståhl James Dickson Mahdi Khorsravi Moa Carlsson Peder Sparell Peter Hildeblom Petter Stymne Robin Sjögren Tiina Loukusa Hyttnäs Tomas Forsberg Copyright © 2021 - Simovits AB
pa|Om ni har frågor avseende de tjänster som vi levererar så kontakta gärna Mikael Simovits direkt på mobil: 070 – 741 51 62 Simovits Consulting AB Saltmätargatan 8A S-113 59 Stockholm E-post: Tel: Organisationsnummer: 556763-8761
h1|Kontakta oss
h2|Besöksadress/brev
sp|Copyright © 2021 - Simovits AB
pa|Att särskilja skadlig kod från legitima filer eller applikationer är idag en stor industri som omsätter stora pengar världen över. Det är också ett område som är i konstant behov av utveckling, för att kunna hålla jämna steg med utvecklare av skadlig kod. På ett övergripande plan kan man dela upp metodik för analys av […] Välkomna tillbaka till allas vår favoritbloggserie! I detta blogginlägg går vi igenom ECB-läget av AES och några som man kan utnyttja Det jag tänkte berätta om i den här bloggen är ett koncept som kallas för “infrastruktur som kod”. Det är förvisso inte självskrivande dokumentation, men något som garanterar att den dokumentation som finns är korrekt. Douglas Adams skrev i sin berömda trilogi i fem delar om jordbon Arthur Dents äventyr som intergalaktisk liftare. I en […] Det hände någon gång i våras. Efter att ett fjärde falskt Netflix meddelande hade slunkit igenom mitt spamfilter så började jag ifrågasätta exakt vad Microsoft egentligen håller på med. Någonstans tycker nämligen Microsoft att en avsändaradress som är “gfdgsdf435esfa@neeeaxflix.com” inte alls är märklig och absolut ska få skicka meddelanden till mig om att min icke-existerande […] Vi erbjuder ständigt examensarbeten inom Cybersäkerhet. Avsikten med examensarbetet är att utgöra en del i företagets forskning och omvärldsbevakning, men framförallt för dig att känna på vad ett typiskt uppdrag kan innebär och för oss att på sikt hitta en ny kollega. För de examensarbeten som erbjuds gäller följande: Examensarbetet ska vara i nivå med […] Strax innan sommaren stod i full blom och vi alla såg fram emot en hemester med vacker stockholmsskärgård och tankeväckande regnig västkust råkade jag på en skadlig kod som placerat en del av sig själv i en ADS (Alternate Data Stream). ADS har funnits med i decennier men ifall man behöver mer info om fenomenet […] Under sommaren 2020 drabbades Garmin av en störning i sina IT-system som det tog närmare en vecka att helt avhjälpa. Utanför företaget märktes störningen främst som en otillgänglighet för användare av online tjänster för exempelvis registrering av träningshistorik från sportklockor. Men även betaltjänster och uppdateringar av navigeringssystem för flygtrafik kan ha påverkats. Garmin har hittills […] Bakgrund I höst kommer Post- och Telestyrelsen auktionera ut 5G-frekvenser till mobiloperatörer [2]. Tilldelningen ska främja kapaciteten för mobila bredbandstjänster och skapa en plattform för den kommande 5G-utbyggnaden. För den som är villig att delta i Sveriges kommande 5G-utrullning kommer ett lägsta bud i tilldelningen att kosta 1.5 miljarder kronor i 3.5 GHz-bandet och 160 […] EU-domstol har nu fastslagit i målet Schrems II att Privacy Shield, mekanismen för självcertifiering för att garantera tillräcklig skyddsnivå vid överföring av personuppgifter till USA, ogiltigförklaras [1]. Dock ansåg domstolen att standardavtalsklausuler fortfarande kan användas. Veckans blogg ger sammanhang och bakgrund för detta, förklarar varför det är problematiskt för organisationer som nyttjar amerikanskägda molntjänster, samt […] Jag fick tidigare under sommaren möjligheten till att lära mig om en ny approach till säkerhetstester. Denna gång i form av attacker mot skrivbordsapplikationer, och huvudsakligen Electron-baserade applikationer. För er som inte är välbekanta med Electron-applikationer så kan de summeras som en kombination av skrivbordsapplikationer och webbapplikationer. Bland annat så renderas GUI med CSS och […]
sp| Publicerat 2020-10-23  Skrivet av Erik Aronson  Publicerat 2020-10-16  Skrivet av Gustav Sædén Ståhl  Publicerat 2020-10-09  Skrivet av Robin Sjögren  Publicerat 2020-09-18  Skrivet av Carl-Douglas Benno  Publicerat 2020-09-13  Skrivet av Mikael Simovits  Publicerat 2020-09-03  Skrivet av James Dickson  Publicerat 2020-08-14  Skrivet av Tomas Forsberg  Publicerat 2020-08-07  Skrivet av Dennis Nilsson Sjöström  Publicerat 2020-07-30  Skrivet av Filip Crona  Publicerat 2020-07-24  Skrivet av Peter Hildeblom Copyright © 2021 - Simovits AB
pa|Efter det förnedrande intrånget på Ryska järnvägen i januari i år [1][2] , så kom jag över en artikel[3] i den ryska motsvarigheten till Engadget – habr.ru som citerade ett ”axiom” som förklaring till varför just Ryska järnvägen blev hackad. Författaren hade snällt länkat till den ursprungliga artikeln som beskrev ett antal axiom/lagar kring Cybersäkerhet […] Simovits Consulting deltar som sponsor på Försvarshögskolans Cyber Challenge 2021. Här hittar ni länkar till presentationer samt utannonserade examensarbeten. Ni är välkomna att ta kontakt med mig (Mikael Simovits) om ni har några frågor. Kontaktuppgifter hittar ni under fliken “Om Oss”. https://simovits.com/om-oss/ Utannonserade examensarbeten hittar ni här: https://simovits.com/examensarbeten-pa-simovits-consulting/ Läs mer om företaget: Inspirational talk: När Washington Post den 11 februari i år publicerade att det Schweiziska företaget Crypto AG i själva verket varit en front för den amerikanska underrättelsetjänsten CIA, så upplevdes det som en chock för många av oss i säkerhetsgemenskapen[1]. Artikeln i Washington post beskrev hur CIA, tillsammans med den tyska underrättelsetjänsten BND, 1970 hade köpt det […] Något tragikomiskt, har programmet sudo (som används för att höja privilegier på linux) en bufferowerflow sårbarhet som ger möjlighet för en angripare att höja sina privilegier. https://www.sudo.ws/alerts/pwfeedback.html NIST har en ny draft på gång för att detektera och hantera ransomware och andra destruktiva händelser https://www.nccoe.nist.gov/sites/default/files/library/sp1800/di-detect-respond-nist-sp1800-26-draft.pdf Kaspersky har analyserat något som de kallar är det första […] När cybersäkerhet diskuteras, utgår diskussionen ofta utifrån att cyberkrig och cyberförsvar är ett koncept och inte en företeelse. På något sätt har det i Sverige blivit en fråga där långsiktiga mål definieras istället för att det ska bli ett prioriterat område inom totalförsvaret. Genom att sammanställa de angrepp som skett mellan länder sedan 2006 går […] Förra helgen eskalerade våldet mellan palestinska extremister och Israel till den högsta nivån sedan kriget bröt ut 2014. Under helgen avlossades flera hundra palestinska raketer mot Israel, som svarade med flyganfall mot mål i Gazaremsan. Decennier in i våldet och spänningarna i regionen, var detta föga förvånade. Vad som stod ut denna gång är att […] Idag, fredag den 1 mars 2019 höll jag en presentation på konferensen – International Conference on Cyber Warfare and Security (ICCWS) angående det examensarbete jag utförde på Simovits Consulting. Vi (Dennis och Mikael) skrev sedan om examensarbetet till en artikel och det var denna som presenterades på denna konferens i Sydafrika. Titeln på artikeln är […] Kaspersky och forskare från Kings College släppte för en dryg vecka sedan rapporten Penquin’s Moonlit Maze –The dawn of Nation-State Digital Espionage. Rapporten är spännande då den påvisar en möjlig länk mellan ryskt cyberspionage i internets vagga och idag, [4]. Jämför man med idag där nyheter om datorangrepp som kostar företag miljonbelopp är vardagsmat, så […] Förra veckan gick flera stora anti-virusföretag med information om att en ny APT-plattform identifierats under hösten 2015 som döpts till ProjectSauron av Kaspersky respektive Remsec av Symantec. APTn misstänks ha varit aktivt sedan 2011. Aktivitet har identifierats i bland annat Ryssland, Kina, Iran, Rwanda, Belgien och även en organisation i Sverige har blivit drabbad. Infektionsvektorn […]
sp| Publicerat 2021-02-19  Skrivet av Mikael Simovits  Publicerat 2021-01-28  Skrivet av Mikael Simovits  Publicerat 2020-06-12  Skrivet av Mikael Simovits  Publicerat 2020-02-14  Skrivet av Mikael Simovits  Publicerat 2020-02-14  Skrivet av Mikael Simovits  Publicerat 2019-05-10  Skrivet av Dennis Nilsson Sjöström  Publicerat 2019-03-01  Skrivet av Dennis Nilsson Sjöström  Publicerat 2017-04-20  Skrivet av Simovits Consulting  Publicerat 2016-08-16  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|En välkänd pekpinne inom IT-säkerhet är att främmande USB-minnen under inga omständigheter ska anslutas till organisationens utrustning. Det klassiska angreppet går ut på att lämna en USB-sticka på en publik plats, i förhoppningen att den som hittar detta ansluter det till en dator. Den här bloggen handlar om O.MG Cable som är ett verktyg för […] Zoom kommer bara att erbjuda end-to-end kryptering till betalande användare https://threatpost.com/zoom-end-to-end-encryption-paying-users/156286/ Och här finns ett dokument som beskriver den troliga implementationen https://github.com/zoom/zoom-e2e-whitepaper/blob/master/zoom_e2e.pdf SMBv3 fortsätter att spöka till det. SMBGhost är en PoC för att utnyttja en sårbarhet i SMBv3 som kan tillåta en angripare att exekvera kod, sårbarheten i sig är inte ny, men nu […] När Washington Post den 11 februari i år publicerade att det Schweiziska företaget Crypto AG i själva verket varit en front för den amerikanska underrättelsetjänsten CIA, så upplevdes det som en chock för många av oss i säkerhetsgemenskapen[1]. Artikeln i Washington post beskrev hur CIA, tillsammans med den tyska underrättelsetjänsten BND, 1970 hade köpt det […] Flera länder, däribland Storbritannien har implementerat lagar (RIPA) där polisen utan ett domstolsbeslut kan begära att en användare uppger sina krypteringsnycklar för hårddiskkryptering [1]. Detta har lett till att det uppstått ett behov av att dölja själva existensen av krypterade hårddiskvolymer. Steganografi Läran om att försöka dölja data eller meddelanden kallas steganografi och har en […] Apple har patchat den sårbarhet som gjorde jailbreaken Unc0ver möjlig https://www.zdnet.com/article/apple-releases-ios-13-5-1-with-security-fixes-breaks-recent-unc0ver-jailbreak/ https://support.apple.com/en-us/HT211214 En bild med felaktig/alltför omfattande color space får Androidtelefoner att krasch-loopa om den sätts som bakgrund https://www.bbc.com/news/technology-52891650/ Det fortsätter trilla in sårbarheter i Zoom, dessa har dock åtgärdats innan de blev publikt kända. Talos skriver att det kan behövas en fix på klient-sidan för […] Samtal via Signal kan avslöja information om din position https://medium.com/tenable-techblog/turning-signal-app-into-a-coarse-tracking-device-643eb4298447 Unc0ver – Ny 0-day jailbreak som fungerar för iOS 11 till iOS 13.5 https://www.zdnet.com/article/new-unc0ver-jailbreak-released-works-on-all-recent-ios-versions/ https://unc0ver.dev/ Strax under 100 000 skickade lösenord i klartext kunde observeras under 4 dagar på årets RSA-konferens publika WiFi (bättre än förra året). Årets SOC-rapport:https://go.rsaconference.com/rsac365-dbt/dbt-40-soc2020 Microsoft informerar om ett nytt ransomware, […] Här på Simovits jobbar vi med informationssäkerhet, vilket typiskt innefattar det att säkerställa dess konfidentialitet, riktighet och tillgänglighet. I dagens blogg tänker jag vända lite på denna tolkning av termen informationssäkerhet. Bloggen kommer inte att handla om hur vi håller vår data säker, utan om hur vi håller oss säkra från vår data. Temat är […] Vänlig påminnelse: Ska du utveckla skadlig kod så glöm inte att stänga av ditt antivirus. Annars går det som för GhostDNS som läckte sin källkod till Avast: https://decoded.avast.io/simonamusilova/ghostdns-source-code-leaked/ Kasperskys Q1-sammanställning kring it-hot https://securelist.com/it-threat-evolution-q1-2020/96886/ Nu är det dags för nästa del i vår (nu fullt etablerade) bloggserie om cryptopals! Allvarliga säkerhetsbrister i WordPress pluginet “Page Builder WordPress” som används av nästan en miljon siter. https://www.bleepingcomputer.com/news/security/wordpress-plugin-bugs-can-let-hackers-take-over-almost-1m-sites/ Top 10 mest utnyttjade sårbarheterna 2016-2019, artikel publicerad av US-CERT https://www.us-cert.gov/ncas/alerts/aa20-133a APT slår till mot norska fonderhttps://www.bleepingcomputer.com/news/security/scammers-steal-10-million-from-norways-state-investment-fund/ Ska vi omvårdera iPhones säkerhet? https://www.macrumors.com/2020/05/14/zerodium-pauses-acquiring-ios-exploits/ Med några enkla handgrepp är det möjligt att bryta sig ut ur den begränsade miljön och […]
sp| Publicerat 2020-06-26  Skrivet av Anders Lundman  Publicerat 2020-06-16  Skrivet av Simovits Consulting  Publicerat 2020-06-12  Skrivet av Mikael Simovits  Publicerat 2020-06-12  Skrivet av Daniel Hedencrona  Publicerat 2020-06-08  Skrivet av Simovits Consulting  Publicerat 2020-06-02  Skrivet av Simovits Consulting  Publicerat 2020-05-29  Skrivet av Erik Aronson  Publicerat 2020-05-25  Skrivet av Simovits Consulting  Publicerat 2020-05-22  Skrivet av Gustav Sædén Ståhl  Publicerat 2020-05-19  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|Kartläggning av individer och organisationer har kommit att förknippas med främst med integritet, men det finns fler aspekter som är av intresse ur olika säkerhetsperspektiv. Vissa utredningar är både normala och önskvärda, exempelvis bakgrundskontroller vid anställningar och kontroller vid företagsförvärv. Andra former av kartläggning är mindre önskvärda, men svåra att förhindra. Det som möjliggjort denna […] Forskare konverterar en PSU till en högtalare genom att infektera skadlig kod för att exfiltrera data (länken innehåller också andra intressanta/kluriga dataexfilteringstekniker för air-gappade system som samma forskare har arbetat med) https://www.zdnet.com/article/academics-turn-pc-power-unit-into-a-speaker-to-leak-secrets-from-air-gapped-systems/ Ytterligare en falsk Zoom-installer sprids, nu med inbakad WebMonitor RAT! https://blog.trendmicro.com/trendlabs-security-intelligence/webmonitor-rat-bundled-with-zoom-installer/ Denna blogg kommer att kort ta upp centrala delar av det white paper Europeiska kommissionen släppte avseende AI. Friskrivning Denna blogg kommer inte gå in på kommissionens definition av AI, eller hur AI har blivit ett samlingsbegrepp för flera olika typer av algoritmer som författaren inte anser är ”intelligenta”. Bloggen kommer heller ej behandla den […] Zerodays med hjälp av mail till den inbygga klienten i iOS används i riktade angrepp för att komprometterande iPhones utan användarinteraktion. Företagsledare, säkerhetsleverantörer och journalister är bland de drabbade. https://blog.zecops.com/vulnerabilities/unassisted-ios-attacks-via-mobilemail-maild-in-the-wild/ Kina föreslår centraliserat och kontrollerat internet med uppdatering till TCP/IP, RIPE motsätter sig https://www.zdnet.com/google-amp/article/ripe-opposes-chinas-internet-protocols-upgrade-plan/ Microsoft Teams var sårbar mot ett kontokapning genom att angriparen tog […] I denna blogg kommer vi gå igenom hur man sätter upp en Windows Event Collector och en del anpassningar om måste göras för detta. En Windows Event Collector (WEC) används för att samla in logg från Windows servrar och klienter. Detta är en funktionalitet som finns inbyggd i Windows och konfigureras med några GPO:er och […] Om man arbetar med säkerhetsincidenter är det viktigt att kunna få insyn i vad som hänt på en enhet som beter sig underligt. Om exempelvis antivirusprogrammet larmar för att det tagit bort skadlig kod behöver man möjligen kontrollera så att den skadliga koden verkligen försvunnit och kanske även i vissa fall reverse-engineera koden. Det finns […] I dagens blogg så tänkte jag prata om ett välkänt ämne. Från det går det att fråga varför det är värt att prata om det om det om de nu är så välkänt? Jo, dels för att det är välkänt av en anledning (det är en ganska bra sak) dels för att det i de […] Besökare på webbsidor får upp certifikatsvarningar och användarna uppmanas att installera ett certifikat, sidan är legitim men i själva verket ligger det en iframe över sidan och syftet är att sprida skadlig kod https://securelist.com/mokes-and-buerak-distributed-under-the-guise-of-security-certificates/96324/ Även kryptolösningar har kass serversäkerhet. Ska man våga använda komersiella kryptotjänster överhuvudtaget. https://www.washingtonpost.com/technology/2020/03/10/secret-sharing-app-whisper-left-users-locations-fetishes-exposed-web/ En ny attackmetod för att kringgå befintliga försvar […] Att få åtkomst till ditt konto eller kontouppgifter är såklart en het potatis, särskilt för de tjänster där du kanske kommunicerar lite mer känslig information och då väljer att använda en app med möjlighet till end-to-end kryptering. Hur ser det ut bland de mest populära chatt-apparna som använder sig av krypterad information? Hur skulle ett […] Internet skannas nu med publika exploits efter tomcat-servrar sårbara mot CVE-2020-1938 (a.k.a. Ghostcat). Den bakomliggande bristen är att anslutningar via AJP getts högre behörigheter än dem via HTTP i Tomcat. AJP är också som default aktiverat och kräver ingen autentisering. Finns i webbapplikationen möjlighet att ladda upp filer kan bristen leda till fjärrexekvering av kod. […]
sp| Publicerat 2020-05-14  Skrivet av Tomas Forsberg  Publicerat 2020-05-11  Skrivet av Simovits Consulting  Publicerat 2020-04-30  Skrivet av Dennis Nilsson Sjöström  Publicerat 2020-04-28  Skrivet av Simovits Consulting  Publicerat 2020-04-17  Skrivet av Petter Stymne  Publicerat 2020-04-03  Skrivet av James Dickson  Publicerat 2020-03-20  Skrivet av Carl-Douglas Benno  Publicerat 2020-03-16  Skrivet av Simovits Consulting  Publicerat 2020-03-13  Skrivet av Tiina Loukusa Hyttnäs  Publicerat 2020-03-09  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|iPhone har länge legat i framkant vad gäller säkerhet och integritet, med delade känslor för många IT-forensiker som hittills i princip omedelbart fått ge upp när en låst iPhone av nyare modell än 4S hamnar på bordet utan att användaren frivilligt lämnat ifrån sig koden. För någon månad sedan släppte Cellebrite dock sin implementation av […] Röststyrda enheter lyssnar på vad du säger så noga att de inte ska missa sitt start-up kommando så de för säkerhets skull startar upp till 19 gånger om dagen på snarlika ljud. Vad lyssnar de på då? https://moniotrlab.ccis.neu.edu/smart-speakers-study/ Jobbig bugg i Exchange. Finns det en opatchad Exchange server och förövaren har tillgång eller skaffar sig […] Jammer: Med hjälp av ultraljud kan denna Device blockera mikrofoner så som Alexa, mikrofonen på telefonen mm. En ny uppfinning som alla kommer att behöva för att skydda sin integritet. Open source och ritningar på github. http://sandlab.cs.uchicago.edu/jammer/ Valsäkerhet: Voatz, en app som har använts och är tänkt att användas i vissa val i USA har […] Veckans blogg knyter an till tidigare inlägg som beskrev säkerhetsrisker kopplat till genetisk information. Tidigare blogg behandlade sårbarheter hos mjukvara för att tolka resultat vid DNA-sekvensering, möjlighet för angripare att ta över sekvenseringsdatorer utifrån skadlig kod i DNA-sekvens, samt testföretags hantering av resultat ifrån genetiska självtester. I ett nyligen publicerat brev uppmanar Pentagon amerikanska militärer att […] Något tragikomiskt, har programmet sudo (som används för att höja privilegier på linux) en bufferowerflow sårbarhet som ger möjlighet för en angripare att höja sina privilegier. https://www.sudo.ws/alerts/pwfeedback.html NIST har en ny draft på gång för att detektera och hantera ransomware och andra destruktiva händelser https://www.nccoe.nist.gov/sites/default/files/library/sp1800/di-detect-respond-nist-sp1800-26-draft.pdf Kaspersky har analyserat något som de kallar är det första […] När cybersäkerhet diskuteras, utgår diskussionen ofta utifrån att cyberkrig och cyberförsvar är ett koncept och inte en företeelse. På något sätt har det i Sverige blivit en fråga där långsiktiga mål definieras istället för att det ska bli ett prioriterat område inom totalförsvaret. Genom att sammanställa de angrepp som skett mellan länder sedan 2006 går […] Välkommen till Simovits Consultings första nyhetsbrev! Ingen riktig titel eller fast bild än – men det kommer i framtida upplagor. Det mesta har publicerats denna vecka men det finns några saker som vi tycker är värda att uppmärksamma som publicerades något tidigare än så. Coronaviruset används för att skapa phishingattacker https://www.bleepingcomputer.com/news/security/coronavirus-phishing-attacks-are-actively-targeting-the-us/ EKANS (Snake) ransomware riktar […] Nätfiske är inget nytt hot och idag är det förhoppningsvis inte lika många som anger sitt användarnamn och lösenord på en webbsida de kom till efter att ha öppnat en länk från ett e-postmeddelande. Iallafall inte utan att kontrollera att webbsidan är den riktiga sidan och ingen nätfiskesida. Nu är det bara det att att […] Tidigare har vi skrivit om BashBunny, men ungefär samtidigt som kaninen släpptes publicerades också den första versionen av P4wnP1, en USB-baserad attack-plattform. P4wnP1 kan installeras på en Raspberry Pi Zero och Zero W. P4wnP1 är särskilt användbar med den trådlösa varianten (Zero W) då den både kan konfigureras och skicka attack-kommandon och resultat på distans. […] Maskininlärning och AI-system har en oerhörd förmåga att upptäcka mönster i data som är svår för oss människor att hitta eller definiera tydliga regler för. Maskininlärning är idag på en så pass hög nivå att många väldigt smala användningsområden kan utföras av AI-system betydligt snabbare än människor kan, och i många fall med högre eller […]
sp| Publicerat 2020-03-08  Skrivet av Peder Sparell  Publicerat 2020-03-02  Skrivet av Simovits Consulting  Publicerat 2020-02-24  Skrivet av Mikael Simovits  Publicerat 2020-02-21  Skrivet av Filip Crona  Publicerat 2020-02-14  Skrivet av Mikael Simovits  Publicerat 2020-02-14  Skrivet av Mikael Simovits  Publicerat 2020-02-07  Skrivet av Simovits Consulting  Publicerat 2020-02-07  Skrivet av Daniel Hedencrona  Publicerat 2020-01-31  Skrivet av Tiina Loukusa Hyttnäs  Publicerat 2020-01-31  Skrivet av Erik Aronson Copyright © 2021 - Simovits AB
pa|(Del 1 ) Troligtvis har folk väntat som ekoxar på nästa del i denna fantastiska ”bloggserie” om Cryptopals, och nu är den äntligen här! (*författaren har ingen aning om ifall ekoxar överhuvudtaget väntar på saker*). Den ursprungliga tanken med denna bloggserie var att metodiskt och pedagogiskt gå igenom uppgifterna från cryptopals.com i tur och ordning […] Den som följer nyheterna inom IT-säkerhet kan lätt känna sig lite uppgiven av det ständiga flödet av kritiska sårbarheter, dataläckor och angrepp. För att lätta upp handlar därför det här blogginlägget om en positiv nyhet. Att surfa med Chrome kommer nämligen, åtminstone i vissa avseenden, bli säkrare från och med version 80 som släpps den […] Granskningar och utredningar är centrala begrepp inom säkerhetsbranschen, men begreppen är inte helt entydiga och det kan vara intressant att gå igenom likheter och skillnader mellan dessa uppdrag. När man ser likheterna så blir man normalt också bättre på att utföra respektive uppdrag, men man får också en ökad förståelse för skillnaderna och vad som […] I det här blogginlägget vill jag uppmärksamma den typ av hysteri som ibland driver utvecklingen framåt. (Nu senast införandet av GDPR.) Vi människor har mycket av ett flockbeteende särskilt då vi målar upp olika typer av rädslor, så som rädsla för jordens undergång, men även rädsla för skeenden och nya lagar. Nu när jag skriver […] Denna blogg är en fortsättning på ett tidigare blogginlägg som berörde CLOUD Act och GDPR [1], och kommer beröra problemen som är associerade med användningen av amerikanska molntjänster. Bakgrund I mars 2018 antogs CLOUD Act i USA i syfte att underlätta för amerikanska myndigheter att inhämta data från amerikanska IT-bolag. Detta som svar på en […] Den amerikanska myndigheten Cybersecurity and Infrastructure Security Agency (CISA) som etablerades 2018 [1] har inom sitt myndighetenuppdrag att skriva, förvalta och följa upp efterlevnad av lagar av typen Binding Operational Directive (BOD) [2]. Utgångsläget är att dessa BODs gäller för alla exekutiva federala myndigheter [3][4]. Den 27:e November kommunicerade myndigheten att ett utkast till BOD […] Det är nu drygt en månad kvar av det nuvarande året, och med det närmare sig döden för Python 2. Efter första januari 2020 kommer väsentligen allt officiellt stöd för Python 2 försvinna, inklusive utfärdandet av nya säkerhetsuppdateringar. Mängden program ute i det vilda som är skrivna i det äldre Python 2 är dock så […] Om man i sin verksamhet använder sig av subdomäner för att avskilja olika internetbaserade tjänster så är det viktigt att komma ihåg att inaktivera subdomänen då den inte används längre. Särskilt viktigt är det förstås ifall subdomänen pekar mot en domän som man själv inte har kontroll över. Det finns exempelvis användningsfall där man använder […] Införandet av EU:s nya dataskyddsregler (GDPR) 2018 skedde framförallt för att stärka individers rätt till att i högre utsträckning veta och ha möjlighet att påverka hur företag hanterar deras personuppgifter. Införandet innebar avsevärt förberedande arbete för de som behandlar personuppgifter, vilket i princip inte uteslöt något företag eller organisation, förening eller branschsektor. För att visa […] Jag har vid många uppdrag stött på låsta klienter som är tänkta att användas för ett specifikt syfte eller för en specifik applikation. Dessa klienter återfinns ofta på publika platser eller via en mellanhands-applikation så som RDP eller Citrix, och vid många tillfällen är dessa otillräckligt skyddade. Det är här den roliga delen börjar. Scenariot. […]
sp| Publicerat 2020-01-24  Skrivet av Gustav Sædén Ståhl  Publicerat 2020-01-17  Skrivet av Anders Lundman  Publicerat 2020-01-10  Skrivet av Tomas Forsberg  Publicerat 2020-01-06  Skrivet av Mikael Simovits  Publicerat 2020-01-03  Skrivet av Dennis Nilsson Sjöström  Publicerat 2019-12-06  Skrivet av Victor Sedin  Publicerat 2019-11-29  Skrivet av Carl-Douglas Benno  Publicerat 2019-11-08  Skrivet av James Dickson  Publicerat 2019-11-01  Skrivet av Filip Crona  Publicerat 2019-11-01  Skrivet av Peter Hildeblom Copyright © 2021 - Simovits AB
pa|Den amerikanska myndigheten Cybersecurity and Infrastructure Security Agency (CISA) som etablerades 2018 [1] har inom sitt myndighetenuppdrag att skriva, förvalta och följa upp efterlevnad av lagar av typen Binding Operational Directive (BOD) [2]. Utgångsläget är att dessa BODs gäller för alla exekutiva federala myndigheter [3][4]. Den 27:e November kommunicerade myndigheten att ett utkast till BOD 20-01, de viktigaste kraven i dokumentet kan sammanfattas som att varje federal myndighet ska: Under en månads tid kan allmänheten ge feedback beträffande innehållet i utkastet, men om dokumentet fastställs blir det alltså ett lagkrav för alla exekutiva federala myndigheter (med ett fåtal undantag som Central Investigation Agency (CIA) och Departement of Defence (DoD)) att följda vad som angivits ovan [5]. Om direktivet godkänns så ska de federala myndigheterna säkerställa att alla nya system som är nåbara från internet är vara inom scope för policyn inom 6 månader från att direktivet godkänns. CISA kräver även att alla system som tillhör en federal myndighet och är nåbart från internet ska vara inom scope för en VDP enligt ovan, inom två år. Detta gäller även om det är av misstag som systemet är nåbart ifrån internet. Trots att denna lagstiftning kan tyckas vara något irrelevant för personer som inte arbetar för någon av de exekutiva grenarna av de Amerikanska federala myndigheterna som den kommer att gälla, så tror jag att den kommer att vara opinionsbildande och att det är möjligt att en attitydförändring kommer att ske mot ett öppet och ansvarsfullt förhållningssätt till sårbarhetshantering. Emellertid så är det inte en självklarhet att myndigheterna som lagen gäller kommer att klara av att efterleva den. Nivån av kraven är inte orimligt hårda, de är exempelvis i linje med [6]. Det är dock att detta innebär en stor förändring för många myndigheter, eftersom majoriteten av federala myndigheter saknar en formell process för att ta emot sårbarhetsrapporter från tredje parter, i nuläget. [1]- CYBERSECURITY AND INFRASTRUCTURE SECURITY AGENCY ACT OF 2018: [2]-Binding Operational Directive 20-01: [3]-Executive Departments: [4]-Definition Binding Operational Directive: [5] – BOD tvingande: [6]:
li|Etablera en Vulnerability Disclosure Policy (VDP) som: Definierar system inom scope för policyn. Säger att allmänheten har rätt att testa dessa system. Utkastet anger explicit att detta ej får begränsas till någon mindre grupp individer (exempelvis endast amerikanska medborgare). Specificerar tillåtna typer av tester. Anger hur rapporter om sårbarheter ska lämnas. Säger att sårbarhetsrapporten kan lämnas anonymt. Tydliggör att personen som lämnar sårbarhetsrapporten inte kommer att föras inför rätta, så länge som myndigheten bedömer att syftet med identifikationen av sårbarheten ej var att orsaka skada. Förväntad tid det tar för myndigheten att besvara rapporten. Inte kräver att personen som skickar in rapporten identifierar sig själv. Inte kräver att personen underhåller information om sårbarheten för allmänheten utöver någon definierad tid som endast ska vara så lång att den gen myndigheten tid att åtgärda sårbarheten. Etablera en kanal för personer att rapportera upptäckta sårbarheter till myndigheten, innan VDP publiceras. Etablera en process för att hantera sårbarhetsrapporter, som uppfyller definierade krav relaterade till uppföljning, kommunikation, tidslimiter och konsekvensanalys relativt den identifierade sårbarheten.
h1|Om CISA BOD 20-1
sp| Publicerat 2019-12-06  Skrivet av Victor Sedin Copyright © 2021 - Simovits AB
pa|Jag har vid många uppdrag stött på låsta klienter som är tänkta att användas för ett specifikt syfte eller för en specifik applikation. Dessa klienter återfinns ofta på publika platser eller via en mellanhands-applikation så som RDP eller Citrix, och vid många tillfällen är dessa otillräckligt skyddade. Det är här den roliga delen börjar. I ett typexempel på en sådan här attack så skulle vår angripare först identifiera en låst klient. Låt oss säga en själv-incheckningsdator på ett hotell. Datorn kör Windows 7 och hotellets IT-administratör har ansträngt sig och stängt av Windows startmeny, aktivitetshanteraren och andra funktioner. Datorn är konfigurerad till att automatiskt starta incheckningsapplikationen i fullskärmsläge när datorn startar igång. Tyvärr har IT-administratören glömt att ta bort vissa Windows-kommandon vilket vår angripare nu identifierat. Med några enkla knapptryck så har angriparen tagit sig in på kontrollpanelen och kan därefter navigera till systemhårddisken. Väl där inne så letar angriparen upp de mest smaskiga filerna så som databasen som innehåller alla incheckade gäster med deras personuppgifter och kreditkortsnummer. Angriparen stjäl databasen och säljer den därefter till högst budande på Tradera. Denna form av attack grundar sig i att utvecklarna eller IT-administratorn glömt bort att stänga av specifika kortkommandon och funktioner i Windows som vi som angripare kan utnyttja. Eftersom konfigurationsdialogerna för kortkommandona och funktionerna ligger utspridda och ibland måste stängas av via GPO:er eller registerändringar så är det lätt hänt att någon metod blir bortglömd. Jag tänkte nedan lista några av de vanliga funktionerna som kan användas för att bryta sig ur en låst klient. Metoderna kan användas för lokala låsta klienter och även låsta klienter som vi ansluter till via RDP eller liknande tjänst. Det är dock värt att notera att vissa kommandon kan agera lite annorlunda på fjärrklienter. Den här bloggen fokuserar enbart på Windows-klienter då dessa utgör den huvudsakliga delen av alla låsta klienter. Windows kommer med en del stödfunktioner som kan åberopas med några lätta knapptryck. Dessa ger ofta direktåtkomst till kontrollpanelen, varefter angriparen kan navigera vidare till klientens hårddiskar därifrån. Genom att trycka på 5 gånger på rad så får vi upp en dialog för att antigen sätta på tröga tangenter eller stänga av kortkommandot i kontrollpanelen. Väljer vi att inaktivera funktionen så blir vi slussade till kontrollpanelen. är ofta den universella knappen för att öppna ett hjälp-fönster. Den här metoden varierar i effektivitet beroende på hur den underliggande applikationen är byggd. Har vi tur så får vi upp en webbläsare. Från webbläsaren kan vi därefter peka startsidan på en lokal fil som cmd.exe (startsida: C:\Windows\System32\cmd.exe) och därefter vid omstart av webbläsaren få upp en nedladdningsdialog varifrån vi kan välja att köra CMD och få en lokal terminal. ( Skärmtangentbordet har faktiskt en genväg på tangentbordet. Genom att trycka på + + så får vi upp skärmtangentbordet. Medan skärmtangentbordet i sig inte är så intressant så finns det en liten knapp nere i högra hörnet vid namn ”Alternativ” varifrån vi får upp en dialogruta. I dialogrutan kan vi därefter klicka på knappen ”Bestäm om Skärmtangentbordet ska startas när du loggar in” vilket ytterligare en gång för oss till kontrollpanelen. Medan detta inte är en stödfunktion så är det fortfarande en väldigt intressant funktion att testa och kan användas till mycket om den är tillgänglig. Genom att trycka på + så får vi upp en dialog varifrån vi kan välja att köra olika program. Typexempel på vad vi skulle vilja exekvera här är eller varför inte ändra lite i registret och dra ner säkerheten med ? Det här är lite av ett udda fall och något jag upptäckte vid ett pentest av en lokal låst klient. Klienten var uppsatt med Windows 10 och hade alla ovannämnda genvägar avstängda förutom Tröga tangenter, vilket i sin tur resulterade i en dialog som meddelade om att kontrollpanelen var avstängd via GPO:er. Under testernas gång så upptäckte jag följande metod för att bryta mig ut ur den låsta applikationen. Det är viktigt att notera att steg tre kan behöva upprepas ett flertal gånger (cirka 20 gånger i vissa fall) då det verkar vara lite slumpmässigt när den följer med ner till operativsystemet. Vad som verkade hjälpa här var att skapa fördröjningar genom att slå på högkontrast-läge samtidigt som man klickar på avbryt eller att ha en feldialog på operativsystemet innan man börjar proceduren. Jag har dock inga bevis för att detta ska hjälpa. Jag har även testat proceduren på en Windows 10 konfigurerad för kioskläge och kunde där inte upprepa samma procedur. Det finns en uppsjö av genvägar och funktioner som jag inte tagit med i den här bloggartikeln. Jag rekommenderar att ta en titt på Microsofts egen dokumentation över genvägar och utifrån den utforma egna tester. Ni hittar listan på Vad vi kan konstatera från det här blogginlägget är att det är väldigt svårt att skydda sina låsta klienter. Det finns ett multum av genvägar och funktioner som vi kan använda för att bryta oss ur och någon av dessa blir ofta kvarglömd. Lyckligtvis har Microsoft i Windows 10 introducerat kioskläge vilket är en funktion som sköter alla inställningar åt dig. Med några enkla knapptryck så sätter du snabbt upp ett konto som binds till en applikation, varefter vi har en färdigkonfigurerad klient. Samtliga ovannämnda funktioner fungerar inte i Windows 10 kioskläge. Jag kommer inom en obestämd framtid utföra mer tester mot kioskläget i syfte att hitta potentiella brister.
li|Öppna låsskärmen med Tryck på knappen (cirkel med två pilar) och öppna skärmtangentbordet. Håll nere och och tryck därefter på på låsskärmen. Om allt fungerat som det ska så ska skärmtangentbordet följa med ner till det olåsta operativsystemet Från operativsystem. Klicka på på skärmtangentbordet och därefter knappen ”Bestäm om Skärmtangentbordet ska startas när du loggar in” (notera att knappen inte finns där på skärmtangentbordet i låsskärmen). Detta ska öppna kontrollpanelen även om den stängts av via GPO:er.
st|Scenariot. Hur går vi till väga Stödfunktioner Tröga tangenter (Shift x5) shift Hjälp-fönstret (F1) F1 Skärmtangentbordet Windows-knappen + CTRL + O) Windows-knappen CTRL O Run (Windows-knappen + R) Windows-knappen R cmd.exe regedit Peters specialare Ctrl + Alt + Delete. Hjälpmedel Ctrl Shift Avbryt Alternativ Och mera Hur man skyddar sin låsta klient
h1|Ut ur lådan
sp| Publicerat 2019-11-01  Skrivet av Peter Hildeblom Copyright © 2021 - Simovits AB
pa|I den här bloggen kommer vi att titta mer på en Ransomware-familj Ryuk. Namnet Ryuk kommer från mangaserien Death Note. Ryuk är en gud som lämnat en anteckningsbok som tillåter användaren av boken att döda någon, genom att skriva in deras namn och rita deras ansikte i boken. Han lämnar boken på jorden för att […] Fingeravtrycksscanners är något som idag frekvent används som biometrisk autentisering för bland annat datorer och telefoner. Eftersom det mönster som bildas av huden på våra fingrar är unik för varje individ, till och med för enäggstvillingar (eftersom detta mönster bildas delvis genom en slumpartad process i livmodern), samt att fingrar generellt är ett lättillgängligt “redskap” […] Denna blogg handlar om att lokalisera den faktiska geografiska positionen av trådlösa accesspunkter utifrån accesspunktens BSSID (MAC adress). Bakgrund Det vanligaste tillvägagångssättet för att lokalisera en accesspunkt är att använda någon av de fritt tillgängliga databaserna på internet som kopplar BSSID från trådlösa accesspunkter till den geografiska positionen av accesspunkten. Dessa databaser har skapats av […] Var fågeln död när den kom upp kunde förekomst av farlig gas konstateras, levde den var det antagligen ingen direkt dödsfara. Oavsett vilka funderingar man har kring detta avseende effektivitet mot långsamt verkande förorening eller som djurvän har det gett upphov till begreppet “canaries” inom IT-säkerhet. Dagens första bloggpost (av två!) är lite annorlunda mot vad dessa bloggar vanligtvis brukar handla om, och kommer prata lite grann om sidan: cryptopals.com OSINT står för Open Source Intelligence och innebär generellt att man bedriver underrättelsetjänst med hjälp av informationsinhämtning från öppna källor, exempelvis massmedia, offentliga källor, sociala medier, akademiska och kommersiella datakällor samt olika företagskällor. Motsatsen till OSINT kan anses vara spioneri då man med olika medel försöker inhämta känslig information. Gränserna för OSINT är ändå delvis […] I denna blogg ska jag visa hur man med enkla medel bygger en smart säkerhetskamera som kan upptäcka rörliga objekt samt skickar ett mail med en bild på en inkräktare. Den utrustning som behövs till detta projekt är: Raspberry Pi med tillbehör (nätadapter och 8Gb+ minneskort) Alla versioner av Raspberry Pi fungerar, dock är det […] Jag besökte BlackHat i början av augusti och gick utöver själva konferensen en kurs som heter ”BlackOps Hacking – Master Level”. Gemensamt med båda var att det var en hel del diskussion om sårbarheter (så klart…) och 0-days från olika perspektiv – utveckling/forskning, köpare och säljare. Marknaden är stor för 0-days och sårbarheter och det […] I denna blogg tänkte jag prata om ett ämne som ter sig extra intressant i och med den nuvarande tekniska utvecklingen som vi befinner oss i, med stapelvarorna AI, maskininlärning och artificiella neuronnätverk. Vad mer, istället för att fokusera på dessa användningsområden inom säkerhetsbranschen, kommer jag att kort redogöra för en av de ”nya” attackvektorerna […] I Kibana finns fina möjligheter till att skapa egna visualiseringsplugin exempelvis genom React-kod. I denna bloggpost publicerar jag ett litet visualiseringsplugin för Kibana som laddar ned en extern webbsida och visar den direkt i Kibana-gränssnittet. Detta kan exempelvis vara nyttigt då man vill se information från ett annat system i en Kibana-dashboard (se exempel i […]
sp| Publicerat 2019-10-25  Skrivet av Petter Stymne  Publicerat 2019-10-18  Skrivet av Erik Aronson  Publicerat 2019-10-18  Skrivet av Victor Sedin  Publicerat 2019-10-11  Skrivet av Anders Lundman  Publicerat 2019-10-11  Skrivet av Gustav Sædén Ståhl  Publicerat 2019-09-27  Skrivet av Tomas Forsberg  Publicerat 2019-09-20  Skrivet av Dennis Nilsson Sjöström  Publicerat 2019-08-23  Skrivet av Tiina Loukusa Hyttnäs  Publicerat 2019-08-23  Skrivet av Carl-Douglas Benno  Publicerat 2019-08-13  Skrivet av James Dickson Copyright © 2021 - Simovits AB
pa|Redan från barnsben blir utvecklare drillade att skriva så effektiv kod som möjligt utan onödiga jämförelser och funktionsanrop. Vid inloggning till en webbapplikation är det vanligt att man loggar in genom att ange ett användarnamn och ett lösenord. Dessa uppgifter skickas till servern som kontrollerar om det finns en sådan användare med ett sådant lösenord, […] Denna veckas blogg tar upp några olika säkerhetsrisker kopplade till hantering av genetisk information. Angrepp exemplifieras som nyttjar sårbarheter i mjukvara, maskeras i DNA:t eller exponerar användaruppgifter till individer som skickat DNA-prover för att släktforska. Zero-day sårbarhet hos mjukvara för DNA-sekvensering Det webbaserade verktyget LIMS är en bioinformatisk mjukvara för att analysera och hantera DNA […] I denna bloggpost kommer jag berätta övergripande om kvantdator och de utmaningar som förväntas komma med deras intåg för hur vi håller vår data och informationsflöde säkert. Vad är en kvantdator? Kvantdatorer är en form av datorer där man utnyttjar kvantmekaniska fenomen för att för utföra beräkningar. Den mest grundläggande egenskapen hos en kvantdator […] För ungefär en vecka sedan rapporterade flera medier om ett nytt sorts konststycke som sålts på auktion. [Aftonbladet, Business Insider, etc]. Stycket som var ute till försäljning var en bärbar dator som innehöll sex datorvirus som alla skapat stor skada på internet sedan de släpptes. Dessa sex virus var: Iloveyou, SoBig WannaCry, BlackEnergy, , Darktequila […] I förra veckan blev ett antal hemsidor knutna till brittiska statsapparaten otillgängliga för användare av Internet Explorer och Microsoft Edge. Exempel på drabbade sidor var intranät samt hemsidor för mindre orter, som exempelvis de officiella hemsidorna för städerna Doncaster och Reading. Gemensamt för alla de drabbade sidorna var att de använde sig av de okrypterade protokollet […] Förra helgen eskalerade våldet mellan palestinska extremister och Israel till den högsta nivån sedan kriget bröt ut 2014. Under helgen avlossades flera hundra palestinska raketer mot Israel, som svarade med flyganfall mot mål i Gazaremsan. Decennier in i våldet och spänningarna i regionen, var detta föga förvånade. Vad som stod ut denna gång är att […] IT-säkerhet kan ses som en ständig kamp mellan illasinnade hackare och IT-säkerhetstekniker. Nya attackvektorer identifieras ständigt och i gengäld kommer nya skydd för att täppa igen attackvektorerna. Vi har på senare tid observerat varianter av malware som utnyttjar legitima webbtjänster för att sprida sig eller utföra kommandon. Jag kommer i den här bloggen berätta om […] I den här bloggen kommer vi att titta vad som händer under en månad på ett system som är ansluten till internet utan att skyddas av t.ex. en brandvägg. För att göra detta har jag satt upp en HoneyPot. Jag valde t-pot som är en färdigkonfigurerade honeypot (https://github.com/dtag-dev-sec/tpotce). Den är uppbyggd på en dockermiljö och […] I en tidigare blogg visade jag ett simpelt exempel på vad en Bash Bunny kan göra ( https://simovits.com/en-elak-kanin/) . I denna blogg tänkte jag skriva om hur enkelt det är att skydda sig mot dessa typer av attacker, speciellt om man kör Linux och har framförhållning. Nyfiken i en strut Så låt oss säga att […] James har sedan tidigare skrivit ett antal inlägg om incidentresponse-verktyget TheHive. Det är ett kraftfullt hjälpmedel till alla som arbetar med incidenthantering. En av de mest användbara funktionerna är Analyzers och Responders, och i det här inlägget tittar vi närmare på Responder-funktionerna. En Responder är någonting som kan appliceras på antingen ett case eller observable […]
sp| Publicerat 2019-08-12  Skrivet av Peder Sparell  Publicerat 2019-06-28  Skrivet av Filip Crona  Publicerat 2019-06-07  Skrivet av Erik Aronson  Publicerat 2019-05-31  Skrivet av Gustav Sædén Ståhl  Publicerat 2019-05-24  Skrivet av Anders Lundman  Publicerat 2019-05-10  Skrivet av Dennis Nilsson Sjöström  Publicerat 2019-05-10  Skrivet av Peter Hildeblom  Publicerat 2019-05-03  Skrivet av Petter Stymne  Publicerat 2019-04-18  Skrivet av Carl-Douglas Benno  Publicerat 2019-04-12  Skrivet av Tiina Loukusa Hyttnäs Copyright © 2021 - Simovits AB
pa|För ungefär en vecka sedan rapporterade flera medier om ett nytt sorts konststycke som sålts på auktion. [ , , ]. Stycket som var ute till försäljning var en bärbar dator som innehöll sex datorvirus som alla skapat stor skada på internet sedan de släpptes. Dessa sex virus var: , , , , och . Konstverket är döpt till “The Persistence of Chaos” och är “skapat” av Guo O Dong. Istället för att prata om varför en sådan dator skulle vara värd över en miljon dollar (som auktionen tydligen slutade på) använder vi denna nyhet som en anledning till att göra en snabb djupdykning (det vill säga en grund-dykning?) i historien om dessa datorvirus. Ett datorvirus som släpptes runt år 2000, och agerade som en internetmask (ett program som gräver sig fram från dator till dator inom ett nätvärk – som en mask). Namnet “Iloveyou” kommer från sättet som viruset spreds: Den angripne fick ett mail med rubriken “ILOVEYOU” och en bifogad fil med namnet “LOVE-LETTER-FOR-YOU.txt.vbs”. Windowsanvändare som öppnade dokumentet råkade omedvetet starta ett Visual basics-skript som skrev över och förstörde slumpmässigt utvalda filer i datorn och använde även adressboken i Outlook för att skicka vidare samma mail till alla användarens kontakter. Detta virus bredde mest ut sig mellan företag, vilket innebar att användarnas kontakter ofta var ens kollegor. Tydligen var folk hoppfulla om hitta kärlek på jobbet, för viruset spred sig snabbt. Inom loppet av några timmar hade viruset spridit sig över hela världen. För att få stopp på spridningen stängde flera myndigheter och organisationer ner sina mailservers, däribland Pentagon, CIA, och Brittiska parlamentet. Två filippinska män anklagades senare på sannolika grunder för att vara upphovsmän till viruset (en av dem hade till och med försökt skriva en avhandling om hur man kan nå ekonomisk framgång genom att använda sig av datorvirus), men de fälldes aldrig för något brott eftersom det inte fanns några specifika lagar mot dataförstörelse i Filippinerna på den tiden. Lagboken har tydligen alltid haft svårt att hinna med i datorns utveckling. Referenser: Nästa på listan är ett virus som upptäcktes 2003. Även detta virus spreds via email, ursprungligen med big@boss.com som avsändare – vilket troligtvis förklarar virusets namn. Internetleverantören AOL i USA upptäckte enligt uppgift att över hälften av de 40 miljoner mailen som de skannade runt virusets utbrott var infekterade. Viruset släpptes i flera varianter, där varje ny version kom med nya förbättringar som gjorde dess spridning mer och mer effektiv. Den mest framgångsrika versionen var Sobig.F som spreds genom att skanna en infekterade dators hårddisk efter potentiella email-adresser, och skicka mail till dessa adresser med en bifogade infekterad fil som döpts till samma namn som en slumpmässigt utvald fil på den infekterade datorn. Detta innebar att de som fick mailet troligtvis var bekanta med avsändaren, och med en ökad chans att filnamnet på den bifogade filen var något som var rimligt för avsändaren att skicka. Utöver att reproducera sig över hela internet laddade viruset även ner en fil från en viss html-länk vilket kunde ge angriparen full kontroll över den infekterad datorn. Referenser: MyDoom-viruset släpptes år 2004, och är tydligen fortfarande det snabbast spridande viruset som skapats. Till skillnad från flera andra av virusen på denna lista så gick detta virus inte ut på att förstöra eller övervaka den infekterade datorn. Istället användes alla de infekterade datorerna, utan datorägarnas vetskap, till en så kallad DDoS-attack mot företaget SCO group – ett företag som var inblandat i flera kontroverser och anklagade olika Linux-utvecklare för att använda deras licensierade källkod. En DDoS-attack (Distributed Denial of Service) går ut på att hindra normal användning av ett system, till exempel genom att skicka så mycket data till offret så att dess system blir överbelastat och kollapsar. Även detta virus spreds via emails, med en bifogad infekterad fil tillsammans med texten: “The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment.” Då en användare klickade på filen laddades viruset ner i datorn, och skickade vidare samma mail till offrets alla kontakter. Eftersom viruset inte gjorde någon skada på de infekterade datorerna så kan man tänka sig att det inte var lätt att upptäcka om ens system blivit infekterat. Namnet Mydoom kommer från en av de som upptäckte viruset (en anställd på datasäkerhetsföretaget McAfee) som hittade strängen “mydom” i viruskoden, och då han gissade att viruset skulle bli allvarligt tyckte han att doom (undergång) var en passande modifiering. Refenser: Detta virus använde sig av “spear phising”-attacker för att spridas. Phising (eller nätfiske) är ett sätt att försöka lura till sig känslig information. ”Spear phising” är en variant på detta när angriparen använder information som är specifikt inriktat mot den som ska angripas. I detta fall användes specifik information riktad mot vissa användare för att övertyga de tilltänka offren att de email de fått var legitima och därmed våga lita på att de bifogade filerna de fått inte skulle vara infekterade – vilket de såklart var. Första versionen av Blackenergy släpptes runt år 2007, och användes då mest som ett instrument för DDoS-attacker, men mer avancerade versioner har släppts sedan dess. Anledningen till att detta virus kvalificerade sig till denna lista är dock troligtvis på grund av den tredje versionen av Blackenergy som släpptes 2014. Denna tredje version användes nämligen i riktade anfall för att skapa ett strömavbrott i Ukraina 2015. Attacken bestod av flera delar; bland annat förstördes flera komponenter i olika IT-system, och informationssidorna för elkunderna togs ner (genom en DDoS-attack) för att skapa förvirring och osäkerhet bland befolkningen. De flesta är övertygade om att denna attack var kopplad till Rysslands militära intrång i Ukraina, och det är inte första (eller sista) gången som nationer använder datavirus för krigsföring. Ett annat exempel är viruset Stuxnet som i början av 2010-talet påverkade och gjorde stor skada för Irans kärnkraftprogram. Vem skaparen av detta virus var låter vi bli att spekulera i. Detta är ett virus som enligt källor har funnits ute på internet sedan 2013, och är speciellt då det anses mycket mer sofistikerat än de andra virusen på denna lista. Till exempel kan viruset känna av om ett potentiellt mål har aktiva antivirusprogram och då välja att inte infektera målet. Ett av sätten viruset sprider sig på är via USB-stickor som potentiella offer kan ha plockat på sig från mässor eller liknande. När USB-stickan kopplas in i en dator laddas ett program ner utan användarens vetskap och ligger dolt utan att användaren upplever några problem med datorn. Istället skannar viruset efter information genom keyloggers (program som loggar knapptryck på tangentbordet) och dylikt för att kunna spara exempelvis inloggningsuppgifter för olika tjänster (så som Dropbox). Viruset sprids sedan vidare när en användare stoppar in en USB-sticka i ett infekterat system eftersom viruset då lägger över en kopia av sig självt dolt på USB-stickan. På så sätt kunde offrets vänner och kollegor bli infekterade, och eftersom viruset inte lämnar några tydliga spår (precis som MyDoom) är det svårt att stoppa spridningen. Referenser: Det sista viruset i listan är från maj 2017, och även om inget definitivt svar finns är de flesta övertygade om att Nordkorea ligger bakom det. Viruset är ett så kallat ransomware – ett program som kräver en lösensumma för att den angripne antingen ska återfå data eller för att stoppa data från att förstöras/exponeras. Tillvägagångssättet för just detta virus var att kryptera hela den infekterade datorns hårddisk och i och med det göra all data på datorn oläslig för användaren. Angriparna krävde sedan en summa pengar i form av bitcoins för att dekryptera och därigenom återskapa alla filer och all information på datorn. En anledning till att detta virus blivit så välkänt är troligtvis på grund av historien bakom säkerhetsbristen som viruset använde för att sprida sig och infektera sina offer. Viruset använde en svaghet i Microsofts implementering av SMB-protokollet (Server Message Block-protokollet – ett protokoll för fildelning och andra sorters kommunikationer mellan olika noder i ett nätverk). Tydligen hade denna svaghet upptäckts av NSA (National Security Agency) långt tidigare men istället för att berätta detta för Microsoft, valde de att hemlighålla bristen för att själva kunna utnyttja den i deras arbete. Denna exploit, som gick under namnet EternalBlue, läcktes dock i början av 2017 av en hackergrupp, och bara någon månad senare användes den av WannaCry-viruset. NSA hade dock, efter att de insett att informationen läckt, berättat för Microsoft om svagheten, och en uppdatering av SMB-protokollet hade släppts innan WannaCry-viruset började spridas. Detta var en av anledningarna till att viruset inte fick så stor spridning – de enda utsatta systemen var de som inte hade uppdaterat i tid, och de äldre systemen som inte längre patchades. En notering här är också att vem som helst kan råka ut för datavirus. Om man tittar i Wikipedias lista på infekterade organisationer hittar vi bland annat Timrå kommun – även om de nog aldrig var det tilltänka offret för just detta virus. Referenser: Lärdomarna vi kan dra från dessa olika virus är många. Exempelvis: Som avslutning måste bloggförfattaren erkänna att han ofta har svårt att förstå värdet i vissa konststycken. Men det kanske är meningen. Konst är ju konstigt.
li|Var aktsam med din emailinkorg, och öppna inte bifogade filer från misstänkta email. På allvar. Öppna inte bifogade filer från misstänkta emails – även om de innehåller kärleksförklaringar. Misstänk även mail från vänner och kollegor om något verkar konstigt. Håll dina system uppdaterade eftersom nya brister med tillhörande lösningar utkommer ofta. Var varsam med okända USB-stickor och annan hårdvara du kan koppla in i din dator. Och slutligen, öppna inte bifogade filer från misstänkta emails. Det går inte att vara nog tydligt med detta. Enligt listan ovan verkar det inte räcka med bara ett varningsexempel.
h1|Viruskonst
h4|Iloveyou Sobig MyDoom BlackEnergy Darktequila WannaCry Avslutning
sp| Publicerat 2019-05-31  Skrivet av Gustav Sædén Ståhl Copyright © 2021 - Simovits AB
em|Iloveyou SoBig WannaCry BlackEnergy Darktequila MyDoom
pa|Kibana is becoming a versatile tool for viewing Elasticsearch logs. However, when using Kibana a while it soon becomes clear that you would like to have some features that are missing or yet to be incorporated in the Kibana application. Luckily it is easy to write Kibana plugins for the features that one requires. The […] Denna veckas blogg knyter an till förra veckans blogg avseende användning av kameror för säkerhetsrelaterade syften. Denna gång handlar det om ett exempel på hur data från övervakningskameror (CCTV) möjligtvis kan analyseras för att förebygga brott. Övervakning av butiker i sig med CCTV är knappast något nytt, men i ett nyligen uppmärksammat fall [1] har […] IR-kameror används mer och mer i olika säkerhetsrelaterade sammanhang. De har nyligen kommit att användas för att identifiera användare av datorer och mobiltelefoner vid inloggning. De används också sedan länge för bevakningsändamål. Varför vill man då använda en IR-kamera för biometrisk identifiering? Det enklaste svaret är att man vill undvika att låta kameran luras av […] Dagens blogg handlar om type-juggling som är en ”feature” i PHP som kan användas i antagonistiska syfte. Angreppen baseras på att “==“ är en svagare form av jämförelse mellan två objekt än ”===”, enligt vad som syns nedan. Det som händer när man använder “==“ är att PHP ser om det går ändra typen av […] Konferensen hölls i Stellenbosch nära Kapstaden i Sydafrika 28 Feb – 1 Mars, och jag hade förmånen att vara med då Dennis presenterade sin artikel om hur man hackar det amerikanska presidentvalet (se gärna Dennis blogginlägg). Detta blogginlägg handlar lite om intrycken från de andra föredragen som vi lyssnade på. Andan på konferensen handlade om […] Today, Friday March 1 2019 I held a presentation at the conference – International Conference on Cyber Warfare and Security (ICCWS) regarding the master thesis I wrote at Simovits Consulting. We (Dennis and Mikael) then wrote the master thesis into an article that got accepted to this conference in South Africa. The title of the […] Idag, fredag den 1 mars 2019 höll jag en presentation på konferensen – International Conference on Cyber Warfare and Security (ICCWS) angående det examensarbete jag utförde på Simovits Consulting. Vi (Dennis och Mikael) skrev sedan om examensarbetet till en artikel och det var denna som presenterades på denna konferens i Sydafrika. Titeln på artikeln är […] Den amerikanska livsmedelsdistributören Mondelez, (t.ex. Oreos, samt ägare av Ritz och Nabisco), infekterades av krypteringsviruset NotPetya 2017 och betalningskrav i Bitcoins för att återfå åtkomst till sina filer. Attacken resulterade i bl.a. produktionsstopp [1], skada på 1700 servrar, 24000 bärbara datorer, samt läckt autentiseringsinformation för tusentals användare som följd av utbrottet av den skadliga koden […] Allt som webbapplikationstester blir mer vanligt förekommande och fler företag öppnar upp för publika bug bounties så går fler och fler personer i tankebanorna på att börja lära sig webbapplikationstestning. I det här blogginlägget tänkte jag lista några av de verktyg som jag vanligtvis använder vid mina egna tester. Om ni som läser detta inlägg […] I slutet av januari varnade US-cert om en kampanj med syftet att kapa DNS-infrastruktur. DNS står för domännamnsstruktur och används till att adressera datorer på ett nätverk, d.v.s. mappar ett domännamn t.ex. simovits.com till en IP-adress. Kapningar av DNS:er innebär att angriparen har tillgång till att konfigurera DNS-poster och på så sätt styra om trafik […]
sp| Publicerat 2019-03-29  Skrivet av James Dickson  Publicerat 2019-03-22  Skrivet av Filip Crona  Publicerat 2019-03-12  Skrivet av Tomas Forsberg  Publicerat 2019-03-08  Skrivet av Anders Lundman  Publicerat 2019-03-05  Skrivet av Mikael Simovits  Publicerat 2019-03-01  Skrivet av Dennis Nilsson Sjöström  Publicerat 2019-03-01  Skrivet av Dennis Nilsson Sjöström  Publicerat 2019-02-22  Skrivet av Filip Crona  Publicerat 2019-02-15  Skrivet av Peter Hildeblom  Publicerat 2019-02-08  Skrivet av Tiina Loukusa Hyttnäs Copyright © 2021 - Simovits AB
pa|IR-kameror används mer och mer i olika säkerhetsrelaterade sammanhang. De har nyligen kommit att användas för att identifiera användare av datorer och mobiltelefoner vid inloggning. De används också sedan länge för bevakningsändamål. Varför vill man då använda en IR-kamera för biometrisk identifiering? Det enklaste svaret är att man vill undvika att låta kameran luras av ett fotografi eller påverkas av belysningen i rummet. Om en angripare vill visa upp ett fotografi så fungerar detta inte om kameran bara mäter IR-ljus eftersom vanliga bilder visas med hjälp av synligt ljus, vare sig de är utskrivna på papper eller visas på en bildskärm. Om datorn dessutom är försedd med en IR-diod så behöver kameran inte alls besväras av övrigt ljus i rummet eller om det är mörkt, dvs belysningsförhållandena påverkar inte avläsningen. Om man dessutom avläser långvågigt IR-ljus, dvs värmestrålning, så kan man även i ökad omfattning få med fler biometriska faktorer som blodkärl och andra karaktäristiska kännetecken i ansiktshuden. I många fall är dock identifieringen undermålig, en surfplatta kan vägra utföra en ansiktsinloggning när man befinner sig utomhus i solsken och i andra fall har inloggning kunnat ske när man helt enkelt går förbi surfplattan. Styrkan i den biometriska identifieringen kan nog också ifrågasättas. IR-kameror har även en stark användning som övervakningskameror, men här är det inte längre en fråga om biometri utan mer om hur diskret bevakningen låter sig göras. Även om en stark belysning i sig kan avskräcka från angrepp så kan den också vara besvärande för omgivningen, särskilt om belysningen slås av och på vid olika larm. Väljer man istället en IR-bevakning så kan övervakningen göras utan yttre påverkan, men det gäller istället att förstå vilka konsekvenser som uppstår då man inte längre arbetar med synligt ljus. Generellt avses med IR-kameror sådan utrustning som kan detektera IR-strålning i anslutning till vanligt synligt ljus. Med bevakningskameror för dag och nattbruk avses oftast utrustning som visar en normal färgbild under dagtid och en svartvit bild under nattid. I det senare läget kopplas också det vanliga IR-filtret i kameran bort för att sensorn ska kunna ta emot mer ljus. Under dagtid är IR-filtret istället aktivt för att inte förvränga färgåtergivningen. Ibland visas IR-bilder som är tagna dagtid med en IR-kamera i demonstrationssyfte, man sätter då på ett filter som kraftigt dämpar det synliga ljuset för att få fram en nattliknande bild. Fördelen med en IR-kamera är att man övervaka en plats utan att behöva belysa den med synligt ljus. Detta kan vara användbart för dold övervakning eller då man av estetiska eller regelmässiga skäl inte vill lysa upp en plats alltför kraftigt. Normalt är IR-ljuset nattetid för svagt för att man ska kunna se föremål som inte är belysta med artificiellt IR-ljus. Utrustning som ändå klarar av detta använder olika former av bildförstärkning. Värmekameror detekterar istället värmestrålning som är beroende av föremålets temperatur och dess strålningsegenskaper, dvs dess emissivitet. Detta kräver både annan optik och en annan sorts sensor som är dyrare och har en betydligt lägre upplösning och längre detekteringstid. Värmekameror kan användas på stora avstånd och täcka stora ytor, exempelvis vid gränsbevakning eller på flygplatser. Vid gränsbevakning så visar man då inte heller var bevakningen utförs och på en flygplats så kan bevakningen utföras utan att störas av annan belysning eller riskera att påverka den övriga flygverksamheten. För andra anläggningar där en omfattande belysning kan tillåtas, exempelvis fängelser eller industriella anläggningar, så kan värmekameror ändå vara användbara för att täcka intilliggande områden och man får då även en överlappande övervakning av de ytor som är belysta. Fotografering med värmekamera anses ofta vara mindre integritetskränkande på avstånd än annan fotografering då man inte enkelt kan avläsa färger, ansikten, registreringsnummer eller texter på bilar eller kläder. På en arbetsplats kan man givetvis identifiera bilar och personer utifrån andra faktorer som exempelvis rörelsemönster, tidpunkter och andra detaljer som kan synas i bild och som är kända lokalt. Vanligast vid bevakning är att man kombinerar en värmekamera med en dag och nattkamera, man har då alltså en manövrerbar kamera med två objektiv. Värmekameran används då oftast för att styra larm, antingen upptäckt av brand eller rörelser över gränser (intelligent videoanalys) och den vanliga kameran används för att bekräfta eller tolka vad det är som hänt. Värmekameror kan även användas i andra situationer, exempelvis En rekommendation om man avser att använda värmekameror för bevakningsändamål är att man ändå bekantar sig lite med övriga användningsområden för att skapa sig en uppfattning om möjligheter och begränsningar i tekniken. Det finns också ett antal referenser på nätet, främst från kameratillverkare, hur tekniken kan användas för inspektioner av byggnader, vvs och för övervakning. Det finns också olika dokument och avhandlingar som ger inblick i området Vad gäller möjligheterna att använda tekniken för att läsa av tryckningar på tangenter eller knappsatser så är dessa dock ytterst begränsade. Ett värmeavtryck på metall försvinner på några sekunder och något långsammare på andra material. Ofta är färgbilder enklast att avläsa och kan användas för att visa byggnadsstrukturer. Bilderna med vitt som varmast kan vara mer svåra att tolka (särskilt utomhus), även om det är svart ute så vill man att himlen ska vara ljus och marken och husen mörka när man tittar i kameran. Fönsterglas och metall är ogenomskinliga och reflekterande. Det finns ingen videoinspelning på dessa enkla kameror, man går runt och tittar och ser man något man vill spara så tar man en ögonblicksbild. Bildfrekvensen i detta fall är 15 uppdateringar per sekund så rörelser syns ganska bra. Man bör så lång det är möjligt arbeta dagtid så man ser vad undersöker. En enklare värmekamera av ovanstående typ kan användas för enklare uppgifter. Den här typen är typisk för jakt och friluftsändamål och har en inbyggt ficklampa som kan användas vid situationer där så är lämpligt. Givetvis ser man inte bättre eller sämre med kameran med lampan påslagen, men man slipper snava i mörkret. För bevakningsändamål och teknisk fotografering krävs en högre upplösning än de 320×240 punkter som visas i bilderna ovan, nästa steg är vanligen 640×480 i upplösning. Det är också vanligt med hybridkameror som kan överlagra en vanlig bild med en värmebild för att ge bättre information om vad som fotograferats och för att kunna visa text och annan identifiering i närheten av det objekt som fotograferats. Det finns särskilda regler om kontroll av ventilation om denna görs yrkesmässigt. Normalt mäter man i flera omgångar, med avslagen ventilation och med både över respektive undertryck i lokalerna. Trycket åstadkoms genom en särskild ”dörr” med en öppning för en kraftig fläkt. Kontroll av täthet görs både inifrån och utifrån. På utsidan säker man efter de värmespår som varm luft lämnar där den strömmar ut och på insidan söker man efter den nedkylning som ett kallras lämnar. Givetvis kan man göra enklare iakttagelser både kring ventilationen och otäta fönster eller dörrar utan att vara en VVS tekniker. En otät dörr är också normalt enklare att bryta upp (större springor och dålig passform). Det bör också gå att se fönster som står på glänt på detta sätt. Tanken med att använda en värmekamera i en datahall är inte att mäta temperaturen utan snarare att hitta onormala värmekällor som kan indikera trasig utrustning, fel på en fläkt eller en motor eller en lös anslutning som alstrar värme. Avsikten är då närmast att undvika driftavbrott. Det kan också vara lämpligt att fastighetspersonal och IT-tekniker gör egna undersökningar då de naturligt tittar på sin egen utrustning och själva kan dra slutsatser om denna. För el-centraler kan det på motsvarande sätt vara lämpligt att söka efter överbelastade säkringscentraler och ledningar. Följande tumregler kan vara bra att känna till Oavsett om man arbetar med bevakning, scoutar ett objekt eller går genom ett osäkert område så kan man söka efter värmesignaturer från andra personer, fordon eller maskiner som är varma och indikerar aktivitet mm. Man tar inga bilder utan använder bara kameran för att utforska i olika riktningar och på olika avstånd. Kring ett objekt kan man också försöka registrera pågående aktiviteter. Problemen är att olika material både kan reflektera värme och vara ogenomskinliga. Det går alltså inte enkelt med en värmekamera att se om det sitter en person i en bil som man går förbi, om det står en person i en busskur eller bakom en glasruta. Det går i princip inte att se om ljuset är tänt eller släckt i ett fönster eller ens om det finns en lampa alldeles bakom fönstret. Det går att upptäcka personer som gömmer sig bakom ett skynke eller en presenning, men inte en person som gömmer sig i ett litet skjul så länge inte hela utrymmet hunnit bli uppvärmt. Man måste titta med sina egna ögon för att se synligt ljus och bedöma de objekt som inte kan avsökas med kameran. Som angripare (eller testperson) så kan man också försöka undvika upptäckt, tex vintertid att klä sig varmt och ha ordentlig mössa osv. Det som upptäcks av en passiv värmekamera är värmeutstrålning och denna dämpas av bra klädsel och av ett försiktigt uppträdande för att undvika kroppsvärme och plötsliga rörelser.
li|Kontroller av industriella processer, tex kemi och processindustri Kontroller av byggnader, isolering och ventilation Bevakning, både via övervakningskameror och ronderande bevakning Jakt och viltvård Eftersökning av försvunna personer och räddningstjänst Thermal imaging guidebook for building and renewable enery applications, 68 pages, Flirmedia Thermal imaging for building diagnostics, 21 pages, grimas.hu (flir) Thermal Imaging Attacks on Keypad Security Systems, Wojciech Wodo and Luchan Hanzlik Thermal Residue-Based Post Factum Attacks On Keyboard Password Entry Cracking safes with thermal imaging Detection and Tracing in Thermal Infrared Imagery, Amanda Berg , Lith, 2016, 66 pages Vid inspektion av byggnader bör det vara minst 10 graders temperaturskillnad mellan inomhus och utomhus temperaturen. Man ser sämre när temperaturen är lika både utomhus och inomhus eller om temperaturvariationerna är för stora. Beroende på vad man vill undersöka så kan man välja en stabil temperatur (jämviktsläge) eller gryning/skymning då ytor ändrar temperatur och ändringen kan gå olika fort. Väljer man att undersöka datahallar, elcentraler mm så bör det vara under normal eller förhöjd last. All utrustning bör helst vara i användning (under belastning). Undvik att försöka mäta temperatur på blanka metallföremål, om det skulle bli aktuellt så sätt tex på en matt tejp någonstans på ytan. Undvik egna reflexer i fönster eller blanka metallytor, den egna värmen riskerar annars att synas och påverka bilden. En vinkel på 5-40 grader mot den fotograferade ytan ska eftersträvas. Undvik också att visa för mycket reflexer av andra föremål i bilden. Man ser enklast när man rör på kameran om värmen kommer från objektet eller det är en reflex i objektets yta. Ta om möjligt ett vanligt foto på samma plats som värmebilden är tagen. Det kan annars vara svårt att avgöra var bilden är tagen eller vilket objekt som faktiskt avbildas. Man ser heller oftast inte skyltar med text eller andra markeringar som finns kring objektet.
h1|Användning av IR kameror och aspekter kring säkerhet
h4|Användning av olika typer av kameror för bevakningsändamål Andra användningsområden för värmekameror Några exempel på värmebilder (thermal IR) Ventilationsmätning Datahallar och elcentraler Enkla tumregler Avsökning av område mm
sp| Publicerat 2019-03-12  Skrivet av Tomas Forsberg Copyright © 2021 - Simovits AB
pa|Den här bloggen ämnar att vara en guide till hur någon utan tidigare erfarenhet av att experimentera med Software Defined Radio (SDR) enheter, fort kan sätta upp en miljö där flera SDR enheter kan styras över nätverket, med hjälp av Pothos ramverket och modulen SoapySDR. De flesta stegen i guiden är formellt dokumenterade på [1], […] Den här gången ska jag berätta en varningens historia om vad som kan hända ifall man har för vana att lämna sin dator olåst, även fast det är en “kort stund”. Bash Bunny är i denna historia den trofasta underhuggaren till den tilltänkta antagonisten. Detta är en enhet som i stort sett ser ut som […] TheHive (https://thehive-project.org/) är ett open source Incident-Response-hanteringssystem/Plattform som på senare tid börjat användas hos CERTs världen över. TheHive har ett enkelt ticketing-system och är specifikt utvecklat för just CERTs/SOCs vilket gör att man undviker mycket strul med tidsslösande anpassningar. Dessutom är det open source vilket gör licenshanteringen smidig (och kostnadseffektiv). Det finns en mängd integrationer […] Inga fler säkerhetsuppdatering för PHP 5 Från årsskiftet kommer PHP 5 inte längre att få säkerhetsuppdateringar, [1]. PHP finns även i den nyare versionen 7, men tyvärr används PHP 5 fortfarande i stor utsträckning. En möjlig förklaring till detta är att skillnaden mellan versionerna är stor då exempelvis fel, variabler och listor hanteras delvis olika […] Säkerhetsskyddslagstiftning reglerar säkerhetskänslig verksamhet med betydelse för Sveriges säkerhet. Detta innebär skydd för de mest skyddsvärda verksamheterna mot i första hand antagonistiska angrepp. I april 2019 träder dels den nya säkerhetsskyddslagen (1) samt den nya säkerhetsskyddsförordningen (2) i kraft. Nyligen redovisades ett betänkande med förslag på kompletteringar till den nya säkerhetsskyddslagen (3). Veckans blogg sammanfattar […] Idag är det Black Friday och folk kommer gå man ur huse för att handla något till ett synes extraordinärt pris. Under förra årets Black Friday dygn handlade svenskar prisnedsatta varor för 5.3 miljarder kronor och av dessa var 52 procent inhandlade på nätet[1]. När många ser detta dygn (och helg) som ett ypperligt tillfälle […] I den här blogginlägget ska vi testa ett plugin till Kibana. Kibana är en del av ELK-stacken. ELK står för Elasticsearch, Logstash och Kibana. Simovits använder ofta Elasticsearch för logganalys då det är öppen mjukvara och väldigt skalbart. Elasticsearch vilket är en distribuerad sökmotor byggd på Apache Lucene. Kibana är ett webbgränssnitt som integrerar med […] När vi tänker webbapplikationstester så förs tankarna ofta till OWASP Top 10 och dess kategorier av tester. Men vad vi ofta går miste om är de många andra kategorier av sårbarheter som existerar för webbapplikationer. I detta blogginlägg tänkte jag diskutera en mindre diskuterad sårbarhet som kan ha stora konsekvenser. CORS står för Cross-Origin Resource […] I början av 2018 deklarerade Wifi Alliance att WPA3 ska efterträda WPA2 [1], vilket skulle medföra ett antal nya säkerhetsfunktioner för trådlösa nätverk. Det var emellertid sparsamt med information om den bakomliggande teknikern vid det tillfället, men det ordinarie pressmeddelandet har kompletterats med officiella krav [2]. Det ska förtydligas att WPA3 är ett certifieringsprogram, alltså en […] I den här bloggen tänkte jag diskutera de senaste veckornas gäckande samt fascinerade rapporteringen om kinesiska hacknings-attacker. Dessa ska bland annat ha tillämpat väldigt små inbyggda spion-chip i servrar. Bakgrund Grunden till påståendet om hacknings-attacker är tre stycken publicerade artiklar av Bloomberg. Den 4 oktober 2018 publicerades den första artikel om hur kinesiska underrättelseagenter har […]
sp| Publicerat 2019-02-01  Skrivet av Victor Sedin  Publicerat 2019-01-25  Skrivet av Carl-Douglas Benno  Publicerat 2019-01-04  Skrivet av James Dickson  Publicerat 2018-12-21  Skrivet av Anders Lundman  Publicerat 2018-12-07  Skrivet av Filip Crona  Publicerat 2018-11-23  Skrivet av Dennis Nilsson Sjöström  Publicerat 2018-11-16  Skrivet av Petter Stymne  Publicerat 2018-11-09  Skrivet av Peter Hildeblom  Publicerat 2018-10-26  Skrivet av Victor Sedin  Publicerat 2018-10-19  Skrivet av Carl-Douglas Benno Copyright © 2021 - Simovits AB
pa|I början av 2018 deklarerade Wifi Alliance att WPA3 ska efterträda WPA2 [1], vilket skulle medföra ett antal nya säkerhetsfunktioner för trådlösa nätverk. Det var emellertid sparsamt med information om den bakomliggande teknikern vid det tillfället, men det ordinarie pressmeddelandet har kompletterats med officiella krav [2]. Det ska förtydligas att WPA3 är ett certifieringsprogram, alltså en specifikation av vilka krav en enhet skall uppfylla för att få marknadsföras med begreppet WPA3. Nedan tittar vi på de säkerhetsfunktioner som presenterades vid årets början, samt vilka av dessa som blivit certifieringskrav. Protected Management Frames (PMF) är en benämningen för 802.11w[5] som säkerställer integriteten av management frames. Alla WPA3 enheter ska stödja PMF, men WPA3 kräver inte att PMF skall användas. För WPA2 försvårar PMF den vanligaste attacken för WPA2-PSK nätverk, vilket en angripare skickar ett deautentiseringpaket till en klient [6] för att avlyssna handskakningen då klienten återautentiseras. Med PMF går detta inte att genomföra, eftersom klienten inte kommer att deautentiseras om det inte först verifieras deautentiseringpaket kommaer från accesspunkten. Angriparen måste istället vänta, för att passivt avlyssna när en klient ansluter sig till nätverket. Emellertid är den ovan beskriva attacken inte tillämpbar för den nya SAE handskakningen. Dessutom har [7] visat att det enkelt går att samla in den informations som behövs för offline knäckning av WPA2 lösenord, utan att först behöva avlyssna en 4-vägs handskakning. Därför innebär PMF inte någon signifikant höjning av säkerhetsnivån för varken WPA2 eller WPA3. Den enda förändringen som är ett krav för alla WPA3 enheter är att autentiseringen till WPA3 private nätverk sker med en ny handskakning. Därför tittar vi lite mer noggrant på vad konsekvenserna kommer att vara med denna förändring och försöker förtydliga hur denna handskakning skiljer sig från handskakningen som används vid WPA2 private. Handskakningen inom WPA3, består av två delhandskakningar. En variant av Diffie-Hellman utbyte [4], följd av samma 4-vägs handskakning som används i WPA2-private. Syftet med den första delhandskakningen är att etablera en gemensam PMK(Pairwise Master Key) av hög komplexitet, som används vid den andra delhandskakningen. Låt oss anta att ECC (Eliptic Curve Crypthography) gruppen [14] används vid den första sekvensen. För enkelhetsskull ignorerar vi oftast parametrar som är fritt tillgängliga för en angripare. 1. Den första delhandskakningen, består av följande steg: a). Två parter kommer överens om ett lösenord (Pre Shared Key (PSK)), denna kan vara av låg komplexitet. b). Varje part mappar denna PSK till ett Password Element (PE), vilket är element i den överenskomna gruppen. Exempelvis en punkt på en överenskommen elliptisk kurva. c). En Commit Exchange utförs där parterna genererar varsitt gruppelement E =Inv[s PE]=Inv[(m +p )PE], där m och p är slumpmässiga skalärer. I princip är E summan av s additioner av PE med sig själv, följt av en spegling i y-axeln. d). Parterna utbyter E och s . e). En Shared Secret (SS) beräknas hos vardera part, låt F beteckna funktionen som mappar ett element till sin x-koordinat. Då är SS=F [p (s PE×Inv[m PE])] = F [p ((p +m )PE×m Inv[PE])]= p p PE. f). Parterna beräknar och utbyter en Confirm = Confirm (SS,s1,s2,E1,E2), för att bekräfta att de beräknat samma SS. g). Separat beräknas en PMK = PMK(SS). 2. Ovannämnd PMK används sedan i en likadan 4-vägshandskakning som WPA2-private använde, som exempelvis beskrivs av [3]. För ett exempel av hela SAE handskakningen, se [13]. Problemen med WPA2-private var främst att offline-knäckning mot PSK med ordlista var möjlig. Dessutom kan en angriparen som avlyssnat en 4-vägs handskakning spara ned krypterad data som överförs, för senare dekryptering lång i efterhand, ifall PSK blir känd. Fördelarna med SAE är främst: 1. Eftersom PMKn inte längre går att beräkna från PSKn kommer offline knäckning mot ordlista inte längre vara ett alternativ. 2. Eftersom p är ett slumpmässigt tal som ej kan avlyssnas, så går det ej att beräkna SS, även om PSK blir känd. Detta innebär att data inte kan dekrypteras i efterhand, ifall PSK röjs. Kryptering för öppna nätverk, som syftade till OWE [8][9], framställdes som en stor nyhet för WPA3. Emellertid är stöd för OWE inte någonting som krävs för WPA3 enheter[2]. OWE hade varit en välkommen förbättring från helt öppna WPA2-nätverk, eftersom detta förhindrar den enklaste typerna av avlyssning. Det är dock nämnvärt att, eftersom detta innebär kryptering utan autentisering så är den sårbar för Man in The Middle attacker. WPA3 kommer kravställa stöd för nycklar med komplexitet motsvarande 192-bitar [8]. Men i praktiken så är det potentiellt av större betydelse att EAP protokoll som ej är baserade på TLS, helt förbjuds. Därtill ska WPA3 enheter alltid ska kräva att RADIUS serverns certifikat valideras, i de fall certifikat används. En välkommen ersättare till det osäkra standarden WPS var Wi-Fi Easy Connect, baserad på Device Provisioning Protocol (DPP) [10]. För mer om svagheterna hos WPS, se [11][12]. I slutändan har stöd för DPP inte blivit ett krav för WPA3 enheter. Övergången till SAE handskakningen kommer att innebära en höjning av säkerhetsnivån för ett stort antal individer eftersom de vanligaste attackerna mot WPA2-personal blir obrukbara, åtminstone i närtid. Det hade varit vågat, men väldigt effektivt att förbjuda stöd av äldre osäkra protokoll för WPA3 enheter, till exempel om stöd för äldre, sårbara implementationer av WPA-Enterpise inte längre hade tillåtits så hade det kunnat leda till en signifikant höjning av säkerheten för ännu fler användare. Här har ser det ut som att Wifi alliance prioriterat kompatibilitet. Trots detta så innebär WPA3, helt klart ett försiktigt kliv i en säkrare riktning. [1]:https://www.wi-fi.org/news-events/newsroom/wi-fi-alliance-introduces-wi-fi-certified-wpa3-security, WPA3 release. [2]:https://www.wi-fi.org/file/wpa3-specification-v10, WPA3 specification. [3]:https://www.ins1gn1a.com/understanding-wpa-psk-cracking/, Om WPA2 handskakning. [4]:https://tools.ietf.org/html/rfc7664, RFC för Dragonfly Handshake [5]:https://www.cisco.com/c/en/us/td/docs/wireless/controller/technotes/5700/software/release/ios_xe_33/11rkw_DeploymentGuide /_802point11rkw_deployment_guide_cisco_ios_xe_release33/b_802point11rkw_deployment_guide_cisco_ios_xe_release33_chapter _0100.html#topic_610CA575275E44A6A09F214761A13144, Om 802.11w (PMF). [6]:https://www.aircrack-ng.org/doku.php?id=deauthentication, Om death för WPA2 crack [7]:https://simovits.com/nu-har-tradlosa-nat-blivit-annu-osakrare/, Om WPA2 hack utan deauth. [8]: https://www.wi-fi.org/file/wi-fi-certified-wpa3-technology-overview, WPA3 technology Overview [9]:https://tools.ietf.org/html/rfc8110, RFC Opportunistic Wireless Encryption [10]: Device Provisioning Protocol Specification Version 1.0 [11]:https://simovits.com/wps-weakly-protected-setup-del-1/, WPS sårbart 1 [12]:https://simovits.com/wps-weakly-protected-setup-del-2/, WPS sårbart 2 [13]:https://www.cloudshark.org/captures/3638626f4551, Exempel SAE [14]:https://en.wikipedia.org/wiki/Elliptic_curve#The_group_law, Om ECC
h1|Om WPA3
h2|Protected Management Frames Handskakning i WPA3-private Opportunistic Wireless Encryption WPA3-Enterprise 192-bit Mode Wi-Fi Easy Connect Avslutande tankar Referenser
h3|Fördelar med SAE
sp| Publicerat 2018-10-26  Skrivet av Victor Sedin Copyright © 2021 - Simovits AB
pa|Den här bloggen ämnar att vara en guide till hur någon utan tidigare erfarenhet av att experimentera med Software Defined Radio (SDR) enheter, fort kan sätta upp en miljö där flera SDR enheter kan styras över nätverket, med hjälp av Pothos ramverket och modulen SoapySDR. De flesta stegen i guiden är formellt dokumenterade på [1], men eftersom Pothosramberket har betydligt mer omfattande funktionalitet än det som beskrivs här, så kan den här guiden förhoppningsvis vara till hjälp genom att sålla bort steg som inte är nödvändiga för en ny användare som fort vill komma igång och labba med flera fysiska SDR-enheter i ett GUI. Arbetsstationen där GUIt ska användas kallas för klient, i detta exempel kör klienten OS Ubuntu 18.04. Datorerna som driver de fysiska SDR-enheterna kallas hosts, i detta exempel används två hosts av modell Raspberry Pi (RPI) Model B+ med Raspbian OS. Sedan ansluts två HackRF [2] till RPI hostsen. SoapySDR har emellertid stöd för majoriteten av konsument SDR-enheterna på marknaden, så som BladeRF, LimeSDR och RTL-SDR etc. Det är bra att vara medveten om att en USB-port på RPI B+ ger tillräcklig ström för att driva en HackRF, men att detta förutsätter att RPIn är ansluten till en 5.1V/2.5A strömkälla.Alternativt, om ni använder någon annan SDR med ett behov av mer strömförsörning så bör ni använda en strömförsörjd USB-hubb. Om RPI matas mid svagare ström så kommer RPIn fortfarande att bootha och oftast kommer SDR-enhetrna starta och gå att hitta med , men de kommer att vara instabila och iband ge svåridentifierade fel. Börja med att hämta dependencies: Hämta, kompilera och installera SoapySDR, eftersom RPI B+ har en quad core cpu, används -j4 flaggan. Annars tar nedstående mycket tid på dessa hosts: Gör detsamma för SoapyRemote, men klona istället enligt nedan: Om den fysiska SDR-enheten nu ansluts till hosten så bör den gå att hitta enheten med: Enhetsdrivrutinerna, samt enhetsmodulerna till SoapySDR installeras innan SDR-enheten kan användas inom ramverket. Detta görs på följande vis: Testa att enheten går att hitta, om allt är som det ska vara så förväntas output nedan: Börja med att installera dependencies: Installer SoapySDR och SoapyRemote på samma vis som för hostsen, enligt ovan. Installera sedan PothosCore: Observera att PothosCore måste kompileras med stöd för Soapy för att kunna hitta hostsen i resterande steg. Om installationen sker i ordningen som beskrivs här så görs detta automatiskt. Verifiera att output från för PothosCore anger att stöd för soapy ges vid kompileringstillfället. På klienten bör det gå att hitta SDR-enheten över nätverket med: . I ”Host Explorer” fyll in tcp://192.168.1.100:1234 i fältet ”Click to enter a new Host URI”. PothosFlow GUI är något buggigt och ifall fel parametrar fylls in under “Host Explorer” så kanNu är allting klart och det är bara att börja skapa flöden i GUIt, din HackRF bör gå att identifiera under ”System Info” för proxy-servern som körs på klienten. Sedan är det bara att börja labborera. Det kan vara bra att veta att Pothos proxy-server (och även SoapySDRServer) kan krascha till och från, men det är bara att starta dem igen, inget arbete går förlorat. Detta är en stor del av vinningen med att använda detta ramverk. GUI kan krascha om felaktiga parametrar ställ in i hosts explorer, det kan sedan fortsätta krascha direkt när GUI startas på nytt. Ta då bort de felaktiga fälten under direkt under [HostExplorer] configruationsfilen genom: Jag hoppas att denna guide gör så att några av er som läst bloggen den här veckan känner att tröskeln för att börja labborera med SDR-enheter har blivit lite lägre. [1] – https://github.com/pothosware/PothosCore/ [2] – https://greatscottgadgets.com/hackrf/ [3] – https://en.wikipedia.org/wiki/File:Graynella_packer.jpg
st|Förbered klienterna: Starta SoapySDRServer på hosten: Starta Pothos proxy-server på klienten: Starta PothosFlow GUI på klienten:
h1|Om SoapySDR
sp|lsusb sudo apt-get install \ cmake g++ \ libpython-dev python-numpy swig \ avahi-daemon libavahi-client-dev git clone https://github.com/pothosware/SoapySDR.git cd SoapySDR mkdir build cd build cmake .. make -j4 sudo make install sudo ldconfig git clone https://github.com/pothosware/SoapyRemote.git pi@raspberrypi:~ $ lsusb Bus 001 Device 006: ID 1d50:6089 OpenMoko, Inc. sudo apt-get install hackrf libhackrf-dev git clone https://github.com/pothosware/SoapyHackRF.git mkdir build cd build cmake .. make -j4 sudo make install. pi@raspberrypi:~$ SoapySDRUtil –find ###################################################### ## Soapy SDR — the SDR abstraction library ## ###################################################### Found device 0 device = HackRF One driver = hackrf label = HackRF One #0 a06063c8224e645f part_id = a000cb3c00684f5d serial = 0000000000000000a06063c8224e645f version = 2017.02.1 sudo apt-get install \ libnuma-dev cmake g++ \ libpython-dev python-numpy \ qtbase5-dev libqt5svg5-dev libqt5opengl5-dev libqwt-qt5-dev \ portaudio19-dev libjack-jackd2-dev \ graphviz swig git avahi-daemon libavahi-client-dev \ libmuparserx-dev \ git clone –recursive https://github.com/pothosware/PothosCore.git cd PothosCore mkdir build cd build cmake .. make -j4 sudo make install sudo ldconfig PothosUtil –self-tests cmake pi@raspberrypi:~ $ SoapySDRServer –bind=”tcp://192.168.1.101:1234″ ###################################################### ## Soapy Server — Use any Soapy SDR remotely ###################################################### Server version: 0.5.1-g5a647db9 Server UUID: 86658ea5-d16c-157b-8567-0436007f0101 Launching the server… tcp://192.168.1.102:1234 Server bound to 192.168.1.102:1234 Launching discovery server… Connecting to DNS-SD daemon… [INFO] Avahi version: avahi 0.6.32 [INFO] Avahi hostname: raspberrypi [INFO] Avahi domain: local [INFO] Avahi FQDN: raspberrypi.local [INFO] avahi_entry_group_add_service(raspberrypi._soapy._tcp) Press Ctrl+C to stop the server SoapySDRUtil –probe user@host:~$ PothosUtil –proxy-server=”192.168.1.100:1234″ user@host:~$ PothosFlow sudo nano /home/vl560/.config/Pothos/PothosFlow.conf  Publicerat 2019-02-01  Skrivet av Victor Sedin Copyright © 2021 - Simovits AB
bo|Installera nödvändiga moduler på hosts:
pa|När vi tänker webbapplikationstester så förs tankarna ofta till OWASP Top 10 och dess kategorier av tester. Men vad vi ofta går miste om är de många andra kategorier av sårbarheter som existerar för webbapplikationer. I detta blogginlägg tänkte jag diskutera en mindre diskuterad sårbarhet som kan ha stora konsekvenser. CORS står för Cross-Origin Resource Sharing och som namnet antyder så är det en policy för webbapplikationer som beskriver vilka andra hemsidor eller servrar som webbapplikationen får dela med sig information till. Stöter vi på en webbapplikation med en felkonfigurerad CORS-policy så kan vi vissa fall utnyttja detta för att extrahera känslig information tillhörande en användare. Denna typ av attack går under namnet Cross-origin Resource Scrutiny eller i vissa fall bara CORS-attack. Attacken är i teorin simpel att exekvera men kan i praktiken ofta vara strulig och kräver en viss kunskap om hur webbapplikationen är uppbyggd. Nedan följer en beskrivning på hur sårbarheten kan identifieras och därefter utnyttjas. När vi skickar en förfrågan mot en webbapplikation så skickas en ”Origin”-flagga med. Denna flagga talar om för webbapplikationen vart förfrågan skickats från. Vi kan kontrollera att webbapplikationen accepterar svar från valfri server och att svaret kan skickas med behörigheter genom att manipulera en förfrågan med en transparent proxy. Exempelvis Burp Suite. I ovanstående bild så har ”Origin”-flaggan modifierats från corstest.se till https://simovits.com. Vi observerar nu svaret från servern och ser att den svarar med och . Detta visar att servern accepterar svar från vår sida samt att den ger ett OK på att skicka förfrågningar med behörigheter i form av en sessionstoken. Vi är nu rätt så säkra på att vi har hittat en sårbarhet i CORS-protokollet för webbapplikationen. För att kunna utnyttja sårbarheten så måste vi först konstruera en phishing-sida dit vi kan lura in vårt offer. Medan attacken går väldigt fort och enbart kräver att offret laddar hemsidan så dekorerar vi vårt exempel med en vacker bild så att offret i ska ana odåd. Nu måste vi bara lura in offret medan denna har en aktiv inloggad session på den sårbara webbapplikationen. Medan offret beundrar bilden så exekverar ett underläggande skript som hämtar den resurs vi är ute efter och levererar den till oss utan användarens vetskap. För källkoden till skriptet så hänvisas läsaren till Geekboy:s artikel. En länk finns i slutet av blogginlägget. Om allting gått som det ska så har vi nu i våra webbserverloggar ett svar som innehåller detaljer från den resurs tillhörande användaren som vi efterfrågat. Medan det exempel som togs upp ovan visar på en rätt så simpel kedja för att identifiera och utnyttja en CORS-sårbarhet så är det i praktiken ofta inte lika lätt. Vissa webbläsare har inbyggt skydd mot CORS-attacker (Exempelvis Firefox). Andra gånger så kan pekaren mot de resurser vi är ute efter att vara så pass komplex att vi inte kan gissa oss fram till den. Exempelvis då ett 32-tecken långt slumpmässigt ID används för att hämta resursen. För mer detaljer kring CORS-sårbarheter rekommenderar jag OWASP:s sida om CORS och Geekboys mer ingående artikel på hur en CORS-attack går tillväga
st|Steg 1:
h1|CORS i taket
h3|Identifiera en felkonfigurerad CORS-policy Steg 2: Konstruera vår phishing-sida Steg 3: Observera Slutsats
sp| Publicerat 2018-11-09  Skrivet av Peter Hildeblom Copyright © 2021 - Simovits AB
pa|UEFI, Unified Extensible Firmware Interface, är en specifikation som definierar gränssnitt mellan operativsystemet och firmware och en ersättare till BIOS, Basic Input/Output System. UEFI ser till att ladda de komponenter som behövs för att din dator ska starta. Rootkit är en annan definition som behöver förtydligas lite inför detta inlägg – ett rootkit fångar och […] Det har de senaste åren dykt upp fler och fler appar för de som vill hålla sina konversationer privata. Exempel på funktioner är efemära meddelanden (som försvinner efter läsning eller viss tid) och end-to-end-kryptering, vilket innebär att den sändande mobilen krypterar och den mottagande mobilen dekrypterar, utan att ens tjänsteleverantören kan återskapa meddelandena till klartext. […] I Elasticsearch-stacken finns Logstash med som loggmottagare. Logstash är ofta inte önskvärt som loggmottagare eftersom det utnyttjar en stor mängd systemresurser vilket förstås inte alltid är lämpligt. Därför används ofta andra loggmottagare eller egenutvecklade loggmottagare. Lumberjack är det protokoll som vanligen används av Elasticsearch beats-suiten (https://www.elastic.co/products/beats) såsom Filebeat och Winlogbeat då loggar ska skeppas. Protokollet […] De senaste åren har transparens i hanteringen och skydd av personuppgifter givits mycket stort fokus på nationell och europeisk nivå genom införandet av Dataskyddsförordningen. Man kan nu möjligen se tendenser till att detta är på väg att ta en motsatt riktning och att intressen som har att göra med nationell säkerhet prioriteras. Tecken på detta […] En av utmaningarna vid forcering av WPA/WPA2-personal skyddade WiFi nätverk, så har man som angripare varit tvungen att placera sig i närheten av både anslutna klienter och accesspunkter. Syftet är att erhålla en lösenordshash. Genom att tvinga fram en omautentisering av klienten mot accesspunkten kan angriparen snappa upp en lösenordshash. Genom att sedan knäcka lösenordshashen […] I den här bloggposten tänkte jag kort diskutera tre funktioner i iOS för att motverka att någon med fysisk tillgång till en iPhone kan dumpa data från den; USB Restricted Mode, SOS-läge samt parningscertifikat. Detta är relevant vi forensiska utredningen, men även för den som funderar över sin telefons säkerhet rent allmänt. USB Restricted Mode […] Frågeställningen i detta inlägg är vilka förändringar som den nya dataskyddsförordningen (som ersätter personuppgiftslagen) kan komma att medföra för hur känsliga personuppgifter hanteras inom IT-relaterade utredningar. Utgångspunkten för dataskyddsförordningen är förenklat att enbart sådan behandling av personuppgifter får äga rum som är nödvändig, har stöd av lagstiftning och regelverk och som framstår som relevant och […] I och med att vi ständigt ska vara uppkopplade och alltid tillgängliga, blir vi överösta med smarta produkter som kan ansluta oss till ett nätverk och gör att vi kan kolla Facebook vart vi än är. Dessa nya Internet of Things (IoT) enheter kan förenkla vardagen för företag genom att möjliggöra för maskiner att kunna […] I det här blogginlägget ska vi ta en närmare titt på en typ av attacker som kallas side-channel attacker eller sidoattack om vi ska försvenska ordet. Dessa typer av attack sker mot själva implementationen av datorer eller inbyggda system och inte direkt mot en applikation eller lösning. För att förenkla detta låt oss ta ett […] I den här bloggen tänkte jag översiktligt diskutera ett gemensamt ramverk som många populära skrivbordsapplikationer har börjat använda de senaste åren, och varför vi borde vara lite skeptiska till dess förekomst från en säkerhetssynpunkt. Viljan att köra JavaScript överallt: Vad är Node.js och Electron? Under de senaste åren har användandet av JavaScript exploderat. Framförallt har […]
sp| Publicerat 2018-10-12  Skrivet av Tiina Loukusa Hyttnäs  Publicerat 2018-10-05  Skrivet av Peder Sparell  Publicerat 2018-09-28  Skrivet av James Dickson  Publicerat 2018-09-07  Skrivet av Filip Crona  Publicerat 2018-08-31  Skrivet av Mikael Simovits  Publicerat 2018-08-10  Skrivet av Anders Lundman  Publicerat 2018-08-03  Skrivet av Tomas Forsberg  Publicerat 2018-06-29  Skrivet av Dennis Nilsson Sjöström  Publicerat 2018-06-21  Skrivet av Petter Stymne  Publicerat 2018-06-14  Skrivet av Carl-Douglas Benno Copyright © 2021 - Simovits AB
pa|Den här gången ska jag berätta en varningens historia om vad som kan hända ifall man har för vana att lämna sin dator olåst, även fast det är en “kort stund”. Bash Bunny är i denna historia den trofasta underhuggaren till den tilltänkta antagonisten. Detta är en enhet som i stort sett ser ut som en vanlig USB minnes sticka, men är ack så mycket mer. Den kan imitera olika USB enheter, så som tangentbord, USB-ethernet adaptrar, USB-Serieport (RS-232) adaptrar och självfallet USB-minnen. Dessutom finns en fullständig ARM baserad Linux dator inbyggd i denna, som dynamiskt kan kontrollera alla dessa olika gränssnitt med hjälp av skript språk. Här ska vi se att enbart förmågan att kunna imitera tangentbord är tillräckligt för att orsaka stor föröda. Kommer dessvärre inte ha möjlighet att fördjupa mig i Bash Bunny och hur den fungerar i denna blogg. Framförallt skulle det innebär att gå igenom redan skapade/kända attackskript, vilket inte är lika roligt som att göra egna. Istället kommer historian innefatta ett enkelt exempel, som likt väl illustrerar hur vissa delar av denna enhet fungerar när det gäller själva skripten. Förhoppningsvis kan jag återkomma till detta ämne i framtida bloggar, för att då bygga vidare på denna grundläggande kunskap om skriptens struktur, som precis som ofta är fallet egentligen bara är simpla textfiler. Ponera följande scenario: En person lämnar ögonblickligen sin Windows 10 dator obevakad och olåst. Snabbt som bara den smyger sig någon fram och stoppar in vad som ser ut att vara en USB-sticka. Vad som följer är inte trevligt. För just i detta ögonblicket får din kära bundsförvant på värsta sättet ta del av följande kod: Koden ovan kan delas in i olika faser: På en olåst Windows 10 dator (med standard inställningar så som vid nyinstallation) kommer skriptet att öppna upp en administrationsinstans av Powershell, ändra lösenordet till “Secret”, ta bort alla använder förutom den som är inloggad just nu, och till sist logga ut den nuvarande användaren. Resultatet blir i praktiken att ingen kan logga in på datorn eftersom alla användarkonton antingen är borttagna, eller har ett okänt lösenord. Vad mer, den enda som kan lösenordet är nu förövaren som skrev skriptet! Allt detta på mindre än 10 sekunder. Sannerligen en elak kanin! Referenser: https://wiki.bashbunny.com
li|: Eftersom Bash Bunny i grunden är en Linux-maskin, går det att skripta attackerna med Bash, därav Shebang i början. Därefter sätts språket på det härmade tangentbordet (till se-Svenskt). LED är ett nyckelord som förekommer utanför Bash, och är unikt för Bash Bunny. Nyckelord är alltid ord med enbart stora bokstäver. LED-SETUP gör att man kan kontrollera led-lampan som finns på Bash Bunny. Denna är användbar för att förmedla statusmeddelanden till användaren. ATTACKMODE är det mest centrala nyckelordet vid användandet av Bash Bunny. Det är här som man säger vilka enheter som ska imiteras. Framträdande alternativ är HID (tänk tangentbord i det här sammanhanget), STORAGE (monterar minnes-delen) och ECM_ETHERNET/RNDIS-ETHERNET (USB-ethernet adaptrar för olika operativsystem). Här använder jag enbart HID, tangentbords härmning. De mest kraftfulla attackerna använder en kombination av olika imiterade enheter. : Bash Bunny använder samma syntax som Rubbery Ducky vid tangentbordsskript, en annan attack USB sticka som enbart är inriktad på tangentbords härmning. QUACK är nyckelordet som startar skriptförmågan gällande sändande av tangentbordstryck. QUACK utan något delkommando innebär att den specificerade tangenten skickas till maskinen, icke bokstavs/siffrer/tecken-tangenter skrivs med enbart stora bokstäver (exempelvis ALT, CTRL, ENTER). Två tangenter efter varandra motsvarar i detta fallet att dessa ska tryckas ner samtidigt. QUACK STRING innebär att den efterföljande texten ska skickas, en tangent i taget efter varandra. Det är så man skriver text med hjälp av Bash Bunny (notera \ innan somliga symboler som krävs för att “escapa” dessa). Till sist innebär QUACK DELAY att man väntar angiven tid (i millisekunder) innan nästa kommando körs. Varför detta är användbart är bland annat därför att maskinen kan ta ett tag på sig att öppna upp exempelvis grafiska element utefter angivet kommando. Notera att Bash Bunny injicerar tangentbordslag snabbare än vad någon människan kan skriva, och att det därför kan bli märkliga situationer där den skriver fast rutan där den ska skriva i inte hunnit öppnats. DELAY värdena har här anpassats efter min föråldrade labbdator. Kom ihåg att Windows datorer i synnerhet kan ha massor av varierande bakgrund processer som gör att den plötsligt blir segare vid en viss tid punkt. Målet är att skriptet ska fungera konsekvent oavsett mindre tillfälliga fördröjningar. Samtidigt vill man inte att skriptet ska ta för lång tid. Det är här som experimentering och avvägande kommer in. Genom att ha kunskap om Windows grafiska användargränssnittet, snabbkommandon och powershell går det i princip att uppnå vad som helst här. Men vår antagonist vill bara se världen brinna.
st|Upplägg Attack
h1|En elak kanin
sp| Publicerat 2019-01-25  Skrivet av Carl-Douglas Benno Copyright © 2021 - Simovits AB
pa|Tidigare under året publicerades en sårbarhet under namnet EFAIL. Sårbarheten kan utnyttjas för att dekryptera e-postmeddelanden som skickats krypterade med OpenPGP och S/MIME. EFAIL består i grund och botten av två varianter av samma sårbarhet varav den variant som refereras till under namnet ”Direct Exfiltration” syftar på en sårbarhet i vissa e-postklienter som tillåter meddelanden […] Den 1:a Maj 2018 infördes omfattande ändringar i Lagen om betaltjänster [1] och Lagen om elektroniska pengar [2], samt att Finansinspektionen publiserade FFFS 2018:4 [3]. I och med att dessa trädde i kraft, så infördes det nya betaltjänstdirektivet PSD2 (Payment Service Directive 2). Syftet med PSD2 är att modernisera och harmonisera regleringen av betaltjänster inom […] Tidigare i veckan publicerades en artikel i Dagens Industri att införandet av GDPR kostat företag och organisationer i EU motsvarande 2000 miljarder kronor. GDPR behövs, det är många eniga om, och har krävt stora investeringar av företag och myndigheter. Vissa har jobbat med GDPR-införandet i över ett år. Den stora utmaningen för lagstiftaren är dock […] Då man arbetar med säkerhet finns flera tillfällen då det är viktigt att kunna analysera exakt vilka filer som öppnas i ett system. Detta kan exempelvis vara: Reverse engineering av malware Triage i en Incidenthanteringsrutin Verktyg för Data leakage prevention/detection Vanligen finns redan färdiga verktyg för detta, exempelvis Sysinternals gamla vanliga verktyg. Windows har sedan […] Outsourcing av IT kan ske av olika skäl, oftast kostnadsmässiga, men även då teknik och kunskap enbart finns hos aktörer utanför egna verksamheten. Outsourcing behöver inte vara problematisk. Dock kan det innebära att flera kunders system och information hanteras i gemensam IT-miljö hos leverantör med riskexponering som följd, samt som möjligt mål för främmande makts […] Snart börjar den gälla. GDPR. General Data Protection Act. Ja, vi pratar om det igen och det kommer nog inte vara sista gången, i detta inlägg blir det något mer reflekterande kring GDPR och dess effekter. EU:s dataskyddsförordning som ska skydda dina fri- och rättigheter. Upptrappningen har börjat på allvar. Några månader sedan var det […] Den 23 Mars röstade USA:s kongress igenom CloudAct (‘‘Clarifying Lawful Overseas Use of Data Act’’) i samband med genomröstningen av USA:s budget. Med tanke på att Europa är i full färd med att införa GDPR, den nya dataskyddsförordningen med syfte att skydda personinformation, är det få reaktioner på CloudAct. Electronic Frontier Foundation och olika typer […] Kaspersky och forskare från Kings College släppte för en dryg vecka sedan rapporten Penquin’s Moonlit Maze –The dawn of Nation-State Digital Espionage. Rapporten är spännande då den påvisar en möjlig länk mellan ryskt cyberspionage i internets vagga och idag, [4]. Jämför man med idag där nyheter om datorangrepp som kostar företag miljonbelopp är vardagsmat, så […] Steganografi, konsten att gömma meddelanden på ett sådant sätt att endast mottagaren känner till att det finns. Det har använts sedan länge, ca 500 år f.v.t. i det forna Grekland berättar Herodotus att Histiaeus lät tatuera in ett meddelande på en slavs rakade skalle. När håret växte ut var meddelandet således dolt och kunde levereras […] Regeringen publicerar årligen en sammanfattning av hur hemliga tvångsmedel använts under det föregående året. Den senaste skrivelsen publicerades i december 2016 och redogör alltså för användandet av hemliga tvångsmedel under 2015 [1]. Dessa dokument utvecklas fortfarande från år till år. Delvis för att göra användningen av hemliga tvångsmedel mer transparent, men också för att det […]
sp| Publicerat 2018-06-08  Skrivet av Peter Hildeblom  Publicerat 2018-06-01  Skrivet av Victor Sedin  Publicerat 2018-05-24  Skrivet av Mikael Simovits  Publicerat 2018-05-22  Skrivet av James Dickson  Publicerat 2018-05-18  Skrivet av Filip Crona  Publicerat 2018-05-11  Skrivet av Tiina Loukusa Hyttnäs  Publicerat 2018-05-04  Skrivet av Mikael Simovits  Publicerat 2017-04-20  Skrivet av Simovits Consulting  Publicerat 2017-02-27  Skrivet av Simovits Consulting  Publicerat 2017-02-13  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|Tidigare under året publicerades en sårbarhet under namnet EFAIL. Sårbarheten kan utnyttjas för att dekryptera e-postmeddelanden som skickats krypterade med OpenPGP och S/MIME. EFAIL består i grund och botten av två varianter av samma sårbarhet varav den variant som refereras till under namnet ”Direct Exfiltration” syftar på en sårbarhet i vissa e-postklienter som tillåter meddelanden skickade i html-format att dekrypteras. ”The CBC/CFB Gadget Attack” syftar däremot på en liknande brist i OpenPGP och S/MIME-implementationen som kan utnyttjas för att få ut meddelandet i klartext. I den här artikeln tänkte jag fokusera på Direct Exfiltration, hur attacken går tillväga i praktiken och slutligen hur vi kan skydda oss mot den. Direct Exfiltration-sårbarheten kan som tidigare nämnt tillåta oss att utvinna klartext via en HTML-relaterad sårbarhet i e-postklienter. För att exekvera den här attacken så behöver vi konstruera ett nytt e-postmeddelande med en HTML bild-tagg. Men istället för att stänga bildtaggen ordentligt så har vi emellan skjutit in ett meddelande som krypterats med offrets S/MIME eller PGP-nyckel. Slutligen stänger vi vår bildtagg och skickar meddelandet till vårt offer. Om offret har automatisk dekryptering av PGP-meddelanden påslaget och har en sårbar e-postklient så kommer PGP-meddelandet dekrypteras och läggas till i klartext. Vi kan då i svaret till oss själva se meddelandet i klartext Figur 2 Resultatet av attacken – Ett dekrypterat PGP-meddelande: Källa Som tidigare nämnt hänger den här sårbarheten på att offret använder en sårbar e-postklient konfigurerad till att automatiskt dekryptera PGP och S/MIME-meddelanden. Men vilka e-postklienter är det som är sårbara? Forskarna på Münster University har hittills kunnat identifiera sårbarheten i följande klienter. Så vad kan du göra för att skydda dig mot dessa attacker? Först och främst kan du som användare stänga av automatisk dekryptering av PGP och S/MIME-meddelanden i e-postklienten. Eftersom sårbarheten förlitar sig på denna funktion så är detta den bästa kortsiktiga lösningen. Många leverantörer har eller kommer inom kort publicera uppdateringar som löser problemet så se till att applicerade patchar som publicerats för din e-postklient
st|Direct Exfiltration Slutsats
h1|EFAIL
sp| Publicerat 2018-06-08  Skrivet av Peter Hildeblom Copyright © 2021 - Simovits AB
pa|En utredning av regeringen [1] föreslår att säkerhetsskyddslagen ersätts av en ny lag. Lagen ska bemöta förändrade krav på säkerhetsskyddet, exempelvis avseende sårbarhet hos samhällsfunktioner och att säkerhetskänslig verksamhet i högre grad bedrivs i enskild regi. Denna veckas blogg går igenom vad betänkandet beskriver samt hur det mottagits hos myndigheter och andra aktörer. Vad innebar […] En par intressanta händelser under det gångna året har varit de myndighetsingripanden som gjorts mot företag som ansetts ha en bristande säkerhetsstyrning. Nyligen har Finansinspektionen gjort ingripanden mot företag som outsourcat delar av sitt säkerhetsansvar och tidigare under året har Transportstyrelsen gjort ingripande mot företag där säkerhetsstyrningen påvisats ha vissa brister. Mer information finns på […] Denna blogginläggsserie på två delar, skriven av Peder Sparell, behandlar WPS vilket är en extra funktion för trådlösa nätverk som genom sin konstruktion är väldigt bristfällig. I första inlägget, del 1, förklaras kort vad WPS är och varför det är så sårbart, och i denna del (del 2) utför vi praktiska tester där vi genomför […] Denna blogginläggsserie, skriven av Peder Sparell, är på två delar behandlar WPS, vilket är en extra funktion för trådlösa nätverk som genom sin konstruktion är väldigt bristfällig. Det är ingen ny funktion, och dess sårbarhet som vi tar upp här är inte direkt någon nyhet, men det känns fortfarande aktuellt då förvånandsvärt få känner till […] Dagen innan presidentvalet i USA utsågs Hillary Clinton som vinnare. Ett annat resultat vore osannolikt enligt mätningarna. Det samma gällde Brexit-omröstningen. Även omröstningen i Colombia avseende fred med FARC-guerillan slog slint. Även i Sverige har opinionsmätningarna visat sig vara felaktiga. I samtliga fall försöker man hitta rimliga förklaringar, som att mätningarna inte är rättvisande, att […] Applocker introducerades under tidseran Windows 7 och Windows Server 2008 R2 som ett sätt att kontrollera vilka applikationer som exekverar på datorn. Tanken är att man kan använda vitlistning av applikationer för att på så sätt undvika att skadlig kod exekveras. Denna artikel beskriver hur man kan använda rundll32 för att gå runt Applocker-skyddet. Ponera […] 12 september startade en gruppering som kallar sig Fancy Bears HT en kampanj för att avslöja att flertalet olympier dopar sig. Följande text publicerades på Twitter. WADA (World Anti-Doping Agency) har ett system som heter ADAMS, vilket atleter och personal använder för dopingkontroller. Atleterna har genom detta system möjlighet att rapportera in vart i världen […] Jag (Anders Lundman) blev för en tid sedan medlem i ett gym som större delen av tiden är obemannat. När personal inte finns på plats behöver besökare ta sig igenom två dörrar för att ta sig in till gymmet. För att öppna den första dörren används ett passerkort och för att öppna den andra dörren […] Förra veckan gick flera stora anti-virusföretag med information om att en ny APT-plattform identifierats under hösten 2015 som döpts till ProjectSauron av Kaspersky respektive Remsec av Symantec. APTn misstänks ha varit aktivt sedan 2011. Aktivitet har identifierats i bland annat Ryssland, Kina, Iran, Rwanda, Belgien och även en organisation i Sverige har blivit drabbad. Infektionsvektorn […] Det kommer nog inte som en chock för många att Google är den mest populära sökplattformen idag. Trots det stora antalet användare är Googles fulla potential inte känd för alla. Till skillnad från många andra sökmotorer kan en Google sökning utföras med avancerade parametrar i syfte att förfina sökningar och minska antalet oönskade resultat. Parametrarna […]
sp| Publicerat 2017-01-25  Skrivet av Simovits Consulting  Publicerat 2017-01-17  Skrivet av Simovits Consulting  Publicerat 2016-12-30  Skrivet av Simovits Consulting  Publicerat 2016-11-28  Skrivet av Simovits Consulting  Publicerat 2016-11-11  Skrivet av Simovits Consulting  Publicerat 2016-10-18  Skrivet av Simovits Consulting  Publicerat 2016-10-04  Skrivet av Simovits Consulting  Publicerat 2016-08-30  Skrivet av Simovits Consulting  Publicerat 2016-08-16  Skrivet av Simovits Consulting  Publicerat 2016-08-05  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|Vad handlar detta om? EU (kommissionen, Europaparlamentet och Europeiska unionens råd) enades den 15 december 2015 om ett förslag till en ny EU-förordning (GDPR) som syftar till att modernisera dataskyddsdirektiv från 1995 till en mer enhetlig tillämpning inom EU, och förordningen är nu antagen [1]. I överenskommelsen ingick även ett direktiv som reglerar hur polis […] I saw a guy today at Starbucks. He had no smartphone, tablet or laptop. He just sat there drinking his coffee. Like a psycopath. Vår värld blir allt mer fokuserad kring våra mobila enheter. Sannolikheten är stor att en person inte lämnar sitt hem utan sin smartphone. Till följd blir vi allt mer beroende av […] En nyligen utgiven doktorsavhandling avseende digitala bevis väckte mitt intresse häromdagen. Avhandlingen ”Om informationstekniskt bevis” av Jonas Ekfeldt tar bland annat upp aspekter gällande korrekt terminologi, felkällor vid framtagning och värdering av digitala bevis samt rättsväsendets behov av nya kunskaper för att kunna behandla digital bevisning på rätt sätt. En avhandling av denna typ kan […] I början av månaden gick RSA Conference USA 2016 av stapeln i San Francisco. Jag (Peder) och Mikael var där och höll vår presentation angående mitt/vårt arbete med lösenfrasknäckning med hjälp av Markovkedjor. Vi fick bra respons och många frågor efteråt, och det kändes som att åhörarna tyckte det var intressant, nydanande och att de […] Jag har tidigare skrivit om dnurl vilket är ett enkelt curl-liknande verktyg för att testa webbsidor. Då kallades projektet nurl men bytte namn eftersom det namnkrockade med ett annat verktyg. Verktyget är till för att testa webbsidor och nu har stöd för chunked transfer encoding lagts till. Det har även skett en del refactoring av […] FBI har i efterskalven av massmorden i San Bernardino försökt få genom en skräddarsydd bakdörr för iOS enheter. Detta för att kunna ta sig in i en Iphone 5C-telefon tillhörande förövaren Syed Farook som tillsammans med sin fru mördare 14 personer. FBI har efterfrågat följande från Apple [1]: ”[Provide] the FBI with a signed iPhone […] På Näringslivets Säkerhetsdelegations årsseminarium som hölls den 4e februari i år, berörde flera talare hur anställdas beteenden påverkar säkerheten inom företag. Till exempel så talade Lars Korsell, forskare på Brå, om infiltration. Han nämnde bl.a. fem sätt att infiltrera: förvärv av befintliga företag, bilda nytt bolag, utpressning, kapning av bolag och insider [1]. På samma […] Den första delen av Nätverkshacking-serien handlade om arp-spoofing, men nu är det dags att gå mot modernare tider och undersöka närmare vad man kan göra med trådlösa nätverk. Vi börjar med att sätta upp en WiFi honeypot som ovetande användare kan ansluta sig till. Till detta behövs en laptop (eller vilken dator som helst fungerar […] När betan för Windows 10 lanserades blev många varse hur mycket information som egentligen skickades till Microsoft. Det blev något av ett ramaskri som kom av sig. Egentligen är det inget nytt, data samlas in helt öppet om oss som individer och hur vi använder våra datorer och mobiltelefoner. De flesta använder Chrome och har […] Med jämna mellanrum dyker frågan upp hur långt man kommit med intelligent videoanalys och om det är dags att börja använda denna teknik i sin befintliga kameraövervakning. Svaren är inte helt självklara från vårt perspektiv, men det kan vara värt att prova åtminstone de enklare varianterna i sin befintliga miljö. Det har länge funnits system […]
sp| Publicerat 2016-05-12  Skrivet av Simovits Consulting  Publicerat 2016-05-09  Skrivet av Simovits Consulting  Publicerat 2016-04-06  Skrivet av Simovits Consulting  Publicerat 2016-03-24  Skrivet av Simovits Consulting  Publicerat 2016-02-25  Skrivet av Simovits Consulting  Publicerat 2016-02-22  Skrivet av Simovits Consulting  Publicerat 2016-02-15  Skrivet av Simovits Consulting  Publicerat 2016-02-05  Skrivet av Simovits Consulting  Publicerat 2016-02-01  Skrivet av Simovits Consulting  Publicerat 2016-01-15  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|FBI har i efterskalven av massmorden i San Bernardino försökt få genom en skräddarsydd bakdörr för iOS enheter. Detta för att kunna ta sig in i en Iphone 5C-telefon tillhörande förövaren Syed Farook som tillsammans med sin fru mördare 14 personer. FBI har efterfrågat följande från Apple [1]: I nuläget har Apple iOS en funktion som har följande effekter när en pin ska knäckas: Sedan finns ytterligare ett problem, en automatisk radering kan vara aktiverad efter 10 försök. Denna funktion behöver isf också tas bort. Så om denna funktion skulle plockas bort ur iOS så skulle knäckningen av koder gå mycket snabbare. Speciellt om det skulle kunna göras genom att man kopplar in utrustning via hårdvara. Då skulle en ny gissning kunna ske vid ~80ms vilket skulle knäcka en 4-siffrig pinkod runt 14 min. Jämfört med 416 dagar som det tar med dagens spärrar. Så en riktig bakdörr handlar det inte om, FBI måste fortfarande knäcka lösenordsfrasen/PIN-koden och hoppas att den är begränsad till fyra tecken. Apple och Tim Cook svarade på detta genom att publikt gå ut med följande text: I och med detta uttalande har ett stort antal företag och kampanjer startats på nätet. Så låt oss gå igenom några av dessa. John McAfee [2] gör det gratis och utan speciell hårdvara med hjälp av sociala skickligheter och tekniker och allt detta på tre veckor: Apple har hjälpt till att låsa upp telefoner för myndigheter minst 70 gånger innan[3]: Kortfattat beskriver artikeln att Apple senast förra året bekräftat att de skulle kunna extrahera data från telefonerna om de ville, i ett rättsfall i New York. Enligt det fallet så har Apple låst upp telefoner minst 70 gånger sedan 2008. Så det kan mycket väl vara att de försöker skydda sitt varumärke istället för att skydda användarna. Se följande citat från Apple ur New York rättegången: På twitter har hashtagen #FBIos skapats och fått massor med uppmärksamhet. Spännande fall att följa och vi ser fram emot mer nyheter om detta. Sedan är rekommendationen att använda ett lösenord med mer än fyra siffror, kolla följande video för snitt längd https://www.youtube.com/watch?v=ASV5lP1H23w [1] [2] [3]
h1|Apple VS FBI
sp| Publicerat 2016-02-22  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
em|”[Provide] the FBI with a signed iPhone Software file, recovery bundle, or other Software Image File (“SIF”) that can be loaded onto the SUBJECT DEVICE. The SIF will load and run from Random Access Memory (“RAM”) and will not modify the iOS on the actual phone, the user data partition or system partition on the device’s flash memory. The SIF will be coded by Apple with a unique identifier of the phone so that the SIF would only load and execute on the SUBJECT DEVICE. The SIF will be loaded via Device Firmware Upgrade (“DFU”) mode, recovery mode, or other applicable mode available to the FBI. Once active on the SUBJECT DEVICE, the SIF will accomplish the three functions specified in paragraph 2. The SIF will be loaded on the SUBJECT DEVICE at either a government facility, or alternatively, at an Apple facility; if the latter, Apple shall provide the government with remote access to the SUBJECT DEVICE through a computer allowed the government to conduct passcode recovery analysis.” “The government suggests this tool could only be used once, on one phone. But that’s simply not true. Once created, the technique could be used over and over again, on any number of devices. In the physical world, it would be the equivalent of a master key, capable of opening hundreds of millions of locks — from restaurants and banks to stores and homes. No reasonable person would find that acceptable.” “I will, free of charge, decrypt the information on the San Bernardino phone, with my team. We will primarily use social engineering, and it will take us three weeks. If you accept my offer, then you will not need to ask Apple to place a back door in its product, which will be the beginning of the end of America.” “If you doubt my credentials,” finishes McAfee in a resounding mic drop, “Google ‘cybersecurity legend’ and see whose name is the only name that appears in the first 10 results out of more than a quarter of a million.” “This reputational harm could have a longer term economic impact beyond the mere cost of performing the single extraction at issue”
pa|Forensik i alla dess former börjar bli allt mer vanligt förekommande. Problemet är att det ofta är dyrt med både den mjukvara och hårdvara som behövs för att genomföra en forensisk undersökning. I den här artikeln undersöker vi vad vi kan åstadkomma med en begränsad budget och när vi enbart använder oss av freeware. Scenario: […] I tidigare blogginlägg har regeringens initiativ inom informations- och cybersäkerhetsområdet belysts. Regeringen har nu tagit beslutet att från den 1 april 2016 införa regler för att förbättra samhällets informationssäkerhet och krisberedskap1. Reglerna styr obligatorisk rapportering för statliga myndigheter, till exempel avseende störningar i driftmiljöer till följd av hackerattacker. Bakgrund I takt med ökad användning av […] Last week I (Peder Sparell) held a tutorial talk on the Passwords 2015 Conference in Cambridge. My talk was titled “Linguistic Cracking of Pass Phrases using Markov Chains”, and the work behind it is a continiuation of my master thesis made this spring/summer. It was well received, and I got great feedback from some of […] Curl är ett toppenverktyg och, precis som antagligen alla andra med IT-relaterade yrken, använder jag det (ungefär) dagligen. Under en säkerhetsgranskning av ett webbsystem, för en tid sen, visade det sig dock att Curl (i standardkompilering) inte klarade av att kommunicera med webbsystemets (som jag då säkerhetsgranskade) TLS-version. Det vill säga att de cipher suites […] När vi kommer till skadlig kod så finns det ett antal sätt för den att kommunicera med utsidan och kontrolleras. Detta kan göras för att hämta uppdateringar, instruktioner eller transportera ut värdefull information från nätverket. I det här blogginlägget kommer vi snabbt och lätt gå igenom ett par nya trender för skadlig kod att kommunicera […] Under höst/vinter 2015 kommer regeringen och EU-kommissionen ta beslutom initiativ som har bäring på it och informationssäkerhet. Realiseringen av dessa initiativ kommer omfatta många aktörer och det kan komma att ge en påverkan på den verksamheten du arbetar i. Tidsplanen för vissa av aktiviteterna är forcerad och beslut kan komma att träda i kraft redan […] Ransomware är ett av de mest högljudda hoten i dag, risken är liten att du missar att du har blivit drabbad. Det drabbar både privatpersoner och företag hårt genom att göra att filer blir otillgängliga och förblir så såvida du inte betalar den lösensumma som begärs ut. Filer som den krypterar ligger oftast inte bara […] I fredags var det Gustav Adolfs dag, sedan på lördagen så var det kladdkakans dag och på söndagen så var det Fars dag. I dagens värld finns det alltid rum för att fira eller att kontemplera ett specifikt ämne. Så vad finns det för säkerhet. Här följer en minikalender för dagar att hålla reda på […] Informationssäkerhet uppnås i stor utsträckning genom att organisationer har förmågan att skapa förutsättningar för en säkerhetskultur hos alla delar av verksamheten. Effekterna av en väl förankrad säkerhetskultur är flera, i synnerhet: Riskerna för säkerhetsincidenter beroende på okunskap eller slarv minskar avsevärt, och dessutom reduceras även konsekvenser för verksamheten. Ledtiderna vid incidenter minskar eftersom personal agerar […] De flesta av oss förknippar nog geocaching med folk som letar små plastburkar som sitter gömda på knepiga ställen, men vilka beröringspunkter finns det med IT-säkerhet och kryptoanalys? Det finns en speciell typ av cacher som kallas mystar där det gäller att få fram koordinaterna utifrån en information som kan finnas som ett dolt meddelande, […]
sp| Publicerat 2016-01-08  Skrivet av Simovits Consulting  Publicerat 2015-12-21  Skrivet av Simovits Consulting  Publicerat 2015-12-17  Skrivet av Simovits Consulting  Publicerat 2015-12-04  Skrivet av Simovits Consulting  Publicerat 2015-11-30  Skrivet av Simovits Consulting  Publicerat 2015-11-24  Skrivet av Simovits Consulting  Publicerat 2015-11-13  Skrivet av Simovits Consulting  Publicerat 2015-11-09  Skrivet av Simovits Consulting  Publicerat 2015-10-30  Skrivet av Simovits Consulting  Publicerat 2015-10-27  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|Under höst/vinter 2015 kommer regeringen och EU-kommissionen ta beslutom initiativ som har bäring på it och informationssäkerhet. Realiseringen av dessa initiativ kommer omfatta många aktörer och det kan komma att ge en påverkan på den verksamheten du arbetar i. Tidsplanen för vissa av aktiviteterna är forcerad och beslut kan komma att träda i kraft redan 1 januari 2016. För att vara redo gäller det att ha koll på vad som händer och vilka konsekvenser det innebär för dig. Vi har nedan sammanställt en lista på de mest intressanta om omfattande initiativen: att föreslå strategi och mål för hantering och överföring av information i elektroniska kommunikationsnät och it-system. NIS-direktivet ( ) EU Data Protection Regulation, Directive ( ) Utökad tillsyn kommer att mycket sannolikt att införas. I nuläget är det dock oklart vilka aktörer som omfattas av detta krav. Från Sveriges sida förespråkas statliga myndigheter, medan EU menar att även offentlig verksamhet och vissa privata aktörer ska inluderas. EU vill även att aktörer som inte kan påvisa en acceptabel säkerhetsförmåga ska åläggas ett vite. Tidpunkt för tillsyn av informationssäkerhet kommer troligen att landa under 2017. Tiden fram tills dess bör fokuseras på förberedelse för detta: Obligatorisk incidentrapportering har diskuterats i flera år och verkar nu vara på gång att reliseras. Inikesminister Ander Ygeman har vid flera tillfällen kommunicerat den 1 jan 2016, som skarpt datum för start av detta. Hur detta ska ske är dock inte fastställt, vilket gör tidshänvisningen något vag. Sverige har också sagt att man kommer anpassa rapporteringen till NIS-direktivet, vilket gör omfattning och hantering oklar. Tidpunkt för obligatorisk incidentrapportering kommer starta 1 jan 2016, men troligen införas i flera steg. Den knappa tiden fram tills dess bör följande aktiviteter vidtas: Den personliga intigriteten ska få ett stärkt skydd med en ny version om dataskyddsförordningen. Det kommer i praktiken att innebära att personuppgiftslagen ersätts med dataskyddsförordningen, vilken då kommer gälla som lag i Sverige. Då beslut om detta ska tas både inom EU och av Sveriges regering är det troligt att tidpunkt för effektualisering ligger tidigast 2017. Fram tills dess bör verksamheten förbereda sig med flera åtgärder:
td|Informations- och cybersäkerhet i Sverige ( ) Status: Regeringen kommer efter avslutat remissrunda ta beslut om genomförandet. Planerad start av aktiviteter 1 jan 2016. Berörda aktörer: Statliga myndigheter Syfte Aktiviteter Status: EU-kommissionen har 6 okt 2015 fattat ett inriktningsbeslut, återstående förhandlingar kvarstår under 2015. Beslut effektualiseras efter 2 år. Berörda aktörer: Myndigheter, kommuner, landsting och enskilda (med koppling till samhällsfuktioner). Syfte: att uppnå och vidmakthålla en hög gemensam nät- och informationssäkerhet inom hela EU för att förbättra den inre marknadens funktion. Status: EU-kommissionen kommer efter avslutade förhandlingar ta beslut om genomförandet. Beslut väntas i slutet av 2015. Beslut effektualiseras efter 2 år. Berörda aktörer: All verksamhet inom EU eller dess partners utanför EU, som behandlar personuppgifter Syfte: att modernisera reglerna i dataskyddsdirektivet från 1995 och få till stånd en mer enhetlig tillämpning inom EU.
li|stärka styrning och tillsyn inom området staten ska ställa tydliga krav vid upphandling på it-området, att statliga myndigheter ska kommunicera säkert samtliga statliga myndigheter rapporterar it-incidenter arbetet med att förebygga och bekämpa it-relaterad brottslighet stärks Sverige ska vara en stark internationell partner En särskild myndighetsstruktur Deltagande i samverkansforum på EU-nivå Inrätta system för it-incidentrapportering System för tillsyn och sanktioner Tydligare rättigheter för enskilda Tydligare regler om ansvar hos de som behandlar personuppgifter Regler om förstärkt samarbete mellan de olika EU-medlemsstaternas dataskyddsmyndigheter Gör en nuläges analys av informationssäkerhetsförmågan inom verksamheten Gör en GAP-analys mot lämpligt regelverk t.ex. ISO27001 Planera och prioritera aktiviteter utifrån ett riskbaserat perspektiv Se över vilka sekretessavtal som verksamheten är knuten till Gör en initial analys av vilka sektessavtal som kan komma att behöva anpassas till den obligatoriska incidentrapporteringen Då mer information om hanteringen för obligatorisk incidentrapportering kommer ut, säkerställ att den initiala analysen var korrekt, korrrigera vid behov och genomför lämpliga förändringar Om verksamheten har fler än 250 anställda, bör ni utse en ansvarig för integritetsfrågor, som blir single point of contact för alla frågor inom området. Säkerställ att alla informationstillgångar är kartlagda för att kunna påvisa vilken data som sparas, var och varför den sparas på en viss plats. Se över om sekretessavtal behöver berarbetas; tex kan dessa behöva finnas tilgängliga på engelska. Säkerställ att process och rutiner för hantering och radering av information finns tillgängliga och är uppdaterade.
h1|Höstnytt!
h3|Tillsyn avseende informationssäkerhet Obligatorisk incidentrapportering Översyn av integritet
sp| Publicerat 2015-11-24  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
em|Lycka till!
pa|Vår värld blir allt mer fokuserad kring våra mobila enheter. Sannolikheten är stor att en person inte lämnar sitt hem utan sin smartphone. Till följd blir vi allt mer beroende av våra telefoner och lagrar allt mer information på dem. Men hur mycket av den informationen kan vi komma åt med de rätta verktygen? I denna artikel undersöker vi vad vi kan få ut ur en ordinarie mobiltelefon. Till vår hjälp har vi verktyget Cellebrite och en ordinarie Samsung Galaxy S3 som vi förväg har preparerat med bilder, surfhistorik, appar etc. Som en del av testet har vi även installerat en app med en inbyggd trojan i syfte att testa huruvida Cellebrites virusskanner kommer fånga upp den skadliga koden. Innan vi påbörjar vår undersökning måste vi först ta en avbild på vår telefon. Det finns för tillfället tre olika typer av extraheringar som vi kan använda oss av. Dessa är följande En fysisk extraktion tar en bit-by-bit avbild av lagringsutrymmena på telefonen. Smått och gott betyder detta att vi får full åtkomst till alla filareor, såväl som RAM, ”dold” app-data och raderade filer. Den logiska extraktionen kan främst liknas vid en backup av telefonen. Vi får här ut information i form av bilder, app-data, SMS och i vissa fall raderade telefonloggar. Detta läge är en mix av de både ovanstående. Det data vi får ut kan mest liknas med den vi får ut vid den logiska extraktionen, men till skillnad från en vanlig logisk extraktion får vi även tillgång till telefonens RAM med en filsystems extraktion. Så varför skulle en utredare inte välja en fysisk extraktion vid varje utredning? Problemet ligger grundat i att en fysisk extrahering är begränsad till ett visst antal telefonmodeller. Cellebrite använder sig av modellspecifika lösningar för att skjuta in den bootloader som används för att genomföra den fysiska extraktionen. Som regel är det främst äldre modeller som är kapabla till en fysisk extraktion. För denna undersökning använder vi som tidigare nämnt en Samsung Galaxy S3 som testobjekt. I skrivande stund är denna modell rätt så gammal och är kapabel till att extraheras enligt alla 3 ovannämnda metoder. Vi använder självklart en fysisk extraktion i detta fall. Processen för att genomföra en fysisk extraktion varierar från modell till modell. I vissa fall behöver utredaren gå igenom en mindre lista av åtgärder för att kunna genomföra en fysisk extraktion. Exempelvis behöver en Nokia Lumia 925 ha batteriet laddat mellan exakt 17-19% samt ha ett vanligt foto på telefonen för att det ska vara möjligt att genomföra en fysisk extraktion. Lyckligtvis är processen för vårt testobjekt simpel och vi behöver här bara starta upp telefonen med hjälp av en av de medföljande pluggarna innan vi kopplar in det i Cellebrite-dosan. Bilden visar telefonen uppstartad med cellebrites egna bootloader Efter en stund har vi till slut fått ut en fysisk avbild på vår telefon. Nästa steg är att ladda in avbilden i den medföljande programvaran ”UFED Physical Analyser”. Programvaran sorterar automatiskt in all data i avbilden i motsvarande kategorier och raddar upp det fint och lättillgängligt. Raderade SMS, bilder, videos etc. återskapas automatiskt och markeras med ett rött kryss för att indikera att det är filer som har återskapats. Vi kontrollerar först och främst e-post, sms och annan standarddata. Som visat på bilden ovan lyckades Cellebrite återskapa SMS från 2012. All data på telefonen har återskapats och kategoriserats som förväntat. Eftersom vi använde oss av en fysisk extraktion har vi tillgång till databaser för appar och operativsystem som kan användas vid djupare analyser. Medan vi fortsätter med vår analys av data så kör vi igång virusskannern i bakgrunden för att kontrollera om vi hittar den skadliga koden som vi tidigare lagt på telefonen. Virusskannern behöver enbart riktas in på de filareror som ska skannas igenom och sköter därefter resten av skanningen automatiskt. Under tiden kollar vi igenom listan av appar. Här noterade jag att några av de applikationer jag tidigare installerat och därefter raderat inte listades som återställda och dök i själva verket inte upp över huvud taget. Anledningen till varför raderade appar inte listas medan all annat data kunnat återställas är oklart i skrivande stund. Till slut har vår virussökning kört klart och vi observerar resultatet. Här ser vi att vår skadliga kod har fångats upp samt ytterligare en app som kategoriserats som riskware (som i slutändan bedömdes som en false-positive). Cellebrite erbjuder en lätthanterlig lösning för forensiska analyser av telefoner. Den största begränsningen ligger just nu i att enbart äldre modeller av telefoner är kapabla till fysiska extraktioner. Senare modeller är begränsade till logiska eller filsystems-extraktioner vilket delvis begränsar den data vi får ut samt inte tillåter oss att återställa raderad data. En fysisk extraktion har även fördelen med att ge oss en bit-by-bit avbild som kan användas med andra verktyg för specifika analyser. Lyckligtvis ger gränssnittet oss åtkomst till det data som ingår i majoriteten av alla analyser vilket till stor del eliminerar problemet med att behöva använda specialinriktade verktyg för att genomföra analysen.
st|Fysisk extraktion: Logisk extraktion: Filsystems extraktion:
h1|Mobilforensik
h2|Extraktion Undersökning Resultat Slutsats
sp| Publicerat 2016-05-09  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
em|I saw a guy today at Starbucks. He had no smartphone, tablet or laptop. He just sat there drinking his coffee. Like a psycopath.
pa|I veckan gick konferensen ”ISACA-dagen 2015” av stapeln på Münchenbryggeriet, och Simovits Consulting fanns representerade på plats. Dagen var lyckad och intressant med många bra talare som tog upp en hel del intressanta ämnen inom mestadels IT-governance och auditing, och förutom närvaron representerade jag (Peder Sparell) även Simovits Consulting, likväl som KTH, i programmet som […] I dagens blogg inlägg skall vi titta närmare på RFID. Detta system används oftast som skalskydd när det gäller inpassering. Vi kommer att titta närmare på EM4100 som är ett alternativ för RFID läsare. Vi kommer att visa att detta system inte är säkert och vem som helst med niohundra kronor kan kopiera dessa taggar […] Många av er som sysslar med IT-säkerhet har nog vid ett eller annat tillfälle hört talas om organisationen OWASP. Vad så många inte vet är att OWASP själva står bakom ett sårbarhetsskanningsverktyg. Närmare bestämt ZAP eller Zed Attack Proxy. OWASP själva beskriver verktyget som ett lättanvänt verktyg för penetrationstestare och annat säkerhetsintresserat folk som är […] På Simovits Consulting använder vi, för arbete med dokument, en server som saknar kopplingar till andra nätverk (air gapped system). Detta är en helt självklar säkerhetsåtgärd för ett IT-säkerhetsföretag. Att ha ett galvaniskt åtskilt nätverk är dock inte den enda säkerhetsåtgärden som krävs för att ha kontroll över viktiga resurser. Eftersom Simovits Consulting utför penetrationstester […] IT-säkerhetsarbetet beskriv ofta som ett konstant släckande av bränder. En arbetssätt ingen är nöjd med men de flesta känner igen. Att ständigt vara utsatt för och hantera incidenter är inte unikt för it-säkerhetsbranchen. Andra brancher hanterar likande situationer dagligen. Frågan är om vi som arbetar inom IT-säkerhet ka ta lärdom från andra branscher? Välkommen till Del 1 i Simovits Consultings första bloggserie om nätverkshacking! Hur svårt är det egentligen för en angripare att fånga upp information från cyberrymden? Vilken typ av information kan fångas upp? Finns det anledning att vara orolig? Och hur kan vi skydda oss? När man tar upp sidan för Ashley Madison, nu nästan två månader senare, så slås man av två saker: Det första är att den fortfarande är uppe, och det andra är att de har en medalj längst ner som hävdar att de fått utmärkelse för pålitlig säkerhet. Av vad som går att förstå av vad […] Säkerhetsföretag varnar för privatpersoners användning av företagsinformation i sina mobiler Novus har för Simovits Consultings räkning genomfört en undersökning om hur allmänheten ser på säkerhet, oro och vad som finns i deras mobiltelefoner. Undersökningen genomfördes under slutet av januari 2014. Man kan se tydliga skillnader i ålder och kön avseende användandet av mobiltelefonen. Det visar […] Enkelhet och smidighet i all ära. RIFD gör inpassering enkel men det kan också öppna nya dörrar för angripare. I vissa fall vill angriparen att ett system ska sluta fungera för att kunna utnyttja situationen som följer detta, exempelvis om det leder till att säkerheten i en fastighet sjunker. I andra fall kan angriparen vara […] Här finner du en artikel som Mikael har skrivit om nödvändigheten med en teknisk Due Diligence i samband med ett företagsförvärv. Den påvisar vilka svårigheter (läs kostnader) som kan uppstå om man inte undersöker de tekniska förutsättningarna innan ett förvärv, eller lansering av en ny produkt. Du finner artikeln via nedanstående länk. Tveka inte för […]
sp| Publicerat 2015-10-09  Skrivet av Simovits Consulting  Publicerat 2015-10-06  Skrivet av Simovits Consulting  Publicerat 2015-10-02  Skrivet av Peter Hildeblom  Publicerat 2015-09-25  Skrivet av James Dickson  Publicerat 2015-09-21  Skrivet av Simovits Consulting  Publicerat 2015-09-11  Skrivet av Tiina Loukusa Hyttnäs  Publicerat 2015-09-01  Skrivet av Mikael Simovits  Publicerat 2014-02-19  Skrivet av Simovits Consulting  Publicerat 2012-09-24  Skrivet av Simovits Consulting  Publicerat 2011-12-08  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|Kryptohistorien är full av misstag, men hur mycket lär vi oss av dem egentligen? Följ med på en tur bland några riktiga klassiker: Worddokument, WEP, RDP och ända tillbaka till ryska spioner under andra världskriget. Enigman var ingen tysk krigshemlighet – den lanserades redan 1922 och konstruktionen var allmänt känd. Men trots att den forcerades redan 1932 kom den att användas kriget ut. I artikeln beskrivs Enigman – när utvecklades den, och hur fungerade denna mytomspunna maskin? Framför allt: hur forcerade man den –och varför var det över huvud taget […] När nyårsklockorna ringde för det nya året 2000 skulle våra datorer slås ut. Det skulle bli kaos och förtvivlan när år 2000-buggen påverkade alla system. Vi skulle drabbas av kärnkraftsolyckor, öppna dammportar, kor som inte kunde mjölkas och flygplan som föll från skyn. Men inget hände. Business Intelligence and Information Warfare var och är ett stort problem. Denna artikel presenterades dels på NordSec 1995 samt Infosec 1996. Även om Artiklarna är snart tjugo år gamla så ger de insikt om problematiken med globalisering och hur svårt det är att agera samt försvara sig mot konkurerande företag på en global marknad. Viss […] Det finns många åsikter kring hur slumptalsgeneratorer skall användas. Denna rapport är resultatet av ett examensarbete som finansierades av Simovits Consulting, och utfördes av Anders Knutsson (också tidigare anställd på Simovits Consulting). Rapporten visar att val av svaga slumpalgoritmer för att generera spelvärden kan få ödesdigra konsekvenser då man tillåter spel om pengar. Artikeln har […] Många diskuterar gärna Man-in-the-middle attacker. Men vad kan en angripare egentligen uppnå. Denna rapport är resultatet av ett examensarbete som finansierades av Simovits Consulting, och utfördes av Matthias Ericsson (också tidigare anställd på Simovits Consulting). Rapporten visar en ”avancerad” arkitektur för hur ett ”man-in-the-middle” verktyg ska implementeras för att fungera effektivt mot t.ex. en Internetbank […]
sp| Publicerat 2011-12-08  Skrivet av Simovits Consulting  Publicerat 2011-12-08  Skrivet av Simovits Consulting  Publicerat 2011-12-08  Skrivet av Simovits Consulting  Publicerat 2011-12-08  Skrivet av Simovits Consulting  Publicerat 2011-12-08  Skrivet av Simovits Consulting  Publicerat 2011-12-08  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|Här finner du en artikel som Mikael har skrivit om nödvändigheten med en teknisk Due Diligence i samband med ett företagsförvärv. Den påvisar vilka svårigheter (läs kostnader) som kan uppstå om man inte undersöker de tekniska förutsättningarna innan ett förvärv, eller lansering av en ny produkt. Du finner artikeln via nedanstående länk. Tveka inte för att kontakta oss om du har några frågor eller funderingar inför ett förvärv eller lansering av en ny produkt! Vi ställer gärna upp på ett förutsättningslöst möte.
st|Bifogad fil:
h1|Due Diligence
sp|  Publicerat 2011-12-08  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|Molntjänster är ett ständigt aktuellt ämne, inte minst sedan den beslutade utbyggnaden av ett par stora serverhallar i Mellansverige som varit omdiskuterade på grund av sin förhållandevis höga elförbrukning. Ur ett säkerhetsperspektiv finns också ett antal nya aspekter att ta hänsyn till även om tekniken i sig har funnits en längre tid. Det som i […] I början av 2018 deklarerade Wifi Alliance att WPA3 ska efterträda WPA2 [1], vilket skulle medföra ett antal nya säkerhetsfunktioner för trådlösa nätverk. Det var emellertid sparsamt med information om den bakomliggande teknikern vid det tillfället, men det ordinarie pressmeddelandet har kompletterats med officiella krav [2]. Det ska förtydligas att WPA3 är ett certifieringsprogram, alltså en […] En av utmaningarna vid forcering av WPA/WPA2-personal skyddade WiFi nätverk, så har man som angripare varit tvungen att placera sig i närheten av både anslutna klienter och accesspunkter. Syftet är att erhålla en lösenordshash. Genom att tvinga fram en omautentisering av klienten mot accesspunkten kan angriparen snappa upp en lösenordshash. Genom att sedan knäcka lösenordshashen […] Denna blogginläggsserie, skriven av Peder Sparell, är på två delar behandlar WPS, vilket är en extra funktion för trådlösa nätverk som genom sin konstruktion är väldigt bristfällig. Det är ingen ny funktion, och dess sårbarhet som vi tar upp här är inte direkt någon nyhet, men det känns fortfarande aktuellt då förvånandsvärt få känner till […] Den första delen av Nätverkshacking-serien handlade om arp-spoofing, men nu är det dags att gå mot modernare tider och undersöka närmare vad man kan göra med trådlösa nätverk. Vi börjar med att sätta upp en WiFi honeypot som ovetande användare kan ansluta sig till. Till detta behövs en laptop (eller vilken dator som helst fungerar […]
sp| Publicerat 2021-01-11  Skrivet av Tomas Forsberg  Publicerat 2018-10-26  Skrivet av Victor Sedin  Publicerat 2018-08-31  Skrivet av Mikael Simovits  Publicerat 2016-11-28  Skrivet av Simovits Consulting  Publicerat 2016-02-05  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|Många sårbarheter i program bygger idag på fel hur minnet refereras såsom: Dessa fel resulterar oftast bara i programbuggar men kan även orsaka sårbarheter där elaka indata till programmet kan få programmet att avslöja minne användaren inte har behörighet att läsa eller till och med exekvera godtagbar kod. För att komma åt problemet med icke-minnessäkra program behövs en stringent definition så att automatiska verktyg kan identifiera brister i minnessäkerheten. Då ingen programmerare är perfekt räcker det inte med intuition eller kodstilsguidlines med rekommendationer såsom . Givetvis kan man undvika dålig minnessäkerhet genom att använda andra programspråk än C och C++ men för vissa ändamål behövs kompilerade maskinnära språk med noll körtidsoverhead och manuell minneshantering. Vidare kommer det mesta fortsätta att bygga på bibliotek och system som är skrivna i dessa språk inom överskådlig framtid. Alla är inte eniga om vilka beteenden som är tolererbara då riktig kod ofta använder funktionalitet som är implementationsberoende och ofta resulterar i sårbarheter i minneslayouten som kan utnyttjas. Därför behöver en definition för minnessäkerhet baseras på grundläggande resonemang där ett minnessäkert program är ett program som aldrig ges åtkomst till odefinierat minne. Från detta resonemang där man kräver att allt minne först initialiseras och att alla minnesoperationer har ett definierat beteende och där otillåtna minnesaccesser leder till en kontrollerad programkrasch kan man med induktion formulera bevis för att en viss nivå av minnessäkerhet bevaras i varje steg. [1] Minnessäkra C och C++ implementationer som baseras på typteoretiska resonemang med bevis för att minnessäkerhet bibehålls har dock inte kunnat tillämpas brett i många program av ett eller flera av följande tillkortakommanden: Exempel på minnessäkra C eller C++ implementationer är Cyclone [2], CCured [3], Ironclad-C++ [4], SoftBoundCETS [5] och ManagedC [6]. Ett alternativ till minnessäkra C och C++ implementationer som garanterar minnessäkerhet, men ofta inte kan inkorporeras på befintliga projekt p.g.a ovanstående punkter är instrumenteringsverktyg såsom AdressSanitizer och Valgrind/Memcheck. Där görs ett separat bygge för att hitta potentiella minnessäkerhetsbrister. Problemet är dock att inget av dessa verktyg hittar alla fel, dessutom har de ofta en högre körtidsoverhead än minnessäkra C/C++ implementationer. [7] Strategin att härda system från vissa typer av minnessäkerhetsproblem skall dock inte underskattas. Idag inkorporerar operativsystem och kompilatorer ett antal skyddsåtgärder mot dessa. Moderna versioner av Windows, Linux och BSD har idag skydd i form utav randomiserad adresslayout ASLR som försvårar för program att veta på vilken adress olika funktioner laddas vid körning eftersom detta randomiseras vid varje körning. [8] Dock är ASLR inte på som förval på Windows 10 men här finns en hur detta slås på med en djupare förklaring. Ett annat vanligt skydd är att moderna kompilatorer implementerar stackskydd med canaries d.v.s. att stacken omgärdas av minne som avslutar programmet ifall detta minnet skrivits över. Först med detta var StackGuard [9] för GCC. CVE-2018-1160 är en sårbarhet i filen dsi_opensess.c i Netatalk som är en implementation AFS (Apple Filing Protocol) som tillåter en UNIX-filservrar att agera fil- och skrivarserver för Apple klienter. [10] Sårbarheten fixades med version 1.1.12. Den sårbara funktionen i version 1.1.11 visas nedan. Här kan noteras att pekaren som är en parameter skriver till struct-fältet utan buffertskydd. Den typdeffade typen finns deklarerad i vars definition visas nedan. Structen ovan har många fält och problemet är att angriparen genom att skriva bortom buffern kan skriva över andra fält i structen och på så sätt exekvera godtycklig kod som följande pythonskript demonstrerar. [10] Anledningen till att jag valde denna sårbarhet är för att strukt-interna buffertöverskridningar som denna sårbarhet bygger på ofta inte stoppas av minnessäkra C-implementationer och intrumenteringsverkyg. Detta eftersom en struct ses som en och samma minnesarea utan internt skydd mellan de olika fälten i structen.
li|Buffertöverskridning Följande av null-pekare Användning av minnesreferenser efter att minnet lämnats tillbaka till systemet Användning av minne som inte initialiserats När minnesreferenser som redan lämnats tillbaka eller aldrig pekat på allokerat minne lämnas tillbaka (igen) Avsaknad av stöd för vanligt förekommande legitima typkonverteringar och pekararitmetik De krävs annoteringar på pekare En annan minneslayout används som inte kan länkas med andra bibliotek eller så kollar inte minnessäkerheten på länkade bibliotek Hög körtidsoverhead p.g.a. automatisk skräpsamlare (garbage-collector) eller körtidskontroller. Azevedo de Amorim, Arthur & Hriţcu, Cătălin & Pierce, Benjamin. (2018). The Meaning of Memory Safety. 10.1007/978-3-319-89722-6_4. Trevor Jim et al. “Cyclone: A Safe Dialect of C”. In: Proceedings of the General Track: 2002 USENIX Annual Technical Conference, June 10-15, 2002, Monterey, California, USA. Ed. by Carla Schlatter Ellis. USENIX, 2002, pp. 275–288.ISBN: 1-880446-00-6. George C. Necula et al. “CCured: type-safe retrofitting of legacy software”. In: ACM Trans. Program. Lang. Syst.27.3 (2005), pp. 477–526. DOI: 10.1145/1065887.1065892. Osera, Peter-Michael & Eisenberg, Richard & Delozier, Christian & Nagarakatte, Santosh & Zdancewic, S. & Martin, Milo. (2020). Core Ironclad (Technical Report — Draft). Santosh Nagarakatte.SoftBound+CETS: Complete and Compatible Full Memory Safety for C. Matthias Grimmer et al. “Memory-safe Execution of C on a Java VM”. In: Proceedings of the 10th ACM Workshop on Programming Languages and Analysis for Security, PLAS@ECOOP 2015, Prague, Czech Republic, July 4-10, 2015. Ed. by Michael Clarkson and Limin Jia. ACM, 2015, pp. 16–27. ISBN: 978-1-4503-3661-1. DOI: 10.1145/2786558.2786565. Github, AddressSanitizerComparisonOfMemoryTools, How-To-Geek, What Is ASLR, and How Does It Keep Your Computer Secure? Cowan, Crispin & Pu, Calton & Maier, Dave & Hintony, Heather & Walpole, Jonathan & Bakke, Peat & Beattie, Steve & Grier, Aaron & Wagle, Perry & Zhang, Qian. (1998). StackGuard: Automatic adaptive detection and prevention of buffer-overflow attacks. 98. 5-5. Githacktools, CVE-2018-1160: Netatalk – Bypass Authentication
h1|Minnessäkerhet
h2|Definition av minnessäkerhet Minnessäkra C och C++ Implementationer Instrumenteringsverktyg Härdningar i operativsystem och kompilatorer Ett exempel på en buffertöverskridningsårbarhet Referenser
sp| Publicerat 2020-11-20  Skrivet av Daniel Hedencrona Copyright © 2021 - Simovits AB
bo|netatalk-3.1.11/libatalk/dsi/dsi_opensess.c:19-67 netatalk-3.1.11/include/atalk/dsi.h:60-102
em|(eng: buffer overflow) (eng: use-after-free)
pa|iPhone har länge legat i framkant vad gäller säkerhet och integritet, med delade känslor för många IT-forensiker som hittills i princip omedelbart fått ge upp när en låst iPhone av nyare modell än 4S hamnar på bordet utan att användaren frivilligt lämnat ifrån sig koden. För någon månad sedan släppte Cellebrite dock sin implementation av […] Något tragikomiskt, har programmet sudo (som används för att höja privilegier på linux) en bufferowerflow sårbarhet som ger möjlighet för en angripare att höja sina privilegier. https://www.sudo.ws/alerts/pwfeedback.html NIST har en ny draft på gång för att detektera och hantera ransomware och andra destruktiva händelser https://www.nccoe.nist.gov/sites/default/files/library/sp1800/di-detect-respond-nist-sp1800-26-draft.pdf Kaspersky har analyserat något som de kallar är det första […] Tidigare har vi skrivit om BashBunny, men ungefär samtidigt som kaninen släpptes publicerades också den första versionen av P4wnP1, en USB-baserad attack-plattform. P4wnP1 kan installeras på en Raspberry Pi Zero och Zero W. P4wnP1 är särskilt användbar med den trådlösa varianten (Zero W) då den både kan konfigureras och skicka attack-kommandon och resultat på distans. […] Steganografi, konsten att gömma meddelanden på ett sådant sätt att endast mottagaren känner till att det finns. Det har använts sedan länge, ca 500 år f.v.t. i det forna Grekland berättar Herodotus att Histiaeus lät tatuera in ett meddelande på en slavs rakade skalle. När håret växte ut var meddelandet således dolt och kunde levereras […] Denna blogginläggsserie, skriven av Peder Sparell, är på två delar behandlar WPS, vilket är en extra funktion för trådlösa nätverk som genom sin konstruktion är väldigt bristfällig. Det är ingen ny funktion, och dess sårbarhet som vi tar upp här är inte direkt någon nyhet, men det känns fortfarande aktuellt då förvånandsvärt få känner till […] I saw a guy today at Starbucks. He had no smartphone, tablet or laptop. He just sat there drinking his coffee. Like a psycopath. Vår värld blir allt mer fokuserad kring våra mobila enheter. Sannolikheten är stor att en person inte lämnar sitt hem utan sin smartphone. Till följd blir vi allt mer beroende av […] I början av månaden gick RSA Conference USA 2016 av stapeln i San Francisco. Jag (Peder) och Mikael var där och höll vår presentation angående mitt/vårt arbete med lösenfrasknäckning med hjälp av Markovkedjor. Vi fick bra respons och många frågor efteråt, och det kändes som att åhörarna tyckte det var intressant, nydanande och att de […] Jag har tidigare skrivit om dnurl vilket är ett enkelt curl-liknande verktyg för att testa webbsidor. Då kallades projektet nurl men bytte namn eftersom det namnkrockade med ett annat verktyg. Verktyget är till för att testa webbsidor och nu har stöd för chunked transfer encoding lagts till. Det har även skett en del refactoring av […] Den första delen av Nätverkshacking-serien handlade om arp-spoofing, men nu är det dags att gå mot modernare tider och undersöka närmare vad man kan göra med trådlösa nätverk. Vi börjar med att sätta upp en WiFi honeypot som ovetande användare kan ansluta sig till. Till detta behövs en laptop (eller vilken dator som helst fungerar […] Forensik i alla dess former börjar bli allt mer vanligt förekommande. Problemet är att det ofta är dyrt med både den mjukvara och hårdvara som behövs för att genomföra en forensisk undersökning. I den här artikeln undersöker vi vad vi kan åstadkomma med en begränsad budget och när vi enbart använder oss av freeware. Scenario: […]
sp| Publicerat 2020-03-08  Skrivet av Peder Sparell  Publicerat 2020-02-14  Skrivet av Mikael Simovits  Publicerat 2020-01-31  Skrivet av Tiina Loukusa Hyttnäs  Publicerat 2017-02-27  Skrivet av Simovits Consulting  Publicerat 2016-11-28  Skrivet av Simovits Consulting  Publicerat 2016-05-09  Skrivet av Simovits Consulting  Publicerat 2016-03-24  Skrivet av Simovits Consulting  Publicerat 2016-02-25  Skrivet av Simovits Consulting  Publicerat 2016-02-05  Skrivet av Simovits Consulting  Publicerat 2016-01-08  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|I denna (typ) femte del kommer vi att avsluta uppgifterna om ECB, börja titta på CBC, och sedan direkt börja prata om något helt annat... Vi kommer nämligen avsluta denna bloggpost med att beskriva sårbarheten Zerologon som blev aktuell för några månader sedan. Välkomna tillbaka till allas vår favoritbloggserie! I detta blogginlägg går vi igenom ECB-läget av AES och några som man kan utnyttja När Washington Post den 11 februari i år publicerade att det Schweiziska företaget Crypto AG i själva verket varit en front för den amerikanska underrättelsetjänsten CIA, så upplevdes det som en chock för många av oss i säkerhetsgemenskapen[1]. Artikeln i Washington post beskrev hur CIA, tillsammans med den tyska underrättelsetjänsten BND, 1970 hade köpt det […] Flera länder, däribland Storbritannien har implementerat lagar (RIPA) där polisen utan ett domstolsbeslut kan begära att en användare uppger sina krypteringsnycklar för hårddiskkryptering [1]. Detta har lett till att det uppstått ett behov av att dölja själva existensen av krypterade hårddiskvolymer. Steganografi Läran om att försöka dölja data eller meddelanden kallas steganografi och har en […] Nu är det dags för nästa del i vår (nu fullt etablerade) bloggserie om cryptopals! Att få åtkomst till ditt konto eller kontouppgifter är såklart en het potatis, särskilt för de tjänster där du kanske kommunicerar lite mer känslig information och då väljer att använda en app med möjlighet till end-to-end kryptering. Hur ser det ut bland de mest populära chatt-apparna som använder sig av krypterad information? Hur skulle ett […] Något tragikomiskt, har programmet sudo (som används för att höja privilegier på linux) en bufferowerflow sårbarhet som ger möjlighet för en angripare att höja sina privilegier. https://www.sudo.ws/alerts/pwfeedback.html NIST har en ny draft på gång för att detektera och hantera ransomware och andra destruktiva händelser https://www.nccoe.nist.gov/sites/default/files/library/sp1800/di-detect-respond-nist-sp1800-26-draft.pdf Kaspersky har analyserat något som de kallar är det första […] Redan från barnsben blir utvecklare drillade att skriva så effektiv kod som möjligt utan onödiga jämförelser och funktionsanrop. Vid inloggning till en webbapplikation är det vanligt att man loggar in genom att ange ett användarnamn och ett lösenord. Dessa uppgifter skickas till servern som kontrollerar om det finns en sådan användare med ett sådant lösenord, […] Det har de senaste åren dykt upp fler och fler appar för de som vill hålla sina konversationer privata. Exempel på funktioner är efemära meddelanden (som försvinner efter läsning eller viss tid) och end-to-end-kryptering, vilket innebär att den sändande mobilen krypterar och den mottagande mobilen dekrypterar, utan att ens tjänsteleverantören kan återskapa meddelandena till klartext. […] Steganografi, konsten att gömma meddelanden på ett sådant sätt att endast mottagaren känner till att det finns. Det har använts sedan länge, ca 500 år f.v.t. i det forna Grekland berättar Herodotus att Histiaeus lät tatuera in ett meddelande på en slavs rakade skalle. När håret växte ut var meddelandet således dolt och kunde levereras […]
sp| Publicerat 2021-03-14  Skrivet av Gustav Sædén Ståhl  Publicerat 2020-10-16  Skrivet av Gustav Sædén Ståhl  Publicerat 2020-06-12  Skrivet av Mikael Simovits  Publicerat 2020-06-12  Skrivet av Daniel Hedencrona  Publicerat 2020-05-22  Skrivet av Gustav Sædén Ståhl  Publicerat 2020-03-13  Skrivet av Tiina Loukusa Hyttnäs  Publicerat 2020-02-14  Skrivet av Mikael Simovits  Publicerat 2019-08-12  Skrivet av Peder Sparell  Publicerat 2018-10-05  Skrivet av Peder Sparell  Publicerat 2017-02-27  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|Under sommaren 2020 drabbades Garmin av en störning i sina IT-system som det tog närmare en vecka att helt avhjälpa. Utanför företaget märktes störningen främst som en otillgänglighet för användare av online tjänster för exempelvis registrering av träningshistorik från sportklockor. Men även betaltjänster och uppdateringar av navigeringssystem för flygtrafik kan ha påverkats. Garmin har hittills […] När Washington Post den 11 februari i år publicerade att det Schweiziska företaget Crypto AG i själva verket varit en front för den amerikanska underrättelsetjänsten CIA, så upplevdes det som en chock för många av oss i säkerhetsgemenskapen[1]. Artikeln i Washington post beskrev hur CIA, tillsammans med den tyska underrättelsetjänsten BND, 1970 hade köpt det […] Internet skannas nu med publika exploits efter tomcat-servrar sårbara mot CVE-2020-1938 (a.k.a. Ghostcat). Den bakomliggande bristen är att anslutningar via AJP getts högre behörigheter än dem via HTTP i Tomcat. AJP är också som default aktiverat och kräver ingen autentisering. Finns i webbapplikationen möjlighet att ladda upp filer kan bristen leda till fjärrexekvering av kod. […] Röststyrda enheter lyssnar på vad du säger så noga att de inte ska missa sitt start-up kommando så de för säkerhets skull startar upp till 19 gånger om dagen på snarlika ljud. Vad lyssnar de på då? https://moniotrlab.ccis.neu.edu/smart-speakers-study/ Jobbig bugg i Exchange. Finns det en opatchad Exchange server och förövaren har tillgång eller skaffar sig […] Jammer: Med hjälp av ultraljud kan denna Device blockera mikrofoner så som Alexa, mikrofonen på telefonen mm. En ny uppfinning som alla kommer att behöva för att skydda sin integritet. Open source och ritningar på github. http://sandlab.cs.uchicago.edu/jammer/ Valsäkerhet: Voatz, en app som har använts och är tänkt att användas i vissa val i USA har […] När cybersäkerhet diskuteras, utgår diskussionen ofta utifrån att cyberkrig och cyberförsvar är ett koncept och inte en företeelse. På något sätt har det i Sverige blivit en fråga där långsiktiga mål definieras istället för att det ska bli ett prioriterat område inom totalförsvaret. Genom att sammanställa de angrepp som skett mellan länder sedan 2006 går […] Idag, fredag den 1 mars 2019 höll jag en presentation på konferensen – International Conference on Cyber Warfare and Security (ICCWS) angående det examensarbete jag utförde på Simovits Consulting. Vi (Dennis och Mikael) skrev sedan om examensarbetet till en artikel och det var denna som presenterades på denna konferens i Sydafrika. Titeln på artikeln är […] I slutet av januari varnade US-cert om en kampanj med syftet att kapa DNS-infrastruktur. DNS står för domännamnsstruktur och används till att adressera datorer på ett nätverk, d.v.s. mappar ett domännamn t.ex. simovits.com till en IP-adress. Kapningar av DNS:er innebär att angriparen har tillgång till att konfigurera DNS-poster och på så sätt styra om trafik […] Idag är det Black Friday och folk kommer gå man ur huse för att handla något till ett synes extraordinärt pris. Under förra årets Black Friday dygn handlade svenskar prisnedsatta varor för 5.3 miljarder kronor och av dessa var 52 procent inhandlade på nätet[1]. När många ser detta dygn (och helg) som ett ypperligt tillfälle […] UEFI, Unified Extensible Firmware Interface, är en specifikation som definierar gränssnitt mellan operativsystemet och firmware och en ersättare till BIOS, Basic Input/Output System. UEFI ser till att ladda de komponenter som behövs för att din dator ska starta. Rootkit är en annan definition som behöver förtydligas lite inför detta inlägg – ett rootkit fångar och […]
sp| Publicerat 2020-08-14  Skrivet av Tomas Forsberg  Publicerat 2020-06-12  Skrivet av Mikael Simovits  Publicerat 2020-03-09  Skrivet av Simovits Consulting  Publicerat 2020-03-02  Skrivet av Simovits Consulting  Publicerat 2020-02-24  Skrivet av Mikael Simovits  Publicerat 2020-02-14  Skrivet av Mikael Simovits  Publicerat 2019-03-01  Skrivet av Dennis Nilsson Sjöström  Publicerat 2019-02-08  Skrivet av Tiina Loukusa Hyttnäs  Publicerat 2018-11-23  Skrivet av Dennis Nilsson Sjöström  Publicerat 2018-10-12  Skrivet av Tiina Loukusa Hyttnäs Copyright © 2021 - Simovits AB
pa|Nuläge Kvantdatorer hotar att inom en inte allt för avlägsen framtid allvarligt äventyra säkerheten i vår kommunikation. Det finns redan idag väletablerade algoritmer för att knäcka asymmetriska kryptoalgoritmer som RSA och EDC, vilka är ämnade för kvantdatorer. Dessa kryptoalgoritmer är idag välanvända vid nyckelutbyte, digital signering och används i många kryptovalutor. I grund bygger asymmetriska […] Som titeln ger tydliga ledtrådar om så handlar dagens blogg om hur .NET Reflection kan användas för att utnyttja Linq-injection-sårbarheter. Linq-injection uppstår då dynamiska Linq-uttryck används tillsammans med felaktig eller saknad indatakontroll. .NET Linq-uttryck är vanligen inte sårbara för injektionsattacker eftersom de är explicit parametriserade. Men sedan Microsoft skänkte världen dynamisk Linq skapar det möjligheter […] I denna (typ) femte del kommer vi att avsluta uppgifterna om ECB, börja titta på CBC, och sedan direkt börja prata om något helt annat... Vi kommer nämligen avsluta denna bloggpost med att beskriva sårbarheten Zerologon som blev aktuell för några månader sedan. Efter det förnedrande intrånget på Ryska järnvägen i januari i år [1][2] , så kom jag över en artikel[3] i den ryska motsvarigheten till Engadget – habr.ru som citerade ett ”axiom” som förklaring till varför just Ryska järnvägen blev hackad. Författaren hade snällt länkat till den ursprungliga artikeln som beskrev ett antal axiom/lagar kring Cybersäkerhet […] Simovits Consulting deltar som sponsor på Försvarshögskolans Cyber Challenge 2021. Här hittar ni länkar till presentationer samt utannonserade examensarbeten. Ni är välkomna att ta kontakt med mig (Mikael Simovits) om ni har några frågor. Kontaktuppgifter hittar ni under fliken “Om Oss”. https://simovits.com/om-oss/ Utannonserade examensarbeten hittar ni här: https://simovits.com/examensarbeten-pa-simovits-consulting/ Läs mer om företaget: Inspirational talk: Molntjänster är ett ständigt aktuellt ämne, inte minst sedan den beslutade utbyggnaden av ett par stora serverhallar i Mellansverige som varit omdiskuterade på grund av sin förhållandevis höga elförbrukning. Ur ett säkerhetsperspektiv finns också ett antal nya aspekter att ta hänsyn till även om tekniken i sig har funnits en längre tid. Det som i […] Att skanna QR-koder för autentisering tillåter användare att logga in på webbsidor och applikationer utan behovet att komma ihåg lösenord. QR-koder förenklar processen för inloggning men även för företag som vill annonsera för sina produkter. Genom att placera en QR-kod på exempelvis ett flingpaket gör att konsumenten snabbt och effektivt dirigeras till företagets hemsida för […] Många sårbarheter i program bygger idag på fel hur minnet refereras såsom: Buffertöverskridning (eng: buffer overflow) Följande av null-pekare Användning av minnesreferenser efter att minnet lämnats tillbaka till systemet (eng: use-after-free) Användning av minne som inte initialiserats När minnesreferenser som redan lämnats tillbaka eller aldrig pekat på allokerat minne lämnas tillbaka (igen) Dessa fel resulterar […] Att särskilja skadlig kod från legitima filer eller applikationer är idag en stor industri som omsätter stora pengar världen över. Det är också ett område som är i konstant behov av utveckling, för att kunna hålla jämna steg med utvecklare av skadlig kod. På ett övergripande plan kan man dela upp metodik för analys av […] Välkomna tillbaka till allas vår favoritbloggserie! I detta blogginlägg går vi igenom ECB-läget av AES och några som man kan utnyttja
sp| Publicerat 2021-03-26  Skrivet av Erik Aronson  Publicerat 2021-03-19  Skrivet av James Dickson  Publicerat 2021-03-14  Skrivet av Gustav Sædén Ståhl  Publicerat 2021-02-19  Skrivet av Mikael Simovits  Publicerat 2021-01-28  Skrivet av Mikael Simovits  Publicerat 2021-01-11  Skrivet av Tomas Forsberg  Publicerat 2021-01-08  Skrivet av Dennis Nilsson Sjöström  Publicerat 2020-11-20  Skrivet av Daniel Hedencrona  Publicerat 2020-10-23  Skrivet av Erik Aronson  Publicerat 2020-10-16  Skrivet av Gustav Sædén Ståhl Copyright © 2021 - Simovits AB
pa|Molntjänster är ett ständigt aktuellt ämne, inte minst sedan den beslutade utbyggnaden av ett par stora serverhallar i Mellansverige som varit omdiskuterade på grund av sin förhållandevis höga elförbrukning. Ur ett säkerhetsperspektiv finns också ett antal nya aspekter att ta hänsyn till även om tekniken i sig har funnits en längre tid. Det som i […] I slutet av januari varnade US-cert om en kampanj med syftet att kapa DNS-infrastruktur. DNS står för domännamnsstruktur och används till att adressera datorer på ett nätverk, d.v.s. mappar ett domännamn t.ex. simovits.com till en IP-adress. Kapningar av DNS:er innebär att angriparen har tillgång till att konfigurera DNS-poster och på så sätt styra om trafik […] En av utmaningarna vid forcering av WPA/WPA2-personal skyddade WiFi nätverk, så har man som angripare varit tvungen att placera sig i närheten av både anslutna klienter och accesspunkter. Syftet är att erhålla en lösenordshash. Genom att tvinga fram en omautentisering av klienten mot accesspunkten kan angriparen snappa upp en lösenordshash. Genom att sedan knäcka lösenordshashen […] Denna blogginläggsserie, skriven av Peder Sparell, är på två delar behandlar WPS, vilket är en extra funktion för trådlösa nätverk som genom sin konstruktion är väldigt bristfällig. Det är ingen ny funktion, och dess sårbarhet som vi tar upp här är inte direkt någon nyhet, men det känns fortfarande aktuellt då förvånandsvärt få känner till […]
sp| Publicerat 2021-01-11  Skrivet av Tomas Forsberg  Publicerat 2019-02-08  Skrivet av Tiina Loukusa Hyttnäs  Publicerat 2018-08-31  Skrivet av Mikael Simovits  Publicerat 2016-11-28  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|Att skanna QR-koder för autentisering tillåter användare att logga in på webbsidor och applikationer utan behovet att komma ihåg lösenord. QR-koder förenklar processen för inloggning men även för företag som vill annonsera för sina produkter. Genom att placera en QR-kod på exempelvis ett flingpaket gör att konsumenten snabbt och effektivt dirigeras till företagets hemsida för […] Att få åtkomst till ditt konto eller kontouppgifter är såklart en het potatis, särskilt för de tjänster där du kanske kommunicerar lite mer känslig information och då väljer att använda en app med möjlighet till end-to-end kryptering. Hur ser det ut bland de mest populära chatt-apparna som använder sig av krypterad information? Hur skulle ett […] Internet skannas nu med publika exploits efter tomcat-servrar sårbara mot CVE-2020-1938 (a.k.a. Ghostcat). Den bakomliggande bristen är att anslutningar via AJP getts högre behörigheter än dem via HTTP i Tomcat. AJP är också som default aktiverat och kräver ingen autentisering. Finns i webbapplikationen möjlighet att ladda upp filer kan bristen leda till fjärrexekvering av kod. […] Något tragikomiskt, har programmet sudo (som används för att höja privilegier på linux) en bufferowerflow sårbarhet som ger möjlighet för en angripare att höja sina privilegier. https://www.sudo.ws/alerts/pwfeedback.html NIST har en ny draft på gång för att detektera och hantera ransomware och andra destruktiva händelser https://www.nccoe.nist.gov/sites/default/files/library/sp1800/di-detect-respond-nist-sp1800-26-draft.pdf Kaspersky har analyserat något som de kallar är det första […] I det här blogginlägget vill jag uppmärksamma den typ av hysteri som ibland driver utvecklingen framåt. (Nu senast införandet av GDPR.) Vi människor har mycket av ett flockbeteende särskilt då vi målar upp olika typer av rädslor, så som rädsla för jordens undergång, men även rädsla för skeenden och nya lagar. Nu när jag skriver […] Idag, fredag den 1 mars 2019 höll jag en presentation på konferensen – International Conference on Cyber Warfare and Security (ICCWS) angående det examensarbete jag utförde på Simovits Consulting. Vi (Dennis och Mikael) skrev sedan om examensarbetet till en artikel och det var denna som presenterades på denna konferens i Sydafrika. Titeln på artikeln är […] UEFI, Unified Extensible Firmware Interface, är en specifikation som definierar gränssnitt mellan operativsystemet och firmware och en ersättare till BIOS, Basic Input/Output System. UEFI ser till att ladda de komponenter som behövs för att din dator ska starta. Rootkit är en annan definition som behöver förtydligas lite inför detta inlägg – ett rootkit fångar och […] Regeringen publicerar årligen en sammanfattning av hur hemliga tvångsmedel använts under det föregående året. Den senaste skrivelsen publicerades i december 2016 och redogör alltså för användandet av hemliga tvångsmedel under 2015 [1]. Dessa dokument utvecklas fortfarande från år till år. Delvis för att göra användningen av hemliga tvångsmedel mer transparent, men också för att det […] Denna blogginläggsserie, skriven av Peder Sparell, är på två delar behandlar WPS, vilket är en extra funktion för trådlösa nätverk som genom sin konstruktion är väldigt bristfällig. Det är ingen ny funktion, och dess sårbarhet som vi tar upp här är inte direkt någon nyhet, men det känns fortfarande aktuellt då förvånandsvärt få känner till […] Dagen innan presidentvalet i USA utsågs Hillary Clinton som vinnare. Ett annat resultat vore osannolikt enligt mätningarna. Det samma gällde Brexit-omröstningen. Även omröstningen i Colombia avseende fred med FARC-guerillan slog slint. Även i Sverige har opinionsmätningarna visat sig vara felaktiga. I samtliga fall försöker man hitta rimliga förklaringar, som att mätningarna inte är rättvisande, att […]
sp| Publicerat 2021-01-08  Skrivet av Dennis Nilsson Sjöström  Publicerat 2020-03-13  Skrivet av Tiina Loukusa Hyttnäs  Publicerat 2020-03-09  Skrivet av Simovits Consulting  Publicerat 2020-02-14  Skrivet av Mikael Simovits  Publicerat 2020-01-06  Skrivet av Mikael Simovits  Publicerat 2019-03-01  Skrivet av Dennis Nilsson Sjöström  Publicerat 2018-10-12  Skrivet av Tiina Loukusa Hyttnäs  Publicerat 2017-02-13  Skrivet av Simovits Consulting  Publicerat 2016-11-28  Skrivet av Simovits Consulting  Publicerat 2016-11-11  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|Zoom kommer bara att erbjuda end-to-end kryptering till betalande användare https://threatpost.com/zoom-end-to-end-encryption-paying-users/156286/ Och här finns ett dokument som beskriver den troliga implementationen https://github.com/zoom/zoom-e2e-whitepaper/blob/master/zoom_e2e.pdf SMBv3 fortsätter att spöka till det. SMBGhost är en PoC för att utnyttja en sårbarhet i SMBv3 som kan tillåta en angripare att exekvera kod, sårbarheten i sig är inte ny, men nu […] Apple har patchat den sårbarhet som gjorde jailbreaken Unc0ver möjlig https://www.zdnet.com/article/apple-releases-ios-13-5-1-with-security-fixes-breaks-recent-unc0ver-jailbreak/ https://support.apple.com/en-us/HT211214 En bild med felaktig/alltför omfattande color space får Androidtelefoner att krasch-loopa om den sätts som bakgrund https://www.bbc.com/news/technology-52891650/ Det fortsätter trilla in sårbarheter i Zoom, dessa har dock åtgärdats innan de blev publikt kända. Talos skriver att det kan behövas en fix på klient-sidan för […] Samtal via Signal kan avslöja information om din position https://medium.com/tenable-techblog/turning-signal-app-into-a-coarse-tracking-device-643eb4298447 Unc0ver – Ny 0-day jailbreak som fungerar för iOS 11 till iOS 13.5 https://www.zdnet.com/article/new-unc0ver-jailbreak-released-works-on-all-recent-ios-versions/ https://unc0ver.dev/ Strax under 100 000 skickade lösenord i klartext kunde observeras under 4 dagar på årets RSA-konferens publika WiFi (bättre än förra året). Årets SOC-rapport:https://go.rsaconference.com/rsac365-dbt/dbt-40-soc2020 Microsoft informerar om ett nytt ransomware, […] Vänlig påminnelse: Ska du utveckla skadlig kod så glöm inte att stänga av ditt antivirus. Annars går det som för GhostDNS som läckte sin källkod till Avast: https://decoded.avast.io/simonamusilova/ghostdns-source-code-leaked/ Kasperskys Q1-sammanställning kring it-hot https://securelist.com/it-threat-evolution-q1-2020/96886/ Allvarliga säkerhetsbrister i WordPress pluginet “Page Builder WordPress” som används av nästan en miljon siter. https://www.bleepingcomputer.com/news/security/wordpress-plugin-bugs-can-let-hackers-take-over-almost-1m-sites/ Top 10 mest utnyttjade sårbarheterna 2016-2019, artikel publicerad av US-CERT https://www.us-cert.gov/ncas/alerts/aa20-133a APT slår till mot norska fonderhttps://www.bleepingcomputer.com/news/security/scammers-steal-10-million-from-norways-state-investment-fund/ Ska vi omvårdera iPhones säkerhet? https://www.macrumors.com/2020/05/14/zerodium-pauses-acquiring-ios-exploits/ Med några enkla handgrepp är det möjligt att bryta sig ut ur den begränsade miljön och […] Forskare konverterar en PSU till en högtalare genom att infektera skadlig kod för att exfiltrera data (länken innehåller också andra intressanta/kluriga dataexfilteringstekniker för air-gappade system som samma forskare har arbetat med) https://www.zdnet.com/article/academics-turn-pc-power-unit-into-a-speaker-to-leak-secrets-from-air-gapped-systems/ Ytterligare en falsk Zoom-installer sprids, nu med inbakad WebMonitor RAT! https://blog.trendmicro.com/trendlabs-security-intelligence/webmonitor-rat-bundled-with-zoom-installer/ Denna blogg kommer att kort ta upp centrala delar av det white paper Europeiska kommissionen släppte avseende AI. Friskrivning Denna blogg kommer inte gå in på kommissionens definition av AI, eller hur AI har blivit ett samlingsbegrepp för flera olika typer av algoritmer som författaren inte anser är ”intelligenta”. Bloggen kommer heller ej behandla den […] Zerodays med hjälp av mail till den inbygga klienten i iOS används i riktade angrepp för att komprometterande iPhones utan användarinteraktion. Företagsledare, säkerhetsleverantörer och journalister är bland de drabbade. https://blog.zecops.com/vulnerabilities/unassisted-ios-attacks-via-mobilemail-maild-in-the-wild/ Kina föreslår centraliserat och kontrollerat internet med uppdatering till TCP/IP, RIPE motsätter sig https://www.zdnet.com/google-amp/article/ripe-opposes-chinas-internet-protocols-upgrade-plan/ Microsoft Teams var sårbar mot ett kontokapning genom att angriparen tog […] Besökare på webbsidor får upp certifikatsvarningar och användarna uppmanas att installera ett certifikat, sidan är legitim men i själva verket ligger det en iframe över sidan och syftet är att sprida skadlig kod https://securelist.com/mokes-and-buerak-distributed-under-the-guise-of-security-certificates/96324/ Även kryptolösningar har kass serversäkerhet. Ska man våga använda komersiella kryptotjänster överhuvudtaget. https://www.washingtonpost.com/technology/2020/03/10/secret-sharing-app-whisper-left-users-locations-fetishes-exposed-web/ En ny attackmetod för att kringgå befintliga försvar […] Internet skannas nu med publika exploits efter tomcat-servrar sårbara mot CVE-2020-1938 (a.k.a. Ghostcat). Den bakomliggande bristen är att anslutningar via AJP getts högre behörigheter än dem via HTTP i Tomcat. AJP är också som default aktiverat och kräver ingen autentisering. Finns i webbapplikationen möjlighet att ladda upp filer kan bristen leda till fjärrexekvering av kod. […]
sp| Publicerat 2020-06-16  Skrivet av Simovits Consulting  Publicerat 2020-06-08  Skrivet av Simovits Consulting  Publicerat 2020-06-02  Skrivet av Simovits Consulting  Publicerat 2020-05-25  Skrivet av Simovits Consulting  Publicerat 2020-05-19  Skrivet av Simovits Consulting  Publicerat 2020-05-11  Skrivet av Simovits Consulting  Publicerat 2020-04-30  Skrivet av Dennis Nilsson Sjöström  Publicerat 2020-04-28  Skrivet av Simovits Consulting  Publicerat 2020-03-16  Skrivet av Simovits Consulting  Publicerat 2020-03-09  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|Det kommer nog inte som en chock för många att Google är den mest populära sökplattformen idag. Trots det stora antalet användare är Googles fulla potential inte känd för alla. Till skillnad från många andra sökmotorer kan en Google sökning utföras med avancerade parametrar i syfte att förfina sökningar och minska antalet oönskade resultat. Parametrarna är en del av Googles inbyggda funktioner och kräver därmed inte några externa installationer eller moduler för att fungera. I denna artikel kommer vi ta en titt på grunderna för hur vi kan utnyttja Googles parametrar för att få fram intressanta resultat som kan användas vid penetrationstester eller säkerhetsgranskningar. För de intresserade rekommenderas även boken av Johnny Long. Google hacking används främst inom penetrationstester där Google kan användas som ett verktyg för få fram information som annars inte är menat att exponeras ut mot internet. Inom webbapplikationstester kan Google hacking b.la användas för att visa delar av en hemsida som annars är oåtkomliga eller för att få åtkomst till filer som ligger uppladdade på hemsidan. Vid mer sofistikerade attacker kan Google hacking även användas för att identifiera delar av en hemsida som möjligtvis är sårbara för SQL eller XSS-injektioner. Sökparametrarna i Google är strukturerade enligt formatet Exempelvis skulle parametern användas i följande format för att få fram alla underkategorier för www.simovits.com :www.simovits.com Nedan följer några av de vanligaste parametrarna som används vid Google hacking. Utöver parametrar kan vi även använda reguljära uttryck för att sådant sätt få ännu mer specifika resultat. Några vanliga reguljära uttryck är b.la Nu när vi har vi ett grundläggande hum om hur Google hacking fungerar så är det dags att pröva det i några riktiga scenarion. I nedanstående exempel gör vi en sökning mot Microsofts hemsidor där vi letar efter exe-filer Resultatet av sökningen indikerar att Microsoft konfigurerat de flesta av deras hemsidor inte listar de tillgängliga exe-filerna istället får vi i detta fall enbart 16 resultat. Här använder vi parametern för att enbart söka efter hemsidor med microsoft.com i länken och använder därefter parametern för att välja att söka efter exe-filer. I nästa exempel gör vi en lite bredare sökning. Här letar vi efter inloggningssidor för administratörer på diverse hemsidor. Här använder vi ”OR”-funktionen för att söka efter frasen ”admin” såväl som ”administrator”. Vi letar även efter ordet ”login” i titeln för att få fram mer relevanta resultat. Här får vi fram en hel del mer resultat men märker fort att många av resultaten är ”falsk-positiva” det vill säga att Google har snappat upp sökorden men där de används i ett sammanhang som inte är relevant för vårt ändamål, exempelvis i guider. Det finns dock även många exempel där vi lyckats identifiera inloggningssidor för administratörer. I vårt sista exempel undersöker vi hur vi kan komma åt olika webbaserade resurser. Som ni kommer märka är dessa sökningar ofta väldigt simpla och handlar främst om att kunna identifiera ett mönster på resursens hemsida eller gränssnitt. Exempelvis kan vi lätt komma åt inställningsgränssnittet för SpeedStream routrar genom att använda parametern intitle:”speedstream router management” för att på sådant sätt söka efter gränssnitt som exponerats mot internet. Vi kan också hitta öppna SQL-servrar genom att använda parametern intitle:phpmyadmin och texten ”welcome to phpmyadmin”. I båda fallen märker vi att denna typ av sökning ofta genererar förvånansvärt precisa resultat. Det är även möjligt att filtrera ner resultaten till en specifik domän genom att använda parametern. Google hacking görs möjligt av det faktum att personer inte är medvetna om vilken information som exponeras mot internet därmed händer det att information läggs upp på delar av en hemsida eller server som aldrig tänkts exponeras ut mot internet men som istället fångas upp av Googles web-spindel. Många av de tjänster som kan identifieras via Google har även svaga eller standardlösenord då tjänsten, likt ovan, aldrig var tänkt att exponeras ut mot internet. Behandla istället all information som ligger på en server som om den skulle vara exponerad mot internet och se till att god kryptering, sunt förnuft och starka lösenord.
td|site Begränsar sökresultaten till en specifik hemsida intext Söker efter ord eller begrepp på en hemsida inurl Söker efter ord eller begrepp i en URL filetype Söker efter specifika filer intitle Söker efter ord eller begrepp i en hemsidas titel link Söker efter länkar till en hemsida Matchar en enstaka karaktär. Exempelvis skulle en sökning på .imovits bland annat kunna ge resultaten mimovits, simovits eller 8imovits Matchar noll eller fler av den tidigare karaktären. Exempelvis skulle en sökning på s*imovits kunna ge resultaten sssimovits eller simovits En ”Or”-funktion. Exempelvis skulle sökningen test|häst ge resultat med både test och häst Skapar en lista av föremål att matcha på. Exempelvis skulle sökningen [492] ge resultat för 4, 9 och 2. I samband med detta uttryck kan även ett bindestreck användas för att expandera listan. Exempelvis skulle sökningen [A-D] matcha med alla resultat som innehåller versaler mellan A och D
st|Parameter:Sökterm site site Parameter Förklaring Parameter Förklaring . * | [] site file site
h1|Hacka med Google
h2|Vad kan vi använda Google hacking till? Sökparametrar Och nu sätter vi ihop allt Hur skyddar vi oss mot Google hacking?
sp| Publicerat 2016-08-05  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
em|Google Hacking For Penetration Testers
pa|När man tar upp sidan för Ashley Madison, nu nästan två månader senare, så slås man av två saker: Det första är att den fortfarande är uppe, och det andra är att de har en medalj längst ner som hävdar att de fått utmärkelse för pålitlig säkerhet. Av vad som går att förstå av vad som lästs på nätet så hackades Ashley Madison den 10 juli i år av en hackergrupp som kallar sig ”Impact team”. Dumpen från hacket publicerades ca tio dagar senare. Vad som var fascinerande var att dumpen bestod av 10 Gbyte. Den innehöll bland annat följande: Den 18 och 20 augusti dumpades ytterligare 25 Gbyte data på Internet. Dessa dumpar innehöll enligt utsago intern e-post från Ashley Madison samt källkod till siten. Intressant iakttagelse är dock de sekundära konsekvenser av hacket vilket innebär mycket mer både ur ett integritetsperspektiv, IT-säkerhetsperspektiv och förtroendeperspektiv: Listan kan göras längre. Vi har ännu inte tagit upp kostnader av stämningar, utökade kostnader för att säkra nätet samt förlorade intäkter. Man kan fundera över hur företaget hade gjort sin riskanalys då del lanserade tjänsten. Hacket visar också att konsekvenserna av ett hack kan vara mer långtgående än vad man tidigare har kunnat föreställa sig. Så vad skulle konsekvenserna bli om ni blev hackade och er databas dumpades på nätet? Vi har helt enkelt passerat en gräns där detta numera är en realitet och inte en sannolikhet.
li|Användarnamn, namn, e-postadresser och lösenordshashar för 33 miljoner konton. Användarprofilerna innehöll även sexuella preferenser eller böjelser samt GPS-koordinater. Ca 15000 av användarnas e-postadresser tillhörde amerikanska myndigheter. Företagsinterna dokument som bland annat beskrev IT-infrastrukturen för siten. För en del av kontona fanns delar av kreditkortsnummer samt hemadresser. Loggar för användning av tjänsten. Enligt en kontroll Gizmodo har gjort visade det sig att endast 15000 av de 5 miljoner kvinnliga kontona användes på en regelbunden basis. För varje gång en kvinna kollade sin mailkorg, kollade 13585 män sin mailkorg. Användare av siten började utpressas. Enligt France24 så återfanns t.ex. 1200 Saudiska e-postadresser. I Saudiarabien kan otrohet straffas med döden. Vd:n för företaget avgick. Säkerhet är ju trots allt ledningens ansvar. Källkoden visar enligt Gizmodo att Ashley Madison använde sig av Fembots dvs programvara som utgav sig vara kvinnlig deltagare (också kallat för engagers). Kunder kunde betala för att ta bort sitt konto från Ashley Madison. Hacket visade att kontona endast deaktiverades och att data aldrig raderades. Mer än två självmord misstänks relateras till hacket.
h1|En oönskad affär!
sp| Publicerat 2015-09-01  Skrivet av Mikael Simovits Copyright © 2021 - Simovits AB
pa|Lösenordsbaserad autentisering är den vanligaste typen av autentiseringsmetod. Vi diskuterar ofta olika tillvägagångssätt att skapa säkra lösenord och hur användare bör hantera dessa. En intressant frågeställning är huruvida användarvalda lösenord, i motsats till pseudoslumpmässiga lösenord som genereras av lösenordshanterare exempelvis, exponerar information om oss och i sådant fall i hur stor grad detta kan användas […] Redan från barnsben blir utvecklare drillade att skriva så effektiv kod som möjligt utan onödiga jämförelser och funktionsanrop. Vid inloggning till en webbapplikation är det vanligt att man loggar in genom att ange ett användarnamn och ett lösenord. Dessa uppgifter skickas till servern som kontrollerar om det finns en sådan användare med ett sådant lösenord, […] Idag är det Black Friday och folk kommer gå man ur huse för att handla något till ett synes extraordinärt pris. Under förra årets Black Friday dygn handlade svenskar prisnedsatta varor för 5.3 miljarder kronor och av dessa var 52 procent inhandlade på nätet[1]. När många ser detta dygn (och helg) som ett ypperligt tillfälle […] FBI har i efterskalven av massmorden i San Bernardino försökt få genom en skräddarsydd bakdörr för iOS enheter. Detta för att kunna ta sig in i en Iphone 5C-telefon tillhörande förövaren Syed Farook som tillsammans med sin fru mördare 14 personer. FBI har efterfrågat följande från Apple [1]: ”[Provide] the FBI with a signed iPhone […] Forensik i alla dess former börjar bli allt mer vanligt förekommande. Problemet är att det ofta är dyrt med både den mjukvara och hårdvara som behövs för att genomföra en forensisk undersökning. I den här artikeln undersöker vi vad vi kan åstadkomma med en begränsad budget och när vi enbart använder oss av freeware. Scenario: […] Last week I (Peder Sparell) held a tutorial talk on the Passwords 2015 Conference in Cambridge. My talk was titled “Linguistic Cracking of Pass Phrases using Markov Chains”, and the work behind it is a continiuation of my master thesis made this spring/summer. It was well received, and I got great feedback from some of […]
sp| Publicerat 2021-03-08  Skrivet av Mahdi Khorsravi  Publicerat 2019-08-12  Skrivet av Peder Sparell  Publicerat 2018-11-23  Skrivet av Dennis Nilsson Sjöström  Publicerat 2016-02-22  Skrivet av Simovits Consulting  Publicerat 2016-01-08  Skrivet av Simovits Consulting  Publicerat 2015-12-17  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|Lösenordsbaserad autentisering är den vanligaste typen av autentiseringsmetod. Vi diskuterar ofta olika tillvägagångssätt att skapa säkra lösenord och hur användare bör hantera dessa. En intressant frågeställning är huruvida användarvalda lösenord, i motsats till pseudoslumpmässiga lösenord som genereras av lösenordshanterare exempelvis, exponerar information om oss och i sådant fall i hur stor grad detta kan användas […] Molntjänster är ett ständigt aktuellt ämne, inte minst sedan den beslutade utbyggnaden av ett par stora serverhallar i Mellansverige som varit omdiskuterade på grund av sin förhållandevis höga elförbrukning. Ur ett säkerhetsperspektiv finns också ett antal nya aspekter att ta hänsyn till även om tekniken i sig har funnits en längre tid. Det som i […] Att skanna QR-koder för autentisering tillåter användare att logga in på webbsidor och applikationer utan behovet att komma ihåg lösenord. QR-koder förenklar processen för inloggning men även för företag som vill annonsera för sina produkter. Genom att placera en QR-kod på exempelvis ett flingpaket gör att konsumenten snabbt och effektivt dirigeras till företagets hemsida för […] Många sårbarheter i program bygger idag på fel hur minnet refereras såsom: Buffertöverskridning (eng: buffer overflow) Följande av null-pekare Användning av minnesreferenser efter att minnet lämnats tillbaka till systemet (eng: use-after-free) Användning av minne som inte initialiserats När minnesreferenser som redan lämnats tillbaka eller aldrig pekat på allokerat minne lämnas tillbaka (igen) Dessa fel resulterar […] Under sommaren 2020 drabbades Garmin av en störning i sina IT-system som det tog närmare en vecka att helt avhjälpa. Utanför företaget märktes störningen främst som en otillgänglighet för användare av online tjänster för exempelvis registrering av träningshistorik från sportklockor. Men även betaltjänster och uppdateringar av navigeringssystem för flygtrafik kan ha påverkats. Garmin har hittills […] Bakgrund I höst kommer Post- och Telestyrelsen auktionera ut 5G-frekvenser till mobiloperatörer [2]. Tilldelningen ska främja kapaciteten för mobila bredbandstjänster och skapa en plattform för den kommande 5G-utbyggnaden. För den som är villig att delta i Sveriges kommande 5G-utrullning kommer ett lägsta bud i tilldelningen att kosta 1.5 miljarder kronor i 3.5 GHz-bandet och 160 […] Internet skannas nu med publika exploits efter tomcat-servrar sårbara mot CVE-2020-1938 (a.k.a. Ghostcat). Den bakomliggande bristen är att anslutningar via AJP getts högre behörigheter än dem via HTTP i Tomcat. AJP är också som default aktiverat och kräver ingen autentisering. Finns i webbapplikationen möjlighet att ladda upp filer kan bristen leda till fjärrexekvering av kod. […] iPhone har länge legat i framkant vad gäller säkerhet och integritet, med delade känslor för många IT-forensiker som hittills i princip omedelbart fått ge upp när en låst iPhone av nyare modell än 4S hamnar på bordet utan att användaren frivilligt lämnat ifrån sig koden. För någon månad sedan släppte Cellebrite dock sin implementation av […] Redan från barnsben blir utvecklare drillade att skriva så effektiv kod som möjligt utan onödiga jämförelser och funktionsanrop. Vid inloggning till en webbapplikation är det vanligt att man loggar in genom att ange ett användarnamn och ett lösenord. Dessa uppgifter skickas till servern som kontrollerar om det finns en sådan användare med ett sådant lösenord, […] Förra helgen eskalerade våldet mellan palestinska extremister och Israel till den högsta nivån sedan kriget bröt ut 2014. Under helgen avlossades flera hundra palestinska raketer mot Israel, som svarade med flyganfall mot mål i Gazaremsan. Decennier in i våldet och spänningarna i regionen, var detta föga förvånade. Vad som stod ut denna gång är att […]
sp| Publicerat 2021-03-08  Skrivet av Mahdi Khorsravi  Publicerat 2021-01-11  Skrivet av Tomas Forsberg  Publicerat 2021-01-08  Skrivet av Dennis Nilsson Sjöström  Publicerat 2020-11-20  Skrivet av Daniel Hedencrona  Publicerat 2020-08-14  Skrivet av Tomas Forsberg  Publicerat 2020-08-07  Skrivet av Dennis Nilsson Sjöström  Publicerat 2020-03-09  Skrivet av Simovits Consulting  Publicerat 2020-03-08  Skrivet av Peder Sparell  Publicerat 2019-08-12  Skrivet av Peder Sparell  Publicerat 2019-05-10  Skrivet av Dennis Nilsson Sjöström Copyright © 2021 - Simovits AB
pa|Vi erbjuder ständigt examensarbeten inom Cybersäkerhet. Avsikten med examensarbetet är att utgöra en del i företagets forskning och omvärldsbevakning, men framförallt för dig att känna på vad ett typiskt uppdrag kan innebär och för oss att på sikt hitta en ny kollega. För de examensarbeten som erbjuds gäller följande: Examensarbetet ska vara i nivå med […] iPhone har länge legat i framkant vad gäller säkerhet och integritet, med delade känslor för många IT-forensiker som hittills i princip omedelbart fått ge upp när en låst iPhone av nyare modell än 4S hamnar på bordet utan att användaren frivilligt lämnat ifrån sig koden. För någon månad sedan släppte Cellebrite dock sin implementation av […] Det har de senaste åren dykt upp fler och fler appar för de som vill hålla sina konversationer privata. Exempel på funktioner är efemära meddelanden (som försvinner efter läsning eller viss tid) och end-to-end-kryptering, vilket innebär att den sändande mobilen krypterar och den mottagande mobilen dekrypterar, utan att ens tjänsteleverantören kan återskapa meddelandena till klartext. […] I den här bloggposten tänkte jag kort diskutera tre funktioner i iOS för att motverka att någon med fysisk tillgång till en iPhone kan dumpa data från den; USB Restricted Mode, SOS-läge samt parningscertifikat. Detta är relevant vi forensiska utredningen, men även för den som funderar över sin telefons säkerhet rent allmänt. USB Restricted Mode […] Frågeställningen i detta inlägg är vilka förändringar som den nya dataskyddsförordningen (som ersätter personuppgiftslagen) kan komma att medföra för hur känsliga personuppgifter hanteras inom IT-relaterade utredningar. Utgångspunkten för dataskyddsförordningen är förenklat att enbart sådan behandling av personuppgifter får äga rum som är nödvändig, har stöd av lagstiftning och regelverk och som framstår som relevant och […] I saw a guy today at Starbucks. He had no smartphone, tablet or laptop. He just sat there drinking his coffee. Like a psycopath. Vår värld blir allt mer fokuserad kring våra mobila enheter. Sannolikheten är stor att en person inte lämnar sitt hem utan sin smartphone. Till följd blir vi allt mer beroende av […] I början av månaden gick RSA Conference USA 2016 av stapeln i San Francisco. Jag (Peder) och Mikael var där och höll vår presentation angående mitt/vårt arbete med lösenfrasknäckning med hjälp av Markovkedjor. Vi fick bra respons och många frågor efteråt, och det kändes som att åhörarna tyckte det var intressant, nydanande och att de […] Forensik i alla dess former börjar bli allt mer vanligt förekommande. Problemet är att det ofta är dyrt med både den mjukvara och hårdvara som behövs för att genomföra en forensisk undersökning. I den här artikeln undersöker vi vad vi kan åstadkomma med en begränsad budget och när vi enbart använder oss av freeware. Scenario: […]
sp| Publicerat 2020-09-13  Skrivet av Mikael Simovits  Publicerat 2020-03-08  Skrivet av Peder Sparell  Publicerat 2018-10-05  Skrivet av Peder Sparell  Publicerat 2018-08-10  Skrivet av Anders Lundman  Publicerat 2018-08-03  Skrivet av Tomas Forsberg  Publicerat 2016-05-09  Skrivet av Simovits Consulting  Publicerat 2016-03-24  Skrivet av Simovits Consulting  Publicerat 2016-01-08  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|I denna blogg kommer vi gå igenom hur man sätter upp en Windows Event Collector och en del anpassningar om måste göras för detta. En Windows Event Collector (WEC) används för att samla in logg från Windows servrar och klienter. Detta är en funktionalitet som finns inbyggd i Windows och konfigureras med några GPO:er och […] I den här blogginlägget ska vi testa ett plugin till Kibana. Kibana är en del av ELK-stacken. ELK står för Elasticsearch, Logstash och Kibana. Simovits använder ofta Elasticsearch för logganalys då det är öppen mjukvara och väldigt skalbart. Elasticsearch vilket är en distribuerad sökmotor byggd på Apache Lucene. Kibana är ett webbgränssnitt som integrerar med […] I Elasticsearch-stacken finns Logstash med som loggmottagare. Logstash är ofta inte önskvärt som loggmottagare eftersom det utnyttjar en stor mängd systemresurser vilket förstås inte alltid är lämpligt. Därför används ofta andra loggmottagare eller egenutvecklade loggmottagare. Lumberjack är det protokoll som vanligen används av Elasticsearch beats-suiten (https://www.elastic.co/products/beats) såsom Filebeat och Winlogbeat då loggar ska skeppas. Protokollet […] I början av månaden gick RSA Conference USA 2016 av stapeln i San Francisco. Jag (Peder) och Mikael var där och höll vår presentation angående mitt/vårt arbete med lösenfrasknäckning med hjälp av Markovkedjor. Vi fick bra respons och många frågor efteråt, och det kändes som att åhörarna tyckte det var intressant, nydanande och att de […]
sp| Publicerat 2020-04-17  Skrivet av Petter Stymne  Publicerat 2018-11-16  Skrivet av Petter Stymne  Publicerat 2018-09-28  Skrivet av James Dickson  Publicerat 2016-03-24  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|En nyligen utgiven doktorsavhandling avseende digitala bevis väckte mitt intresse häromdagen. Avhandlingen ”Om informationstekniskt bevis” av Jonas Ekfeldt tar bland annat upp aspekter gällande korrekt terminologi, felkällor vid framtagning och värdering av digitala bevis samt rättsväsendets behov av nya kunskaper för att kunna behandla digital bevisning på rätt sätt. En avhandling av denna typ kan även ha ett värde utanför rättsväsendet. Det kan gälla allt från så enkla saker som vilka forensiska verktyg och tekniker som används, hur bevisinsamlingsuppdrag bör formuleras och vilken kompetens som krävs av en forensiker, till hur rättsväsendet ser på olika former av digitala bevis. Det finns givetvis många former av digitala bevis. I allmänhet tänker vi som arbetar med säkerhet ofta på ett antal fokusområden, exempelvis Det finns alltså ett behov av både säkerhetsanalyser och forensiskt kunnande långt utanför den rättsliga arenan. Det händer givetvis också att en verklig händelse leder till polisanmälan och att underlag från berörda IT system lämnas ut i händelse av att en förundersökning inleds. Inom polisen och de rättsvetenskapliga institutionerna är situationen delvis annorlunda Det är alltså mer vanligt att denna typ av forensiska undersökningar koncentreras till den misstänktes egendom och att resultaten kommer att ifrågasättas av den misstänkte. Exempelvis kan en misstänkt hävda att utrustningen var utlånad, stulen eller fjärrstyrdes varvid en forensisk undersökning ofta tar med dessa aspekter redan vid genomgången. Det finns redan generella tekniker för att undersöka en misstänkts dator. Exempelvis används normalt en väldefinierad teknik för att klona hårddisken från en beslagtagen dator för att minska risken att forensikern påverkar IT systemet och för att kunna ge en annan expert vid ett senare tillfälle samma möjligheter att gå igenom materialet. Det är också ganska vedertaget vad en forensisk undersökning i dessa fall syftar till, exempelvis att gå igenom bilder, dokumentet, kontakter och meddelanden som skulle kunna knytas till ett misstänkt brott. Givetvis är det viktigt att uppdragsformuleringen är rätt från början, likaså att forensikern väl skiljer mellan egna observationer och egna slutsatser. Flera av de slutsatser som dras i dessa avseenden i avhandlingen är förhoppningsvis redan naturliga för de som arbetar med granskningar och revisioner av IT system, exempelvis att man måste beskriva vilket uppdrag som erhållits, vilka eventuella omständigheter som ska påvisas (jämför användning av kontrollmål vid en revision), vilken terminologi som använts i det aktuella sammanhanget, vilka observationer som gjorts (vilket data eller loggposter som selekterats fram), vilka slutsatser som kan dras och hur säkra dessa slutsatser är. Detta är i sig inget konstigt, men de skräddarsydda kurser som finns för forensiker tar inte alltid upp dessa aspekter i önskad omfattning. En annan aspekt är att utvecklingen inom IT området är fortsatt snabb och att rättsväsendet i någon mening alltid måste finna sig i att vara lite grann på efterhand. Vad finns det då för slutsatser att dra för oss som arbetar med säkerhet av avhandlingen? För mig var den viktigaste punkten nog att stämma av terminologi och tankesätt mot de som gäller inom det svenska rättsväsendet. Flera av de kunskaper vi har kommer utifrån och är antingen givna av de professionella organisationer vi personligen tillhör eller av de organisationer som tillhandahåller IT produkter eller anvisningar för säker användning av IT produkter. Flertalet av dessa organisationer är givetvis utländska. Vi är därmed vana att arbeta i blandad miljö med både svensk och engelsk terminologi och i de flesta fall även en områdesspecifik fackterminologi. De rättsliga regler och säkerhetsprinciper vi lärt oss är ofta mer eller mindre globala. Det är då värdefullt att läsa en avhandling på svenska som dessutom utgår från svenska rättsregler även om det tekniska djupet i avhandlingen inte tillför något egentligt nytt. När vi exempelvis använder en forensisk programvara eller följer en undersöknings och rapporteringsmall så är underlagen normalt på engelska och det är då värdefullt att ha ett dokument som använder mer eller mindre vedertagna svenska begrepp eller som avhandlingen kanske snarare avsåg att göra – att redogöra för vilken osäkerhet som finns i dessa begrepp, vilka felkällor man bör ta hänsyn till vid sammanställning av utredningar och hur man ska presentera utredningar med minst risk för juridiska missuppfattningar. Även sammanställningen i avhandlingen av rättsfall och lagar som berör digitala bevis eller IT system var av ett visst intresse. Samtidigt blir varje sammanställning av denna typ relativt begränsad avseende hur mycket som kan skrivas om varje fall. Det ligger i sakens natur att domar och förundersökningsprotokoll ofta ger en mer detaljerad och kompletterande bild av hur digitala bevis samlas in, används och slutligen värderas. Min slutsats är avhandlingen hursomhelst är väl värd att laddas hem och ägnas några timmars läsning av den som är intresserad av ämnesområdet även enbart ur ett mer renodlat säkerhetsperspektiv. Länk till avhandlingen Om informationstekniskt bevis:
li|Hur ska vi analysera ett angrepp mot ett av våra egna IT system Vad händer om en av våra användare utsätts för dataintrång Vad händer om en av våra användare eller kunder tapparsin dator eller mobil Digital information kan användas för spaning (masttömning och samtalslistor) En misstänkts dator, dataminnen och mobiler kan undersökas för att ge bevisning En misstänks dator eller hemnätverk kan matchas mot spår av dataintrång En misstänkts konton kan matchas mot aktiviteter i ett IT system Vid behov får man söka hjälp av teleoperatör, bank eller annan berörd organisation
h1|Om digitala bevis
sp| Publicerat 2016-04-06  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|Efter det förnedrande intrånget på Ryska järnvägen i januari i år [1][2] , så kom jag över en artikel[3] i den ryska motsvarigheten till Engadget – habr.ru som citerade ett ”axiom” som förklaring till varför just Ryska järnvägen blev hackad. Författaren hade snällt länkat till den ursprungliga artikeln som beskrev ett antal axiom/lagar kring Cybersäkerhet […] Simovits Consulting deltar som sponsor på Försvarshögskolans Cyber Challenge 2021. Här hittar ni länkar till presentationer samt utannonserade examensarbeten. Ni är välkomna att ta kontakt med mig (Mikael Simovits) om ni har några frågor. Kontaktuppgifter hittar ni under fliken “Om Oss”. https://simovits.com/om-oss/ Utannonserade examensarbeten hittar ni här: https://simovits.com/examensarbeten-pa-simovits-consulting/ Läs mer om företaget: Inspirational talk: Vi erbjuder ständigt examensarbeten inom Cybersäkerhet. Avsikten med examensarbetet är att utgöra en del i företagets forskning och omvärldsbevakning, men framförallt för dig att känna på vad ett typiskt uppdrag kan innebär och för oss att på sikt hitta en ny kollega. För de examensarbeten som erbjuds gäller följande: Examensarbetet ska vara i nivå med […] När Washington Post den 11 februari i år publicerade att det Schweiziska företaget Crypto AG i själva verket varit en front för den amerikanska underrättelsetjänsten CIA, så upplevdes det som en chock för många av oss i säkerhetsgemenskapen[1]. Artikeln i Washington post beskrev hur CIA, tillsammans med den tyska underrättelsetjänsten BND, 1970 hade köpt det […] Kartläggning av individer och organisationer har kommit att förknippas med främst med integritet, men det finns fler aspekter som är av intresse ur olika säkerhetsperspektiv. Vissa utredningar är både normala och önskvärda, exempelvis bakgrundskontroller vid anställningar och kontroller vid företagsförvärv. Andra former av kartläggning är mindre önskvärda, men svåra att förhindra. Det som möjliggjort denna […] Något tragikomiskt, har programmet sudo (som används för att höja privilegier på linux) en bufferowerflow sårbarhet som ger möjlighet för en angripare att höja sina privilegier. https://www.sudo.ws/alerts/pwfeedback.html NIST har en ny draft på gång för att detektera och hantera ransomware och andra destruktiva händelser https://www.nccoe.nist.gov/sites/default/files/library/sp1800/di-detect-respond-nist-sp1800-26-draft.pdf Kaspersky har analyserat något som de kallar är det första […] Förra helgen eskalerade våldet mellan palestinska extremister och Israel till den högsta nivån sedan kriget bröt ut 2014. Under helgen avlossades flera hundra palestinska raketer mot Israel, som svarade med flyganfall mot mål i Gazaremsan. Decennier in i våldet och spänningarna i regionen, var detta föga förvånade. Vad som stod ut denna gång är att […]
sp| Publicerat 2021-02-19  Skrivet av Mikael Simovits  Publicerat 2021-01-28  Skrivet av Mikael Simovits  Publicerat 2020-09-13  Skrivet av Mikael Simovits  Publicerat 2020-06-12  Skrivet av Mikael Simovits  Publicerat 2020-05-14  Skrivet av Tomas Forsberg  Publicerat 2020-02-14  Skrivet av Mikael Simovits  Publicerat 2019-05-10  Skrivet av Dennis Nilsson Sjöström Copyright © 2021 - Simovits AB
pa|Att skanna QR-koder för autentisering tillåter användare att logga in på webbsidor och applikationer utan behovet att komma ihåg lösenord. QR-koder förenklar processen för inloggning men även för företag som vill annonsera för sina produkter. Genom att placera en QR-kod på exempelvis ett flingpaket gör att konsumenten snabbt och effektivt dirigeras till företagets hemsida för annonsering för andra produkter. Den snabba autentiseringen och länkningen till webbsidor bidrar till en ökad risk för användare då det kan vara svårt att veta om den skannade QR-koden faktiskt leder till en auktoriserad hemsida. QR-koder utvecklades av ett japanskt företag 1994 som en vidareutveckling av EAN-koden för användning inom bilindustrin i Japan. Koderna fick snabbt fäste utanför bilindustrin på grund av den snabba läsbarheten och större minneskapaciteten jämfört med vanliga EAN-koder. Som alla nya och hjälpsamma produkter på marknaden, användes QR-koder för att öka försäljningen för företag. QR-koder har senare blivit antagen för flera olika ändamål, exempelvis Swish-koder och bankinloggningar. På grund av dess breda spridning har QR-koder även fått IT-brottslingars uppmärksamhet och genom attacker så som QRLJacking och fejkade QR-koder har dessa kunnat utnyttjats. Det finns två huvudsakliga attackvektorer vid användning av QR-koder och dessa kommer att diskuteras i detalj i nedanstående avsnitt. QRLJacking är när en applikation eller hemsida använder QR-koder som ett engångslösenord för inloggning. För att utföra en QRLJacking attack behöver du endast två saker: ett skript som uppdaterar en QR-kod samt en välskriven phishingsida. Attacken modus operandi är som sådan: OWASP har tagit fram en modul för att förenkla processen av QRLJacking som heter QRLJacker och kan laddas ned från deras GitHub-sida [1]. Fram tills deras rapport var flera applikationer drabbade av sårbarheten där vissa har gjort förändringar. Några av applikationerna har inte åtgärdat sårbarheten och är således fortfarande exponerade för denna typ av attack. Till exempel, du är ute och går på en marknad och hittar en rolig produkt du vill köpa, men du har inga kontanter (som de flesta inte har idag), men företaget har satt upp en lapp med en QR-kod till Swish. Du litar fullständigt på att lappen tillhör företaget som du köper produkten av, men i det här fallet har en angripare satt dit en lapp över företagets lapp med ett snarlikt namn som gör att du inte reagerar på namnet i applikationen. Vilket gör att du tror att du betalar företaget och visar upp din slutförda betalning för försäljaren, men pengarna har gått till angriparen. För att visa hur enkelt det är att skapa en QR-kod (samtidigt som jag hoppas på en extra inkomst) har jag skapat en QR-kod via Swish [2] som alla med ett Swish-konto kan betala till. Läsarna av bloggen får gärna testa för att undersöka om det fungerar 😉 (De personer som faktiskt använder länken och betalar kommer självklart få en kebab). QR-koder kan användas i antagonistiska syften för att tillskansa sig ekonomiska medel eller få åtkomst till en användares konto. Det finns dock sätt för användare, individer och organisationer att skydda sig från denna typ av attacker beroende på vilken typ av angreppsvektor som används. Mitigeringsåtgärder för att minimera skadan och undvika att bli föremål för QRL-attacker kommer presenteras nedan. Organisationer som använder QRL-koder för inloggning eller annan typ av autentisering/signering rekommenderas det att endast tillåta QR-koden för applikationen att genereras och autentiseras från samma externa IP-adress. Genom detta tillvägagångssätt tillåts QR-koden endast att genereras i användares webbläsare och den enhet som används som QR-läsare måste vara ansluten till samma nätverk som webbläsaren. Risken kvarstår men förminskas. Som användare bör följande nedanstående råd för att undvika den andra typen av attacker (QRL spoofing): [1] – [2] –
li|Angriparen initierar en QR-session från en legitim hemsida och klonar QR-koden och lägger till på sin phishingsida Angriparen lurar sitt offer att gå in på phishingsidan Offret skannar då QR-koden med sin telefon När autentiseringen är färdig har då angriparen full kontroll över offrets konto Undvik att använda QR-koder som betalning eller autentisering, Alternativt använd endast QR-koder som ett led i multifaktorsautentisering. Använd en QR-läsare som implementerar säkra egenskaper, detta gäller särskilt för Android-användare.
st|Bakgrund Angreppsvektorer QRLJacking Fejkade QR-koder Slutsats och mitigeringsåtgärder Referenser
h1|Faran med QR-koder
sp| Publicerat 2021-01-08  Skrivet av Dennis Nilsson Sjöström Copyright © 2021 - Simovits AB
pa|Att få åtkomst till ditt konto eller kontouppgifter är såklart en het potatis, särskilt för de tjänster där du kanske kommunicerar lite mer känslig information och då väljer att använda en app med möjlighet till end-to-end kryptering. Hur ser det ut bland de mest populära chatt-apparna som använder sig av krypterad information? Hur skulle ett […] I den här blogginlägget ska vi testa ett plugin till Kibana. Kibana är en del av ELK-stacken. ELK står för Elasticsearch, Logstash och Kibana. Simovits använder ofta Elasticsearch för logganalys då det är öppen mjukvara och väldigt skalbart. Elasticsearch vilket är en distribuerad sökmotor byggd på Apache Lucene. Kibana är ett webbgränssnitt som integrerar med […] Många av er som sysslar med IT-säkerhet har nog vid ett eller annat tillfälle hört talas om organisationen OWASP. Vad så många inte vet är att OWASP själva står bakom ett sårbarhetsskanningsverktyg. Närmare bestämt ZAP eller Zed Attack Proxy. OWASP själva beskriver verktyget som ett lättanvänt verktyg för penetrationstestare och annat säkerhetsintresserat folk som är […]
sp| Publicerat 2020-03-13  Skrivet av Tiina Loukusa Hyttnäs  Publicerat 2018-11-16  Skrivet av Petter Stymne  Publicerat 2015-10-02  Skrivet av Peter Hildeblom Copyright © 2021 - Simovits AB
pa|Det sägs att man inom gruvdrift historiskt använt kanariefåglar för att kontrollera förekomsten av dödlig gas. Den procedur som användes var att kanariefåglar firades ned i ett område som skulle undersökas och sedan upp igen. Var fågeln död när den kom upp kunde förekomst av farlig gas konstateras, levde den var det antagligen ingen direkt dödsfara. Oavsett vilka funderingar man har kring detta avseende effektivitet mot långsamt verkande förorening eller som djurvän har det gett upphov till begreppet “canaries” inom IT-säkerhet. I likhet med kanariefåglarna i gruvan används canaries inom IT-säkerhet för att detektera pågående angrepp snarare än att förhindra dessa. Den här blogposten handlar om OpenCanary som är ett exempel på en fritt tillgänglig produkt från företaget Thinkst. OpenCanary är en Python daemon som konfigureras för att imitera vanliga tjänster på ett internt nätverk. Den genererar sedan larm när en oförsiktigt angripare försöker interagera med dessa och fungerar därmed som en varningsklocka för pågående angrepp. Jag har testat produkten i Lubuntu installerat på en Intel Compute Stick kallad . Installationen var smärtfri och jag döpte min instans av opencanary till . Jag konfigurerade min canary att imitera en FTP och en HTTP server samt reagaera på portskanningar genom att modifera relevant konfigurationsfil enligt nedan. Vidare konfigurerade jag min kanariefågel att larma mig via gmail. Med kanariefågeln på vakt var det dags att testade dess effektivitet I att detektera angrepp. Resten av den här blogg beskriver denna vid två enkla angrepp angrepp. En tänkt angripare portskannar enheten med verktyget nmap ser att en FTP-server kör och försöker logga in med användarnamn och lösenord . Från portskanningen ser angriparen att en HTTP-sever körs på port 80. Angriparen besöker därför IP-address i en webbläsare och av vad som ser ut som inloggningssidan för ett NAS. Angriparen gör ett nytt inloggningsförsök på denna sida återigen med inloggningsuppgifterna h4ck3r och p4ssw0rd!!. Såväl portskanningen som inloggningsförsöket över FTP generar larm som skickas från den gmail jag skapat för ändamålet. Larmen från portskanningen innehåller IP- samt MAC-addresser för angriparens maskin medan larmet från inloggningsförsöket även innehåller de användaruppgifter som används. Om det var ett verkligt angrepp hade självfallet denna information varit mycket värdefull för att identifiera kormpomenterade enheter och autentiseringsuppgifter. Besöket på HTTP-sidan och inloggningen där generar även det ett antal larm: I likhet med portskanningen och FTP-inloggningen fångas även denna gång angriparens aktivtet inklusive inloggningsuppgifter samt tilltäckliga uppgifter för att kunna identifiera enheten på nätverket. Som med alla säkerhetsprodukter krävss vissa förutsättningar för att produkten ska fungera. I min uppsättning är möjligheterna för kanariefågeln att skapa larm att den kan kommunicera med gmail. Förstör angriparen den förmågan är det möjligt att kommunicera med produkten utan att larm generas. Angripare kan undersöka kanariefågeln utan att skapa larm genom att använda kända sårbarheter i ARP-protokollet som används för att koppla samman MAC- och IP-addresser. För att visa hur det kan gå till använder vi verktyget Bettercap. Initalt kan angriparen identifiera enheter på nätverket med net.recon-modulen i Bettercap. Det gör man genom att aktivera net.recon som gör att att Bettercap regelbundet läser av ARP-tabellen på angriparens maskin samt exekverar kommandot net.show enligt nedan. När angriparen har identiferat maskinen kan ett ARP Cache Poisoning angrepp utföras mot och dess gateway. Med net.recon aktiverat kan det här utföras genom följande kommandon: ARP Cache Poisoning angreppet innebär att angriparens maskin skickar ut falska ARP-replies som får det att se ut som såväl som gateway har angriparens MAC-address. Det gör att all kommunikation mellan och dess gateway går via angriparens maskin, det vill säga angriparen är man-in-the-middle. Med verktyget tcpdump kan man se detta enligt nedan. På syns detta i arp-tabellen där man ser att två olika IP-address motsvarar samma MAC-address. Om faktiskt var en FTP- eller HTTP-server skulle det här kunna användas för att avläsa inloggningsuppgifter för de båda klartextprotokollen. Vill angriparen istället förhindra att kommunicerar med yttervärlden kan hen åstadkomma det genom att helt enkelt konfigurera sin brandvägg till att droppa aktuella paket. När jag först gör det här, och sedan samma aktiviteter som i det oförsiktiga scenariot, får jag nu inga mail överhuvudtaget. Å ena sidan lärde vi oss av scenariot med en oförsiktig angripare att Opencanary med enkla medel ger stora möjligheter att detektera pågående IT-angrepp. Den ger dessutom bra ledtrådar i incidenthanteringen. Å andra sidan såg vi i fallet med en försiktig angripare att de larm som generas kan stoppas om angriparen har en man-in-the-middle position i nätverket. Vår kanariefågel kan alltså fungera som en snubbeltråd för angriparen i en allmän försvarstrategi baserad på principen defence-in-depth, men produkten ersätter inte andra säkerhetsfunktioner på nätverksnivå. Exemeplvis skulle den metod som används i scenariot med en försiktigare angripare snabbt upptäckts om det fanns övervakning av ovanlig ARP-trafik på nätverket. Omvänt skulle sannolikt inte ett enskilt felaktigt inloggningsförsök över HTTP genera ett larm i en traditionell säkerhetsprodukt. Analogin med kanariefåglarna i gruvan har slutligen egentigen en dimension till; i båda fallen innebär “fågel-larmen” att något dåligt har inträffat, men att fåglarna verkar oberörda innebär inte att allt är säkert.
li|Bettercap – https://www.bettercap.org/ Open canary – https://github.com/thinkst/opencanary
h1|Kanariefågeltestet
h3|Ett scenario med en oförsiktig angripare Detektion Ett scenario med en försiktigare angripare Slutsats
h4|Angreppet: Angrepp utan larm Referenser
sp| Publicerat 2019-10-11  Skrivet av Anders Lundman Copyright © 2021 - Simovits AB
em|files thebird h4ck3r p4asword!!! files files files files files files files files files
pa|Flera länder, däribland Storbritannien har implementerat lagar (RIPA) där polisen utan ett domstolsbeslut kan begära att en användare uppger sina krypteringsnycklar för hårddiskkryptering [1]. Detta har lett till att det uppstått ett behov av att dölja själva existensen av krypterade hårddiskvolymer. Steganografi Läran om att försöka dölja data eller meddelanden kallas steganografi och har en […] Kartläggning av individer och organisationer har kommit att förknippas med främst med integritet, men det finns fler aspekter som är av intresse ur olika säkerhetsperspektiv. Vissa utredningar är både normala och önskvärda, exempelvis bakgrundskontroller vid anställningar och kontroller vid företagsförvärv. Andra former av kartläggning är mindre önskvärda, men svåra att förhindra. Det som möjliggjort denna […] Denna blogg kommer att kort ta upp centrala delar av det white paper Europeiska kommissionen släppte avseende AI. Friskrivning Denna blogg kommer inte gå in på kommissionens definition av AI, eller hur AI har blivit ett samlingsbegrepp för flera olika typer av algoritmer som författaren inte anser är ”intelligenta”. Bloggen kommer heller ej behandla den […] Att få åtkomst till ditt konto eller kontouppgifter är såklart en het potatis, särskilt för de tjänster där du kanske kommunicerar lite mer känslig information och då väljer att använda en app med möjlighet till end-to-end kryptering. Hur ser det ut bland de mest populära chatt-apparna som använder sig av krypterad information? Hur skulle ett […] iPhone har länge legat i framkant vad gäller säkerhet och integritet, med delade känslor för många IT-forensiker som hittills i princip omedelbart fått ge upp när en låst iPhone av nyare modell än 4S hamnar på bordet utan att användaren frivilligt lämnat ifrån sig koden. För någon månad sedan släppte Cellebrite dock sin implementation av […] Jammer: Med hjälp av ultraljud kan denna Device blockera mikrofoner så som Alexa, mikrofonen på telefonen mm. En ny uppfinning som alla kommer att behöva för att skydda sin integritet. Open source och ritningar på github. http://sandlab.cs.uchicago.edu/jammer/ Valsäkerhet: Voatz, en app som har använts och är tänkt att användas i vissa val i USA har […] Denna blogg är en fortsättning på ett tidigare blogginlägg som berörde CLOUD Act och GDPR [1], och kommer beröra problemen som är associerade med användningen av amerikanska molntjänster. Bakgrund I mars 2018 antogs CLOUD Act i USA i syfte att underlätta för amerikanska myndigheter att inhämta data från amerikanska IT-bolag. Detta som svar på en […] IR-kameror används mer och mer i olika säkerhetsrelaterade sammanhang. De har nyligen kommit att användas för att identifiera användare av datorer och mobiltelefoner vid inloggning. De används också sedan länge för bevakningsändamål. Varför vill man då använda en IR-kamera för biometrisk identifiering? Det enklaste svaret är att man vill undvika att låta kameran luras av […] Det har de senaste åren dykt upp fler och fler appar för de som vill hålla sina konversationer privata. Exempel på funktioner är efemära meddelanden (som försvinner efter läsning eller viss tid) och end-to-end-kryptering, vilket innebär att den sändande mobilen krypterar och den mottagande mobilen dekrypterar, utan att ens tjänsteleverantören kan återskapa meddelandena till klartext. […] Snart börjar den gälla. GDPR. General Data Protection Act. Ja, vi pratar om det igen och det kommer nog inte vara sista gången, i detta inlägg blir det något mer reflekterande kring GDPR och dess effekter. EU:s dataskyddsförordning som ska skydda dina fri- och rättigheter. Upptrappningen har börjat på allvar. Några månader sedan var det […]
sp| Publicerat 2020-06-12  Skrivet av Daniel Hedencrona  Publicerat 2020-05-14  Skrivet av Tomas Forsberg  Publicerat 2020-04-30  Skrivet av Dennis Nilsson Sjöström  Publicerat 2020-03-13  Skrivet av Tiina Loukusa Hyttnäs  Publicerat 2020-03-08  Skrivet av Peder Sparell  Publicerat 2020-02-24  Skrivet av Mikael Simovits  Publicerat 2020-01-03  Skrivet av Dennis Nilsson Sjöström  Publicerat 2019-03-12  Skrivet av Tomas Forsberg  Publicerat 2018-10-05  Skrivet av Peder Sparell  Publicerat 2018-05-11  Skrivet av Tiina Loukusa Hyttnäs Copyright © 2021 - Simovits AB
pa|( ) Troligtvis har folk väntat som ekoxar på nästa del i denna fantastiska ”bloggserie” om Cryptopals, och nu är den äntligen här! (*författaren har ingen aning om ifall ekoxar överhuvudtaget väntar på saker*). Den ursprungliga tanken med denna bloggserie var att metodiskt och pedagogiskt gå igenom uppgifterna från cryptopals.com i tur och ordning för att beskriva varför de är intressanta. Den idéen går i stöpet nu direkt då vi kommer göra ett litet hopp och titta på uppgift 61 (vi avslutade del 1 med uppgift 5). Detta eftersom det den senaste tiden varit en del prat om en sårbarhet i kryptoapplikationen crypt32.dll för de senaste Windows-versionerna – som har kopplingar till just denna uppgift. Vi försöker alltså vara både pedagogiska och aktuella i våra reportage! Ifall inga andra oförutsedda nyheter dyker upp innan nästa bloggpost så kommer vi då att hoppa tillbaka och fortsätta med uppgift 6. För ovanlighetens skull valde NSA att i förra veckan gå ut med att en sårbarhet fanns i Microsofts applikation crypt32.dll för Windows 10 som används för att verifiera certifikat för filer, https, etc. Sårbarheten innebär att filer eller hemsidor kan verifieras av Microsoft som legitima trots att de inte är det. Ett uppmärksammat exempel är Saleem Rashids twitterinlägg där han skapat ett giltigt certifikat för en spoofad nsa.gov-sida som består av den klassiska Rick Astley-låten ”Never gonna give you up” (en så kallad Rick roll). Ett värre, men teoretiskt möjligt, scenario vore att en användare installerar en fil med ett (falskt) giltigt certifikat från någon som uppger sig för att vara Microsoft. Det har släppts en patch som löser sårbarheten, och det rekommenderas att skaffa denna uppdatering så snart som möjligt. Ifall man som läsare är orolig för ifall ens maskin är sårbar kan man även testa detta på: Då författaren av detta blogginlägg är matematiker så får läsaren unna en att säga: en elliptisk kurva är helt enkelt en ickesingulär algebraisk kurva av genus ett med en specificerad punkt. Om läsaren inte har full koll på alla dessa ord kan man bortse från den meningen, då det för våra ändamål räcker att tänka på dessa kurvor som lösningar till ekvationer på formen: (med lite krav på a och b). Exempel på en elliptisk kurva är: Det intressanta är att man kan definiera en typ av addition av punkter på en elliptisk kurva. Låt oss beskriva detta med ett exempel där vi ska beräkna summan A+B av två punkter A och B på kurvan: Geometriskt kan denna addition beräknas genom att man ritar den unika linjen som går igenom både A och B. I bilden ovan ser vi hur denna linje skär den elliptiska kurvan i precis en annan punkt. Detta faktum – att en sådan linje alltid skär i precis tre punkter – visar sig faktiskt gälla för alla val av punkter A och B på vilken elliptisk kurva som helst (ungefär – aningen *handviftande*). En elliptisk kurva kommer alltid vara symmetrisk mellan övre och undre planhalvorna – det vill säga att kurvan ovanför x-axeln kommer vara en spegling av kurvan under x-axeln. Varje punkt på kurvan har alltså en unik spegelpunkt på andra sidan x-axeln. Speglingen av den tredje punkten i bilden ovan är summan A+B: Låt oss ta ett till exempel med en punkt G på kurvan: Låt oss beräkna G+G. Om man försöker använda samma princip som i förra exemplet fastnar man kanske direkt när man ska försöka rita motsvarigheten till linjen som gick mellan A och B. Man behöver inse att den unika linjen i detta fall blir linjen som tangerar kurvan i punkten G, vilket vi kan använda för att beräkna G+G=2G: Sedan kan vi fortsätta och beräkna 3G=G+2G: Här vill författaren poängtera att det är svårt att rita på en datorskärm under tidspress, så klagomål på kvaliteten hos figurerna ovan är ej nödvändiga. Alla gröna och orangea streck som dragits är linjer, och den blåa kurvan slät och fin. Det roliga är att denna addition som vi just definierat fungerar, på många sätt, som addition av vanliga tal. Exempelvis gäller att A+B=B+A och att (A+B)+C=A+(B+C). Det finns till och med en punkt som svarar mot talet 0 med egenskapen A+0=A. Denna punkt är en punkt vid oändligheten… Tyvärr finns inte tid att gå igenom allt detta i detalj då tiden börjar rinna iväg, men om man är intresserad så finns det flera bättre och mer utförliga beskrivningar tillgängliga på internet. I kryptografi/datorvärlden används inte reella tal (decimaltal) utan istället arbetar man över en ändlig kropp (exempelvis heltalen modulo 13; men oftast väljer man 13 som ett mycket större primtal). Detta scenario – där man jobbar över en ändlig kropp – är “diskret matematik” och teknikerna man kan använda är annorlunda mot den analys man är van vid frångymnasiet/högskolan. Summan av n stycken G, det vill säga G+….+G = nG blir en ny punkt på kurvan för alla heltal n. Vi har redan sett exempel på 2G och 3G ovan. Givet G och en punkt F = nG för något n så är det i allmänhet svårt att beräkna n när man jobbar över en ändlig kropp; man behöver i princip testa sig fram genom att göra beräkningarna 2G=G+G, 3G=G+2G, 4G=G+3G, … och så vidare tills man hittar rätt. Det krävs alltså n stycken additioner för att få ut n. Å andra sidan – när man vet n och G – så kan man snabbt och effektivt beräkna nG. Som exempel kan vi beräkna 9G – summan av 9 stycken punkter G. 9G=8G+G=(4G+4G)+G=((2G+2G)+(2G+2G))+G Detta kan beräknas med enbart 4 operationer: 2G=G+G 4G=2G+2G 8G=4G+4G 9G=8G+G Denna metod kan användas för att beräkna nG med ungefär log2(n) stycken operationer, vilket är mycket mindre än n; ifall n är stort. Ifall läsaren känner till RSA eller Diffie-Hellman kan man dra paralleller mellan elliptiska kurvor och metoderna som används för dessa. För dessa använder man, istället för punkten nG, den mer klassiska matematiska operationen av exponentiering för att skapa potenser a^n för ett tal a. Givet talet a^n krävs det att man beräknar logaritmen log_a(a^n)=n för att få ut n. Logaritmen är enkel att beräkna över de reella talen, men är mycket svårare över en ändlig kropp – och att hitta mer effektiva beräkningsmetoder för dessa logaritmer kallas för det diskreta logaritmproblemet. På grund av likheterna mellan situationerna med a^n och nG, så kallar man även problemet med att hitta effektiva metoder för att beräkna n från nG som det “diskreta logaritmproblemet för elliptiska kurvor”. Det finns flera olika metoder för att förbättra snabbheten i beräkningen av både den diskreta logaritmen och den elliptiska varianten. En effektiv metod som bara funkar för potenser och inte för elliptiska kurvor är anledningen till att det inte krävs lika stora n för att säkerheten för en elliptisk kurva ska vara lika bra som i det klassiska fallet. Sammanfattningsvis kan vi säga att grundidéen till att använda elliptiska kurvor i kryptologi är: Givet följande parametrar: kan man skapa: Någon som enbart känner till parametrarna och den publika nyckeln nG har väldigt svårt att beräkna den privata nyckeln n. Låt oss anta att jag har skapat ett meddelande: ”Hejsan” – som jag vill dela med mig av. För att mottagaren ska kunna försäkra sig om att det är jag som skickat denna hälsningsfras så kan jag signera meddelandet. Detta kan exempelvis göras med ECDSA (elliptic curve DSA). Som namnet antyder finns även en klassisk variant av DSA (digital signature algorithm) men det skippar vi att prata om idag. För detta ändamål görs följande: Den privata nyckeln n ger även en publik nyckel Q=nG som jag delar med mig av till mina vänner. För att signera mitt meddelande ”Hejsan” gör jag nu följande (skippar lite detaljer för att förenkla beskrivningen – exempelvis ska alla beräkningar göras modulo ordningen av baspunkten G): Paret (r, s) blir min signatur till meddelandet. Jag kan nu skicka mitt meddelande ”Hejsan” tillsammans med min signatur (r, s). Vi antar här att mottagaren även känner till min publika nyckel Q=nG och vilken hash H som jag använt. Om mottagaren vill verifiera att det verkligen är jag som står bakom ”Hejsan” så kan de göra som följer: Låt oss snabbt, och handviftigt, övertyga oss om att detta är korrekt: Det ser ut att stämma! Vilken tur. Mottagaren kan alltså verifiera att mitt meddelande var från mig, utan att ha kännedom om mina privata nycklar n och k. Någon som skulle försöka utge sig för att vara mig så skulle de behöva känna till min privata nyckel n för att kunna skapa min signatur – och så länge som den diskreta logaritmen för elliptiska kurvor är svårberäknad ska detta inte vara någon större fara. Signaturer kan även användas för att uppvisa ägandeskap över ett meddelande eller program. Om man skapar en signatur för en fil med sin privata nyckel så kan alla se att ens publika parametrar kan användas för att verifiera att man signerat filen. Nu är vi redo för att prata om Cryptopals! I uppgift 61 (Set 8) har en användare Alice en elliptisk kurva med en baspunkt G, och har valt någon okänd privat nyckel n, med motsvarande publika nyckel Q=nG. Anta att Alice har skrivit ett meddelande m som hon signerat med en signatur (r, s). Uppgiften är att skapa en ny publik nyckel så att man kan hävda att det var man själv som signerat Alices meddelande, och därmed få mottagaren att tro att meddelandet kommer från en själv istället. Läsaren kanske nu blir förvånad eftersom vi just har förklarat att dessa signaturer ska vara säkra… Det är nämligen så att om valet av parametrar (talen a och b för kurvans ekvation, och baspunkten G) är fritt för användaren att välja, så blir det problem. Man kan nämligen göra följande: Förfalskaren kan nu skicka: En mottagare av detta som vill verifiera signaturen gör följande: Mottagaren har alltså ingen anledning att tro på att personen som säger sig ha skrivit meddelandet ljuger – eftersom personens publika nyckel kunde användas för att verifiera signaturen. När författaren löste denna uppgift första gången så fick författaren faktiskt för sig att ingen skulle göra en så ”klantig” implementation och tillåta valfria parametrar. Dock har tydligen bristen ovan använts för att knäcka en tidigare version av Let’s Encrypt-certifikatet som används av flertalet sidor på internet. Ännu värre, och anledningen till varför vi skriver denna bloggpost idag, är att sårbarheten som Microsoft råkat skapa i sin crypt32.dll är av liknande karaktär. Programmet testar nämligen inte att baspunkten G för ett tidigare cachat certifikat är korrekt – vilket (simplifierat) innebär att en angripare som inte känner till certifikatutdelarens hemliga nyckel n kan komma runt detta genom att helt enkelt byta ut baspunkten G till den publika nyckeln nG och därmed modifiera den privata nyckeln till 1 eftersom 1*nG=nG. PS. Uppgift 61 går sen vidare och låter en göra liknande saker för klassisk DSA, och gör även en liknande tillämpning för RSA – men detta lämnar vi tills vi gått igenom dessa i detalj (gissningsvis i bloggseriens 37e del eller liknande…)
li|en elliptisk kurva (dvs val av två tal a och b), och en punkt G på kurvan en privat ”nyckel” som är ett stort tal n, och en publik ”nyckel” som är punkten nG på kurvan. fixera en elliptisk kurva med en baspunkt G, välj en privat nyckel n. Välj en ny privat nyckel k för just detta meddelande (detta gör det möjligt att kunna återanvända min privata nyckel n flera gånger – ett så kallat salt). Beräkna punkten R=kG. Låt r vara x-koordinaten för R. Låt h=H(”Hejsan”), där H är en hashfunktion (ex: SHA1, MD5) och där vi betraktar h som ett stort tal. Beräkna: Beräkna h=H(”Hejsan”). Beräkna: Beräkna: Beräkna punkten: Om x-koordinaten för punkten P är lika med r så är signaturen korrekt. Ta Alices signatur och beräkna u1 och u2 som ovan (vilket är möjligt för alla som har hennes parametrar och publika nyckel). Välj ett tal d. Låt: Låt: Beräkna: Alices meddelande m, Alices signatur (r, s), Alices parametrar – med där man byter baspunkten från G till G_2, och sin egen publika nyckel Q_2. Beräknar h=H(m), Beräknar u_1 och u_2 som vanligt, Beräkna punkten: Eftersom x-koordinaten av R är lika med r (per definition) så accepteras detta som en giltig signatur.
st|raka är
h1|Cryptopals – del “2” av ?
h2|Sårbarheten i crypt32.dll (CVE-2020-0601) Matematisk bakgrund Cryptopals – Uppgift 61 (tillgänglig via Thomas Ptaceks twitter (@tqbf)
h3|Källor: Elliptiska kurvor. Elliptiska kurvor i kryptografi Signerera meddelanden med hjälp av elliptiska kurvor
sp| Publicerat 2020-01-24  Skrivet av Gustav Sædén Ståhl Copyright © 2021 - Simovits AB
pa|Dagens första bloggpost (av två!) är lite annorlunda mot vad dessa bloggar vanligtvis brukar handla om, och kommer prata lite grann om sidan: . Kanske är detta början på en bloggserie? Vi får se. Troligtvis kommer denna text bestå av raljerande över strunt-detaljer, så läsaren beds ha överseende med detta. Dessutom kan nämnas att texten har skrivits ganska så snabbt, så fel förekommor utan tvekan. Cryptopals är en sida skapad av Thomas Ptacek et al. och består av ett antal programmeringsuppgifter som kan användas för att lära sig grundläggande kryptografiska standarder som används på internet. Planen med denna bloggpost är inte att gå igenom lösningarna till uppgifterna (dessa kan man säkerligen googla efter om man så önskar), utan istället gå igenom lite teori bakom uppgifterna och förklara lite kuriosa om dem. Vi får se hur långt vi kommer med dagens post. Denna uppgift går ut på att konvertera en sträng av hexadecimala tecken till en sträng skriven i bas 64. Ni får nu unna mig möjligheten att förklara vad detta betyder genom att börja från början: När man lärde sig räkna som barn så lärde man sig sekvensen: 1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 13, 14, 15, osv. Dessutom lärde man sig att dessa tecken motsvarade specifika tal. Exempelvis lärde vi oss att: tecknet “1” beskrev hur många extra kakor man fick äta till fikat (“Ja, du får ta 1 till…”), tecknet “2” kunde användas för att beskriva hur många armar man hade (inget illa menat till de med fler eller färre antal armar), och att tecknet “12” motsvarade antalet tim-streck på en klassisk väggklocka. Just hur dessa tecken ser ut spelar egentligen ingen roll, och är bara någonting vi som samhälle har valt att standardisera. Använder man istället romerska siffror skriver man “VII” istället för “7”, men båda beskriver hur många dagar det är på en vecka. Notera också att vi i vårt samhälle i grunden enbart använder tio olika tecken (0,1,2,3,4,5,6,7,8,9) som vi sedan sätter ihop i olika kombinationer för att skriva större tal. Varför vi använder just tio stycken tecken kan man filosofera länge om. Jag väljer att tro att det är för att vi har precis så många fingrar (igen, inget illa menat till de med ett annat antal fingrar), eftersom det är fingrarna vi oftast använt för att räkna med. Med fingrarna är det lätt att räkna till tio, men när vi får slut på fingrar så löser vi det genom att börja om räknandet av fingrar med “minnet” av att vi redan använt alla fingrar en gång: Första räkningsvarvet: 0, 1, 2, 3, 4, 5, 6, 7, 8, 9 Andra räkningsvarvet: 10, 11, 12, 13, 14, 15, 16, 17, 18, 19 Tredje räkningsvarvet: 20, 21, 22, 23, 24, 25, 26, 27, 28, 29 osv. Med detta vill jag motivera varför det talsystem som vi dagligen använder talbasen tio – att vi använder tio olika tecken (en för varje finger). Man kan fråga sig hur det skulle vara om vi som diverse tecknade figurer skulle ha färre fingrar. Om vi exempelvis skulle haft tre fingrar på varje hand, så skulle vi kanske istället bara använt sex tecken (0,1,2,3,4,5) och då skrivit: Första räkningsvarvet: 0, 1, 2, 3, 4, 5 Andra räkningsvarvet: 10, 11, 12, 13, 14, 15 Tredje räkningsvarvet: 20, 21, 22, 23, 24, 25 osv. Detta är ett talsystem som använder basen sex. I detta fall så skulle “10” inte motsvara talet tio så som vi känner till det utan istället beskiva antalet strängar på en klassisk gitarr (som vi i daglig skrift skriver som “6”). Nu kanske läsaren av denna text är lite undrande över var detta är på väg. Poängen vi vill komma till är att datorer (som är centrala för kryptografi) inte har tio fingrar, och därför är det inte naturligt för dessa att använda samma bassystem som oss människor. På en grundläggande nivå kan man tänka sig att en dator har två fingrar – den kan avläsa om det går ström genom en transistor (1) eller inte (0). En innebörd av detta är att datorer är väldigt bra på att jobba med tal skrivna i basen två (det binära talsystemet): Vi kan kalla detta en bit. Nu är det ju dock så att datorer består av fler än en transistor (i dagens CPUer kan dessa räknas i miljarder) så datorer kan använda flera transistorer parallellt för att skapa sig fler fingrar att räkna med (som alla blir olika potenser av 2 – antalet utfall från en transistor). Om man exempelvis använder bas 16, den hexadecimala basen, uppstår dock ett problem om man är van vid att arbeta i vår klassiska bas 10. Det behövs nämligen sexton olika tecken för att kunna uttrycka alla tecken i den hexadecimala basen, vilket är fler än de tio (0-9) tecken som vi är vanliga med. Detta löses genom att vi inför “nya” tecken för de extra talen som nedan: Använder man baser med ännu fler tecken får man lägga till ännu fler tecken. I bas 64 använder man alla stora och små bokstäver, samt siffror och tecknen “+” och “/” för att komma upp i just 64. Notera att för denna bas är värdena som dessa tecken motsvarar inte samma som i vårt klassiska system: En annan trevlig bas som datorn använder är bas 128 – även känd som ASCII. I denna bas motsvarar exempelvis tecknet “M” talet 77 och “backspace” av talet 8. I datorer används oftast bytes som motsvaras av 8 bitar. En byte kan därför ha 2^8=256 olika värden. Det finns olika utvidgningar av ASCII till de resterande 256-128=128 värdena av en byte, vilket möjliggjort att vi kan använda exempelvis svenska tecken (å, ä, ö) i datorer på ett effektivt sätt. För att återgå till bas 64 lite snabbt, kan man inse att 64=2^6 inte går jämnt ut med storleken av en byte (2^8). I datorer skrivs därför bas 64 i termer av tupler av 4 ( ). På grund av detta görs specialfall med padding, genom tecknet “=”, i bas 64 så att det går jämnt ut med storleken på en byte. Uppgiften går alltså ut på att man har en sträng av hexadecimala tecken – det vill säga ett stort tal uttryckt i bas 16 – och man ska skriva detta tal i basen 64 istället. Själva implementation av detta lämnas till läsaren. Som nämndes i texten ovan arbetar datorer med binära tal (tal skrivna i bas 2). Datorn kan som tur är göra mer än bara titta på dem. Exempelvis kan den utföra operationer på tal. Några av de mest grundläggande operationerna är AND, OR och XOR som opererar på separata bitar. Dessa kan definieras enligt nedan: Tänker man på 1 som sant och 0 som falskt blir de två översta ganska naturliga: XOR är inte lika naturlig i detta sammanhang – den är enbart sann om precis en av de två argumenten är sann. Denna XOR-funktion blir istället mer naturlig i ett annat sammanhang. Klassisk addition av tal lär sig alla i grundskolan (12+3=15, etc). En annan form av addition som man lär sig i skolan är addition av olika klockslag. Där har man den extra egenskapen att summan av två timmar räknas på en cirkel (speciellt om man tänker sig en klassisk analog väggklocka), där till exempel 8+7=15=3 då 12 och 0 är samma sak. Detta är ett exempel på moduloräkning. För att införa lite matematisk notation kan vi skriva mängden av timmar – 0,1,2,3,4,5,6,7,8,9,10,11 – som Z/12Z (där notationen syftar på att 12=0, och Z står för mängden av alla heltal) och additionen på denna mängd görs modulo 12. Detta är något som man kan ha fått höra talas om antingen på gymnasiet eller på högskolan/universitetet. Att definiera detta i detalj undviker vi dock i denna text. XOR blir mer naturlig om man tänker på en bit som ett element i gruppen Z/2Z (heltalen modulo 2). Då kan man skriva “a XOR b” som “a+b (mod 2)”, vilket, åtminstone för författaren, känns som en naturlig operation. En byte som består av 8 bitar kan man tänka på på (åtminstone) två olika sätt. Antingen som ett element i Z/256Z (heltalen modulo 256) eller som ett element i (Z/2Z)^8 (åtta kopior av Z/2Z). Innehållet i dessa två mängder är i princip samma (det finns en bijektion mellan mängderna som är att konvertera mellan bas 256 och bas 2). Skillnaden är hur den naturliga additionen på dessa två grupper är definierad. Antingen har man En trevlig egenskap hos addition modulo 2 är att addition och subtraktion blir samma sak. Denna uppgift går ut på att använda den andra definitionen av addition (XOR) av bytes och utvidga denna till addition av strängar. Exempelvis blir XOR av två strängar med fyra bytes en ny sträng med fyra bytes: “abcd” XOR “defg” = “(a XOR d)(b XOR e)(c XOR f)(d XOR g)”. En väldigt klassisk kryptoalgoritm är Ceasarchiffret. Klassiskt går den ut på att man förflyttar alla bokstäver som man vill kryptera med en viss längd. : Låt alfabetet bestå av A,B,C,D,E,F,G,H,I,J,K,L,M,N,O,P,Q,R,S,T,U,V,W,X,Y,Z. Krypterar man texten “CEASAR” med Ceasarchiffret med nyckeln: “D” – den tredje bokstaven till höger om A i alfabetet – innebär det att alla bokstäver byts ut mot tecknet 3 positioner senare i alfabetet: A->D, B->E, C->F, …, V->Z, W->A, X->B, Z->C Kryptotexten blir alltså: “FHDVDU” Notera här att denna substitution sker cykliskt så att bokstäver till höger om Z börjar räknas om från och med A. Den observanta läsaren kan kanske här inse att detta kan uttryckas med hjälp av moduloräkning som beskrevs ovan. Ifall vi låter A=0, B=1, C=2, …, Z=25, så kan vi uttrycka vårt alfabet som Z/26Z och vårt Ceasarchiffer blir enbart addition modulo 26 med D=3. Dekryptering kan göras genom att göra motsatsen – ta subtraktion med D=3. Om vi skulle vilja göra samma sak på en dator så kan man tänka sig att vi betraktar alla möjliga värden för en byte (en utvidgad ASCII) som vårt alfabet, och Ceasarchiffer som en addition på detta alfabet med ett fixerat värde. Som vi förklarade i den förra uppgiften så finns två möjliga additioner av bytes, och den addition som används i kryptosammanhang är ofta den som kommer från XOR-funktionen. Som exempel kan strängen “SIMOVITS” krypteras med nyckelbyten “X” genom att beräkna “SIMOVITS” XOR “XXXXXXXX”. För denna addition gäller det att kryptering och dekryptering görs på samma sätt (eftersom substraktion är samma sak som addition). I uppgiften får man en sträng av bytes (skrivna hexadecimalt), som vi får veta är en krypterad sträng via ett Ceasarchiffer (med XOR-addition). Datorer är väldigt bra på att göra många uträkningar på kort tid, så denna uppgift är lätt att lösa genom att ta sin krypterade sträng och, med hjälp av XOR-funktionen från förra uppgiften, testa additionen (=subtraktion) med alla möjliga byte-värden (256 stycken) som kan ha använts vid krypteringen. Någon av dessa 256 strängar kommer ge en begriplig text, och det enda man behöver göra är att ge datorn direktiv för vad vi tycker är mest “begripligt”. Detta kan göras genom att poängsätta strängar utifrån vilka tecken som strängen innehåller (ge höga poäng till skrivbara tecken och låga poäng till allt annat). Vi skippar att prata om uppgift 4 då den inte innehåller någon intressant ny information. Man ska bara göra samma sak som 3an på flera strängar. Vigenère-chiffer är en utveckling av Ceasarchiffret och bygger på att istället för att använda en enda nyckelbokstav (som D=3 ovan) använder man ett nyckelord istället. Exempelvis kan man använda nyckelordet “ABC” på texten “SIMOVITS”. Det betyder att man flyttar: S:et på första positionen A=0 steg åt höger, I:et på andra position B=1 steg åt höger, M:et på tredje positionen C=2 steg åt höger. Om texten man ska kryptera är längre än nyckelordet kan man göra på olika sätt – exempelvis (som förklaras i uppgiften) återupprepar man nyckelordet om och om igen. På samma sätt som i med Ceasarchiffret kan Vigenère-chifferet implementeras i en dator med hjälp av XOR-funktionen: “SIMOVITS” XOR “ABCABCAB” Uppgift 5 går ut på att implementera denna algoritm. Längre än så här hann vi inte idag.
li|För att “a och b” ska vara sant behöver a vara sant och b vara sant För att “a eller b” ska vara sant behöver antingen båda vara sanna, eller bara en av dem. Z/256Z: a+b mod 256 (Z/2Z)^8: (a1,a2,a3,a4,a5,a6,a7,a8) + (b1,b2,b3,b4,b5,b6,b7,b8) = (a1+b1,a2+b2,a3+b3,a4+b4,a5+b5,a6+b6,a7+b7,a8+b8) mod 2
st|Exempel
h1|Cryptopals – del 1 av ?
h3|Introduktion Set 1: Basics
h4|Challenge 1: Challenge 2: Challenge 3: Challenge 4: Challenge 5:
sp| Publicerat 2019-10-11  Skrivet av Gustav Sædén Ståhl Copyright © 2021 - Simovits AB
em|4*6=24=8*3
pa|Redan från barnsben blir utvecklare drillade att skriva så effektiv kod som möjligt utan onödiga jämförelser och funktionsanrop. Vid inloggning till en webbapplikation är det vanligt att man loggar in genom att ange ett användarnamn och ett lösenord. Dessa uppgifter skickas till servern som kontrollerar om det finns en sådan användare med ett sådant lösenord, och svarar därefter med antingen ett ok eller avslag. Då lösenordet enligt best practice inte sparas i klartext, behöver servern räkna ut det angivna lösenordets hash-värde med hjälp av en envägs hashfunktion för att jämföra med det sparade hashvärdet. En lösenordshash-funktion är tidskrävande per design, för att det ska ta längre tid att knäcka lösenord. Därför är det förståeligt att en vanlig utvecklare som är van att inte anropa tidskrävande funktioner i onödan, programmerar inloggningsvalideringsfunktionen så att servern först kontrollerar om angivet användarnamn finns och därefter kontrollerar om det angivna lösenordet stämmer, men struntar den tidskrävande uträkningen av hashvärdet om ändå ett felaktigt användarnamn angivits. Detta för en utvecklare logiska flöde ger dock möjlighet för en angripare att göra en enkel tidsbaserad sidechannel-attack för att kartlägga vilka användarnamn som finns i systemet. Nu kanske läsaren tänker: ”Men vad gafflar han om, ett användarnamn är väl inte så hemligt?” Och det är korrekt att enstaka användarnamn för sig själva oftast inte anses direkt hemliga, men en angripare som har tillgång till samtliga/många användarnamn tillhörande ett och samma system har ofantligt mycket större chans att ta sig in i systemet. Om vi antar att systemet/applikationen har 100 användare skulle man statistiskt sett nästan med säkerhet kunna dra slutsatsen att minst en av dessa hundra användare har ”Sommar2019” som lösenord (eller något av de övriga aktuella mest använda lösenorden). Ett fåtal gissningar per användare är oftast det som behövs för att angriparen ska ha berett sig tillträde till något/några konton på systemet. Det underlättar dessutom mångexponentiellt i tid för angriparen om han vet vilka användarnamn som är giltiga och han avser knäcka lösenord, eftersom han slipper att parallellt även gissa användarnamnen. För att demonstrera hur enkel och effektiv attacken är, gjordes en simpel inloggningssida som vi kunde attackera. För attacken använder vi här verktyget ZAP, men samma funktionalitet finns givetvis i andra man-in-the-middle-proxies såsom exempelvis Burp. Vad attacken går ut på är att ”fuzza” användarnamnet, vilket innebär att vi testar en mängd olika, med ett godtyckligt lösenord som troligen är ogiltigt. Det är givetvis mest effektivt om man vet något om formatet på användarnamnen, och för denna demonstration låtsas vi att vi har information om att det används förnamn, och därför använder vi en lista med de ca 1000 vanligaste mansnamnen respektive kvinnonamnen i Sverige. Även namnet ”Admin” lades till i listan pga dess vanliga förekomst. Om man inte vet formatet på användarnamnen och sidan är sårbar för denna attack borde man dock kunna göra relativt effektiva försök med gissningar på vanliga format på användarnamn eller till och med till viss del använda brute-force eftersom sårbarheten innebär att varje misslyckat försök går relativt snabbt då man inte behöver hasha som vid lösenordsknäckning (dock sker denna attack online, så nätverksfördröjning och svarstider från servern är begränsande faktorer). När man hittat åtminstone ett giltigt användarnamn kan man antagligen gissa sig fram till formatet och effektivisera attacken. För att göra vår fuzzing-attack börjar vi med att göra ett inloggningsförsök med godtyckliga användaruppgifter, och låter ZAP fånga upp det POST-anrop som då sker. Vi väljer att fuzza med detta POST-anrop (markerat 1 i bilden nedan) som grund. Här har vi exempelvis testat att logga in med användarnamn ”Danilo” och lösenordet ”badpass”. I fuzzing-fönstret väljer vi att markera ”Danilo” (2 i bilden) som blir vår ”fuzz location” (markering 3 i bilden). För denna fuzz location lägger vi till en payload i form av vår lista på svenska namn (markering 4 i bilden). Resultatet blir att ZAP kommer att göra en mängd motsvarande inloggningsförsök där namnen i listan (markering 5 i bilden) ett och ett kommer att ersätta den markerade texten (“Danilo”). Samtliga inloggningsförsök kommer att ske med “badpass” som lösenord, vilket vi inte bryr oss om att ändra eftersom målsättningen inte är att inloggningsförsöken ska lyckas, snarare tvärtom. Vi kör igång vår fuzzing-attack och några sekunder senare kan vi se resultatet. Listan över de anrop som skett (och dess svar) sorterar vi på svarstid från servern (RTT, Round Trip Time), och ser då att det finns sex anrop (markerade med 1 i bilden nedan) som har en tydlig skillnad i tidsåtgång jämfört med de övriga. I vårt fall ligger de flesta svarstider på under 50 ms, men de sex översta på över en sekund. Vid dessa sex anrop kan man alltså dra slutsatsen att servern antagligen gått vidare och räknat ut lösenordets hashvärde för jämförelse med det sparade, och att de användarnamn (markerat 2 i bilden) som användes som payload vid dessa anrop alltså är giltiga. Resultaten kan vara mindre tydliga än i detta fall och kan ge en del falsk-positiva resultat beroende på exempelvis nätverksfördröjningar etc. men i detta fall kan jag bekräfta att samtliga sex i topp i listan verkligen är 6 av de 8 definierade användarna. De två sista är ”Peder” och ”Sverker” som tydligen inte kvalificeras som några av de 1000 vanligaste namnen i Sverige. En hängiven angripare skulle givetvis använt en större lista med namn, och med största säkerhet hittat även dessa. Oftast är det enkelt att åtgärda detta vanliga utvecklarmisstag, genom att flytta någon/några rader eller ta bort någon return-statement i koden så att hashning alltid utförs oavsett användarnamn, och svaret till klienten alltså alltid returneras först efter hashningen även vid ogiltiga användarnamn. Syftet är alltså att svarstiden skall vara i princip lika lång för misslyckade inloggningsförsök oavsett om användaren finns eller ej. I vårt fall är det som behövs att flytta de två markerade raderna som definierar $salt samt $hash ut från den första if-satsen enligt bilderna nedan (och eventuellt slå ihop if-satserna, om man vill snygga till koden). Med denna enkla åtgärd tar den tidigare gjorda attacken som tog ca 10 sekunder istället 40 minuter, och ingen av de giltiga användarna förekommer i topp på RTT-listan. Så, utvecklare, gå emot era grundläggande principer och ta tiden att hasha lösenordsinput även när användarinput är felaktig, för det är ju onödigt att effektivisera och spara tid för användare som inte finns?
st|Varför bry sig? Attackexempel Åtgärd
h1|Hasha i onödan tack!
sp| Publicerat 2019-08-12  Skrivet av Peder Sparell Copyright © 2021 - Simovits AB
pa|Våra experter hjälper er att upptäcka och utreda säkerhetsincidenter. Vi använder oss av samma verktyg som polisen och kan ta hand om bevis på ett säkert sätt. Att utreda en säkerhetsincident kan vara komplext och det är ibland svårt att få fram entydiga svar. Vi har kunskap och arbetsmetodik för att samla ihop och analysera digitala bevis från olika plattformar, så som nätverk, datorer (Windows/MacOS) och mobiltelefoner (Android/iOS). Vi kan presentera detta på ett sådant sätt att ni ska kunna ta ärendet vidare, både med avseende på beslut om åtgärder eller för att gå vidare med en polisutredning. För att upptäcka säkerhetshot och säkerhetsbrister i den egna verksamheten behövs en säkerhetsövervakning eller en SOC (Security Operations Centre). Att bygga en sådan verksamhet själva kan ta tid. Vi kan hjälpa er att bygga upp och bemanna säkerhetsövervakning/SOC och etablera nödvändig infrastruktur för att ni sedan ska kunna ta över säkerhetsövervakning/SOC i egen regi. Vi har strukturkapitalet för att ni snabbt få en fungerande och effektiv säkerhetsövervakning/SOC.
h1|It-forensik
h2|Säkerhetsincidentutredning Säkerhetsövervakning och SOC
sp|Copyright © 2021 - Simovits AB
pa|( ) Det har till författarens kännedom inte skrivits en enda recension om denna bloggserie som inte varit oerhört positiv, så man får väl helt enkelt säga grattis till er läsare som nu blir bjudna på ännu en del! (Det faktum att författaren inte har kännedom om en enda recension överhuvudtaget gör inte påståendet mindre falskt.) I denna (typ) femte del kommer vi att avsluta uppgifterna om ECB, börja titta på CBC, och sedan direkt börja prata om något helt annat… Vi kommer nämligen avsluta denna bloggpost med att beskriva sårbarheten Zerologon som blev aktuell för några månader sedan. (En uppmärksam läsare kanske nu förstår den underfundiga titeln. Det är påfrestande att vara så förtjusande skojig som man är eftersom förväntningarna på ens texter bara ökar och ökar, men med det skämtet avklarat så känns det som att vi redan nått komedi-kvotan för denna del. Dags att vara allvarliga.) (Det här är egentligen en ganska lätt uppgift, men nedanstående förklaring blev ganska detaljerad och extremt långrandig – ursäkta på förhand…) Låt oss bygga upp ett litet scenario. Databasens information om användaren är att användaren har ett UID = 10 (låt oss för enkelhetens skull anta att detta är samma för alla användare) och att användarens behörighetsroll är “user”. Funktionen hämtar denna information från databasen och returnerar följande sträng: Formatet att koda parametrar med tecknen “ ” och “ ” som i strängen ovan är standard och tolkas enligt: Användaren skickas därefter vidare till URL:en där applikationen kan läsa av inputdatat och se att användaren har UID = 10 och har “user”-behörigheter. Anledning till varför man väljer att skicka denna information i URL:en kan exempelvis vara för att applikationen ska slippa kommunicera med databasen varje gång användaren interagerar med tjänsten – eller så består applikationen av flera separata delar där den bara den första delen har kontakt med databasen. Det är helt enkelt jättepraktiskt! Men… En dumming som ser detta kan inse att om man ändrar “ ” till “ ” så skulle man troligtvis få administratörsbehörigheter och få tillgång till funktioner som vanliga användare saknar. (Man kan också tänka sig att man lägger informationen i en sessions-cookie istället för i URL:en, och de tekniker som vi kommer beskriva skulle fungera för båda alternativen.) Två potentiella brister som en illasinnad person skulle kunna försöka utnyttja är följande: Ifall webbapplikationen tillåter de två tecknen “ ” och “ ” i användarnamnet så kan man skapa en användare med det inte särskilt charmanta användarnamnet “ “. Funktionen kommer även för denna användare returnera att användarens roll är “user” och har UID = 10: Denna sträng kan alltså tolkas som: I detta fall finns det alltså två möjliga tilldelningar för vilken roll som användaren har och beroende på implementation skulle det kunna vara så applikationen väljer den första av dessa, vilket skulle innebära att applikationen luras till att tro att användaren har rollen admin. Denna brist kan motverkas genom att inte tillåta användarnamnet att innehålla något av tecknen “ ” och “ “. Manuell ändring av URL:en. Den förra bristen går enkelt att undvika genom att inte tillåta användarnamn som innehåller vissa specifika symboler. Men vad händer om en skurk väljer att istället manuellt ändra URL:en och själv navigerar till sidan: Enligt logiken skulle applikationen även i detta fall läsa ut att har admin-behörigheter. Den förra bristen bestod av att man la in data i databasen som applikationen inte kunde tyda ordentligt. Den svaghet vi beskrev nu bygger istället på att manipulera data som applikationen skickar mellan sina olika delar. Det är ju inte heller så bra och visar på att det i grunden inte är en bra idé att skicka viktiga parametrar i klartext i en URL. Detta problem kan dock “lösas” genom att tillämpa kryptologi! Spoiler: Vi skriver här “lösas” med citationstecken eftersom det med en dålig implementation inte är en vidare bra lösning. Låt oss förbättra funktionen så att den returnerar en av strängen med en för användaren okänd nyckel. Exempel: En sådan förbättring av funktionen innebär att applikationen istället för att skicka informationen i klartext istället skickar användaren vidare till URL:en: Därefter kan applikationen dekryptera denna sträng för att kunna avläsa användarens rättigheter. Notera att även om skurken vet strukturen på strängen innan krypteringen så går det inte längre att byta ut “ ” mot “ ” eftersom man ej har tillgång till nyckeln som används vid krypteringen. Supersmart! Frågan är bara: Vilken krypteringsalgoritm borde användas? I det senaste blogginlägget pratade vi mycket om AES i ECB-läge, så låt oss testa det! Spoiler: Det är ett exempel på en ytterst dålig implementation… En sträng delas in i block (delsträngar) av längd 16 – där det sista blocket paddas för att få korrekt längd – och vardera block krypteras med AES och en konstant nyckel. Låt oss fundera över hur denna krypteringsalgoritm skulle tillämpas i vårt exempel. Strängen “ ” delas in i tre block av längd 16 enligt nedan: där vi använder tecknet “ ” för att visualisera blocken och vi använt tecknet “ ” för att beteckna paddingen på det sista blocket så att den blir precis 16 tecken lång. Dessa tre block krypteras därefter var och en med AES och den hemliga nyckeln. Svagheten med ECB är att blocken krypteras oberoende av varandra. Detta faktum kan nämligen utnyttjas i en klipp-och-klistra-attack! Låt oss skapa tre nya användare i systemet: Dessa användare kommer också skapas med “user”-behörigheter. Så vad händer när man tar för dessa? – Strängen blir: – Blocken blir: Följande är ganska osannolikt, men låt oss för enkelhetens skull säga att krypteringen av dessa block med den hemliga nyckeln är: Med andra ord, vi antar att krypteringen av strängen “ ” blir strängen “ “ vilket alltså också blir resultatet av anropet . Denna krypterade sträng kommer vi som användare få ta del av eftersom vi kan avläsa URL:en som vi skickas vidare till, men nyckeln som använts för krypteringen har vi ej tillgång till. – Strängen blir: “ “ – Blocken blir: Vi fortsätter med de osannolika krypteringsresultaten och antar att Det vill säga: – Strängen blir – Blocken blir: Som en slump antar vi även här att: Alltså: Låt oss nu ta och klippa och klistra lite med några av blocken från de tre krypterade strängarna vi fått och helt enkelt besöka URL:en: Applikationen kommer då använda den hemliga nyckeln för att dekryptera strängen den fått vilket leder till: Applikationen får därmed ut följande information: Användaren kommer alltså tilldelas admin-behörigheter. Notera att användaren dessutom har den okända egenskapen “ ” – vilket med största sannolikhet kommer ignoreras av applikationen då den ej kommer leta efter saker den ej känner till. Utan att känna till den hemliga krypteringsnyckeln så går det alltså att få applikationen att kryptera ett antal speciellt konstruerade block som vi sedan kan klippa-och-klistra ifrån för att skapa en lång sträng som applikationen kommer kunna dekryptera, avläsa och tolka som att vår användare har admin-behörigheter. Slutsatsen som den vakna läsaren bör ta med sig från denna uppgift (tillsammans med de uppgifter vi gick igenom i den förra delen av denna bloggserie) är att man bör använda AES i ECB-läge. Låt oss därför sluta bry oss om ECB och istället gå tillbaka till Challenge 10 där man ska titta på ett annat “läge” för AES. Eller ja, juste! Uppgiften vi just kollat på handlar om att skriva ett program som utför denna klipp-och-klistra-attack. Det lämnas till läsaren. PS: Nyfikna läsare kanske nu har börjat tycka att författaren bara är en bluff. Det finns nämligen ingen applikationen på som läsaren kan hacka – denna URL användes bara för att statuera ett exempel. Förhoppningsvis kan detta falskspel förlåtas med tiden. DS I vår förra bloggpost skippades denna uppgift då vi ville fokusera helt och hållet på ECB, men nu är det dags att ta tag i gamla synder! Algoritmen AES bygger i grunden på att kryptera block av längd 16 med en hemlig nyckel av samma längd. Så när man vill kryptera en sträng som har längd 16 så är ju AES perfekt. Vi har tidigare även lärt oss att tillämpa “padding” för att utöka längden på en sträng som är för kort till att ha precis längd 16. Det som återstår är att hitta en bra metod för att kryptera strängar som är längre än block-storleken 16. Vi har ju redan sett, och förkastat, ECB-läget, och här kommer vi lista några olika tekniker man skulle kunna använda istället. För jämförelsens skull börjar vi med att påminna om ECB för att därefter förklara CBC, vilket egentligen räcker för denna uppgift. Men… det finns en annan teknik som är väldigt lik CBC (nämligen CFB) som har en variant (CFB-8) som varit lite aktuell senaste tiden och författaren har svårt att hålla sig till ämnet… Så vi kommer beskriva även dessa andra metoder och sedan köra en liten avstickare där vi pratar om sårbarheten Zerologon. Men innan det är dags för Zerologon så ska vi alltså lista lite olika krypteringsmetoder. Låt oss beskriva de olika metoderna genom ett exempel, med en sträng \( P = \text{“}\verb!Tjabba, tjena. Vad tycker du om denna bloggpost?!\text{“} \) Denna sträng är 48 tecken lång och vi kan alltså dela in denna sträng i tre delsträngar: \( P_1 = \text{“}\verb!Tjabba, tjena. V!\text{“} \) \( P_2 = \text{“}\verb!ad tycker du om !\text{“} \) \( P_3 = \text{“}\verb!denna bloggpost?!\text{“} \) och skriva \( P=P_1+P_2+P_3 \) (där “+” betecknar konkatenering av strängar). Låt \( K \) beteckna en nyckel – en sträng av längd 16 – som används i AES-krypteringen. Dessutom använder vi tecknet \(\oplus\) som notation för XOR av strängar (bitvis addition modulo 2, vilket vi redan beskrivit i del 1) och så använder vi (icke-standard-)beteckning ADS för inversen (dekryptering) av AES. Kryptering: \(\text{AES}_{\text{ECB}}(P, K) = C_1+C_2+C_3 = C\) där \( C_1 = \text{AES}(P_1, K)\) \( C_2 = \text{AES}(P_2, K)\) \( C_3 = \text{AES}(P_3, K)\) Dekryptering: \(\text{ADS}_{\text{ECB}}(C, K) = P_1+P_2+P_3 = P\) där \( P_1 = \text{ADS}(C_1, K)\) \( P_2 = \text{ADS}(C_2, K)\) \( P_3 = \text{ADS}(C_3, K)\) Innan vi går igenom definitionen för denna metod så ska vi försöka motivera varför den är uppbyggd som den är. Som namnet antyder så går denna metod ut på att fläta ihop de krypterade blocken i en lång kedja. Det kommer innebära att två block som är identiska men som förekommer i olika sektioner av texten krypteras olika – tvärtemot vad som sker för ECB. Men vad händer om man har två olika meddelanden men vars första block är identiska – kommer det inte alltid leda till att de två krypterade meddelandena också börjar med identiska block? Det är ju gärna något man vill undvika, och för denna anledning så använder man sig (förutom av den hemliga nyckeln) även av en extra 16 tecken lång sträng, en så kallad initieringsvektor (IV-sträng). Man kan tänka på denna sträng som ett frö till en slumptalsgenerator, och om man ser till att välja olika frön varje gång så kommer de resulterande kryptotexterna alltid se olika ut (även om man krypterar samma meddelande med samma nyckel). Nu är det nog med svammel, här är definitionerna: Kryptering: \(\text{AES}_{\text{CBC}}(P, K, IV) = C_1+C_2+C_3 \) där \( C_1 = \text{AES}(P_1\oplus IV, K)\) \( C_2 = \text{AES}(P_2 \oplus C_1, K)\) \( C_3 = \text{AES}(P_3\oplus C_2, K)\) Dekryptering: För att dekryptera kan man helt enkelt göra det omvända: Alltså: \( P_1 = \text{ADS}(C_1,K) \oplus IV \) \( P_2 = \text{ADS}(C_2,K) \oplus C_1 \) \( P_3 = \text{ADS}(C_3,K) \oplus C_2 \) Att skriva ett program som utför dessa block-operationer är vad uppgiften går ut på. Hursomhelst, låt oss fortsätta med lite andra tekniker: Kryptering: \(\text{AES}_{\text{CFB}}(P, K, IV) = C_1+C_2+C_3 \) där \( C_1 = P_1\oplus\text{AES}(IV, K)\) \( C_2 = P_2 \oplus\text{AES}(C_1, K)\) \( C_3 = P_3\oplus\text{AES}(C_2, K)\) Dekryptering: \( P_1 =C_1\oplus \text{AES}(IV,K) \) \( P_2 = C_2\oplus \text{AES}(C_1,K) \) \( P_3 = C_3\oplus\text{AES}(C_2,K) \) Notera att denna teknik är väldigt lik CBC-metoden (XOR-operationen är bara flyttad utanför krypteringsfunktionen) och har den intressanta egenskapen att man inte använder ADS-funktionen för dekryptering. De tre tidigare teknikerna vi har sett utför operationer på de olika 16-längds-blocken som strängarna består av. Notera att dessa tre tekniker alltid kommer resultera i en sträng vars längd är en multipel av block-längden 16. Den metod vi nu ska förklara är lite annorlunda. För de insatta så är detta ett ström-chiffer till skillnad från de tidigare som är så kallade block-chiffer. Eftersom det visar sig att vi i detta fall inte kommer behöva bry oss om block så kan vi här göra ett enklare exempel där vi visar hur det går till när man krypterar en kortare sträng \(P=p_1p_2p_3\) som bara består av tre tecken \(p_1,p_2\text{ och }p_3\). Låt oss skriva \( C_{\{-15,0\}} = c_{-15}c_{-14}\ldots c_{-1}c_{0} = IV\) där vi bara notationsmässigt indexerat de 16 tecknen i IV-strängen från -15 till 0. Sätt \( E_1=\text{AES}(C_{\{-15,0\}}, K)=\text{AES}(IV,K)\) Låt \( e_1 \) vara det första tecknet i strängen \(E_1\) och sätt \(c_1 = p_1\oplus e_1\). Låt oss nu skriva \(C_{\{-14,1\}} = c_{-14}c_{-13}\ldots c_{0}c_{1}\), vilket helt enkelt är strängen \( C_{\{-15,0\}} = c_{-15}c_{-14}\ldots c_{-1}c_{0} \) men där vi tagit bort det första tecknet \(c_{-15}\) och lagt på tecknet \(c_1\) på slutet. Sätt \(E_2 = \text{AES}(C_{\{-14,1\}}, K)\) och beräkna: \(c_2 = p_2 \oplus e_2,\quad \text{där }e_2\text{ är det första tecknet av strängen }E_2\). Vi fortsätter på liknande sätt och skriver \(C_{\{-13,2\}} = c_{-13}c_{-12}\ldots c_{1}c_{2}\). Med \(E_3 = \text{AES}(C_{\{-13,2\}}, K)\) kan vi beräkna: \(c_3 = p_3\oplus e_3,\quad \text{där } e_3\text{ det första tecknet av strängen }E_3.\) De tre tecknen \(c_1,c_2\text{ och }c_3\) ger oss krypteringen av \(P=p_1p_2p_3\). Med andra ord \(\text{AES}_{\text{CFB-8}}(p_1p_2p_3, K, IV) = c_1c_2c_3 \) Det är helt förståeligt om denna förklaring var lite svår att hänga med på. Förhoppningsvis kan det hjälpa med ett exempel: Låt \(P=\text{“}\verb!HEJ!\text{“}\) vara texten som vi vill kryptera med hjälp av nyckeln \(K=\text{“}\verb!YELLOW SUBMARINE!\text{“}\) och \(IV=\text{“}\verb!NINJA RABBITS GO!\text{“}\). Eftersom resultatet av AES-krypteringar i princip aldrig består av enbart läsbara tecken så kommer vi i detta exempel ange felaktiga resultat av AES-beräkningarna som bara ska ses som visuella hjälpmedel. Beräkningarna nedan kommer alltså ej vara korrekta! Med inputsträngarna ovan gäller att \( C_{\{-15,0\}} = \verb!”NINJA RABBITS GO”!\) och vi låtsas som att: \( E_1=\text{AES}(\verb!”NINJA RABBITS GO”!, \verb!”YELLOW SUBMARINE”!) =\verb&”zUSmfsia9%2@a!2e”&\) Då är \( e_1=\verb!”z”! \) och \(c_1 = p_1\oplus e_1=\verb&”H”&\oplus \verb&”z”& = \verb&”2&\verb!”!\). Vi får därmed att \(C_{\{-14,1\}} =\verb!”INJA RABBITS GO2!\verb!”!\) och vi låtsas som att: \(E_2 = \text{AES}(\verb!”INJA RABBITS GO2!\verb!”!, \verb!”YELLOW SUBMARINE”!)=\verb&”+[fneJF2MS!3fjMC”&\) Då är \( e_2=\verb!”+”! \) och \(c_2 = p_2 \oplus e_2=\verb!”E”!\oplus \verb!”+”!=\verb!”n”!\). Nu blir \(C_{\{-13,2\}} = \verb!”NJA RABBITS GO2n”!\) och vi låtsas att: \(E_3 = \text{AES}(\verb!”NJA RABBITS GO2n”!, \verb!”YELLOW SUBMARINE”!)=\verb!”4SkdsP&e&JDFSNn2!\verb!”!\). Det ger att \(e_3=\verb!”4!\verb!”!\), så \(c_3 = p_3\oplus e_3=\verb!”J”!\oplus \verb!”4!\verb!”!=\verb!”~”!\) Till slut får vi alltså att \(\text{AES}_{\text{CFB-8}}(\verb!”HEJ”!, \verb!”YELLOW SUBMARINE”!, \verb!”NINJA RABBITS GO”!) = \verb!”2n~”!. \) (Men eftersom vi använt fel AES-beräkningar av visuella skäl så stämmer inte detta egentligen – den intresserade läsaren kan göra den korrekta beräkningen på egen hand.) All information som kommer förklaras nedan har redan beskrivits i det som släpptes i samband med annonseringen av sårbarheten och den intresserade läsaren hänvisas dit för mer information. I detta avsnitt tänker vi försöka förklara sårbarheten i termer av de tekniker som vi redan beskrivit ovan. Zerologon är en sårbarhet i ett protokoll som används mellan servrar och klienter för att autentisera sig sinsemellan och som kan leda till att en icke-behörig användare kan logga in i servern som administratör med maximala behörigheter. Det är illa i sig, men det som är riktigt illa är att de servrar som man autentiserar sig mot med detta protokoll är domänkontrollanter (de där superviktiga servrarna som håller reda på behörigheterna hos varje användare i ett nätverk). Det är inte så bra. En skurk kan alltså använda sårbarheten, logga in på en domänkontrollant som administratör, skapa en ny användare med behörigheter till hela domänen (eller bara stjäla lösenordet hos en existerande sådan användare) och därigenom få full kontroll över hela dator-nätverket. Det låter ju faktiskt ganska illa. Nu tänker kanske den förhoppningsfulle läsaren att denna sårbarhet åtminstone måste vara extremt komplex att utföra? Nja… Säg att vi har en klient och en server. 0. Klienten och servern har sedan tidigare bytt ett hemligt lösenord H (exempelvis “Vinter2021”) med varandra. När klienten vill prata med servern görs följande: Förklaringen till varför detta ska funka är att klienten måste känna till det hemliga lösenordet H för att kunna beräkna nyckeln K och därigenom kunna kryptera strängen A till det korrekta resultatet. Det måste väl vara stensäkert? Återigen… implementationsmisstag kan göra vad som helst sårbart. Vad är problemet ovan? Krypteringsfunktionen (som vi inte nämnt än) valdes till AES i CFB-8-läge. Det är i sig helt okej (men ovanligt). Problemet är att programmerarna dessutom valde att göra det enkelt för sig och hårdkodade in att alltid använda IV som en sträng av 16 0-bytes – dvs 16 kopior av tecknet med ASCII-värde 0, inte tecknet “0” med ASCII-värde 30. För att förvirra så mycket som möjligt så kommer vi nedan skriva 0 för att beteckna just symbolen med ASCII-värde 0. Med en bra krypteringsmetod bör skurk-klienten kunna gissa rätt med C=00000000 med sannolikhet \( 1/256^8 = 1/2^{64} \approx 0.000000000000000005\%\) Det visar sig att skurk-klienten kommer gissa rätt med sannolikhet \( 1/256\approx0.39\%\). Den sannolikheten är aningen högre än det förväntade… Hur kan det komma sig? Låt oss titta på hur krypteringen av \(A=p_1p_2p_3p_4p_5p_6p_7p_8=00000000\) med AES i CFB-8-läget beräknas med ett IV=0000000000000000. Vi får \( C_{\{-15,0\}} = 0000000000000000 = IV\). \( E_1=\text{AES}(C_{\{-15,0\}}, K)=\text{AES}(0000000000000000,K)\) det första tecknet \(e_1\) i strängen \(E_1\) råkar vara en 0-byte så gäller att \(c_1 = p_1\oplus e_1=0\oplus0=0\). Eftersom \(c_1=0\) får vi att \(C_{\{-14,1\}} =0000000000000000=C_{\{-15,0\}}\), så allting upprepar sig med \(E_2 = E_1, e_2=e_1=0\) och \(c_2 = p_2 \oplus e_2=0\oplus0=0\) Eftersom \(c_2=0\) får vi att \(C_{\{-13,2\}} = C_{\{-15,0\}}\), vilket innebär att allting upprepar sig en gång till så \(E_3 = E_1, e_3=e_1=0\) och \(c_3 = p_3 \oplus e_3=0\oplus0=0\) Allting kommer fortsätta upprepa sig och leda till att även \(c_4=0,c_5=0,c_6=0,c_7=0,c_8=0\). Det vill säga, om tecknet \(e_1\) råkar bli 0-byten så kommer krypteringen av \(A=00000000\) bli \(C=00000000\). Vad är sannolikheten att \(e_1=0\)? Jo, sannolikheten är 1/256 eftersom AES är en bra krypteringsalgoritm där alla 256 tecken är lika sannolika utfall. Standardinställningen för detta protokoll tillåter en stor mängd misslyckade autentiseringsförsök, så en skurk-klient skulle helt enkelt kunna göra en massa login-försök mot en given domänkontrollant genom att bara skicka massa nollor, och i snitt kommer 256 försök räcka för att få en godkänd autentisering. Man får slutligen ge beröm till namngivaren då måste klassas som ett utmärkt namn för en sårbarhet där man med hög sannolikhet kan logga in sig på en server med hjälp av bara nollor. Vad rekommenderas att ta med sig från denna text? Använd inte statiska IV-strängar när ni krypterar med CBC, CFB eller CFB-8, och använd speciellt inte strängar med bara nollor… – det är inte kryptologi, bara idioti. Det var allt för denna gång, men förtvivla inte – det kommer säkert en ny del innan ni vet ordet av! (Vilket ord skulle det vara? Ingen aning!)
di|\( \text{AES}(P_1\oplus IV, K) = C_1\quad \Rightarrow\quad P_1\oplus IV = \text{ADS}(C_1,K) \quad \Rightarrow\quad P_1 = \text{ADS}(C_1,K) \oplus IV \)
li|Säg att det finns en webbapplikationen på URL:en där man kan logga in med användarnamn och lösenord. När man loggar in så sker någon form av autentisering som kollar att användarnamnet stämmer överens med det angivna lösenordet (den biten är inte intressant för detta tankeexperiment). Om lösenordet är korrekt så hämtar applikationen användarens profil från en databas, som enbart applikationen har åtkomst till, med hjälp av en funktion som kallas . Antag att herr \(X\) ska skicka en text \(P\) krypterad med AES i CBC-läge till fröken \(Y\). Antag dessutom att de två kommit överens om en hemlig nyckel \(K\). Herr \(X\) börjar med att slumpa fram en 16 tecken lång sträng som vi kallar för \(IV\). Herr \(X\) beräknar strängen \( C=\text{AES}_{\text{CBC}}(P, K, IV)\) Herr \(X\) skickar strängarna \(C\) och \(IV\) till fröken \(Y\). Notera att även \(IV\)-strängen skickas med. Eftersom den hemliga nyckeln \(K\) är okänd för alla utom herr \(X\) och fröken \(Y\) så är det ingen risk ifall någon tjuvläser meddelandet och får reda på både \(C\) och \(IV\). Fröken \(Y\) kan sedan beräkna \( P =\text{ADS}_{\text{CBC}}(C, K, IV) \) Klienten slumpar en 8 tecken lång sträng (A) och skickar till servern. Servern tar emot A, slumpar en ny sträng med 8 tecken (B) och skickar till klienten. Klienten och servern har nu båda kännedom om H, A och B. Klienten stoppar in dessa tre strängar i en funktion F som genererar en nyckel K=F(H,A,B). Klienten använder nyckeln K för att kryptera strängen A och skapar på så sätt strängen C=kryptering(A,K) som den skickar till servern. Servern tar emot strängen C, beräknar också K =F(H,A,B) och använder denna nyckel för att beräkna D=kryptering(A,K). Om C är lika med D så godkänner servern att klienten är den som den utger sig för att vara. En skurk-klient som inte känner till hemligheten H skickar den inte särskilt slumpade strängen A=00000000. Servern tar emot A=00000000 och skickar tillbaka en sträng B som är en genuint slumpad sträng med 8 tecken. Servern har nu kännedom om H, A och B, men skurk-klienten känner bara till A och B. Skurk-klienten kan inte beräkna nyckeln K eftersom den inte känner till H. Skurk-klienten kan inte kryptera strängen A=00000000 eftersom den inte känner till nyckeln K, men gör en chansning och skickar C=00000000. Servern tar emot strängen C=00000000, beräknar K =F(H,A,B) och använder denna nyckel för att beräkna D=kryptering(A,K). Servern kollar om D är lika med C=00000000 och autentiserar skurk-klienten om detta är sant.
st|Exempel: Risk 1: Risk 2: Kryptologi-förbättring. kryptering En kort en-menings-påminnelse om hur AES i ECB-läge fungerar: Klipp-och-klistra-attacken. 1) 2) : 3) : aldrig ECB – Electronic Code Book CBC – Cipher Block Chaining CFB – Cipher FeedBack CFB-8 – Cipher FeedBack med bit-längd 8 Exempel. Bakgrund: Förklaring av protokollet (minus detaljer): Zerologon-attacken: Om
h1|Cryptopals – del 5+0 av ?
h2|Challenge 13: Challenge 10 – Ny avstickare: Zerologon
sp|simovits.com/ecb?email=gss@simovits.com&uid=10&role=admin simovits.com/ecb?VGl0dGEgaW50ZSEgQmFyYSBldHQgZXhlbXBlbC4uLg== simovits.com/ecb?11111111111111112222222222222222333333333333333355555555555555558888888888888888 simovits.com/ecb  Publicerat 2021-03-14  Skrivet av Gustav Sædén Ståhl Copyright © 2021 - Simovits AB
em|Zerologon
pa|( ) Välkomna tillbaka till allas vår favoritbloggserie! Detta är alltså en bloggserie om krypteringsuppgifterna som finns tillgängliga på . Tanken med bloggen är inte att gå igenom konkreta programmeringsmässiga lösningar av problemen, utan istället ge en mer generell förklaring/beskrivning av problemet och möjliga lösningar. En av de otaliga läsarna av denna bloggserie påminde nyligen författaren om att den senaste bloggposten (del 3) slutade mitt i Challenge 7, så beroende på hur man väljer att räkna så kan man se detta som del 3.5 (?), men eftersom den förra egentligen var del 2 så blir det svårt att numrera… Låt oss helt enkelt säga att denna del ligger någonstans i intervallet [2.5, 4]. För att göra numreringen ännu mer komplicerad kommer vi i dagens blogg välja att fokusera på problem kopplade till ECB, och lämna uppgifterna om CBC till ett separat framtida inlägg. Nog med dröjsmål, låt oss sätta igång! I den förra posten i denna helmysiga bloggserie förklarade vi detaljerna i hur krypteringsalgoritmen AES (Advanced Encryption Standard) fungerade. Om någon ny läsare dyker upp i denna post behöver ni dock inte oroa er. Det var nog ingen som riktigt lyssnade/läste förra gången! Det enda vi egentligen behöver veta om AES är att det är en funktion som tar en textsträng på 16 tecken, och en lika lång nyckel, och producerar en krypterad sträng av längd 16. Nedan har vi ett fabricerat exempel: Nyckeln här är också en sträng som består av 16 tecken – exempelvis ” ” som är den de använt i uppgiften. Nu har vi alltså lärt oss att kryptera och allt är perfekt! Men det vore ju bra om man kunde dekryptera texten också… Vilket man såklart kan göra! AES går nämligen att göra baklänges (varje matematisk funktion som den använder är inverterbar). Låt oss vara lite galna och kalla dekrypteringsvarianten/baklängesvarianten av AES för ”ADS” (Advanced ecryption Standard). Notera att detta är något officiellt namn utan är enbart ett påhittat namn för denna bloggpost. AES och ADS ger kryptering/dekryptering med samma nyckel – en så kallad symmetrisk kryptering (till skillnad från asymmetrisk kryptering som förekommer i exempelvis RSA). Nu vet vi alltså att man kan använda AES för att både kryptera och dekryptera texter. AES är helt enkelt en utmärkt krypteringsalgoritm… när man vill kryptera exakt 16 tecken. Det visar sig att i verkligheten är det faktiskt sällan som textsträngar består av precis 16 tecken. Vad gör man då?! En lösning är att man använder AES i olika “lägen”. Ett sådant läge är (Electronic Code Book). Detta kommer visa sig vara en väldigt dålig lösning, men är pedagogiskt trevlig. : Låt oss ta följande textsträng: ”Här är 16 tecken och här 16 till”. Denna textsträng består av 32 tecken, och av en ren slump råkar 32=16+16. Vi kan alltså dela upp vår 32 tecken långa sträng i två stycken ”block” med 16 tecken i varje. Vi använder nedan tecknet + för konkatenering av textsträngar (och konkatenering är bara ett fint ord för ”lägga ihop”). Med andra ord: där Låt oss fortsätta fabricera lite resultat, och säga att: För att kryptera hela strängen kan vi helt enkelt använda AES på vardera block och sedan lägga ihop resultatet! Och hur gör man för att dekryptera? Jo, samma sak fast med ”ADS” istället! Cryptopals-uppgiften går ut på att man ska dekryptera en text som visar sig vara 2880 tecken lång. Av en händelse är 2880 = 16 * 180, så vi kan dekryptera denna text genom att dela upp den i 180 stycken block och utföra ADS på vardera, och sedan lägga ihop de 180 blocken till en lång text-sträng. Enkelt! Vad händer om vi nu skulle använda AES i ECB-läge för att kryptera texten ” ”? Denna sträng är tecken lång, så vi kan dela in denna i tre stycken block. Notera att det i detta fall innebär att block 2 och block 3 är identiska! Låt oss använda tecknet | för att visuellt representera de olika blocken. Vi kan alltså skriva vår sträng som en summa av blocken: ” ” = Block1 + Block2 + Block2 När vi krypterar detta med AES i ECB-läge fås: Den krypterade textsträngen består alltså av tre block, där de två sista blocken är identiska. ECB-läget har alltså den lite sämre egenskapen att om identiska block förekommer i original-texten så kommer (krypterade) identiska block även förekomma i den krypterade texten. I en lång text där någon specifik fras förekommer ofta (exempelvis ”Gustavs bloggar är alltid så bra!” som säkerligen är en fras folk använder ofta) kan man, genom att söka efter identiska block, undersöka ifall en text är krypterad i ECB-läge eller inte. Ett klassiskt exempel på denna sämre egenskap i ECB kan man se när man försöker kryptera en bitmap-bild av pingvinen Tux (loggan för Linux): Till vänster ser vi bilden i originalskick, i mitten ser vi bilden krypterad med AES i ECB-läge, och till höger ser vi ett önskat krypteringsresultat. (Bilderna tagna från: ) Anledningen till varför man fortfarande kan se pingvinen efter att man krypterat med ECB är för att bilden består av massor av bytes, och ECB delar en dessa i jättemånga block av storlek 16 (där de flesta blocken kommer vara identiska) och krypterar varje block separat. Detta innebär att ECB-krypteringen i princip enbart klumpar ihop delar av bilden, men egentligen inte påverkar bilden i det stora hela. Exemplet med denna pingvin hänvisas även till i en senare cryptopals-uppgift som återkommer slutet av detta inlägg. Det man ska göra i uppgift 8 är att leta igenom ett antal krypterade texter och identifiera de som är krypterade med ECB. Som vi förklarat ovan kan alltså detta göras genom att leta efter identiska block i kryptotexten. Nu är vi klara med ”Set 1” av cryptopals – hurra! Men ingen tid att fira, istället börjar vi med ”Set 2” direkt! En uppmärksam läsare kan möjligtvis ha noterat ett annat problem med ”lösningen” att kryptera texter med AES i ECB-läge… Det kan ju faktiskt hända att texten man vill kryptera inte har en längd som är en multipel av 16. Vad gör man då? Ger upp? Nej! Man paddar texten! Ordet ”paddar” är inte helt korrekt svenska, men en översättning av det engelska ordet ”padding” blir typ ”stoppning/vaddering/fyllning” vilket låter lite fult i författarens öron. Padding av en textsträng görs helt enkelt genom man fyller ut det sista blocken av strängen med tecken så att den blir precis så lång som man vill ha den (i vårt fall: 16 tecken lång). Ex: Strängen ” ” består av 11 tecken och en möjlig padding av denna textsträng till längd 16 kan göras genom att lägga till 5 stycken punkter så som ” ” Denna form av padding är dock inte optimal eftersom det ju även måste vara möjligt för en mottagare av texten att ta bort paddingen. I detta fall är det inte uppenbart för någon som inte sett originaltexten om punkterna motsvarar padding – eller om de är en del av texten (kanske försökte texten insinuera en pinsam tystnad?) Som tur är finns det bättre varianter av padding. Eftersom vi jobbar med datorer har vi hela 256 olika tecken som vi kan använda för paddingen, och en standard är något som kallas PKCS#7-padding (PKCS = Public Key Cryptography Standards). Vi förklarar denna standard med ett exempel. : Strängen ” ” består av 11 tecken, så för att padda den till längd 16 läggs det på tecken, och tecknet vi väljer för padding är precis det som motsvaras av ASCII-värdet 5. Nu är det så att ASCII-värdet 5 inte är något skrivbart tecken men vi kan (från del 1 av denna bloggserie) komma runt detta genom att använda hexadecimal notation och skriva för detta tecken (där prefixet \x använts för att påvisa notationen). Alltså: I allmänhet gäller följande för en sträng s: Vad händer om blocket man ska padda redan har längd 16? Jo, då tänker man att sig att det finns ett tomt sista block som behöver fyllas ut med 16 stycken -bytes. Uppgiften går ut på att implementera denna typ av padding. Vi såg redan i uppgift 8 att ECB-läget har en del brister, och ett bättre läge för att kryptera längre texter är det så kallade CBC-läget. Som vi skrev i introduktionen av denna bloggpost väljer vi dock att skjuta upp beskrivningen av CBC för att istället kunna fokusera helt på ECB denna gång. Denna uppgift lämnas alltså till framtiden. I denna uppgift ska man skriva en funktion som kan identifiera om en text har krypterats med ECB eller inte. Vi lämnar även denna för framtiden, eller så noterar vi helt enkelt att detta i princip redan gjorts i uppgift 8… Nu är det dags för att faktiskt försöka knäcka något! Vi såg i uppgift 8 att ECB-läget har sina svagheter, men vi har än så länge inte visat att man faktiskt kan knäcka en text krypterad med ECB. Låt oss ta följande aningen onaturliga och konstruerade (men förhoppningsvis motiverande) exempel: På sidan finns en resurs som man kan komma åt via ett hemligt lösenord (” ”). De bakom sidan har dock gjort det möjligt att logga in utan vetskap av lösenordet genom att man enbart fyller i ett användarnamn (exempelvis ” ”). Deras lösning är att i backend konkatenera namnet med lösenordet till den nya strängen ” ”, sedan kryptera denna sträng med AES i ECB-läge (med en för oss hemlig AES-nyckel). Slutligen uttrycker de det krypterade resultatet i bas 64 (exempelvis: ). Användaren omdirigeras sedan till där tjänsten man vill nå kan dekryptera denna sträng och verifiera att den dekrypterade texten slutar med lösenordet . Antag att vi fått vetskap om metoden som backend använder, men att vi inte känner till det hemliga lösenordet. Ifall vi är elaka skurkar (eller snälla penetrationstestare) vill vi såklart ta reda på det hemliga lösenordet då lösenordet kanske kan användas till andra saker. Det kan vara chockerande att höra, men det händer faktiskt att folk använder samma lösenord till flera olika tjänster! Så, hur ska man gå till väga för att få ut det hemliga lösenordet? För att förstå det så måste vi börja med att studera vad som händer i backend när vi skriver in vårt användarnamn. Vi använder här nedan tecknet | för att visualisera de olika blocken (av längd 16) som strängarna består av: Eftersom vi kan se strängen i URL:en så kan vi bas64-avkoda den för att direkt se resultatet av krypteringen i punkt 3 (punkt 4 är med andra ord reversibel så vi ignorerar den framöver). Som angripare har vi alltså tillgång till krypteringen av det hemliga lösenordet . Vi har ju tidigare hävdat att AES i sig är en bra krypteringsalgoritm, och eftersom vi inte har tillgång till AES-nyckeln så det är inte rimligt att tro att vi kan knäcka AES-algoritmen för att kunna extrahera originaltexten . Om vi är lite smarta kan vi dock skriva in lite olika användarnamn i originalfältet för att modifiera vilken text som krypteras! Om vi istället för skriver in med 15 stycken – vad händer då i backend? Tjoho! Vi lurade backend att ge oss krypteringen av strängen (men notera att vi egentligen inte vet vad det sista tecknet i denna sträng är). Låt oss definiera . Nu tänker kanske läsaren att det inte känns så imponerande eller meningsfullt… Men! Det viktiga här är att vi känner till de första 15 tecknen (15 ’ ’) som krypterats i denna sträng eftersom vi själva valt dem. : Det vi tar med oss från detta är att vi nu känner till krypteringen av strängen ” ”. Det vi tar med oss från detta är att vi nu känner till krypteringen av strängen . etc. Genom att låta X variera kan vi alltså få ut krypteringen av strängarna för alla 256 val av . Precis en av dessa 256 val av kommer leda till en krypterad sträng som är lika med strängen vi fick ovan – – nämligen den där ! Genom att ändra längden på användarnamnet kan vi alltså forcera positionen för starten på det hemliga lösenordet, och på så sätt reducera problemet från 256 olika kombinationer (256 alternativ för varje byte i nyckeln med längd 16), ner till bara 256 kombinationer (256 alternativ för det sista tecknet i strängen). Även för en dator är 256 ett ganska stort tal, men 256 är å andra sidan väldigt litet och går att forcera nästintill momentant. Vad har vi egentligen åstadkommit? Jo, vi har ju fått fram det första tecknet i det hemliga lösenordet! Vad är nästa steg? Knäcka det andra tecknet! Välj användarnamnet med 14 stycken (ett färre än tidigare). Backend konkatenerar användarnamnet och lösenordet: Och krypterar: Vi forcerade alltså backend att ge oss krypteringen av den för oss okända strängen . Eftersom vi redan knäckt det första tecknet i det hemliga lösenordet ( ), så vet vi att denna sträng börjar med och att det sista tecknet är nästa tecken i lösenordet. Låt oss definiera . Nu väljer vi användarnamnet med 14 stycken , det som vi knäckte tidigare, och en variabel som vi låter variera: etc. Genom att låta variera kan vi alltså få se krypteringen av för alla 256 val av . Precis en av dessa 256 val av kommer leda till en krypterad sträng som är lika med strängen som vi definierade tidigare – – nämligen den för ! Genom att fortsätta så här kan vi få ut lösenordet, en byte i taget. För att utföra denna attack i praktiken är det lite tekniska detaljer som måste lösas. Om det hemliga lösenordet är längre än 16 tecken så behöver man exempelvis börja attacken med stycken (för något ) för att ha tillräckligt utrymme att translatera startpositionen av lösenordet. Eftersom man inte vet lösenordet så vet man heller inte hur långt det är, men detta är enkelt att ta reda på (det är bara att testa med olika användarnamn som ökar med ett i längd varje gång och undersök när den krypterade texten ökar från exempelvis 32 till 48 – det vill säga när ett nytt block läggs på). Nu återstår bara själva implementation – vilket lämnas till läsaren. Detta blir den sista uppgiften vi hinner med idag. Nästa inlägg i denna serie kommer förhoppnings beröra de återstående uppgifterna om ECB, samt beskriva CBC (och då kan vi även göra en kort utsvävning och beskriva sårbarheten Zerologon som blev allmänt känd för cirka en månad sedan). Men det får som sagt bli i nästa bloggpost. På återseende!
li|Låt Då är PKCS#7(s, 16) lika med strängen s konkatenerad med a stycken bytes med ASCII-värdet a. Backend börjar med att konkatenera användarnamnet och lösenordet till en text: I nästa steg paddas det sista blocket: Sedan krypteras den paddade texten: Slutligen kodas resultatet i bas 64 och den resulterande strängen läggs in i URL:en. Backend börjar med att konkatenera användarnamnet och lösenordet: Sedan paddas det sista blocket: Sedan krypterar den: Nu väljer vi användarnamnet med 15 stycken och en variabel som vi låter variera (och alltså inte betyda tecknet ’ ’) – vad händer då? Backend börjar med att konkatenera användarnamnet och lösenordet: Sedan paddas det sista blocket: Sedan krypterar den: Backend börjar med att konkatenera användarnamnet och lösenordet: Sedan paddas det sista blocket och krypterar: På samma får vi ut resultatet av På samma får vi ut resultatet av Backend konkatenerar användarnamnet och lösenordet: Och krypterar: På samma sätt får vi ut
st|D inte Exempel Exempel
h1|Cryptopals – del x (för något x i intervallet 2.5 ≤ x ≤ 4) av ?
h2|Challenge 7: (fortsättning) Challenge 8: Challenge 9: Challenge 10: Challenge 11: Challenge 12:
h4|Knäcka det första tecknet i lösenordet Knäcka det andra tecknet
sp| Publicerat 2020-10-16  Skrivet av Gustav Sædén Ståhl Copyright © 2021 - Simovits AB
em|ECB This is the first challenge we’ve given you whose solution will break real crypto. Lots of people know that when you encrypt something in ECB mode, you can see penguins through it. Not so many of them can decrypt the contents of those ciphertexts, and now you can. If our experience is any guideline, this attack will get you code execution in security tests about once a year.
pa|Vi erbjuder ständigt examensarbeten inom Cybersäkerhet. Avsikten med examensarbetet är att utgöra en del i företagets forskning och omvärldsbevakning, men framförallt för dig att känna på vad ett typiskt uppdrag kan innebär och för oss att på sikt hitta en ny kollega. För de examensarbeten som erbjuds gäller följande: Examensarbetet ska vara i nivå med […] Under sommaren 2020 drabbades Garmin av en störning i sina IT-system som det tog närmare en vecka att helt avhjälpa. Utanför företaget märktes störningen främst som en otillgänglighet för användare av online tjänster för exempelvis registrering av träningshistorik från sportklockor. Men även betaltjänster och uppdateringar av navigeringssystem för flygtrafik kan ha påverkats. Garmin har hittills […] Tidigare har vi skrivit om BashBunny, men ungefär samtidigt som kaninen släpptes publicerades också den första versionen av P4wnP1, en USB-baserad attack-plattform. P4wnP1 kan installeras på en Raspberry Pi Zero och Zero W. P4wnP1 är särskilt användbar med den trådlösa varianten (Zero W) då den både kan konfigureras och skicka attack-kommandon och resultat på distans. […] UEFI, Unified Extensible Firmware Interface, är en specifikation som definierar gränssnitt mellan operativsystemet och firmware och en ersättare till BIOS, Basic Input/Output System. UEFI ser till att ladda de komponenter som behövs för att din dator ska starta. Rootkit är en annan definition som behöver förtydligas lite inför detta inlägg – ett rootkit fångar och […] Kaspersky och forskare från Kings College släppte för en dryg vecka sedan rapporten Penquin’s Moonlit Maze –The dawn of Nation-State Digital Espionage. Rapporten är spännande då den påvisar en möjlig länk mellan ryskt cyberspionage i internets vagga och idag, [4]. Jämför man med idag där nyheter om datorangrepp som kostar företag miljonbelopp är vardagsmat, så […] I början av månaden gick RSA Conference USA 2016 av stapeln i San Francisco. Jag (Peder) och Mikael var där och höll vår presentation angående mitt/vårt arbete med lösenfrasknäckning med hjälp av Markovkedjor. Vi fick bra respons och många frågor efteråt, och det kändes som att åhörarna tyckte det var intressant, nydanande och att de […]
sp| Publicerat 2020-09-13  Skrivet av Mikael Simovits  Publicerat 2020-08-14  Skrivet av Tomas Forsberg  Publicerat 2020-01-31  Skrivet av Tiina Loukusa Hyttnäs  Publicerat 2018-10-12  Skrivet av Tiina Loukusa Hyttnäs  Publicerat 2017-04-20  Skrivet av Simovits Consulting  Publicerat 2016-03-24  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|När Washington Post den 11 februari i år publicerade att det Schweiziska företaget Crypto AG i själva verket varit en front för den amerikanska underrättelsetjänsten CIA, så upplevdes det som en chock för många av oss i säkerhetsgemenskapen[1]. Artikeln i Washington post beskrev hur CIA, tillsammans med den tyska underrättelsetjänsten BND, 1970 hade köpt det anrika säkerhetsföretaget Crypto AG av grundaren Boris Hagelin. De använde sedan bolaget till att sälja defekta kryptomaskiner till länder runt om i världen. Sedan jag läst artikeln i Washington Post, väcktes en hel del funderingar kring både Crypto AG, men också funderingar kring de säkerhetsprodukter vi idag använder och installerar utan eftertanke. Vi börjar först med det som var kvantifierbart enligt artikeln i Washington Post[1]: CIA och BNDs köp av Crypto AG, under kodnamnet Operation Minerva, beskrivs i CIAs dokument som ett av de mest lyckade operationerna. Washington Post beskriver hur USA på så sätt kunde läsa krypterad information relaterat till Gadaffis terrorism, Irans politik och gisslankrisen 1980, Falklandskriget mellan Storbritannien och Argentina 1982 och fredssamtalen mellan Egypten och Israel 1979. Trots att ägandet av Crypto AG beskrivs som en gigantisk succé, stod den endast för av den dekrypterade trafiken för NSA. (Medan den stod för 90% av BNDs dekrypterade trafik). Frågan man ställer sig då är om inte CIA/NSA stått bakom fler bolag som sålt krypteringslösningar. Enligt Washington Post finns indikationer om att man använt vinsten från Crypto AG till att köpa andra bolag, dels för att repetera succén med Operation MINERVA men ibland också för att lägga ned det köpta företaget i syfte att stärka Crypto AGs ställning. Det finns ingen anledning att tro att NSA, eller någon annan underrättelsetjänst i andra länder, inte försöker göra samma sak i dagens läge. När Snowden släppte sina dokument 2013 och 2014, som han stulit från NSA, fanns det material som påvisade bakdörrar i bland annat Ciscos VPN-lösning. Detta styrktes sedan 2016, då en av NSAs servrar blev hackade (The Equation Hack). Juniper publicerade 2015 med att de ”hittat” otillåten kod i sin VPN/Brandväggslösning som kunde göra det enklare att forcera den krypterade trafiken. Skillnaden mellan Crypto AG och de fall som framkommit genom Snowdens information, är att med hjälp av Crypto AG kunde NSA/CIA/BND själva styra vad företaget sålde och till vem. Idag översvämmas marknaden av ”gratis” eller billiga kryptolösningar så som Signal, Telegram, TOR, NordVPN, Threema, ProtonMail osv. Ur ett hotbildsperspektiv bör man som brukare av dessa lösningar utgå från att alla dessa tjänster skulle kunna spela roll i något lands signalspaning. Egentligen är det logiskt att anta att varje underrättelsetjänst med självaktining borde äga en kryptotjänst eller produkt som används på Internet. Bara för att förstå svårigheten i att utreda frågeställningen så tar vi två exempel på kryptoföretag, nämligen Telegram och NordVPN. NordVPN är en VPN-tjänst motsvarande TOR och Mullvad, och kan förutom ge sina kunder åtkomst till geografiskt spärrat mediainnehåll, även ge möjlighet till anonym surf och korrespondens. När det gäller NordVPN är det oklart vem som egentligen står bakom företaget. Enligt företagets ”Terms of Service” är företaget registrerat i Panama[4]: Genom ytterligare slagningar kan man fastslå att bakom varumärket NordVPN står det Panamanska skalbolaget Tefinicom SA[6]. Tefinicom SA har flera personer kopplade till skalbolag både i Panama och Cypern i sin ledning. Både personer i Tefinicom och företagets adress i Panama är starkt länkade till [5][7][8]. Grundarna bakom det Litauiska bolaget Tesonet hävdar dock att också vara grundare till NordVPN. Tesonet i sin tur beskriver sig själv som ett inkubatorföretag inom osv och har ett omfattande servernätverk. Den onödigt krångliga ägarstrukturen skapar funderingar om vem som egentligen står bakom NordVPN och vad motivationen är bakom denna ägarstruktur. Telegram grundades av de ryska bröderna Pavel och Nikolai Durov och är en gratis lösning för kryptering av meddelanden. Pavel Durov var tidigare grundaren av den Ryska versionen av Facebook – vKontakte (vkontakte.ru ). Pavel Durov var VD för företaget och blev under 2014 avsatt under märkliga former. Han hade redan i Augusti 2013 sålt sin återstående ägarandel av vKontakte, men var kvar som VD. I December 2013 ska, enligt Pavel Durovs egna utsago, FSB begärt ut de Ukrainska Euromaidans kryptonycklar i vKontakte. Han vägrade. Den första april sa han upp sig som VD i vKontakte men drog sedan tillbaka uppsägningen den 3:e april. Den 22:a april entledigade dock styrelsen Pavel från hans post. Pavel är enligt Forbes god för över 3.4 miljarder dollar och är ensam finansiär av Telegram. Produkten utvecklas för tillfället i Dubai, där de flesta av programmerarna som arbetar med Telegram är rekryterade från St. Petersburg. Det är dock värt att notera att , dvs samtidigt som han sålde sin andel i vKontakte, och innan bråkade ihop med FSB och avslutat sin position som VD i vKontakte. Telegrams säkerhet baseras på protokollet MTProto och är enligt Telegrams egna utsago designat av Pavels bror Nikolai. Telegram är inte helt Open Source, där vissa delar av lösningen ännu inte släppts. Kryptografiska designsvagheter har upptäckts i lösningen även om ingen praktiskt fungerande attack redovisats[9][10]. Det har inte hittats någon information om att Telegram rättat bristen i MTProto. (Om någon av läsarna känner till att bristen rättats eller hittar info om detta, så skulle jag vara glad för en notering.) Den funna bristen är just av den subtila karaktär som NSA inplanterade i Crypto AGs produkter. Det är en teoretisk och matematisk svaghet, som ett lands underrättelsetjänst mycket väl kan ha kännedom om hur man utnyttjar i praktiken. Vad kan då vara indikatorer på att man eventuellt köper eller använder en lösning som kontrolleras av en främmande makt? De varningstecken, som kan extraheras från lärdomen med Crypto AG kan ses som följande: Varningssignaler som skulle kunna läggas till och översättas till moderna förhållanden är att: Nedan finns ett enkelt försök till att strukturera upp informationen om olika kryptolösningar. EFF (Electronic Frontier Foundation) försökte för några år sedan sätta score cards på kryptotjänster, men slutade med detta intiativ. I brist på annat så görs här ett eget försök att skapa risk score cards för några kryptolösningar på Internet. Ju högre poäng desto högre är risken att bolaget styrs av främmande makt, och i slutändan med att använda produkter från dessa bolag (baserat på erfarenheterna från Crypto AG). Vi utgår här från endast en känd datapunkt. Det är alltså inte möjligt att säga att detta är en statistiskt säkerställd modell, utan endast hur lika dessa är gentemot varningsflaggorna som fanns för Crypto AG. Vi kan utifrån våra antaganden se att de lösningar som finns tillgängliga så är riskerna speciellt höga vad avser Telegram, ProtonMail, NordVPN och Signal. Dessa är också de största allmänna kryptotjänsterna idag. Egentligen kan vi inte säga huruvida någon om de ovan listade kryptotjänsterna körs av en främmande makt. Det vi kan säga är att profileringen av de mest riskfyllda företagen, borde resultera i att vi drar oss från att använda deras tjänster. Den viktigaste funderingen är huruvida vi kan lite på någon leverantör utanför Sverige för att skydda vårt lands information. Vi förlitar oss idag på att de produkter vi köper från utlandet är säkra, och allt sker med rent mjöl i påsen. Vi har idag ett stort beroende av IT-produkter och tjänster från både USA och Kina, och vi är idag på intet sätt självförsörjande avseende IT-teknologi och cybersäkerhet. Vi måste i Sverige skapa initiativ som skapar bra cybersäkerhetslösningar och tjänster samtidigt som vi ser till att ha en lagstiftning som skyddar en sådan industri från utländska uppköp. För de säkerhetsprodukter vi köper idag och använder som standard i våra nätverk kan i själva verket vara de värsta Trojanska hästarna. ”The intelligence coup of the century”,11 Feb 2020, Greg Miller, Washington Post – Kort om Boris Hagelin – Kort om AB Cryptoteknik – Kort om Panama läckan – https://offshoreleaks.icij.org/nodes/12194140 ”On the CCA (in)security of MTProto”, Jakob Jacobsen, Claudio Orlandi, 2015, ”A Practical Cryptanalysis of the Telegram messaging protocol”, Jakob Jacobsen 2015,
li|Avlyssningen gjordes möjlig from 1967 med hjälp av den NSA-designade kryptomaskinen H-460. Då ägdes Crypto AG fortfarande av Boris Hagelin. CIA och BND köpte Crypto AG år 1970. Enligt Washington Post ägdes företaget av en stiftelse i Lichtenstein. Det var först 2018 som CIA sålde bolaget till en privat investerare. CIA tillsammans med BND hade då varit verksamma och sålt ”svaga” kryptoprodukter i femtio år. Washington Post hävdar att de knäckbara kryptomaskinerna användes i 62 bekräftade länder/kunder (däribland FN), men att de dokument de fått tag på pekade på att produkterna sålts till ca 120 länder. Under 1980-talet stod Crypto AGs produkter för 90% av BNDs dekryptering av insamlade meddelanden från myndigheter och ambassader, medan endast 40% av NSAs dekrypterade meddelanden. Bristerna som introducerades i kryptomaskinerna var subtila, och krävde fortfarande en insats från NSA och BNDs sida att knäcka den krypterade trafiken. De dokument som artikeln i Washington Post baserades på gäller endast fram tom 2004, samt utskrift av muntliga underlag som täcker tiden mellan 2004 och 2008. Vad som hände tiden mellan 2008 och 2018 då CIA sålde bolaget berörs inte i artikeln. Oklar ägarstruktur på bolaget. (Huvudman kan inte identifieras. Ägs t.ex. av en stiftelse eller en trasslig härva av bolag.) Placerat i storpolitiskt ”neutralt” land (t.ex. Schweiz) Produkten/lösningen frontas av en ”karismatisk och/eller ekonomiskt oberoende” idealist. Egen design av kryptolösningarna (proprietär lösning) produkten är ”Open source” (Men all kod är inte tillgänglig) produkten/ lösningen är gratis produkten/ lösningen levereras av ett statligt ägt företag. (Fast marknadsför sig under eget namn och försöker dölja ägarstrukturen bakom.)
st|CIA och BND’s köp av Crypto AG 40% Krypto idag – finns det andra företag som ”Crypto AG” Panama-läckan ai, dataharvesting, annonsering, datamining, IT-säkerhet Telegram grundades redan i augusti 2013 Hur väljer man företag eller kryptoprodukt? Crypto score card OBS: [1] [2] [3] [4] [5] [6] [7] [8] [9] [10]
h1|Med sveket som vapen
h2|? Vilka slutsatser kan vi dra av detta? Referenser Bilaga A – Poängsättning Score Card
h3|NordVPN Telegram
sp| Publicerat 2020-06-12  Skrivet av Mikael Simovits Copyright © 2021 - Simovits AB
em|Om ni vill läsa om Crypto AGs fascinerande historia och Boris Hagelin rekommenderar jag läsning på annat håll [2][3]. ”These Terms and your use of the NordVPN Services are governed by the laws of Panama, without regard to its choice of law provisions. You agree that the courts of general jurisdiction located in Panama City, Republic of Panama, will have exclusive jurisdiction over any and all disputes arising out of or relating in any way to these Terms or the NordVPN Services.”
pa|IT-säkerhet kan ses som en ständig kamp mellan illasinnade hackare och IT-säkerhetstekniker. Nya attackvektorer identifieras ständigt och i gengäld kommer nya skydd för att täppa igen attackvektorerna. Vi har på senare tid observerat varianter av malware som utnyttjar legitima webbtjänster för att sprida sig eller utföra kommandon. Jag kommer i den här bloggen berätta om olika malware som använder legitima webbtjänster i olika syften. Jag kommer även gå in på svårigheterna som medföljer vid analyser av denna typ av malware. En legitim webbtjänst syftar på en tjänst som tillhandahålls av en organisation eller bolag och som är tänkt att användas i icke-illasinnat syfte. Exempel på detta skulle vara Dropbox, Azure Cloud, GitHub, etc. I takt med att kryptovaluta-boomen inträffade så observerade vi en lavinartad ökning av malware som utnyttjade infekterade datorers datorkraft för att utvinna Monero eller liknande kryptovaluta. Denna typ av malware kallas också Cryptojackers. Medan Cryptojackers spridits på många sätt så fångade en specifik variant min uppmärksamhet. Denna variant utnyttjade källkodshanterings-plattformen GitHub som spridningsplattform och hackaren kunde på det sättet kringgå steget att upprätta sin egen distributionsserver och i samma veva dölja sina spår på internet. Viruset spred sig via reklambanners som förekom på sidor med webbspel och pornografiskt innehåll. När användaren klickade på länken så dirigerades de vidare till ett GitHub-lager där den skadliga koden laddas ner från. Väl inne på datorn så laddade den skadliga koden ner ett Google Chrome-plugin som såg till att användarens dator alltid utvann kryptovaluta åt angriparen. Oavsett vilken hemsida användaren besökte. Banktrojanen Zeus har förekommit i många varianter under en lång tid. Den skadliga koden har många funktioner som bland annat tillåter angriparen att läsa av knapptryck, utvinna kryptovaluta med hjälp av den smittades dator eller agera som en fjärrstyrningstjänst för angriparen. I sina tidigare dagar användes Zeus främst för att kapa bankinloggningsuppgifter, varefter trojanen blivit känd som en banktrojan. Under 2017 observerade Spamhaus-projektet en enorm ökning av Command & Control (C&C)-servrar som låg i Amazon Cloud. Många av dessa C&C-servrar kunde kopplas till Zeus. Under vintern 2018 så upptäcktes ett malware som inhämtade kommandon via Twitter-upplägg. Angriparen hade utnyttjat steganografiska metoder för att dölja kommandon i bilder som därefter laddades upp på Twitter. Bilderna innehöll bland annat kommandon för att skärmbilder på de infekterade datorerna och ladda upp dessa på angriparens server. Genom att använda denna metod kunde angriparen ge kommandon till de infekterade klienterna utan att väcka misstankar med trafik mot annars suspekta C&C-servrar. För oss säkerhetsanalytiker innebär dessa varianter av malware en ökad svårighet vid analys. Vid fall då viruset kommer förbi antivirus så kan fortsatt kommunikation förbli oupptäckt då anrop mot annars legitima tjänster lätt försvinner i mängden. Det är därmed viktigt att tänka på att bygga upp nätverkssäkerheten i lager. Bland annat kan följande tips vara till nytta:
li|Se till att antivirusdefinitioner uppdateras med jämna mellanrum. Logga utgående och inkommande nätverkstrafik och se till att inhämta uppdaterade och relevanta IOC:er. Utbilda personal inom säkerhet och följ konstant upp/förnya utbildningen.
st|Vad är en legitim webbtjänst? Monero-mining med hjälp av GitHub Zeus besöker Amazon En bild säger mer än tusen ord Slutsats
h1|Ett legitimt malware
sp| Publicerat 2019-05-10  Skrivet av Peter Hildeblom Copyright © 2021 - Simovits AB
pa|I slutet av januari varnade US-cert om en kampanj med syftet att kapa DNS-infrastruktur. DNS står för domännamnsstruktur och används till att adressera datorer på ett nätverk, d.v.s. mappar ett domännamn t.ex. simovits.com till en IP-adress. Kapningar av DNS:er innebär att angriparen har tillgång till att konfigurera DNS-poster och på så sätt styra om trafik till system som angriparen kontrollerar, men i denna kampanj har även angriparen tillskansat sig giltiga certifikat vilket har möjliggjort avlyssning av krypterad trafik. FireEye [1] beskriver att de har observerat DNS-kapningar och aktiviteter kring dessa under 2017-2019 som påverkar organisationer i mellanöstern, nordafrika, europa och nordamerika. Dock har man inte lyckats koppla aktiviteterna till en specifik grupp angripare men man har observerat kopplingar till Iran. DNSer är, som tidigare nämnts, system som kopplar ihop domännamn till IP-adresser. DNS-poster innehåller flertal fält med information, och några av de intressantare denna kapningsattack är följande: Analyser har gjorts av FireEye [1] och Talos [2] och man har observerat några olika tillvägagångssätt. För att åstadkomma kapning av DNS:erna har angriparna tillskansat sig kontouppgifter. Bland IoC:erna som publicerats av US-CERT [4] finns bland annat webbsidor som är utformade som jobbannonswebblatser. Analys har visat att man genom riktade phishingangrepp lurat användare att besöka dessa sidor för att ladda ner macro-aktiverade dokument. Om attacken är lyckad installeras en RAT (Remote Administration Tool) som sedan kommunicerar med C&C genom DNS-tunneling, d.v.s. data överförs i DNS-paket. Det man observerat som skett efter angriparna tillskansat sig åtkomst till DNS:ersna är ändringar i A- och NS-poster som då, kortfattat, skickar iväg den som surfar till angriparens kontrollerade system. Eftersom angriparna dessutom använt sig av giltiga certifikat, som de kunnat skapa då de har kontroll över DNS:en, verkar certifikaten således vara pålitliga och genererar inga varningar och på så sätt har de t.ex. kunnat observera mailtrafik. FireEye:s rapport visar på några olika metoder som angriparna har använt sig av för att kapa DNS:erna. Den första rekommendationen gäller egentligen för alla typer av konton och avser säkrande av inloggning med 2-faktorsautentisering. För att minska risken för att någon ska få tillgång till konton, t.ex. för att administrera DNS:en, bör 2-faktorsautentisering användas. Om ni misstänker att ni har blivit drabbade är en kortsiktig åtgärd att byta lösenord. För dig som är ansvarig för DNS:er, se över era DNS-poster och verifiera att de är korrekta och pekar rätt. Se över certifikat som utfärdats för din domän, om det finns certifikat som inte ska vara giltiga, om sådana finns bör de revokeras. Google har en tjänst för att söka i Certificate Transparency loggar (som de övervakar) som du kan besöka på följande länk: CERT-SE har även angivit några fler rekommendationer som du kan läsa om i deras artikel [3]. För övervakning kan de IoC:er som publicerats av US-CERT användas [4]. [1] en djupdykning kring attackerna mot DNS:er och angriparnas metoder [2] en närmare analys metod och den skadliga kod som använts av angriparna för att tillskansa sig åtkomst till DNS:er. [3] CERT-SE:s sammanställning av information kring DNS-kapningar samt rekommendationer [4] IoC:er publicerade av US-CERT [5] Sökfunktion för för Certificate Transparency loggar som övervakas av Google
li|A – kopplar namn till IP-adress i IPv4 CNAME – hanterar alias MX – Servrar som hanterar e-post för domänen NS – specificerar den DNS-server som är ansvarig för zonen
h1|Våg av DNS-kapningar
h3|Kort om DNS:er Kapningsförfarande Åtgärder och rekommendationer Referenser och mer läsning
sp| Publicerat 2019-02-08  Skrivet av Tiina Loukusa Hyttnäs Copyright © 2021 - Simovits AB
pa|Efter det förnedrande intrånget på Ryska järnvägen i januari i år [1][2] , så kom jag över en artikel[3] i den ryska motsvarigheten till Engadget – habr.ru som citerade ett ”axiom” som förklaring till varför just Ryska järnvägen blev hackad. Författaren hade snällt länkat till den ursprungliga artikeln som beskrev ett antal axiom/lagar kring Cybersäkerhet […] Simovits Consulting deltar som sponsor på Försvarshögskolans Cyber Challenge 2021. Här hittar ni länkar till presentationer samt utannonserade examensarbeten. Ni är välkomna att ta kontakt med mig (Mikael Simovits) om ni har några frågor. Kontaktuppgifter hittar ni under fliken “Om Oss”. https://simovits.com/om-oss/ Utannonserade examensarbeten hittar ni här: https://simovits.com/examensarbeten-pa-simovits-consulting/ Läs mer om företaget: Inspirational talk: Vi erbjuder ständigt examensarbeten inom Cybersäkerhet. Avsikten med examensarbetet är att utgöra en del i företagets forskning och omvärldsbevakning, men framförallt för dig att känna på vad ett typiskt uppdrag kan innebär och för oss att på sikt hitta en ny kollega. För de examensarbeten som erbjuds gäller följande: Examensarbetet ska vara i nivå med […] Under sommaren 2020 drabbades Garmin av en störning i sina IT-system som det tog närmare en vecka att helt avhjälpa. Utanför företaget märktes störningen främst som en otillgänglighet för användare av online tjänster för exempelvis registrering av träningshistorik från sportklockor. Men även betaltjänster och uppdateringar av navigeringssystem för flygtrafik kan ha påverkats. Garmin har hittills […] Bakgrund I höst kommer Post- och Telestyrelsen auktionera ut 5G-frekvenser till mobiloperatörer [2]. Tilldelningen ska främja kapaciteten för mobila bredbandstjänster och skapa en plattform för den kommande 5G-utbyggnaden. För den som är villig att delta i Sveriges kommande 5G-utrullning kommer ett lägsta bud i tilldelningen att kosta 1.5 miljarder kronor i 3.5 GHz-bandet och 160 […] När Washington Post den 11 februari i år publicerade att det Schweiziska företaget Crypto AG i själva verket varit en front för den amerikanska underrättelsetjänsten CIA, så upplevdes det som en chock för många av oss i säkerhetsgemenskapen[1]. Artikeln i Washington post beskrev hur CIA, tillsammans med den tyska underrättelsetjänsten BND, 1970 hade köpt det […]
sp| Publicerat 2021-02-19  Skrivet av Mikael Simovits  Publicerat 2021-01-28  Skrivet av Mikael Simovits  Publicerat 2020-09-13  Skrivet av Mikael Simovits  Publicerat 2020-08-14  Skrivet av Tomas Forsberg  Publicerat 2020-08-07  Skrivet av Dennis Nilsson Sjöström  Publicerat 2020-06-12  Skrivet av Mikael Simovits Copyright © 2021 - Simovits AB
pa|Douglas Adams skrev i sin berömda trilogi i fem delar om jordbon Arthur Dents äventyr som intergalaktisk liftare. I en av de första kapitlen skildras en ordväxling mellan huvudpersonen och förmannen Mr. Prosser, som är i färd med att riva Arthurs hus med en bulldozer: Jag tror att när Arthur Dent låg där i leran framför bulldozern och pratade med Mr. Prosser kan han ha känt sig som en säkerhetskonsult. För oss säkerhetskonsulter är nämligen dokumentation en stor del av vår vardag. Läsa, tolka eller upprätta, våra uppdrag har i regel alltid att göra med dokumentation på ett eller annat sätt. Och ofta brister säkerhetsrelaterad dokumentation i riktighet och, precis som i Adams böcker, tillgänglighet. Man kan säga att det ofta är den befintliga dokumentationens skick och beskaffenhet som avgör utfallet av av en säkerhetstestning, med andra ord om vi lyckas bryta säkerheten eller ej: Men konfigurationsfiler och källkod, är ju faktiskt också en form av dokumentation. Och jag förstår verkligen hur dokumentationen kan bli lidande! Jag har nog aldrig träffat någon som har gillat att dokumentera, mer än kanske själva känslan av att ha den kontroll och överblick som bra dokumentation ger. Infrastruktur som kod innebär att man upprättar beskrivningar av olika typer av resurser i textfiler och dessa lämnas till program som sätter upp den digitala miljön efter instruktionerna. Låt oss titta på ett exempel där vi bygger en server i Amazons AWS-molntjänst med hjälp av Hashicorps Terraform, ett provisioneringsverktyg som utför just detta. Terraforms konfigurationsmallar skrivs med HCL, en syntax som är väldigt lättläst även för människor. Vi skapar en textfil, i exemplet kallat “main.tf” med följande innehåll: För att skapa resursen som beskrivs i mallen ovan behöver man bara ladda hem och installera Terraform från Hashicoprs hemsida, och från samma katalog som main.tf befinner sig i köra följande kommandon: Terraform kommer att använda ID och nyckel till AWS för att autentisera sig och därefter börja skapa den beskrivna resursen. Med hjälp av ami-beteckningen vet Terraform vilken diskavbildning som ska användas och storleken på servern, i det här fallet en t3.micro-instans med 2 CPU-kärnor och 1 GB RAM. För att jag ska kunna logga in säkert i servern kommer Terraform att lägga in min SSH-nyckel och förbereda miljöns brandvägg att tillåta åtkomsten. I exemplet kommer en åtkomstregel skapas för att tillåta åtkomst från hela Internet (0.0.0.0/0), men i verkligheten begränsar jag naturligtvis detta till de specifika IP-adresser jag kommer att ansluta ifrån. Det sista kodblocket är en bekvämlighetsåtgärd där jag ber Terraform att rapportera vilken publik IP-adress servern blir tilldelad efter att den har byggts färdigt. Att använda Terraform eller motsvarande verktyg för att tillämpa infrastruktur som kod medför mest nytta för de som har en IT-miljö som inte bara är molnbaserad, utan även är molnanpassad. En verksamhet som reser och river infrastruktur efter behov vill definitivt titta på möjligheterna till att automatisera så mycket av processen som möjligt, för att undvika monotont och repetitivt arbete samt undvika mänskliga felkällor. Men även en helt lokal virtualiserad infrastruktur kan manageras på det här sättet, de flesta större provisioneringsverktygen på marknaden har stöd för hypervisor-mjukvaror såsom ESXI, Xen och Proxmox. En nackdel med den här tillämpningen av infrastruktur som kod är att den lämpar sig mindre bra för IT-miljöer av det äldre snittet, där de digitala resurserna sätts upp och driftas kontinuerligt. Ju längre tid som går och ju fler förändringar som sker efter den initiala provisioneringen ju mindre värde får automatiseringen och standardiseringen som mallarna utgör. Infrastruktur som är helt fysisk är ovanlig i dessa tider, men skulle IT-miljön vara av den typen är den svår att provisionera med verktyg som Terraform. Det är fortfarande möjligt att beskriva infrastrukturen i kod med konfigurationshanteringsverkyg som till exempel Salt, Ansible, Puppet och Chef, även i de fall där provisioneringsverktyg upplevs olämpliga. Konfigurationshanteringsverktygen har en del skillnader sig emellan, men gemensamt för dem är att de tar vid där lösningar som Terraform lämnar över. En server som är färdiginstallerad och grundkonfigurerad är redo att hanteras via de här verktygen. Mitt favoritverktyg bland dessa är Salt, en lösning vars hanteringsmodell bygger på att en server får rollen som master, och alla resurser som ska hanteras (minions) genom Salt förses med en liten agentmjukvara. Det är förvisso något mer omständigt att komma igång med Salt jämfört med exempelvis Ansible, som inte kräver någon mjukvara installerad på de resurser som ska hanteras, men Salts hanteringsmodell erbjuder många fördelar som gör den lite högre tröskeln klart värd att ta sig över. På master-servern kan därefter beskrivningar av de olika resurserna läggas upp, på Salt-språk kallat states. För exempel på hur man snabbt kan komma igång med Salt har jag länkat till Salts dokumentation[3] nedan, men här är ett enkelt exempel på hur man kan installera ett program på de hanterade servrarna genom verktyget: En Salt-master av standardutförande lagrar sina states i /srv/salt/, så om koden ovan läggs in i filen nano.sls i den katalogen kan man sedan applicera sagda state genom kommandot: Förutom att installera nano kommer varje hanterad server att ansluta till master-servern och hämta konfigurationsfilen nanorc och placera den i /etc/nanorc på det egna filsystemet. Filen får rätt åtkomstskydd och rätt ägare i samma moment. Smidigt! State-filer går sedan att mappa mot olika rollbeskrivningar, genom vad Salt kallar top-filer. Säg att vi definerar hur nginx och postgresql ska installeras och konfigureras i varsin state-fil, och nu vill förklara för Salt att alla webservrar ska bestyckas med mjukvarorna skapar vi följande top-fil: Top-filen instruerar Salt att alla servrar i flottan skall ha nano installerat, och alla minions som har ett namn som börjar med “webserver” skall utöver nano även installera nginx och postgresql. Top-filen appliceras med: Alla minions som saknar programvarorna kommer att installera dem omgående, och de som redan är provisionerade rätt kommer att återrapportera detta: Givetvis kan provisioneringsverktyg som Terraform och konfigurationshanteringsverktyg som Salt kombineras! Se till exempel den länkade artikeln[4] för just en sådan kombination, där de bygger infrastruktur på platformen Profitbricks. IT-världen utvecklas fort och sättet vi bygger och hanterar våra IT-miljöer ser väldigt annorlunda ut idag mot hur det såg ut för ett decennium sedan. Att dokumentera på traditionella sätt i Microsoft Word blir snabbt ohållbart så fort verksamhetens digitala resurser blir för många. Infrastruktur som kod ger dokumentation som är enkel att granska och verifiera vid säkerhetsgranskningar och ger en effektivare möjlighet att följa upp att rätt nivå av säkerhet har blivit uppnådd. Det blir också mycket lättare att planera för incidenter som ransomware-angrepp, eller andra verksamhetshotande händelser. Även om bara en andel av verksamheten defineras i kod är det en andel som ni så när på minuten kan beräkna återställningstid för. Dessutom kan all kod och alla konfigurationer versionshanteras! Det finns därför inga hinder att redan idag börja titta på hur ni kan använda infrastruktur som kod, börja i liten skala och sakta utöka omfattningen. [1] https://en.wikipedia.org/wiki/Infrastructure_as_code [2] https://www.terraform.io/ [3] https://docs.saltstack.com/en/master/topics/tutorials/walkthrough.html [4] https://devops.ionos.com/tutorials/use-terraform-and-saltstack-for-provisioning-and-configuration-management/
li|Säkerhetsrutiner saknas, eller följs inte eftersom rutinerna inte har tillgängliggjorts för de som behöver den (tankarna går åter till Arthur), så vi kan lura någon att släppa in mig i lokaler vi inte är behöriga till. Nätverksanslutna enheter har samma lösenord de levererats med från fabrik, och återfinns ofta i instruktionshandböckerna. Brandväggar och andra säkerhetslösningar saknas, eller har installerats felaktigt på grund av dålig eller otillgänglig dokumentation från tillverkaren. Nätverkskartan/Tillgångsförteckningen är utdaterad och gamla bortglömda och sårbara system finns kvar på nätverket. Och slutligen, applikationer är skrivna på ett bristfälligt vis som lämnar sårbarheter i de system vi attackerar.
st|Observera att access-nyckeln är en känslig uppgift! Att exportera miljövariabler som i exemplet gör att de lagras i klartext i skalhistoriken.
h1|Infrastruktur som kod
h2|Provisioneringsverktyg Konfigurationshanteringsverktyg Slutord
sp| Publicerat 2020-10-09  Skrivet av Robin Sjögren Copyright © 2021 - Simovits AB
em|Det jag tänkte berätta om i den här bloggen är ett koncept som kallas för “infrastruktur som kod”. Det är förvisso inte självskrivande dokumentation, men något som garanterar att den dokumentation som finns är korrekt. P: Men herr Dent, planerna på att riva ditt hus har funnits tillängliga på det lokala planeringskontoret i nio månader. … A: Javisst, de var utställda i ett låst arkivskåp, som var inställt i en avstängd toalett som i sin tur var försedd med skylten “Varning för leoparden”.
pa|Flera länder, däribland Storbritannien har implementerat lagar (RIPA) där polisen utan ett domstolsbeslut kan begära att en användare uppger sina krypteringsnycklar för hårddiskkryptering [1]. Detta har lett till att det uppstått ett behov av att dölja själva existensen av krypterade hårddiskvolymer. Läran om att försöka dölja data eller meddelanden kallas steganografi och har en lång historia med bland annat användandet av osynligt bläck. Idag döljs ofta krypterade hemliga meddelanden inuti andra större filer såsom bild- och videofiler. Eftersom krypterade data inte borde uppvisa mönster blir sådan svår att separera från slumpartat brus. Därmed blir det svårare att påvisa existensen av sådan krypterad data om den omges av slumpartat brus. Ett fri och öppen källkods krypteringsmjukvarupaket VeraCrypt erbjuder sådan form av dolda krypterade hårddiskvolymer där själva existensen av dem inte går att påvisa. [2] Principen bygger på att en krypterad volym som inte har en post i partitionstabellen lagras över fritt utrymme på en yttre volym. [3] Användaren kan ifall den uppmanas att dekryptera volymen ange nyckeln för den yttre volymen medan det finns en annan nyckel till den inre dolda volymen. Det är även möjligt att installera operativsystem på sådana dolda volymer [4] genom att VeraCrypt kan installera en bootloader där en nyckel leder till den yttre volymen medan en annan nyckel leder till den inre dolda volymen. Hursomhelst tordes målgruppen inte vara så stor för en sådan lösning och den kommer inte utan risker och tillkortakommanden som jag kommer att gå igenom nedan. En risk som borde skrämma iväg de flesta användare är att den dolda volymen överlappar den yttre icke-dolda volymen och ifall man skriver data till den icke-dolda volymen kommer man så småningom att skriva över den inre dolda volymen. Detta förhindras visserligen med VeraCrypt då ett generiskt IO-fel blockerar sådan överskrivning och möjligtvis istället orsakar en krasch av programmet eller operativsystemet. För att inte skapa misstankar eller spår av användningen av ett dolt system behöver man bland annat iaktta följande försiktighetsåtgärder: Slutligen kan själva existensen av VeraCrypts bootloader ge viss misstanke om dolda volymer, därför har jag försökt återskapa en liknande dold-volym lösning med LUKS på Ubuntu 18.0.4 LTS utan VeraCrypt. Jag vill upplysa om att i stegen nedan utförs modifieringar av volymer och partitioner vilket kan misslyckas och resultera i att data skrivs över så den inte går att återskapas. Utför inte dessa på någon fysisk hårddisk som innehåller några filer ni inte skulle vilja bli av med, eller som inte är säkerhetskopierade. För att demonstrera min gör-det-själv volym tänkte jag placera en liten dold LUKS-krypterad [5] volym i slutet av . Detta väljer jag att göra med där jag avmountar och sedan krymper volymen för att ge plats åt en ny 512MiB volym. För att titta på den nya partitionstabellen använder jag där jag observerar att vår nya volym börjar på block 450560, dvs. dess offset från starten på är 450560*512 (hårddiskens blockstorlek) = bytes. Detta bör skrivas ned. I följande steg initierar jag LUKS systemet på skapar en mapper för att kunna formatera den inre volymen med formatering. När den dolda volymen är skapad tar jag bort den från partitionstabellen genom att ta bort partitionen i och expanderar över den igen. Nu syns inte partitionen i additionstabellen längre men den kan fortfarande mountas genom att knyta en ledig loop-device till korrekt offset , skapa en mapper och mounta partitionen på valfri katalog. Skål! Vi har nu demonstrerat en gör-det-själv dold volym. Denna dolda volym ligger dock på en okrypterad volym och ifall man läser igenom hårddisken block för block lär man hitta LUKS-headern på partitionen. Man borde troligtvis lägga den dolda volymen på en krypterad volym och se till att ledigt utrymme är överskrivet med slumpmässig brus för en riktig lösning. [1] [2] [3] [4] [5]
li|Undvika att växla mellan det dolda och icke dolda systemet genom omstart Att försöka använda det icke dolda systemet regelbundet så att misstanke om att det finns ett dolt system inte uppstår
st|/dev/sda1 gparted /dev/sda1 fdisk -l /dev/sda3 /dev/sda 230686720 /dev/sda3 /dev/mapper/secret ext4 gparted /dev/sda1 /dev/loop0 230686720 /dev/mapper/secret
h1|Dolda hårddiskvolymer
h2|Steganografi VeraCrypt En gör-det-själv dold volym Referenser
h3|Tillkortakommanden Läs först! Steg för steg Slutord
sp| Publicerat 2020-06-12  Skrivet av Daniel Hedencrona Copyright © 2021 - Simovits AB
pa|I denna blogg ska jag visa hur man med enkla medel bygger en smart säkerhetskamera som kan upptäcka rörliga objekt samt skickar ett mail med en bild på en inkräktare. Den utrustning som behövs till detta projekt är: Projektet har använt operativsystemet Raspbian som finns tillgänglig på Raspberry Pi:s officiella hemsida [1]. För att installera operatvisystemet på minneskortet bör den officiella installationsguiden följas [2]. När installationen av operativsystemet är färdigt monteras kameramodulen i Raspberry Pi:n enligt bilden nedan. Efter Raspberryn har startat upp, öppna terminalen och skriv in följande kommando: Navigera till kamera alternativet och aktivera kameran. I detta konfigurationsfönster bör även filsystemet expanderas samt är det värdefullt att sätta på SSH-alternativet. Filsystemet bör expanderas för att använda allt tillgängligt utrymme på minneskortet. Genom att aktivera SSH-alternativet är det möjligt att administrera Raspberryn på distans. Kom ihåg att använda ett starkt lösenord för användare när SSH används. Konfigurationsfönstret kommer se ut som bilden nedan. För att testa att kameran fungerar och är korrekt installerad skriver du följande kommando i terminalen: Finns det en JPG-fil i den aktuella katalogen så fungerar kameran. För att upptäcka objekt i videoflödet har detta projekt använt OpenCV som är ett programvarubibliotek med rutiner inom datorseende och bildanalys. Det finns ett färdigutvecklat paket på github [3] som finns att ladda ner till Raspberry. För att kunna installera OpenCV krävs att beroenden samt video- och bildbibliotek installeras. Detta skript nedan fungerar för att hämta alla beroenden, video- och bildbibliotek samt installera OpenCV. Nu bör OpenCV vara installerat på Raspberry. Detta skript kan ta mellan 2-4 timmar att köra. Det kan uppstå fel med kompilationen av OpenCV när alla tillgängliga kärnor används, då systemet försöker utföra flera operationer samtidigt när de skall utföras sekventiellt. Skulle detta inträffa bör kompileringen startas om med ett mindre antal kärnor genom följande: Det kommer bli en prestandaskillnad vid användning av mindre antal kärnor och installationen kommer ta längre tid men förhoppningsvis uppstår inga kompileringsfel. OpenCV används endast för bildanalys, för att övervaka och skicka mail användes ett färdigutvecklat Pythonprogram [4]. Detta hämtas och installeras enligt nedan. För att få programmet att fungera samt mail skickad från ett konto till ett övervakningskonto så måste ändringar göras i mail.py filen. Öppna filen genom: Gå ner till följande del och skriv in den mail som ska användas att skicka från samt den mail som ska vara mottagare. För att inte lagra lösenordet i klartext i koden bör instruktionen i kommentaren följas och ett lösenord för applikationen bör genereras. Nu är programmet redo att köras! För att se en livestream av övervakningskameran från det lokala nätverket skriver man i webbläsaren: <IP-adressen till Raspberry> :5000. Nedan är en bild på min stream från övervakningskameran. Som bilden ovan visar övervakar jag min kaffekopp och läskedryck då dessa brukar försvinna spårlöst. Första email Vid första mailet kommer Google ej tillåta att mail skickas då Google blockerar applikationer att använda sig av protokollet SMTP utan tillstånd. Detta löses genom att tillåta mindre säkra applikationer för Google-kontot. Denna funktion bör endast aktiveras för Googlekonton skapade enbart för detta syfte och inget konto där känslig information kan finnas tillgängligt. Nu är man redo att testa den nya säkerhetskameran efter inkräktare. Denna notis fick jag då jag gick på min lunch: Någon på kontoret har försökt stjäla min kaffekopp, det var alltså befogat att montera min säkerhetskamera.
li|Raspberry Pi med tillbehör (nätadapter och 8Gb+ minneskort) Alla versioner av Raspberry Pi fungerar, dock är det endast version 3 och 4 som har inbyggd WiFi. Raspberry Pi kameramodul https://www.raspberrypi.org/downloads/raspbian/
h1|Smart säkerhetskamera
sp| Publicerat 2019-09-20  Skrivet av Dennis Nilsson Sjöström Copyright © 2021 - Simovits AB
pa|Enkelhet och smidighet i all ära. RIFD gör inpassering enkel men det kan också öppna nya dörrar för angripare. I vissa fall vill angriparen att ett system ska sluta fungera för att kunna utnyttja situationen som följer detta, exempelvis om det leder till att säkerheten i en fastighet sjunker. I andra fall kan angriparen vara intresserad av innehållet på RFID-etikett för att kunna spåra någon eller utvinna information. Detta examensarbete utfördes av Tiina Loukusa här på Simovits Consulting och presenterar ett flertal angreppsvinklar mot RFID och en djupdykning om hur ett kloningsangrepp kan gå till väga.
st|Bifogad fil:
h1|Examensarbete om RFID
sp|  Publicerat 2012-09-24  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|I dagens blogg inlägg skall vi titta närmare på RFID. Detta system används oftast som skalskydd när det gäller inpassering. Vi kommer att titta närmare på EM4100 som är ett alternativ för RFID läsare. Vi kommer att visa att detta system inte är säkert och vem som helst med niohundra kronor kan kopiera dessa taggar […] På Simovits Consulting använder vi, för arbete med dokument, en server som saknar kopplingar till andra nätverk (air gapped system). Detta är en helt självklar säkerhetsåtgärd för ett IT-säkerhetsföretag. Att ha ett galvaniskt åtskilt nätverk är dock inte den enda säkerhetsåtgärden som krävs för att ha kontroll över viktiga resurser. Eftersom Simovits Consulting utför penetrationstester […] Välkommen till Del 1 i Simovits Consultings första bloggserie om nätverkshacking! Hur svårt är det egentligen för en angripare att fånga upp information från cyberrymden? Vilken typ av information kan fångas upp? Finns det anledning att vara orolig? Och hur kan vi skydda oss?
sp| Publicerat 2015-10-06  Skrivet av Simovits Consulting  Publicerat 2015-09-25  Skrivet av James Dickson  Publicerat 2015-09-11  Skrivet av Tiina Loukusa Hyttnäs Copyright © 2021 - Simovits AB
pa|Simovits Consulting deltar som sponsor på Försvarshögskolans Cyber Challenge 2021. Här hittar ni länkar till presentationer samt utannonserade examensarbeten. Ni är välkomna att ta kontakt med mig (Mikael Simovits) om ni har några frågor. Kontaktuppgifter hittar ni under fliken “Om Oss”. https://simovits.com/om-oss/ Utannonserade examensarbeten hittar ni här: https://simovits.com/examensarbeten-pa-simovits-consulting/ Läs mer om företaget: Inspirational talk: Vi erbjuder ständigt examensarbeten inom Cybersäkerhet. Avsikten med examensarbetet är att utgöra en del i företagets forskning och omvärldsbevakning, men framförallt för dig att känna på vad ett typiskt uppdrag kan innebär och för oss att på sikt hitta en ny kollega. För de examensarbeten som erbjuds gäller följande: Examensarbetet ska vara i nivå med […]
sp| Publicerat 2021-01-28  Skrivet av Mikael Simovits  Publicerat 2020-09-13  Skrivet av Mikael Simovits Copyright © 2021 - Simovits AB
pa|Tidigare har vi skrivit om BashBunny, men ungefär samtidigt som kaninen släpptes publicerades också den första versionen av P4wnP1, en USB-baserad attack-plattform. P4wnP1 kan installeras på en Raspberry Pi Zero och Zero W. P4wnP1 är särskilt användbar med den trådlösa varianten (Zero W) då den både kan konfigureras och skicka attack-kommandon och resultat på distans. Ett perfekt verktyg för att angripa air-gappade system! Det du behöver köpa är alltså en Raspberry Pi Zero W (cirka 200kr exkl. SD-kort) och ladda ner för att komma igång. Flasha SD-kortet som används i din RPZW med P4wnP1 imagen (med exempelvis balenaEtcher). När kortet är flashat är det bara att stoppa in det i RPZW och koppla in den i datorn. Windows 10 bör identifiera enheten och konfigurera den ”P4wnP1 by MaMe82”. I samband med detta bör de ha dykt upp ett nytt WiFi: Anslut till den med lösenordet MaMe82-P4wnP1 (om denna information skulle vara utdaterad finns den senaste versionen av instruktionerna på Github – se länken ovan, den innehåller även andra alternativa sätt att konfigurera enheten). När du har anslutit till lyckats ansluta till P4wnP1-nätverket kan du sedan nå P4wnP1:s webbgränssnitt genom att surfa in (som standard – detta kan du sedan ändra precis som så mycket annat): Det finns en mängd inställningar att välja bland för bland annat US, WiFi och Bluetooth-funktionalitet. Under HID-script kan du testa några olika test-script. Tyvärr uppstår problem som en svensk användare, då den saknar stöd för svenskt tangentbord vilket innebär att det sällan fungerar i svenska it-miljöer. Nu har vi introducerat P4wnp1 och i nästa inlägg så labbar vi vidare med den inbyggda ”WiFi Covert Channel Attack” – en attack som startar upp ett PowerShell fönster som angriparen sedan kan skicka och exekvera skript mot. Det fungerar även om det angripna systemet är air-gappat. Stay tuned!
h1|Komma igång med P4wnp1
sp| Publicerat 2020-01-31  Skrivet av Tiina Loukusa Hyttnäs Copyright © 2021 - Simovits AB
pa|I fredags var det Gustav Adolfs dag, sedan på lördagen så var det kladdkakans dag och på söndagen så var det Fars dag. I dagens värld finns det alltid rum för att fira eller att kontemplera ett specifikt ämne. Så vad finns det för säkerhet. Här följer en minikalender för dagar att hålla reda på om man jobbar med informationssäkerhet och IT-säkerhet. Data Privacy Day (i Europa kallas den för Data Protection Day) och firas varje år den 28 januari. Den är till för att uppmärksamma den personliga integriteten relaterad till databehandling. Har firats sedan 2007. Än så länge firas den bara i USA, Canada och i 27 EU-länder. World Password Day inträffade i år den 7 Maj. Man har lyckats ha igång denna tradition sedan 2012. Den verkar ersätta den tidigare International Change Your Password Day som inträffade den 1 februari. (För att undvika förvirring så går man ut med en slogan att man ska se varje dag som en lösenordsbytardag.) European Cyber Security Month (ECSM) – enligt EU så inträffar den i oktober, där olika veckor har olika fokusområden. Nu är vi äntligen i November så det är möjligt att vila upp sig fram till jul. Computer Security Day (CSD) inföll alltid den 30 november och första dagen som firades inträffade 1988. Av någon anledning upphörde den 2009. En dag som ännu inte är riktigt IT-relaterad är internationella arbetarorgamisationens (ILO) världsdag för säkerhet och hälsa. Den firas varje år den 28 april. Med tanke på den stress och fara Internet medför så blir det snart en dag även före IT-säkerhetsmänniskor. Och sist men inte minst, i alla fall om man är katolik, så ska vi inte förglömma att fira Internets skyddshelgon Isodore av Sevilla. Han levde på 600-talet och var mest känd för att försöka skriva ner allt människan känner till. Han firas varje år den 4 april.
h1|Viktiga säkerhetsdagar
sp| Publicerat 2015-11-09  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
di|Kryptohistorien är full av misstag, men hur mycket lär vi oss av dem egentligen? Följ med på en tur bland några riktiga klassiker: Worddokument, WEP, RDP och ända tillbaka till ryska spioner under andra världskriget.
st|Bifogad fil:
h1|Kryptomisstag vi minns
sp|  Publicerat 2011-12-08  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|De flesta av oss förknippar nog geocaching med folk som letar små plastburkar som sitter gömda på knepiga ställen, men vilka beröringspunkter finns det med IT-säkerhet och kryptoanalys? Det finns en speciell typ av cacher som kallas mystar där det gäller att få fram koordinaterna utifrån en information som kan finnas som ett dolt meddelande, […]
sp| Publicerat 2015-10-27  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|En av utmaningarna vid forcering av WPA/WPA2-personal skyddade WiFi nätverk, så har man som angripare varit tvungen att placera sig i närheten av både anslutna klienter och accesspunkter. Syftet är att erhålla en lösenordshash. Genom att tvinga fram en omautentisering av klienten mot accesspunkten kan angriparen snappa upp en lösenordshash. Genom att sedan knäcka lösenordshashen […] Denna blogginläggsserie, skriven av Peder Sparell, är på två delar behandlar WPS, vilket är en extra funktion för trådlösa nätverk som genom sin konstruktion är väldigt bristfällig. Det är ingen ny funktion, och dess sårbarhet som vi tar upp här är inte direkt någon nyhet, men det känns fortfarande aktuellt då förvånandsvärt få känner till […] Dagen innan presidentvalet i USA utsågs Hillary Clinton som vinnare. Ett annat resultat vore osannolikt enligt mätningarna. Det samma gällde Brexit-omröstningen. Även omröstningen i Colombia avseende fred med FARC-guerillan slog slint. Även i Sverige har opinionsmätningarna visat sig vara felaktiga. I samtliga fall försöker man hitta rimliga förklaringar, som att mätningarna inte är rättvisande, att […] 12 september startade en gruppering som kallar sig Fancy Bears HT en kampanj för att avslöja att flertalet olympier dopar sig. Följande text publicerades på Twitter. WADA (World Anti-Doping Agency) har ett system som heter ADAMS, vilket atleter och personal använder för dopingkontroller. Atleterna har genom detta system möjlighet att rapportera in vart i världen […] Förra veckan gick flera stora anti-virusföretag med information om att en ny APT-plattform identifierats under hösten 2015 som döpts till ProjectSauron av Kaspersky respektive Remsec av Symantec. APTn misstänks ha varit aktivt sedan 2011. Aktivitet har identifierats i bland annat Ryssland, Kina, Iran, Rwanda, Belgien och även en organisation i Sverige har blivit drabbad. Infektionsvektorn […] I början av månaden gick RSA Conference USA 2016 av stapeln i San Francisco. Jag (Peder) och Mikael var där och höll vår presentation angående mitt/vårt arbete med lösenfrasknäckning med hjälp av Markovkedjor. Vi fick bra respons och många frågor efteråt, och det kändes som att åhörarna tyckte det var intressant, nydanande och att de […] FBI har i efterskalven av massmorden i San Bernardino försökt få genom en skräddarsydd bakdörr för iOS enheter. Detta för att kunna ta sig in i en Iphone 5C-telefon tillhörande förövaren Syed Farook som tillsammans med sin fru mördare 14 personer. FBI har efterfrågat följande från Apple [1]: ”[Provide] the FBI with a signed iPhone […] När man tar upp sidan för Ashley Madison, nu nästan två månader senare, så slås man av två saker: Det första är att den fortfarande är uppe, och det andra är att de har en medalj längst ner som hävdar att de fått utmärkelse för pålitlig säkerhet. Av vad som går att förstå av vad […]
sp| Publicerat 2018-08-31  Skrivet av Mikael Simovits  Publicerat 2016-11-28  Skrivet av Simovits Consulting  Publicerat 2016-11-11  Skrivet av Simovits Consulting  Publicerat 2016-10-04  Skrivet av Simovits Consulting  Publicerat 2016-08-16  Skrivet av Simovits Consulting  Publicerat 2016-03-24  Skrivet av Simovits Consulting  Publicerat 2016-02-22  Skrivet av Simovits Consulting  Publicerat 2015-09-01  Skrivet av Mikael Simovits Copyright © 2021 - Simovits AB
pa|Denna veckas blogg belyser interna hot inom organisationer. Anledningen till ämnet är att det nyligen lyftes i samband med en scenariobaserad riskanalys. Frågeställningen handlade om huruvida detta hot, utöver att det identifierats som relevant, verkligen realiserats överhuvudtaget? Existerar det fall då detta verkligen inneburit en avsevärd påverkan på en organisation och i så fall på vilket sätt? Veckans blogg belyser därför hur hoten kan se ut, bakomliggande incitament, aktuella exempel då hoten har realiserats, vilka kostnader som ett realiserande av hoten kan innebära, samt vilka åtgärder man bör vidta för att vara tillräckligt förberedd när situationen väl inträffar. De senaste åren har en stadig ökning av denna typ av hot skett vilket gör att en grundläggande förståelse kring detta är angeläget och nödvändigt. Interna hot kan ses som ett samlingsnamn för utförda handlingar (oavsiktliga eller avsiktliga) av en intern aktör som kan leda till säkerhetsincidenter för verksamheten. Utförandet sker av någon som är anställd eller på annat sätt har anknytning till organisationen som drabbas. Interna hot innebär generellt allvarliga säkerhetsrisker, eftersom konsekvenserna ifrån incidenter exempelvis kan handla om dataexponering av företagshemlig information eller manipulation av tillgångar med avsevärd påverkan på organisationers anseende, brister i regulatorisk efterlevnad, eller påverkad marknadsposition. Ett typfall är då en extern aktör samarbetar med någon internt som har behörigheter, för att erhålla åtkomst till organisationers tillgångar. Följande kategorisering av interna hot efter syfte eller motiv ger en översiktlig bild: Oavsiktliga handlingar som leder till säkerhetsincidenter beror ofta på försumlighet eller okunskap. Men eftersom den som arbetar inifrån en organisation har behörigheter, såväl som kunskap om processer och rutiner är det oftast inte enkelt att särskilja legitim åtkomst till information eller system från den med uppsåt att orsaka skada för organisationen. En utomstående aktör kan rekrytera personer som arbetar i organisationen på en rad olika sätt. Vanliga mönster är dock följande: Dessa hot realiseras idag oftast genom phishing framförallt då det handlar om oavsiktliga handlingar. Oavsett om interna hot realiserats utifrån försumlighet hos en anställd, en kriminell insider eller en extern aktör, är det som kostar mest situationer som innebär stöld av autentiseringsuppgifter. Undersökningar visar att dessa incidenter har ökat signifikant senaste 5 åren, till ca 3 om året (för organisationer med fler än 500 anställda), till en kostnad av ca totalt 10 miljoner SEK årligen. Processrelaterade kostnader kan t.ex. innehålla: i) övervakning iför att kunna detektera insiderdrivna incidenter eller angrepp, inklusive teknikstöd för detta, ii) utredning för att klargöra källan, scope och omfattningen av en eller flera incidenter iii) incidentrespons och eskalering för att få ledningens förståelse om allvarlighetsgrad för aktuella incidenter iv) begränsande aktiviteter för att stoppa eller begränsa incidenter, t.ex. genom att stänga ner sårbara applikationer. Dessutom återställande aktiviteter för att reparera system och kritiska affärsprocesser, inklusive påverkade informationstillgångar samt IT infrastruktur. Av de listade ovan ligger begränsningar samt återställande aktiviteter som de största kostnadsposterna. Utifrån de typer av interna hot som beskrivits ovan och vad de kan leda till är det relevant att utvärdera på vilket lämpligt sätt strategier för säkerhetsarbetet ska ta hänsyn till detta. Historiskt sett har interna hot drabbat olika sektorer olika hårt. Av det kan slutsatsen dras att det är lämpligt att utgå ifrån sin hotbild för att avgöra vilka prioriteringar som är nödvändiga. Verksamheter bör dock se över vilka åtgärder som är mest effektiva utifrån sitt nuläge och som ett minimum överväga följande: cost-of-insider-threats-global-report-2020_v9_35025535USEN ETL2020-Insider_Threat_eBook_EN
li|En vårdslös anställd hanterar information felaktigt, bryter mot policyer för slutanvändare och t.ex. installerar mjukvara ifrån ej betrodda instanser. Någon inifrån organisationen använder behörigheter, manipulerar tillgångar eller stjäl information för egen vinning eller på uppdrag av någon utanför organisationen. En uppsagd anställd vill förorsaka skada på organisationen och nyttjar sina behörigheter under den tid då deaktivering av konton inte ännu skett. En obetänksam tredje part kompromissar med säkerheten, genom felaktig användning eller otillräcklig behörighetshantering, till tillgångar. Stöld av autentiseringsuppgifter, skadlig kod via websidor eller falska websidor. Erbjudande på forum om belöning för viss typ av information. Åtgärder maskeras så att anställda inte är medvetna om att de gör något illegalt och inleds ofta med en enkel, harmlös uppgift. Ett offer erbjuds kanske ett arbete för att ge information under förespeglingen att den inte är känslig trots att det handlar om transaktionsinformation, tillgångar på bankkonton eller telefonnummer och andra kontaktuppgifter till det tilltänkta offret. Utpressning. Läckta mail och autentiseringsuppgifter identifieras, nyttjas och komprometterande data (t.ex. känsliga personuppgifter, lagöverträdelser) används för cyberspionage eller utpressning. En stöld av immateriell egendom skedde genom att två anställda laddade ner 8 000 filer som handlade om kalibrering av turbiner i kraftverk samt prismodeller till grund för nya kontrakt. Filer skickades till privata adresser eller molnet och de lyckades få förhöjda (ej i linje med roll) behörigheter av systemadministratör. Materialet användes för att starta konkurrerande affärsrörelse. Efter flera års forensisk utredning kunde FBI slutligen visa att företaget hade byggt sin verksamhet på det stulna materialet och de anställda dömdes till fängelse och 1.4 miljoner dollar i skadestånd. Försök till kraftig överdosering av lut (NaOH) i vattenrening. En operatör på anläggningen lyckades detektera och avstyra attacken. Därigenom påverkades aldrig reningsprocessen vilket annars hade kunnat leda till en storskalig förgiftning. Utredningen påvisade att datorer delade samma lösen för fjärråtkomst och var internetanslutna utan brandvägg. Angriparen hade kunnat bereda sig tillgång till SCADA system via verktyget TeamViewer. Även om motivet eller aktören ännu inte klarlagts visar det vilka möjliga katastrofala konsekvenser cyberattacker på kritisk infrastruktur kan resultera i. Läckage av 5.2 miljoner kunduppgifter inklusive kontoinformation via nyttjande av två anställdas autentiseringsuppgifter till hotellkedjans tredjepartsapplikation. Monitoreringsaktivitet upptäckte inte detta under två månaders tid då dataexfiltreringen skedde. Tidigare anställd ingenjör använde behörigheter för att plantera skadlig kod. Aktiviteten ledde till att fler än 400 virtuella maskiner som användes för WebEx Teams applikationer förstördes. Angreppet resulterade i 16 000 oåtkomliga konton under två veckors tid och innebar kostnader på ca 1.4 miljoner dollar för att granska infrastruktur och för att reparera skadan. Resurserna var åtkomliga utan multifaktors-autentisering. som är utformade för att bemöta externa hot, bör inkludera DLP för att upptäcka och förhindra dataexfiltrering, teknikstöd för realtidsövervakning av IT-miljö, samt även regelbundna scanningar och penetrationstester i tillräcklig omfattning. dels för att begränsa de med utökade behörigheter men även de med åtkomst till den känsligaste informationen. Hur behovsprövad är åtkomsten för de anställda till de resurser som är kopplat till de mest kritiska affärsprocesserna. av tjänster kritiska för verksamheten. Det bör finnas ett helhetsgrepp avseende granskning av potentiella leverantörer som inkluderar hur styrningen av informationssäkerhet beskrivs och fungerar, mätbarhet i krav samt bevis på löpande riskhantering samt uppföljning på ett systematiskt vis. med utsedda roller, tydligt mandat samt genomtänkta vägval i händelser av olika uppkomna scenarios. I situationer som kan uppkomma i händelse av realiserade interna hot är tiden ens fiende. Förberedda underlag som beskriver hur prioritering avseende hantering av verksamhetspåverkan, aspekter som konfidentialitet, tillgänglighet eller riktighet hos påverkade informationsmängder, eller hur bevis ska säkras ger organisationen ett nödvändigt stöd då incidenten är ett faktum. synnerhet personer i ledningsfunktioner, avseende verksamhetens löpande arbete och mål med cybersäkerhet, interna krav samt vägledande instruktioner. Detta bör inkludera och betona åtgärder som verksamheten har på plats för att detektera och agera på interna hot. Slutanvändarens försumlighet eller okunskap är inget som bör tas lätt på, även om det knappast är något nytt. för att utvärdera risken att skadlig kod får fäste i verksamheten, samt för att ge personal (utöver magkänslan, som inte ska underskattas) nödvändiga verktyg för att kunna avgöra hur de på olika vis kan se igenom t.ex phishing-försök.
st|Gruppering av interna hot Bakomliggande incitament Vilka exempel finns på interna hot som faktiskt realiserats till allvarliga konsekvenser? Hur stora kostnader kan generellt uppkomma vid dessa typer av incidenter och vad består de av? Vilken förberedelse krävs för att skydda sig mot interna hot? Referenser
h1|Interna hot – en översikt
sp| Publicerat 2021-02-26  Skrivet av Filip Crona Copyright © 2021 - Simovits AB
em|General Electric. Oldsmar vattenreningsanläggning i Florida. Marriott. Cisco. Tekniska åtgärder Begränsning av behörigheter, Strukturerad utvärdering av leverantörer Incidenthanteringsplan Utbildning för att öka medvetenhet hos i Löpande insatser i form av simuleringstester och uppföljande utbildning
pa|Kaspersky och forskare från Kings College släppte för en dryg vecka sedan rapporten Penquin’s Moonlit Maze –The dawn of Nation-State Digital Espionage. Rapporten är spännande då den påvisar en möjlig länk mellan ryskt cyberspionage i internets vagga och idag, [4]. Jämför man med idag där nyheter om datorangrepp som kostar företag miljonbelopp är vardagsmat, så känns 90-talets datorangrepp förhållandevis milda. De cyberangrepp många minns kring mitten av nittiotalet, var hacktivister som ersatte företags hemsidor med sina egna ofta politiska budskap. Ett känt exempel på detta från 1996 var när CIA:s hemsida hackades i protest mot rättegången mot medlemmarna i Swedish Hacking Association, där Bo Skarinder var åklagare. Parallellt med denna typ av attacker initierades dock runt 1996 en våg av cyberangrepp mot olika amerikanska myndigheter och organisationer med försvarskopplingar, inklusive flygbaser, forskningsinstitutioner och NASA. Dessa angrepp pågick i åtminstone två år, gjordes troligen av ryska aktörer i spionageändamål och kom senare att få namnet Moonlight Maze. Kasperskys rapport handlar om dessa angrepp och om eventuella kopplingar mellan dem och Penquin Turla år 2011. För den oinvigde så är Penquin Turla det första upptäcka cyberangreppen mot Linux och Unix från den ryskspråkiga, spionageorienterade och nu aktiva hackergruppen Turla, en känd så kallad APT. Utgångspunkten för Kasperskys rapport är att de fick tillgång till en gammal server på ett brittiskt företag som de ryska angriparna efter att ha hackat använts som ett hjälpmedel för sina fortsatta angrepp. Den brittiska servern användes först som proxy vilket innebär att trafiken från angriparna skickades genom servern för att dölja angriparnas verkliga IP-adress. Därutöver användes den brittiska servern även som en staging server vilket innebär att servern fungerade som en samlingsplats för skadlig kod och verktyg vilka laddades ned till nya hackade servrar. De angriparna inte visste var dock att serverns roll upptäckts av myndigheterna och att FBI tillsammans med Scotland Yard använde servern för att kartlägga angriparnas förehavande. Servern ställdes därför in för att samla loggar, spara alla filer, fånga trafik och övervaka en specifik användare på servern. Företagets dåvarande systemadministratör bestämde sig för att spara servern och har nyligen gett Kaspersky tillgång till den. Den initiala attackvektor som angriparna använde sig av var den då välkända sårbarhet i en Common Gateway Interface (CGI) som paketerades som exempelkod med http-daemoner för Linux och därmed ofta fanns på publika webbservrar. Något förenklat är en http-daemon ett bakgrundsprogram som gör att servern kan hantera http-trafik och en CGI gör det möjligt för denna att köra utvalda kod på servern. En risk än idag är dock att denna funktionalitet missbrukas av en angripare för att köra godtyckliga kommandon på servern. Denna typ av sårbarheter uppstår när data och kommandon är möjliga att mata in via samma input och kallas på engelska för command injection. Det finns standardiserade metoder för att mitigera risken för att så ska ske genom exempelvis validering av input och automatiserad formatering av symboler med innebörd i underliggande språk. Trots det ligger command injection på förstaplats på OWASP lista över de tio mest kritiska sårbarheterna för webbapplikationer, och förekommer frekvent inom exempelvis applikationer som gör slagningar mot en bakomliggande SQL-databas [5]. Den CGI som angriparna utnyttjade 1996 hette phf och mot exempelvis IP-adressen 1.2.3.4. Gjorde angreppet genom att göra anropet: http ://1.2.3.4/cgi-bin/phf?Qalias=%ff/bin/cat%20/etc/passwd I anropet är %ff oväntad input till variabeln Qalias vilket när det ges som argument till phf (genom phf?Qalias=%ff), gör att det som kommer därefter körs som ett kommando på servern istället för att tolkas som data. I detta fall är det kommando som körs /bin/cat /etc/passwd Detta kommando skriver helt enkelt ut innehållet filen passwd, vilket 1996 ofta innehöll såväl användarnamn som lösenord för alla användare. Angriparna använde sedan de erhållna användarnamnen och lösenorden för att logga in på servern via telnet eller ftp. Sårbarheten var känd på sin tid och finns publikt tillgänglig, exempelvis i exakt samma formulering som användes i Moonlight Maze i databasen Fyodor’s Exploit World som underhölls fram till 1998 av skaparen till det kända skanningsverktyget nmap, [2]. När angriparna kom in på en ny server verkade de i blindo ha laddat ned olika exploits och testa att köra dem i förhoppningen att den aktuella servern skulle vara sårbar mot dessa. Detta tillvägagångssätt är mycket högljutt sätt att angripa en server som riskerar göra offret uppmärksam på angreppet. Idag förknippas därför ett sådant agerande snarare med scriptkiddies än avancerade riktade angrepp. Bland de verktyg som användes på detta sätt fanns bakdörren LOKI2 som publicerats i Phrack, [1]. LOKI2 var skickligt utformad och dolde sin trafik i för ändamålet ovanliga protokoll som DNS och ICMP. Vid angreppens början användes LOKI2 i standardutförande, men anpassades medan angreppen fortgick. En intressant parallell som Kaspersky drar är att ungefär samtidigt som spåren efter Moonlight Maze upphör finns de första spåren av Penquin Turla. Spåren utgörs av data från ett angrepp som påvisar att just en modifierad variant av LOKI2 används i angrepp 2016 mot företaget RUAG som arbetar för den schweiziska militären. Dessa båda varianter av LOKI2 är snarlika och forskarna bakom rapporten spekulerar därför i att Moonlight Maze utvecklades till att bli Turla. Stämmer spekulationerna påvisar de en rysk underrättelseoperation som varit aktiv i 20 år i likhet med, den nyligen upptäcka och troligen NSA-kopplade, Equation Group [3] Eftersom utvecklingen går så snabbt framåt inom IT-säkerhet är det lätt att glömma bort historien. Detta blir väldigt påtagligt av Kasperskys rapport då skillnaden mellan att ta sig in på servrar genom att använda kända sårbarheter för att få dem att skriva ut lösenord känns extremt avlägset från de skräddarsydda och komplexa attacker som ingår i Turlas arsenal idag och till exempel har innefattat exfiltrering av data via satelliter. Referenser [1] – Daemon9, 1997, LOKI2 (the implementation), Phrack Magazine Vol. 7, Issue 51, http://phrack.org/issues/51/6.html#article [2] – Exploit World, ca. 1996, /cgi-bin/phf vulnerability, http://insecure.org/sploits/phf-cgi.html [3] – Kaspersky lab, 2015, Equation group questions and answers, https://securelist.com/files/2015/02/Equation_group_questions_and_answer… [4] – Kaspersky lab, 2017, Penquin’s Moonlit Maze –The dawn of Nation-State Digital Espionage, https://securelist.com/files/2017/04/Penquins_Moonlit_Maze_PDF_eng.pdf [5] – OWASP, 2013, OWASP Top 10 2013 –The Ten Most Critical Web Application Security Risks, https://www.owasp.org/images/f/f8/OWASP_Top_10_-_2013.pdf
h1|Cyberspionage anno 1996
sp| Publicerat 2017-04-20  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|Om man arbetar med säkerhetsincidenter är det viktigt att kunna få insyn i vad som hänt på en enhet som beter sig underligt. Om exempelvis antivirusprogrammet larmar för att det tagit bort skadlig kod behöver man möjligen kontrollera så att den skadliga koden verkligen försvunnit och kanske även i vissa fall reverse-engineera koden. Det finns många EDR-verktyg från olika leverantörer såsom McAfee, Crowdstrike och FireEye som har avancerade funktioner för det scenariot. Med lägre krav på avancerade funktionalitet kanske man kan tycka att antivirussystemet skulle kunna utföra en batch av kommandon på en drabbad dator och skicka resultatet utan att man behöver betala för en ny produkt. I organisationer där upphandlingar kan ta lång tid att implementera ett EDR-system eller där man har en begränsad budget så kan detta vara ett problem. En lösning på problemet är att man själv skapar en batch av kommandon som man genom ett centralt verktyg kan aktivera på enheten man behöver undersöka. Om man inte vill eller har möjlighet att logga in på datorn som säkerhetsanalytiker så behöver verktyget även på något sätt skicka resultatet till säkerhetsanalytikern. För att lösa denna problematik har jag skapat ett litet körbart program för Windows som utför följande: Säkerhetsanalytikern kan därefter ladda ned det krypterade zip-arkivet från FTP-servern, dekryptera det (med en kommandoradsflagga till verktyget) och därefter analysera filerna som inhämtats. För att exekvera verktyget på en specifik dator på bästa sätt så beror det på vad man har för möjligheter i sin egen miljö. Ifall man har McAfee ePO som antivirussystem så kan man utnyttja deras EEDK-verktyg för att skapa ett paket som kan exekveras mot en specifik enhet med en knapptryckning från ePO. Ett exempel för en exekvering kan på så sätt se ut enligt följande: Verktyget är skrivet i C# och kan kompileras genom Powershell med compile-kommandot som finns i samma mapp. .\compile.ps1 För att skapa ett nyckelpar så används kommandot minitriage.exe –genkeys public.key private.key Detta returnerar en base64-kodad sträng som ska kopieras in i settings.txt strPublicKey=<klistra in publik nyckel här> Då paketet levererats som en krypterad zip-fil til FTP-servern så behöver det dekrypteras. minitriage.exe –decrypt private.key inputfile output.zip För att skapa ett träd över processer och vad de startat för andra processer kan följande kommando användas. minitriage.exe –graph <filnamn> Där filnamn är någon av de process-listningsfilerna som genereras med kommandot: minitriage.exe –listprocesses För att exekvera en körbar fil som inte finns installerad på datorn där verktyget ska exekvera så kan man använda @base@ för att beteckna att den exekverbara filen finns i samma mapp som minitriage.exe. I det lilla exemplet nedan finns exempelvis 64-bits-versionen inkluderad för att lista information om 64-bits processer. Filen ska döpas till settings.txt och placeras i samma mapp som minitriage.exe för att ladda in. Programmen som ska exekveras behöver specificeras med absolut sökväg. Det är viktigt att programmen som exekveras endast är skriv/modifierbara av administratörer på datorn ifall minitriage.exe exekveras som administratörsanvändare (vilket är vad som händer ifall man exekverar med McAfee Run Client Task. Det kan också vara bra att veta om att dokumenten som ska laddas upp kommer att mellanlagras i en temporär mapp och därefter tas bort. Datorer som är delade mellan användare skulle kunna orsaka säkerhetsproblematik ifall den temporära mappen är läsbar för alla användare och filerna innehåller känslig information. Därför rekommenderas att ingen känslig information behandlas av minitriage-verktyget. Verktyget har inte någon riktig felhantering för kommandoradsargument och liknande. Koden är dock minimal så det är lätt att se hur allt fungerar ifall man tar en titt på Program.cs. Eftersom programmet kan vara ganska kraftfullt och tänkt att exekvera med höga behörigheter så rekommenderas det att man läser igenom koden och förstår hur det fungerar innan man använder det. Här kan källkoden laddas ner… och länkar Det finns gratis och open source-applikationer som kan samla in information på en dator och returnera resultatet i en textfil. Ett sådant verktyg är McAfees GetSusp som använder McAfees threat intelligence för att detektera skadlig kod. Nedan är länkar till ett par nyttiga verktyg från McAfee och FireEye som kan vara till hjälp i en triage fas.
li|Exekverar ett antal kommandon fördefinierade i en konfigurationsfil. Packar ihop ett antal mappar som specificeras i samma konfigurationsfil. Om man vill kan endast specifika filer inkluderas i paketet såsom exekverbara filer och temp-filer. Detta för att undvika situationer då exempelvis antivirusprogrammet felaktigt tagit bort ett dokument med känslig information (false positives är vanligt i en föränderlig IT-miljö). Verktyget går igenom mapparna rekursivt. Även zip-filer traverseras på detta sätt av verktyget. Processer som exekverar listas av verktyget. Ifall man vill ha både 32-bits och 64-bits processer så kan man starta 64-bits-versionen av programmet separat som ett kommando precis som övriga kommandon specificerade i konfigurationsfilen. Alla filer läggs i ett zip-arkiv och krypteras med en publik nyckel (som behöver skapas på förhand med hjälp av programmet). Det krypterade zip-arkivet laddas upp till en specificerad FTP-server. Alla filer som skapats under körningen tas bort.
st|Exekveringsprocess Kompilera Generera nyckelpar Dekryptera Processer och föräldraprocesser Exempel på konfigurationsfil Att tänka på Ladda ner… Tips
h1|Minimalt triage-verktyg
sp| Publicerat 2020-04-03  Skrivet av James Dickson Copyright © 2021 - Simovits AB
em|EEDK för att exekvera minitriage Exekvering av minitriage
pa|Forensik i alla dess former börjar bli allt mer vanligt förekommande. Problemet är att det ofta är dyrt med både den mjukvara och hårdvara som behövs för att genomföra en forensisk undersökning. I den här artikeln undersöker vi vad vi kan åstadkomma med en begränsad budget och när vi enbart använder oss av freeware. Här kommer vi titta närmare på ett scenario där vi har en suspekt dator varifrån vi tror att företagshemligheter har spridits. Vi har tagit reda på följande information om datorn: Till att börja med måste vi först logga in och hämta ut så mycket som möjligt av den volatila informationen, lagrad i datorns RAM-minne, innan vi undersöker hårddisken. Lyckligtvis vet vi att datorn har en firewire-port samt att operativsystemet är Windows 7. Detta innebär att vi kan använda en side-channel attack (även kallad Firewire-attack) för att på sådant sätt ändra några värden i RAM-minnet och ta oss förbi hela inloggnings-processen. Vi använder oss här av en firewire till firewire sladd (kostnad: ca 60 kr på Webbhallen) för att koppla vår angreppsdator till måldatorn. Därefter kör vi programvaran Inception på vår angreppsdator som används för olika typer av side-channel angrepp som vi nu använder för att ändra parametrarna i RAM-minnet för att ta oss förbi inloggningsprocessen: Efter att värderna ändrats kan du använda valfritt lösenord för att logga in Väl inne på systemet monterar vi en USB-sticka som vi tidigare har förberett med verktyg som vi kan använda för att utvinna volatil information. Vi kör alla kommandon från den kommandotolk som ligger på USB-minnet för att förminska kontaminering och undvika fällor som användaren kan ha lagt. Först upp kör vi netstat som är ett inbyggt program i Windows som listar alla öppna portar på datorn. Vi tar också en lista över körande processer med kommandot tasklist och hämtar nuvarande internet-inställningar med kommandot ipconfig. När vi har hämtat ut den grundläggande informationen så är det dags att samla in lösenord. Här kör vi programvaran Mimikatz som kan utvinna lösenord och annan känslig information från RAM-minnet. I Mimikatz logfil ser vi lösenordet för användaren i klartext. Nu har vi hämtat ut all volatil information vi behöver och även lösenord. Lämpligtvis bör man som en forensisk utredare även ta en kopia av det volatila minnet på det undersökta systemet. Detta kan göras med hjälp av FTK Imager, men i detta fall anser utredaren att det är slöseri med tid och fortsätter utan att ta en avbild. Vi kan nu stänga av datorn och gå vidare med att utvinna informationen ur hårddisken. Vi monterar hårddisken på vår undersökningsdator med hjälp av en SATA till USB konverterare(kostnad: ca 190 kr på Webbhallen alternativt 50 dollar för en med writeblocker på Amazon) och kör därefter FTK imager för att ta en avbild på hårddisken. Vi har nu en avbild på hårddisken som vi kör alla operationer mot. Nästa steg är att manuellt undersöka hårddisken efter ledtrådar som kan hjälpa oss i vår utredning. Efter flera timmar intensivt letande hittar vi tillslut en ledtråd som kan hjälpa oss med vår utredning. ZIP-filen är krypterad. Lyckligtvis glömmer vi inte bort att användare gillar att återanvända lösenord. Vi prövar några olika varianter av lösenordet med gemener och versaler på olika platser i lösenordet och med specialtecken och siffror och till slut lyckas vi dekryptera filen. Det bör även noteras att denna process kan automatiseras genom att använda Jumbo patchen för John the ripper som inkluderar zip2john, vilket är ett verktyg för att knäcka lösenord till zip-filer. Bingo! Vi har nu bevis på att den misstänkta samlat hemlig information i en behållare, vilket är högst misstänksamt! Nästa steg är att ta reda på om filerna har skickats vidare till en annan part. Under den manuella undersökningen observerades en installation av Mozilla Thunderbird e-postklient. Med lite tur så är e-postklienten inställd på att spara meddelanden lokalt på hårddisken. För att undersöka detta använder vi programmet Mailviewer och navigerar därefter till Thunderbirds standardmapp för att spara e-postmeddelanden, vilket oftast är under C:\Users\”användarnamn”\AppData\Thunderbird på en Windows-installation. Här hittar vi ett utgående mail som ger starka indikationer på att vår misstänkte har skickat de superhemliga filerna till en annan person. Utredaren anser nu att vi har tillräckligt med bevis för att påvisa ett brott och kan därmed börja skriva ihop vår rapport Som slutsats kan vi konstatera att en forensisk undersökning med enbart freeware är fullt möjlig. Det blir en del mer manuellt arbete och vi behöver använda en stor upplaga av olika verktyg för att täcka olika aspekter, vilket även sammanfaller med fördelen för kommersiella verktyg. I exempelvis Encase eller FTK analyser så har vi alla verktyg på samma plats, de är mer lättanvända och tack vare indexeringsfunktioner blir större utredningar snabbare. Dock ska man inte utesluta freeware helt från en utredning bara för att man råkar sitta på en Encase/FTK-licens. Många av de program som nämndes ovan är anpassade för specialområden och har därmed ibland funktioner som försvinner i de större verktygslådorna. Firewire till firewire-sladd : SATA till USB adapter: SATA till USB adapter med writeblocker:
li|Kör Windows 7 home edition Kontot som informationen stulits ifrån är lösenordskyddad Datorn är påslagen och användaren har tidigare loggat in och därefter låst kontot Har en firewire-port
st|Scenario:
h1|Den fattige forensikern
h2|Slutsats
h3|Hårdvara
sp| Publicerat 2016-01-08  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|Det jag tänkte berätta om i den här bloggen är ett koncept som kallas för “infrastruktur som kod”. Det är förvisso inte självskrivande dokumentation, men något som garanterar att den dokumentation som finns är korrekt. Douglas Adams skrev i sin berömda trilogi i fem delar om jordbon Arthur Dents äventyr som intergalaktisk liftare. I en […] Det hände någon gång i våras. Efter att ett fjärde falskt Netflix meddelande hade slunkit igenom mitt spamfilter så började jag ifrågasätta exakt vad Microsoft egentligen håller på med. Någonstans tycker nämligen Microsoft att en avsändaradress som är “gfdgsdf435esfa@neeeaxflix.com” inte alls är märklig och absolut ska få skicka meddelanden till mig om att min icke-existerande […] Strax innan sommaren stod i full blom och vi alla såg fram emot en hemester med vacker stockholmsskärgård och tankeväckande regnig västkust råkade jag på en skadlig kod som placerat en del av sig själv i en ADS (Alternate Data Stream). ADS har funnits med i decennier men ifall man behöver mer info om fenomenet […] Under sommaren 2020 drabbades Garmin av en störning i sina IT-system som det tog närmare en vecka att helt avhjälpa. Utanför företaget märktes störningen främst som en otillgänglighet för användare av online tjänster för exempelvis registrering av träningshistorik från sportklockor. Men även betaltjänster och uppdateringar av navigeringssystem för flygtrafik kan ha påverkats. Garmin har hittills […] Bakgrund I höst kommer Post- och Telestyrelsen auktionera ut 5G-frekvenser till mobiloperatörer [2]. Tilldelningen ska främja kapaciteten för mobila bredbandstjänster och skapa en plattform för den kommande 5G-utbyggnaden. För den som är villig att delta i Sveriges kommande 5G-utrullning kommer ett lägsta bud i tilldelningen att kosta 1.5 miljarder kronor i 3.5 GHz-bandet och 160 […] EU-domstol har nu fastslagit i målet Schrems II att Privacy Shield, mekanismen för självcertifiering för att garantera tillräcklig skyddsnivå vid överföring av personuppgifter till USA, ogiltigförklaras [1]. Dock ansåg domstolen att standardavtalsklausuler fortfarande kan användas. Veckans blogg ger sammanhang och bakgrund för detta, förklarar varför det är problematiskt för organisationer som nyttjar amerikanskägda molntjänster, samt […] Jag fick tidigare under sommaren möjligheten till att lära mig om en ny approach till säkerhetstester. Denna gång i form av attacker mot skrivbordsapplikationer, och huvudsakligen Electron-baserade applikationer. För er som inte är välbekanta med Electron-applikationer så kan de summeras som en kombination av skrivbordsapplikationer och webbapplikationer. Bland annat så renderas GUI med CSS och […] En välkänd pekpinne inom IT-säkerhet är att främmande USB-minnen under inga omständigheter ska anslutas till organisationens utrustning. Det klassiska angreppet går ut på att lämna en USB-sticka på en publik plats, i förhoppningen att den som hittar detta ansluter det till en dator. Den här bloggen handlar om O.MG Cable som är ett verktyg för […] När Washington Post den 11 februari i år publicerade att det Schweiziska företaget Crypto AG i själva verket varit en front för den amerikanska underrättelsetjänsten CIA, så upplevdes det som en chock för många av oss i säkerhetsgemenskapen[1]. Artikeln i Washington post beskrev hur CIA, tillsammans med den tyska underrättelsetjänsten BND, 1970 hade köpt det […] Här på Simovits jobbar vi med informationssäkerhet, vilket typiskt innefattar det att säkerställa dess konfidentialitet, riktighet och tillgänglighet. I dagens blogg tänker jag vända lite på denna tolkning av termen informationssäkerhet. Bloggen kommer inte att handla om hur vi håller vår data säker, utan om hur vi håller oss säkra från vår data. Temat är […]
sp| Publicerat 2020-10-09  Skrivet av Robin Sjögren  Publicerat 2020-09-18  Skrivet av Carl-Douglas Benno  Publicerat 2020-09-03  Skrivet av James Dickson  Publicerat 2020-08-14  Skrivet av Tomas Forsberg  Publicerat 2020-08-07  Skrivet av Dennis Nilsson Sjöström  Publicerat 2020-07-30  Skrivet av Filip Crona  Publicerat 2020-07-24  Skrivet av Peter Hildeblom  Publicerat 2020-06-26  Skrivet av Anders Lundman  Publicerat 2020-06-12  Skrivet av Mikael Simovits  Publicerat 2020-05-29  Skrivet av Erik Aronson Copyright © 2021 - Simovits AB
pa|12 september startade en gruppering som kallar sig Fancy Bears HT en kampanj för att avslöja att flertalet olympier dopar sig. Följande text publicerades på Twitter. WADA (World Anti-Doping Agency) har ett system som heter ADAMS, vilket atleter och personal använder för dopingkontroller. Atleterna har genom detta system möjlighet att rapportera in vart i världen […] En nyligen utgiven doktorsavhandling avseende digitala bevis väckte mitt intresse häromdagen. Avhandlingen ”Om informationstekniskt bevis” av Jonas Ekfeldt tar bland annat upp aspekter gällande korrekt terminologi, felkällor vid framtagning och värdering av digitala bevis samt rättsväsendets behov av nya kunskaper för att kunna behandla digital bevisning på rätt sätt. En avhandling av denna typ kan […] I början av månaden gick RSA Conference USA 2016 av stapeln i San Francisco. Jag (Peder) och Mikael var där och höll vår presentation angående mitt/vårt arbete med lösenfrasknäckning med hjälp av Markovkedjor. Vi fick bra respons och många frågor efteråt, och det kändes som att åhörarna tyckte det var intressant, nydanande och att de […] FBI har i efterskalven av massmorden i San Bernardino försökt få genom en skräddarsydd bakdörr för iOS enheter. Detta för att kunna ta sig in i en Iphone 5C-telefon tillhörande förövaren Syed Farook som tillsammans med sin fru mördare 14 personer. FBI har efterfrågat följande från Apple [1]: ”[Provide] the FBI with a signed iPhone […] Last week I (Peder Sparell) held a tutorial talk on the Passwords 2015 Conference in Cambridge. My talk was titled “Linguistic Cracking of Pass Phrases using Markov Chains”, and the work behind it is a continiuation of my master thesis made this spring/summer. It was well received, and I got great feedback from some of […] Under höst/vinter 2015 kommer regeringen och EU-kommissionen ta beslutom initiativ som har bäring på it och informationssäkerhet. Realiseringen av dessa initiativ kommer omfatta många aktörer och det kan komma att ge en påverkan på den verksamheten du arbetar i. Tidsplanen för vissa av aktiviteterna är forcerad och beslut kan komma att träda i kraft redan […] Ransomware är ett av de mest högljudda hoten i dag, risken är liten att du missar att du har blivit drabbad. Det drabbar både privatpersoner och företag hårt genom att göra att filer blir otillgängliga och förblir så såvida du inte betalar den lösensumma som begärs ut. Filer som den krypterar ligger oftast inte bara […] Informationssäkerhet uppnås i stor utsträckning genom att organisationer har förmågan att skapa förutsättningar för en säkerhetskultur hos alla delar av verksamheten. Effekterna av en väl förankrad säkerhetskultur är flera, i synnerhet: Riskerna för säkerhetsincidenter beroende på okunskap eller slarv minskar avsevärt, och dessutom reduceras även konsekvenser för verksamheten. Ledtiderna vid incidenter minskar eftersom personal agerar […] I veckan gick konferensen ”ISACA-dagen 2015” av stapeln på Münchenbryggeriet, och Simovits Consulting fanns representerade på plats. Dagen var lyckad och intressant med många bra talare som tog upp en hel del intressanta ämnen inom mestadels IT-governance och auditing, och förutom närvaron representerade jag (Peder Sparell) även Simovits Consulting, likväl som KTH, i programmet som […] Säkerhetsföretag varnar för privatpersoners användning av företagsinformation i sina mobiler Novus har för Simovits Consultings räkning genomfört en undersökning om hur allmänheten ser på säkerhet, oro och vad som finns i deras mobiltelefoner. Undersökningen genomfördes under slutet av januari 2014. Man kan se tydliga skillnader i ålder och kön avseende användandet av mobiltelefonen. Det visar […]
sp| Publicerat 2016-10-04  Skrivet av Simovits Consulting  Publicerat 2016-04-06  Skrivet av Simovits Consulting  Publicerat 2016-03-24  Skrivet av Simovits Consulting  Publicerat 2016-02-22  Skrivet av Simovits Consulting  Publicerat 2015-12-17  Skrivet av Simovits Consulting  Publicerat 2015-11-24  Skrivet av Simovits Consulting  Publicerat 2015-11-13  Skrivet av Simovits Consulting  Publicerat 2015-10-30  Skrivet av Simovits Consulting  Publicerat 2015-10-09  Skrivet av Simovits Consulting  Publicerat 2014-02-19  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|Röststyrda enheter lyssnar på vad du säger så noga att de inte ska missa sitt start-up kommando så de för säkerhets skull startar upp till 19 gånger om dagen på snarlika ljud. Vad lyssnar de på då? https://moniotrlab.ccis.neu.edu/smart-speakers-study/ Jobbig bugg i Exchange. Finns det en opatchad Exchange server och förövaren har tillgång eller skaffar sig […] Välkommen till Simovits Consultings första nyhetsbrev! Ingen riktig titel eller fast bild än – men det kommer i framtida upplagor. Det mesta har publicerats denna vecka men det finns några saker som vi tycker är värda att uppmärksamma som publicerades något tidigare än så. Coronaviruset används för att skapa phishingattacker https://www.bleepingcomputer.com/news/security/coronavirus-phishing-attacks-are-actively-targeting-the-us/ EKANS (Snake) ransomware riktar […]
sp| Publicerat 2020-03-02  Skrivet av Simovits Consulting  Publicerat 2020-02-07  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|Nu är det dags för nästa del i vår (nu fullt etablerade) bloggserie om cryptopals! Kartläggning av individer och organisationer har kommit att förknippas med främst med integritet, men det finns fler aspekter som är av intresse ur olika säkerhetsperspektiv. Vissa utredningar är både normala och önskvärda, exempelvis bakgrundskontroller vid anställningar och kontroller vid företagsförvärv. Andra former av kartläggning är mindre önskvärda, men svåra att förhindra. Det som möjliggjort denna […] Forskare konverterar en PSU till en högtalare genom att infektera skadlig kod för att exfiltrera data (länken innehåller också andra intressanta/kluriga dataexfilteringstekniker för air-gappade system som samma forskare har arbetat med) https://www.zdnet.com/article/academics-turn-pc-power-unit-into-a-speaker-to-leak-secrets-from-air-gapped-systems/ Ytterligare en falsk Zoom-installer sprids, nu med inbakad WebMonitor RAT! https://blog.trendmicro.com/trendlabs-security-intelligence/webmonitor-rat-bundled-with-zoom-installer/ Denna blogg kommer att kort ta upp centrala delar av det white paper Europeiska kommissionen släppte avseende AI. Friskrivning Denna blogg kommer inte gå in på kommissionens definition av AI, eller hur AI har blivit ett samlingsbegrepp för flera olika typer av algoritmer som författaren inte anser är ”intelligenta”. Bloggen kommer heller ej behandla den […] I denna blogg kommer vi gå igenom hur man sätter upp en Windows Event Collector och en del anpassningar om måste göras för detta. En Windows Event Collector (WEC) används för att samla in logg från Windows servrar och klienter. Detta är en funktionalitet som finns inbyggd i Windows och konfigureras med några GPO:er och […] Om man arbetar med säkerhetsincidenter är det viktigt att kunna få insyn i vad som hänt på en enhet som beter sig underligt. Om exempelvis antivirusprogrammet larmar för att det tagit bort skadlig kod behöver man möjligen kontrollera så att den skadliga koden verkligen försvunnit och kanske även i vissa fall reverse-engineera koden. Det finns […] I dagens blogg så tänkte jag prata om ett välkänt ämne. Från det går det att fråga varför det är värt att prata om det om det om de nu är så välkänt? Jo, dels för att det är välkänt av en anledning (det är en ganska bra sak) dels för att det i de […] Jammer: Med hjälp av ultraljud kan denna Device blockera mikrofoner så som Alexa, mikrofonen på telefonen mm. En ny uppfinning som alla kommer att behöva för att skydda sin integritet. Open source och ritningar på github. http://sandlab.cs.uchicago.edu/jammer/ Valsäkerhet: Voatz, en app som har använts och är tänkt att användas i vissa val i USA har […] Veckans blogg knyter an till tidigare inlägg som beskrev säkerhetsrisker kopplat till genetisk information. Tidigare blogg behandlade sårbarheter hos mjukvara för att tolka resultat vid DNA-sekvensering, möjlighet för angripare att ta över sekvenseringsdatorer utifrån skadlig kod i DNA-sekvens, samt testföretags hantering av resultat ifrån genetiska självtester. I ett nyligen publicerat brev uppmanar Pentagon amerikanska militärer att […] Något tragikomiskt, har programmet sudo (som används för att höja privilegier på linux) en bufferowerflow sårbarhet som ger möjlighet för en angripare att höja sina privilegier. https://www.sudo.ws/alerts/pwfeedback.html NIST har en ny draft på gång för att detektera och hantera ransomware och andra destruktiva händelser https://www.nccoe.nist.gov/sites/default/files/library/sp1800/di-detect-respond-nist-sp1800-26-draft.pdf Kaspersky har analyserat något som de kallar är det första […]
sp| Publicerat 2020-05-22  Skrivet av Gustav Sædén Ståhl  Publicerat 2020-05-14  Skrivet av Tomas Forsberg  Publicerat 2020-05-11  Skrivet av Simovits Consulting  Publicerat 2020-04-30  Skrivet av Dennis Nilsson Sjöström  Publicerat 2020-04-17  Skrivet av Petter Stymne  Publicerat 2020-04-03  Skrivet av James Dickson  Publicerat 2020-03-20  Skrivet av Carl-Douglas Benno  Publicerat 2020-02-24  Skrivet av Mikael Simovits  Publicerat 2020-02-21  Skrivet av Filip Crona  Publicerat 2020-02-14  Skrivet av Mikael Simovits Copyright © 2021 - Simovits AB
pa|Enkelhet och smidighet i all ära. RIFD gör inpassering enkel men det kan också öppna nya dörrar för angripare. I vissa fall vill angriparen att ett system ska sluta fungera för att kunna utnyttja situationen som följer detta, exempelvis om det leder till att säkerheten i en fastighet sjunker. I andra fall kan angriparen vara […] Här finner du en artikel som Mikael har skrivit om nödvändigheten med en teknisk Due Diligence i samband med ett företagsförvärv. Den påvisar vilka svårigheter (läs kostnader) som kan uppstå om man inte undersöker de tekniska förutsättningarna innan ett förvärv, eller lansering av en ny produkt. Du finner artikeln via nedanstående länk. Tveka inte för […] Enigman var ingen tysk krigshemlighet – den lanserades redan 1922 och konstruktionen var allmänt känd. Men trots att den forcerades redan 1932 kom den att användas kriget ut. I artikeln beskrivs Enigman – när utvecklades den, och hur fungerade denna mytomspunna maskin? Framför allt: hur forcerade man den –och varför var det över huvud taget […] När nyårsklockorna ringde för det nya året 2000 skulle våra datorer slås ut. Det skulle bli kaos och förtvivlan när år 2000-buggen påverkade alla system. Vi skulle drabbas av kärnkraftsolyckor, öppna dammportar, kor som inte kunde mjölkas och flygplan som föll från skyn. Men inget hände. Business Intelligence and Information Warfare var och är ett stort problem. Denna artikel presenterades dels på NordSec 1995 samt Infosec 1996. Även om Artiklarna är snart tjugo år gamla så ger de insikt om problematiken med globalisering och hur svårt det är att agera samt försvara sig mot konkurerande företag på en global marknad. Viss […] Det finns många åsikter kring hur slumptalsgeneratorer skall användas. Denna rapport är resultatet av ett examensarbete som finansierades av Simovits Consulting, och utfördes av Anders Knutsson (också tidigare anställd på Simovits Consulting). Rapporten visar att val av svaga slumpalgoritmer för att generera spelvärden kan få ödesdigra konsekvenser då man tillåter spel om pengar. Artikeln har […] Många diskuterar gärna Man-in-the-middle attacker. Men vad kan en angripare egentligen uppnå. Denna rapport är resultatet av ett examensarbete som finansierades av Simovits Consulting, och utfördes av Matthias Ericsson (också tidigare anställd på Simovits Consulting). Rapporten visar en ”avancerad” arkitektur för hur ett ”man-in-the-middle” verktyg ska implementeras för att fungera effektivt mot t.ex. en Internetbank […]
sp| Publicerat 2012-09-24  Skrivet av Simovits Consulting  Publicerat 2011-12-08  Skrivet av Simovits Consulting  Publicerat 2011-12-08  Skrivet av Simovits Consulting  Publicerat 2011-12-08  Skrivet av Simovits Consulting  Publicerat 2011-12-08  Skrivet av Simovits Consulting  Publicerat 2011-12-08  Skrivet av Simovits Consulting  Publicerat 2011-12-08  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|När cybersäkerhet diskuteras, utgår diskussionen ofta utifrån att cyberkrig och cyberförsvar är ett koncept och inte en företeelse. På något sätt har det i Sverige blivit en fråga där långsiktiga mål definieras istället för att det ska bli ett prioriterat område inom totalförsvaret. Genom att sammanställa de angrepp som skett mellan länder sedan 2006 går […] Nätfiske är inget nytt hot och idag är det förhoppningsvis inte lika många som anger sitt användarnamn och lösenord på en webbsida de kom till efter att ha öppnat en länk från ett e-postmeddelande. Iallafall inte utan att kontrollera att webbsidan är den riktiga sidan och ingen nätfiskesida. Nu är det bara det att att […] Maskininlärning och AI-system har en oerhörd förmåga att upptäcka mönster i data som är svår för oss människor att hitta eller definiera tydliga regler för. Maskininlärning är idag på en så pass hög nivå att många väldigt smala användningsområden kan utföras av AI-system betydligt snabbare än människor kan, och i många fall med högre eller […] (Del 1 ) Troligtvis har folk väntat som ekoxar på nästa del i denna fantastiska ”bloggserie” om Cryptopals, och nu är den äntligen här! (*författaren har ingen aning om ifall ekoxar överhuvudtaget väntar på saker*). Den ursprungliga tanken med denna bloggserie var att metodiskt och pedagogiskt gå igenom uppgifterna från cryptopals.com i tur och ordning […] Den som följer nyheterna inom IT-säkerhet kan lätt känna sig lite uppgiven av det ständiga flödet av kritiska sårbarheter, dataläckor och angrepp. För att lätta upp handlar därför det här blogginlägget om en positiv nyhet. Att surfa med Chrome kommer nämligen, åtminstone i vissa avseenden, bli säkrare från och med version 80 som släpps den […] Granskningar och utredningar är centrala begrepp inom säkerhetsbranschen, men begreppen är inte helt entydiga och det kan vara intressant att gå igenom likheter och skillnader mellan dessa uppdrag. När man ser likheterna så blir man normalt också bättre på att utföra respektive uppdrag, men man får också en ökad förståelse för skillnaderna och vad som […] I det här blogginlägget vill jag uppmärksamma den typ av hysteri som ibland driver utvecklingen framåt. (Nu senast införandet av GDPR.) Vi människor har mycket av ett flockbeteende särskilt då vi målar upp olika typer av rädslor, så som rädsla för jordens undergång, men även rädsla för skeenden och nya lagar. Nu när jag skriver […] Denna blogg är en fortsättning på ett tidigare blogginlägg som berörde CLOUD Act och GDPR [1], och kommer beröra problemen som är associerade med användningen av amerikanska molntjänster. Bakgrund I mars 2018 antogs CLOUD Act i USA i syfte att underlätta för amerikanska myndigheter att inhämta data från amerikanska IT-bolag. Detta som svar på en […] Den amerikanska myndigheten Cybersecurity and Infrastructure Security Agency (CISA) som etablerades 2018 [1] har inom sitt myndighetenuppdrag att skriva, förvalta och följa upp efterlevnad av lagar av typen Binding Operational Directive (BOD) [2]. Utgångsläget är att dessa BODs gäller för alla exekutiva federala myndigheter [3][4]. Den 27:e November kommunicerade myndigheten att ett utkast till BOD […] Det är nu drygt en månad kvar av det nuvarande året, och med det närmare sig döden för Python 2. Efter första januari 2020 kommer väsentligen allt officiellt stöd för Python 2 försvinna, inklusive utfärdandet av nya säkerhetsuppdateringar. Mängden program ute i det vilda som är skrivna i det äldre Python 2 är dock så […]
sp| Publicerat 2020-02-14  Skrivet av Mikael Simovits  Publicerat 2020-02-07  Skrivet av Daniel Hedencrona  Publicerat 2020-01-31  Skrivet av Erik Aronson  Publicerat 2020-01-24  Skrivet av Gustav Sædén Ståhl  Publicerat 2020-01-17  Skrivet av Anders Lundman  Publicerat 2020-01-10  Skrivet av Tomas Forsberg  Publicerat 2020-01-06  Skrivet av Mikael Simovits  Publicerat 2020-01-03  Skrivet av Dennis Nilsson Sjöström  Publicerat 2019-12-06  Skrivet av Victor Sedin  Publicerat 2019-11-29  Skrivet av Carl-Douglas Benno Copyright © 2021 - Simovits AB
pa|Om man i sin verksamhet använder sig av subdomäner för att avskilja olika internetbaserade tjänster så är det viktigt att komma ihåg att inaktivera subdomänen då den inte används längre. Särskilt viktigt är det förstås ifall subdomänen pekar mot en domän som man själv inte har kontroll över. Det finns exempelvis användningsfall där man använder […] Jag har vid många uppdrag stött på låsta klienter som är tänkta att användas för ett specifikt syfte eller för en specifik applikation. Dessa klienter återfinns ofta på publika platser eller via en mellanhands-applikation så som RDP eller Citrix, och vid många tillfällen är dessa otillräckligt skyddade. Det är här den roliga delen börjar. Scenariot. […] I den här bloggen kommer vi att titta mer på en Ransomware-familj Ryuk. Namnet Ryuk kommer från mangaserien Death Note. Ryuk är en gud som lämnat en anteckningsbok som tillåter användaren av boken att döda någon, genom att skriva in deras namn och rita deras ansikte i boken. Han lämnar boken på jorden för att […] Fingeravtrycksscanners är något som idag frekvent används som biometrisk autentisering för bland annat datorer och telefoner. Eftersom det mönster som bildas av huden på våra fingrar är unik för varje individ, till och med för enäggstvillingar (eftersom detta mönster bildas delvis genom en slumpartad process i livmodern), samt att fingrar generellt är ett lättillgängligt “redskap” […] Denna blogg handlar om att lokalisera den faktiska geografiska positionen av trådlösa accesspunkter utifrån accesspunktens BSSID (MAC adress). Bakgrund Det vanligaste tillvägagångssättet för att lokalisera en accesspunkt är att använda någon av de fritt tillgängliga databaserna på internet som kopplar BSSID från trådlösa accesspunkter till den geografiska positionen av accesspunkten. Dessa databaser har skapats av […] Var fågeln död när den kom upp kunde förekomst av farlig gas konstateras, levde den var det antagligen ingen direkt dödsfara. Oavsett vilka funderingar man har kring detta avseende effektivitet mot långsamt verkande förorening eller som djurvän har det gett upphov till begreppet “canaries” inom IT-säkerhet. Dagens första bloggpost (av två!) är lite annorlunda mot vad dessa bloggar vanligtvis brukar handla om, och kommer prata lite grann om sidan: cryptopals.com OSINT står för Open Source Intelligence och innebär generellt att man bedriver underrättelsetjänst med hjälp av informationsinhämtning från öppna källor, exempelvis massmedia, offentliga källor, sociala medier, akademiska och kommersiella datakällor samt olika företagskällor. Motsatsen till OSINT kan anses vara spioneri då man med olika medel försöker inhämta känslig information. Gränserna för OSINT är ändå delvis […] I denna blogg ska jag visa hur man med enkla medel bygger en smart säkerhetskamera som kan upptäcka rörliga objekt samt skickar ett mail med en bild på en inkräktare. Den utrustning som behövs till detta projekt är: Raspberry Pi med tillbehör (nätadapter och 8Gb+ minneskort) Alla versioner av Raspberry Pi fungerar, dock är det […] Jag besökte BlackHat i början av augusti och gick utöver själva konferensen en kurs som heter ”BlackOps Hacking – Master Level”. Gemensamt med båda var att det var en hel del diskussion om sårbarheter (så klart…) och 0-days från olika perspektiv – utveckling/forskning, köpare och säljare. Marknaden är stor för 0-days och sårbarheter och det […]
sp| Publicerat 2019-11-08  Skrivet av James Dickson  Publicerat 2019-11-01  Skrivet av Peter Hildeblom  Publicerat 2019-10-25  Skrivet av Petter Stymne  Publicerat 2019-10-18  Skrivet av Erik Aronson  Publicerat 2019-10-18  Skrivet av Victor Sedin  Publicerat 2019-10-11  Skrivet av Anders Lundman  Publicerat 2019-10-11  Skrivet av Gustav Sædén Ståhl  Publicerat 2019-09-27  Skrivet av Tomas Forsberg  Publicerat 2019-09-20  Skrivet av Dennis Nilsson Sjöström  Publicerat 2019-08-23  Skrivet av Tiina Loukusa Hyttnäs Copyright © 2021 - Simovits AB
pa|I denna blogg tänkte jag prata om ett ämne som ter sig extra intressant i och med den nuvarande tekniska utvecklingen som vi befinner oss i, med stapelvarorna AI, maskininlärning och artificiella neuronnätverk. Vad mer, istället för att fokusera på dessa användningsområden inom säkerhetsbranschen, kommer jag att kort redogöra för en av de ”nya” attackvektorerna […] I Kibana finns fina möjligheter till att skapa egna visualiseringsplugin exempelvis genom React-kod. I denna bloggpost publicerar jag ett litet visualiseringsplugin för Kibana som laddar ned en extern webbsida och visar den direkt i Kibana-gränssnittet. Detta kan exempelvis vara nyttigt då man vill se information från ett annat system i en Kibana-dashboard (se exempel i […] Denna veckas blogg tar upp några olika säkerhetsrisker kopplade till hantering av genetisk information. Angrepp exemplifieras som nyttjar sårbarheter i mjukvara, maskeras i DNA:t eller exponerar användaruppgifter till individer som skickat DNA-prover för att släktforska. Zero-day sårbarhet hos mjukvara för DNA-sekvensering Det webbaserade verktyget LIMS är en bioinformatisk mjukvara för att analysera och hantera DNA […] I denna bloggpost kommer jag berätta övergripande om kvantdator och de utmaningar som förväntas komma med deras intåg för hur vi håller vår data och informationsflöde säkert. Vad är en kvantdator? Kvantdatorer är en form av datorer där man utnyttjar kvantmekaniska fenomen för att för utföra beräkningar. Den mest grundläggande egenskapen hos en kvantdator […] För ungefär en vecka sedan rapporterade flera medier om ett nytt sorts konststycke som sålts på auktion. [Aftonbladet, Business Insider, etc]. Stycket som var ute till försäljning var en bärbar dator som innehöll sex datorvirus som alla skapat stor skada på internet sedan de släpptes. Dessa sex virus var: Iloveyou, SoBig WannaCry, BlackEnergy, , Darktequila […] I förra veckan blev ett antal hemsidor knutna till brittiska statsapparaten otillgängliga för användare av Internet Explorer och Microsoft Edge. Exempel på drabbade sidor var intranät samt hemsidor för mindre orter, som exempelvis de officiella hemsidorna för städerna Doncaster och Reading. Gemensamt för alla de drabbade sidorna var att de använde sig av de okrypterade protokollet […] IT-säkerhet kan ses som en ständig kamp mellan illasinnade hackare och IT-säkerhetstekniker. Nya attackvektorer identifieras ständigt och i gengäld kommer nya skydd för att täppa igen attackvektorerna. Vi har på senare tid observerat varianter av malware som utnyttjar legitima webbtjänster för att sprida sig eller utföra kommandon. Jag kommer i den här bloggen berätta om […] I den här bloggen kommer vi att titta vad som händer under en månad på ett system som är ansluten till internet utan att skyddas av t.ex. en brandvägg. För att göra detta har jag satt upp en HoneyPot. Jag valde t-pot som är en färdigkonfigurerade honeypot (https://github.com/dtag-dev-sec/tpotce). Den är uppbyggd på en dockermiljö och […] I en tidigare blogg visade jag ett simpelt exempel på vad en Bash Bunny kan göra ( https://simovits.com/en-elak-kanin/) . I denna blogg tänkte jag skriva om hur enkelt det är att skydda sig mot dessa typer av attacker, speciellt om man kör Linux och har framförhållning. Nyfiken i en strut Så låt oss säga att […] James har sedan tidigare skrivit ett antal inlägg om incidentresponse-verktyget TheHive. Det är ett kraftfullt hjälpmedel till alla som arbetar med incidenthantering. En av de mest användbara funktionerna är Analyzers och Responders, och i det här inlägget tittar vi närmare på Responder-funktionerna. En Responder är någonting som kan appliceras på antingen ett case eller observable […]
sp| Publicerat 2019-08-23  Skrivet av Carl-Douglas Benno  Publicerat 2019-08-13  Skrivet av James Dickson  Publicerat 2019-06-28  Skrivet av Filip Crona  Publicerat 2019-06-07  Skrivet av Erik Aronson  Publicerat 2019-05-31  Skrivet av Gustav Sædén Ståhl  Publicerat 2019-05-24  Skrivet av Anders Lundman  Publicerat 2019-05-10  Skrivet av Peter Hildeblom  Publicerat 2019-05-03  Skrivet av Petter Stymne  Publicerat 2019-04-18  Skrivet av Carl-Douglas Benno  Publicerat 2019-04-12  Skrivet av Tiina Loukusa Hyttnäs Copyright © 2021 - Simovits AB
pa|Kibana is becoming a versatile tool for viewing Elasticsearch logs. However, when using Kibana a while it soon becomes clear that you would like to have some features that are missing or yet to be incorporated in the Kibana application. Luckily it is easy to write Kibana plugins for the features that one requires. The […] Denna veckas blogg knyter an till förra veckans blogg avseende användning av kameror för säkerhetsrelaterade syften. Denna gång handlar det om ett exempel på hur data från övervakningskameror (CCTV) möjligtvis kan analyseras för att förebygga brott. Övervakning av butiker i sig med CCTV är knappast något nytt, men i ett nyligen uppmärksammat fall [1] har […] IR-kameror används mer och mer i olika säkerhetsrelaterade sammanhang. De har nyligen kommit att användas för att identifiera användare av datorer och mobiltelefoner vid inloggning. De används också sedan länge för bevakningsändamål. Varför vill man då använda en IR-kamera för biometrisk identifiering? Det enklaste svaret är att man vill undvika att låta kameran luras av […] Dagens blogg handlar om type-juggling som är en ”feature” i PHP som kan användas i antagonistiska syfte. Angreppen baseras på att “==“ är en svagare form av jämförelse mellan två objekt än ”===”, enligt vad som syns nedan. Det som händer när man använder “==“ är att PHP ser om det går ändra typen av […] Konferensen hölls i Stellenbosch nära Kapstaden i Sydafrika 28 Feb – 1 Mars, och jag hade förmånen att vara med då Dennis presenterade sin artikel om hur man hackar det amerikanska presidentvalet (se gärna Dennis blogginlägg). Detta blogginlägg handlar lite om intrycken från de andra föredragen som vi lyssnade på. Andan på konferensen handlade om […] Today, Friday March 1 2019 I held a presentation at the conference – International Conference on Cyber Warfare and Security (ICCWS) regarding the master thesis I wrote at Simovits Consulting. We (Dennis and Mikael) then wrote the master thesis into an article that got accepted to this conference in South Africa. The title of the […] Den amerikanska livsmedelsdistributören Mondelez, (t.ex. Oreos, samt ägare av Ritz och Nabisco), infekterades av krypteringsviruset NotPetya 2017 och betalningskrav i Bitcoins för att återfå åtkomst till sina filer. Attacken resulterade i bl.a. produktionsstopp [1], skada på 1700 servrar, 24000 bärbara datorer, samt läckt autentiseringsinformation för tusentals användare som följd av utbrottet av den skadliga koden […] Allt som webbapplikationstester blir mer vanligt förekommande och fler företag öppnar upp för publika bug bounties så går fler och fler personer i tankebanorna på att börja lära sig webbapplikationstestning. I det här blogginlägget tänkte jag lista några av de verktyg som jag vanligtvis använder vid mina egna tester. Om ni som läser detta inlägg […] I slutet av januari varnade US-cert om en kampanj med syftet att kapa DNS-infrastruktur. DNS står för domännamnsstruktur och används till att adressera datorer på ett nätverk, d.v.s. mappar ett domännamn t.ex. simovits.com till en IP-adress. Kapningar av DNS:er innebär att angriparen har tillgång till att konfigurera DNS-poster och på så sätt styra om trafik […] Den här bloggen ämnar att vara en guide till hur någon utan tidigare erfarenhet av att experimentera med Software Defined Radio (SDR) enheter, fort kan sätta upp en miljö där flera SDR enheter kan styras över nätverket, med hjälp av Pothos ramverket och modulen SoapySDR. De flesta stegen i guiden är formellt dokumenterade på [1], […]
sp| Publicerat 2019-03-29  Skrivet av James Dickson  Publicerat 2019-03-22  Skrivet av Filip Crona  Publicerat 2019-03-12  Skrivet av Tomas Forsberg  Publicerat 2019-03-08  Skrivet av Anders Lundman  Publicerat 2019-03-05  Skrivet av Mikael Simovits  Publicerat 2019-03-01  Skrivet av Dennis Nilsson Sjöström  Publicerat 2019-02-22  Skrivet av Filip Crona  Publicerat 2019-02-15  Skrivet av Peter Hildeblom  Publicerat 2019-02-08  Skrivet av Tiina Loukusa Hyttnäs  Publicerat 2019-02-01  Skrivet av Victor Sedin Copyright © 2021 - Simovits AB
pa|Den här gången ska jag berätta en varningens historia om vad som kan hända ifall man har för vana att lämna sin dator olåst, även fast det är en “kort stund”. Bash Bunny är i denna historia den trofasta underhuggaren till den tilltänkta antagonisten. Detta är en enhet som i stort sett ser ut som […] TheHive (https://thehive-project.org/) är ett open source Incident-Response-hanteringssystem/Plattform som på senare tid börjat användas hos CERTs världen över. TheHive har ett enkelt ticketing-system och är specifikt utvecklat för just CERTs/SOCs vilket gör att man undviker mycket strul med tidsslösande anpassningar. Dessutom är det open source vilket gör licenshanteringen smidig (och kostnadseffektiv). Det finns en mängd integrationer […] Inga fler säkerhetsuppdatering för PHP 5 Från årsskiftet kommer PHP 5 inte längre att få säkerhetsuppdateringar, [1]. PHP finns även i den nyare versionen 7, men tyvärr används PHP 5 fortfarande i stor utsträckning. En möjlig förklaring till detta är att skillnaden mellan versionerna är stor då exempelvis fel, variabler och listor hanteras delvis olika […] När vi tänker webbapplikationstester så förs tankarna ofta till OWASP Top 10 och dess kategorier av tester. Men vad vi ofta går miste om är de många andra kategorier av sårbarheter som existerar för webbapplikationer. I detta blogginlägg tänkte jag diskutera en mindre diskuterad sårbarhet som kan ha stora konsekvenser. CORS står för Cross-Origin Resource […] I början av 2018 deklarerade Wifi Alliance att WPA3 ska efterträda WPA2 [1], vilket skulle medföra ett antal nya säkerhetsfunktioner för trådlösa nätverk. Det var emellertid sparsamt med information om den bakomliggande teknikern vid det tillfället, men det ordinarie pressmeddelandet har kompletterats med officiella krav [2]. Det ska förtydligas att WPA3 är ett certifieringsprogram, alltså en […] I den här bloggen tänkte jag diskutera de senaste veckornas gäckande samt fascinerade rapporteringen om kinesiska hacknings-attacker. Dessa ska bland annat ha tillämpat väldigt små inbyggda spion-chip i servrar. Bakgrund Grunden till påståendet om hacknings-attacker är tre stycken publicerade artiklar av Bloomberg. Den 4 oktober 2018 publicerades den första artikel om hur kinesiska underrättelseagenter har […] I den här bloggposten tänkte jag kort diskutera tre funktioner i iOS för att motverka att någon med fysisk tillgång till en iPhone kan dumpa data från den; USB Restricted Mode, SOS-läge samt parningscertifikat. Detta är relevant vi forensiska utredningen, men även för den som funderar över sin telefons säkerhet rent allmänt. USB Restricted Mode […] I det här blogginlägget ska vi ta en närmare titt på en typ av attacker som kallas side-channel attacker eller sidoattack om vi ska försvenska ordet. Dessa typer av attack sker mot själva implementationen av datorer eller inbyggda system och inte direkt mot en applikation eller lösning. För att förenkla detta låt oss ta ett […] I den här bloggen tänkte jag översiktligt diskutera ett gemensamt ramverk som många populära skrivbordsapplikationer har börjat använda de senaste åren, och varför vi borde vara lite skeptiska till dess förekomst från en säkerhetssynpunkt. Viljan att köra JavaScript överallt: Vad är Node.js och Electron? Under de senaste åren har användandet av JavaScript exploderat. Framförallt har […] Tidigare under året publicerades en sårbarhet under namnet EFAIL. Sårbarheten kan utnyttjas för att dekryptera e-postmeddelanden som skickats krypterade med OpenPGP och S/MIME. EFAIL består i grund och botten av två varianter av samma sårbarhet varav den variant som refereras till under namnet ”Direct Exfiltration” syftar på en sårbarhet i vissa e-postklienter som tillåter meddelanden […]
sp| Publicerat 2019-01-25  Skrivet av Carl-Douglas Benno  Publicerat 2019-01-04  Skrivet av James Dickson  Publicerat 2018-12-21  Skrivet av Anders Lundman  Publicerat 2018-11-09  Skrivet av Peter Hildeblom  Publicerat 2018-10-26  Skrivet av Victor Sedin  Publicerat 2018-10-19  Skrivet av Carl-Douglas Benno  Publicerat 2018-08-10  Skrivet av Anders Lundman  Publicerat 2018-06-21  Skrivet av Petter Stymne  Publicerat 2018-06-14  Skrivet av Carl-Douglas Benno  Publicerat 2018-06-08  Skrivet av Peter Hildeblom Copyright © 2021 - Simovits AB
pa|Den 1:a Maj 2018 infördes omfattande ändringar i Lagen om betaltjänster [1] och Lagen om elektroniska pengar [2], samt att Finansinspektionen publiserade FFFS 2018:4 [3]. I och med att dessa trädde i kraft, så infördes det nya betaltjänstdirektivet PSD2 (Payment Service Directive 2). Syftet med PSD2 är att modernisera och harmonisera regleringen av betaltjänster inom […] Tidigare i veckan publicerades en artikel i Dagens Industri att införandet av GDPR kostat företag och organisationer i EU motsvarande 2000 miljarder kronor. GDPR behövs, det är många eniga om, och har krävt stora investeringar av företag och myndigheter. Vissa har jobbat med GDPR-införandet i över ett år. Den stora utmaningen för lagstiftaren är dock […] Då man arbetar med säkerhet finns flera tillfällen då det är viktigt att kunna analysera exakt vilka filer som öppnas i ett system. Detta kan exempelvis vara: Reverse engineering av malware Triage i en Incidenthanteringsrutin Verktyg för Data leakage prevention/detection Vanligen finns redan färdiga verktyg för detta, exempelvis Sysinternals gamla vanliga verktyg. Windows har sedan […] Denna blogginläggsserie på två delar, skriven av Peder Sparell, behandlar WPS vilket är en extra funktion för trådlösa nätverk som genom sin konstruktion är väldigt bristfällig. I första inlägget, del 1, förklaras kort vad WPS är och varför det är så sårbart, och i denna del (del 2) utför vi praktiska tester där vi genomför […] Applocker introducerades under tidseran Windows 7 och Windows Server 2008 R2 som ett sätt att kontrollera vilka applikationer som exekverar på datorn. Tanken är att man kan använda vitlistning av applikationer för att på så sätt undvika att skadlig kod exekveras. Denna artikel beskriver hur man kan använda rundll32 för att gå runt Applocker-skyddet. Ponera […] Det kommer nog inte som en chock för många att Google är den mest populära sökplattformen idag. Trots det stora antalet användare är Googles fulla potential inte känd för alla. Till skillnad från många andra sökmotorer kan en Google sökning utföras med avancerade parametrar i syfte att förfina sökningar och minska antalet oönskade resultat. Parametrarna […] När betan för Windows 10 lanserades blev många varse hur mycket information som egentligen skickades till Microsoft. Det blev något av ett ramaskri som kom av sig. Egentligen är det inget nytt, data samlas in helt öppet om oss som individer och hur vi använder våra datorer och mobiltelefoner. De flesta använder Chrome och har […] Med jämna mellanrum dyker frågan upp hur långt man kommit med intelligent videoanalys och om det är dags att börja använda denna teknik i sin befintliga kameraövervakning. Svaren är inte helt självklara från vårt perspektiv, men det kan vara värt att prova åtminstone de enklare varianterna i sin befintliga miljö. Det har länge funnits system […] Curl är ett toppenverktyg och, precis som antagligen alla andra med IT-relaterade yrken, använder jag det (ungefär) dagligen. Under en säkerhetsgranskning av ett webbsystem, för en tid sen, visade det sig dock att Curl (i standardkompilering) inte klarade av att kommunicera med webbsystemets (som jag då säkerhetsgranskade) TLS-version. Det vill säga att de cipher suites […] När vi kommer till skadlig kod så finns det ett antal sätt för den att kommunicera med utsidan och kontrolleras. Detta kan göras för att hämta uppdateringar, instruktioner eller transportera ut värdefull information från nätverket. I det här blogginlägget kommer vi snabbt och lätt gå igenom ett par nya trender för skadlig kod att kommunicera […]
sp| Publicerat 2018-06-01  Skrivet av Victor Sedin  Publicerat 2018-05-24  Skrivet av Mikael Simovits  Publicerat 2018-05-22  Skrivet av James Dickson  Publicerat 2016-12-30  Skrivet av Simovits Consulting  Publicerat 2016-10-18  Skrivet av Simovits Consulting  Publicerat 2016-08-05  Skrivet av Simovits Consulting  Publicerat 2016-02-01  Skrivet av Simovits Consulting  Publicerat 2016-01-15  Skrivet av Simovits Consulting  Publicerat 2015-12-04  Skrivet av Simovits Consulting  Publicerat 2015-11-30  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|När betan för Windows 10 lanserades blev många varse hur mycket information som egentligen skickades till Microsoft. Det blev något av ett ramaskri som kom av sig. Egentligen är det inget nytt, data samlas in helt öppet om oss som individer och hur vi använder våra datorer och mobiltelefoner. De flesta använder Chrome och har ett gmail-konto. Alla som surfar på det sättet knyter sin dator (enhet), e-postadress och sin surfhistorik till en ”identitet” och skickar all information till Google för vidare analys. Har man dessutom GPS aktiverat på sin enhet så ska man inte vara förvånad om den informationen också skickas till Google. Så vad gör Microsoft med Windows 10? De gör samma sak som Apple och Google dvs. samlar data för att förbättra ”användarupplevelsen”. Det som är nytt, i alla fall ur mitt perspektiv, är deras insamling av biometriskt data så som röst, hur din skrivstil ser ut, din ansiktsprofil mm. Även speciella sätt att uttrycka sig och skriva ord samlas in. Hur mycket Windows 10’s keylogger (ja! du läste rätt) egentligen samlar in har jag inte kunnat hitta, men dock tillräckligt mycket för att veta att just du skriver namnen på dina anhöriga på ett visst sätt. Mycket av denna funktionalitet är länkad till Cortana. För att man ska få en bra upplevelse så skickas även dina koordinater till Microsoft, för att de vid bästa tillfälle ska kunna tipsa dig om en närbelägen restaurang eller tillsammans med ett slumpmässigt ID skicka en annons som passar just dig när du surfar runt med den nya Edge webbläsaren. Allt detta går naturligtvis att stänga av enligt Microsoft, men kräver att man lägger ned en hel del tid på detta. Det finns många ”fristående” sidor om hur man gör, men bäst är nog Microsofts egna sida. Läs den och få hjälp, eller bara för att förfasas över hur mycket information som egentligen samlas in.
h1|Problemet med Windows 10
sp| Publicerat 2016-02-01  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
st|Bifogad fil:
h1|Man in the middle attack!
sp|Många diskuterar gärna Man-in-the-middle attacker. Men vad kan en angripare egentligen uppnå. Denna rapport är resultatet av ett examensarbete som finansierades av Simovits Consulting, och utfördes av Matthias Ericsson (också tidigare anställd på Simovits Consulting). Rapporten visar en ”avancerad” arkitektur för hur ett ”man-in-the-middle” verktyg ska implementeras för att fungera effektivt mot t.ex. en Internetbank eller Spellösning som tillämpar svaga autentiserings och signeringslösningar. Artikeln har publicerats på ACNS (Applied Cryptography and Network Security) i Kina 2003.   Publicerat 2011-12-08  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|IR-kameror används mer och mer i olika säkerhetsrelaterade sammanhang. De har nyligen kommit att användas för att identifiera användare av datorer och mobiltelefoner vid inloggning. De används också sedan länge för bevakningsändamål. Varför vill man då använda en IR-kamera för biometrisk identifiering? Det enklaste svaret är att man vill undvika att låta kameran luras av […] Idag är det Black Friday och folk kommer gå man ur huse för att handla något till ett synes extraordinärt pris. Under förra årets Black Friday dygn handlade svenskar prisnedsatta varor för 5.3 miljarder kronor och av dessa var 52 procent inhandlade på nätet[1]. När många ser detta dygn (och helg) som ett ypperligt tillfälle […] Det har de senaste åren dykt upp fler och fler appar för de som vill hålla sina konversationer privata. Exempel på funktioner är efemära meddelanden (som försvinner efter läsning eller viss tid) och end-to-end-kryptering, vilket innebär att den sändande mobilen krypterar och den mottagande mobilen dekrypterar, utan att ens tjänsteleverantören kan återskapa meddelandena till klartext. […] I och med att vi ständigt ska vara uppkopplade och alltid tillgängliga, blir vi överösta med smarta produkter som kan ansluta oss till ett nätverk och gör att vi kan kolla Facebook vart vi än är. Dessa nya Internet of Things (IoT) enheter kan förenkla vardagen för företag genom att möjliggöra för maskiner att kunna […] I det här blogginlägget ska vi ta en närmare titt på en typ av attacker som kallas side-channel attacker eller sidoattack om vi ska försvenska ordet. Dessa typer av attack sker mot själva implementationen av datorer eller inbyggda system och inte direkt mot en applikation eller lösning. För att förenkla detta låt oss ta ett […] I den här bloggen tänkte jag översiktligt diskutera ett gemensamt ramverk som många populära skrivbordsapplikationer har börjat använda de senaste åren, och varför vi borde vara lite skeptiska till dess förekomst från en säkerhetssynpunkt. Viljan att köra JavaScript överallt: Vad är Node.js och Electron? Under de senaste åren har användandet av JavaScript exploderat. Framförallt har […] Denna blogginläggsserie, skriven av Peder Sparell, är på två delar behandlar WPS, vilket är en extra funktion för trådlösa nätverk som genom sin konstruktion är väldigt bristfällig. Det är ingen ny funktion, och dess sårbarhet som vi tar upp här är inte direkt någon nyhet, men det känns fortfarande aktuellt då förvånandsvärt få känner till […] Jag (Anders Lundman) blev för en tid sedan medlem i ett gym som större delen av tiden är obemannat. När personal inte finns på plats behöver besökare ta sig igenom två dörrar för att ta sig in till gymmet. För att öppna den första dörren används ett passerkort och för att öppna den andra dörren […] I början av månaden gick RSA Conference USA 2016 av stapeln i San Francisco. Jag (Peder) och Mikael var där och höll vår presentation angående mitt/vårt arbete med lösenfrasknäckning med hjälp av Markovkedjor. Vi fick bra respons och många frågor efteråt, och det kändes som att åhörarna tyckte det var intressant, nydanande och att de […]
sp| Publicerat 2019-03-12  Skrivet av Tomas Forsberg  Publicerat 2018-11-23  Skrivet av Dennis Nilsson Sjöström  Publicerat 2018-10-05  Skrivet av Peder Sparell  Publicerat 2018-06-29  Skrivet av Dennis Nilsson Sjöström  Publicerat 2018-06-21  Skrivet av Petter Stymne  Publicerat 2018-06-14  Skrivet av Carl-Douglas Benno  Publicerat 2016-11-28  Skrivet av Simovits Consulting  Publicerat 2016-08-30  Skrivet av Simovits Consulting  Publicerat 2016-03-24  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|Kryptohistorien är full av misstag, men hur mycket lär vi oss av dem egentligen? Följ med på en tur bland några riktiga klassiker: Worddokument, WEP, RDP och ända tillbaka till ryska spioner under andra världskriget.
sp| Publicerat 2011-12-08  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|Molntjänster är ett ständigt aktuellt ämne, inte minst sedan den beslutade utbyggnaden av ett par stora serverhallar i Mellansverige som varit omdiskuterade på grund av sin förhållandevis höga elförbrukning. Ur ett säkerhetsperspektiv finns också ett antal nya aspekter att ta hänsyn till även om tekniken i sig har funnits en längre tid. Det som i första hand möjliggjort utvecklingen av molntjänster är virtualiseringstekniken som tillåter virtuella servrar att enkelt skapas, förändras och flyttas. Denna teknik har funnits en längre tid och används exempelvis i VMware och Hyper-V. För dessa tekniker finns också övergångslösningar och lösningar för samexistens med molnlösningar. Tekniken att servrar och tjänster finns på en annan plats är gammal, likaså tekniken att uppnå redundans genom att ha exempelvis dubbla serverhallar och konceptet att anlita en utomstående tjänsteleverantör som ansvarar för drift och hårdvara. Det som verkligen är nytt med publika molntjänster är enkelheten för vem som helst att ansluta sig och att molnleverantören erbjuder både en infrastruktur för virtuella servrar, ett antal standardiserade plattformar och ett antal färdiga tjänster. De företag som önskar kan också behålla dagens lösning med en tjänsteleverantör och låta denna hantera även de delar som läggs i en publik molntjänst, man får då också ofta en lösning i form av ett hybridmoln. Att information ligger i ett publikt moln betyder inte att informationen är publikt tillgänglig. Ett företag kan lägga intern information i ett moln för att minska fasta kostnader och kostnader relaterade till drift och underhåll av IT-system. Men att information läggs i ett moln kan också bero på att informationen ska delas med andra företag eller slutanvändare eller konsumenter av en produkt eller en tjänst. Ofta är ett företag inte helt medvetet om vilken information som faktiskt ligger i publika moln. Dolda källor kan vara samarbetsytor med fillagring, mötestjänster med deltagarlistor, inspelningar och presentationsmaterial, outsourcade administrativa tjänster för exempelvis bokföring, ekonomi och rekrytering samt order, lager och faktureringssystem. Orsaker att dessa system ligger i moln kan vara höga krav på tillgänglighet från olika nätverk och vid olika tidpunkter samt ett önskemål att systemen faktiskt ska ligga utanför det egna skalskyddet för att undvika extern access in i egna företagssystem. För en konsument är molntjänster ofta förknippade med begreppet smarta hem. En person kan redan använda molnet genom sociala medier, appar i sin mobiltelefon, barnens spelkonsoler och familjens smart-TV och kanske även genom sin träningsklocka. Men i takt med att fler komponenter blir kopplade till Internet (IoT-enheter) så fås en ökad användning av molntjänster. Typiska komponenter i ett smart hem är kopplade till belysning, värme och ventilation. Enskilda enheter är kopplade via Bluetooth till en större enhet som är kopplad via hemmets WiFi till Internet. Enheterna tar typiskt kontakt med regelbundna intervall och rapporterar status och hämtar eventuella instruktioner. En person som har en bostad och ett fritidshus kan exempelvis se sin egen bostad direkt via appen i sin mobil och även fritidshuset är synligt på samma sätt tack vare molntjänsten. Ofta är priset för en basversion av molntjänsten inbakat i priset för komponenterna, men det kan även finnas tilläggstjänster som betalas separat. Leverantören har information om sina enheter och konsumentens inloggningsuppgifter (normalt ett eget lösenord kopplat till en uppgiven epost adress). Leverantören förutsätts inte lagra kundens WiFi lösenord, men har i övrigt tillgång till den information kunden valt, tex egna namn på enheterna och namn på bostaden respektive fritidshuset osv. Ur ett säkerhetsperspektiv kan flera av de enklare tjänsterna för smarta hem ha ett begränsat skyddsvärde. Det kan bli mer känsligt om kameraövervakning, larm eller låsfunktioner kopplas till. Vissa funktioner kan kunden välja att de ska vara publikt synliga, tex utomhustemperaturen för en väderstation. Men man gör i så fall sitt fritidshus lite mer synligt på en karta. Man ska också tänka på att flera funktioner kan användas för en enklare form av övervakning. En sensor för inomhusklimat som mäter temperatur, luftkvalitet och ljudnivå kan exempelvis tala om ifall någon befinner sig i bostaden, om ett fönster gått sönder i fritidshuset eller om någon faktiskt ropar på hjälp. Men vid ett dataintrång kan det exempelvis också vägleda tjuvar eller personer som vill utnyttja tjänsterna för felaktiga ändamål. För leverantören är denna typ av tjänster typiska molntjänster. Även om man vill ha kontroll över driften så kan den med fördel hanteras separat från företagets interna IT-system. Man vill kunna hantera geografiskt spridda kunder och man vill inte hantera störningar relaterade till exempelvis DDOS-attacker och utpressning på egen hand. Budgetmässigt hamnar kostnader och framtida åtaganden rätt och riskerar inte att döljas i leverantörens övriga budget. Tillgängligheten blir med all säkerhet högre och säkerheten hamnar med hänsyn till konsumentkrav och lagstiftning på en jämn och godtagbar nivå. Leverantören slipper egna åtaganden för datahallar och bemanning av dessa. Ibland dyker det upp frågeställningar vad kring vad en It-tekniker eller konsult behöver kunna, inte minst när exempelvis Microsoft nu ställer uttalade krav på att kunskap om molntjänster ingår i alla deras aktuella certifieringar. De flesta personer har dock haft mobiler med appar i flera år och en grundläggande förståelse till att det finns ett backend system för att tillhandahålla dessa tjänster. Som konsument har de också fått en förståelse för hur konsumenter autenticierar sig gentemot molnlösningar. För en tekniker som arbetat med Windows system så har utvecklingen från exempelvis Windows server 2008 till Windows server 2019 i det stora varit relativ jämn. Det som tillkommer med molntjänster är integrationstjänster för att kommunicera med molnbaserade delar av organisationens dataresurser och för att kunna hantera utomstående användare eller utvecklare. Teknikern eller konsulten behöver också känna till den nya tekniken för att kunna avgöra i vilka situationer det är lönsamt eller motiverat att använda molntjänster. Som utvecklare är det också bra att känna till utbudet, om man exempelvis själv använder tjänster för ett smart hem så inser man också att flera produkter för övervakning har röst och ansiktsigenkänning och att dessa funktioner också ingår som en del av molnlösningarnas tjänsteutbud för utvecklare och på samma sätt är en del av utvecklingen kring lagstiftningen om personlig integritet. För en säkerhetsgranskning av en IT-lösning, en sårbarhetsscanning eller ett penetrationstest spelar det egentligen ingen större roll om en publik molntjänst används. Det som däremot är unikt vid säkerhetsgranskningar av molntjänster är i första hand hanteringen av behörigheter inom det företag som granskas att hantera resurser i molnet, exempelvis vilka som får skapa, förändra eller ta bort servrar eller andra resurser. Både Azure och AWS, för att ta två exempel, har en form av administrativ struktur som bör användas för att säkerställa att resurser inte förändras av misstag och att det finns en separation mellan utveckling, testmiljöer och produktionsmiljöer. Till detta kommer behovet av att ha en enhetlighet i administrationen så att en person som slutar sin anställning inte har separata konton för administrativ åtkomst till molntjänster som glöms bort. I andra hand är det säkerhetstekniker som anpassats till moln, exempelvis hantering av brandväggar, VLAN, certifikat och interna lösenord anpassas till det som molntjänsten kan erbjuda på ett standardiserat sätt. Ett exempel är att man inte kan ställa in en egen HSM i molnet utan måste i stället välja en standardiserad säkerhetslösning. Vissa molntjänster erbjuder faktiskt tillgång till HSM för att skydda hemligheter vid en högre prisklass för denna tjänst. Denna tjänst är dock sällan anpassad för individuella anrop för varje autenticiering utan mer för att hämta systemlösenord och centrala lösenord till databaser. Frågan i så fall kan närmast vara om man uppfyller krav enligt FIPS då enbart vissa hemligheter lagras i en HSM. Likaså måste krav på redundans och tillgänglighet hanteras på ett standardiserat sätt, normalt genom att man väljer lämpliga alternativ för sina resurser och genom att man grupperar dem i olika tillgänglighetszoner för att få en fysisk separation. Det går även att välja olika serverhallar utifrån geografi. En aspekt av betydelse här kan vara var användarna faktiskt befinner sig om man ska uppfylla regionala krav för exempelvis EU för tjänster som ställer särskilda krav i dessa avseenden, tex hälsorelaterade tjänster, försäljning av varor eller streamingtjänster för film. En annan sak som är delvis unik för molntjänster är tjänsteutbudet. För mobiltelefoner är utbudet av appar centralt, däremot bryr sig en Windows användare kanske inte lika mycket om vilka appar som finns. För de publika molntjänsterna finns det ett liknande utbud av tjänster viket kan ses i floran av databastjänster och tjänster för applikationsutveckling. Det som finns i de publika molnen är ofta tjänster som åtminstone indirekt är relaterade till försäljning och distribution, marknadsföring, riktade annonser och hantering av det som ofta kallas IoT, allt från badrumsvågar till bilar som kan kommunicera och lagra information. Man bör också tänka på att molntjänster kan vara mer eller mindre integrerade med andra molntjänster eller de egna IT-systemen. Det går delvis också igen i administrationsgränssnitt som kan ”sammanfoga” resurser som ligger hos olika molnleverantörer. Speciellt för det som kallas Industriell IoT (IIoT) finns det ett flertal integrationslösningar att ta hänsyn till. I en produktionsanläggning kan det finnas ett flertal motorer, givare, plockdon och liknande enheter. Dessa är sammankopplade för att kunna styra den löpande produktionen. I andra hand kan dessa enheter vara individuellt uppkopplade till någon form av ”molntjänst” för att hantera underhåll och felkoder. Större enheter kan exempelvis ha vibrationsgivare som känner av om det kommer behövas ett byte av lager i den närmsta framtiden. I tredje hand kan information om själva tillverkningen lagras i en molntjänst. I de fall produktionen avser elektronisk utrustning som IoT enheter så kan grundläggande information om enheten läggas in i enheten redan vid produktionen. För publika molntjänster faller slutligen kravet att granska serverhall och driftrutiner på denna plats bort. Detta ersätts då med en kontroll att molnleverantören uppger sig att uppfylla vissa krav och vilka förbehåll som i så fall lämnats av molnleverantören eller en trovärdig part som denne anlitat för att utställa en viss försäkran. För privata moln kvarstår normalt kravet att kunna granska driften på plats. Grundkonceptet är att varje nivå härdas för sig, exempelvis hanteras nätverk, virtualiseringslösning, operativsystem och applikation för sig. Det finns sökbara guidelines från STIG och CIS som täcker de flesta aktuella typer. Om man i egen regi kör en VMware server som innehåller en Windows server som tillhandahåller ett Office paket så får man alltså tre härdningsnivåer. Om man nu istället använder en molntjänst så finns det givetvis guidelines för hur dessa bör hanteras. Men beroende på om man köper en infrastruktur (IaaS) eller en plattform (PaaS) så måste tillvägagångssättet anpassas. Tanken med att köpa en plattform är bland annat att underlätta administration och att tillföra skalbarhet. Härdning får då i viss mån ersättas av kommunikationsregler och att den egna applikationen görs tillräckligt stark och anpassas efter molnets betingelser. Det går också i vissa fall att köpa en ”härdad” basplattform. Det kan noteras att plattformarna normalt finns i ett antal varianter med olika versioner för de mest vanligaste programvarorna. Man behöver alltså inte vara rädd att ett system slutar fungera för att molnleverantören gör ett oväntat byte av en basprogramvara. För IoT och IIoT komponenter finns det även lokala säkerhetsaspekter att ta hänsyn till även om dessa delvis ligger utanför detta tema avseende hantering av IT-tjänster i publika moln. Ett smart hem är detta ofta att betrakta som ett lokalt nätverk byggt på WiFi, Bluetooth och annan radiotrafik samt något eller några lokala nav. Kontakter med det publika molnet sker företrädesvis vid omkonfigurationer eller fjärradministration. Men under normala förhållanden så är beroendet av molntjänster lägre. Ofta har man en koppling mellan enskild komponent och en mobilapp som känner till WiFi lösenordet och kan lagra vissa användningsdata i molnet. Till detta kommer ofta en överliggande nivå, tex Apple Homekit, som kan knyta an till komponenter från flera olika tillverkare. Den person som är mån om sin IT-säkerhet kan utnyttja ett gästnät för sin WiFi trafik för att hålla isär IoT komponenter från sina datorer. Den person som gör mer avancerade styrningar av belysning eller värme och exempelvis bygger in sändare eller mottagare i befintliga strömbrytare eller uttag måste ha nödvändig behörighet. Det kan annars uppstå risker med felkopplingar som inte upptäcks omedelbart, användning av olämpliga komponenter eller olämpliga användningsfall och logiska automatiseringsfel, tex att överhettning uppstår om ett relä slår av och på ett upprepat antal gånger. För smarta hem är det normalt inte driftkostnader utan upplevd bekvämlighet som är drivkraften. För smart belysning är det exempelvis möjligheten att ställa in ljusstyrkan för varje enskild lampa som är avgörande, man behöver inte välja lampa i förväg. Nackdelen med IoT glödlampor är att det kan behövas ett par extra tryckningar på en fysisk strömbrytare för att de ska förstå när de förväntas uppträda som en dum glödlampa, tex när man har gäster i hemmet. Den normala inställningen är att de inte ska tändas efter ett strömavbrott om de varit släckta innan. För en smart brandvarnare är den avgörande skillnaden att man inte behöver bli väckt mitt i natten för att enheten vill ha nya batterier, man kan också se direkt i mobilen att alla enheter fungerar, när de sist testades och hur länge batteriet räcker. Om molnkopplingen inte fungerar kan man inte få ett larm till en annan plats. Om radiodelen i brandvarnaren slutar att fungera så kasseras den eftersom man i annat fall inte kan avgöra dess skick. Slutligen, om man säljer huset och låter brandvarnaren sitta kvar så måste den fabriksåterställas liksom övriga IoT enheter för att passa den nya ägaren. Om ”Internet” slutar att fungera så kommer de lokala enheterna i ett smart hem ändå att fungera lokalt. Det finns mycket att tänka på, men man lär sig relativt snabbt vad som fungerar. Det tillkommer också normalt ett antal interna radionätverk inom hushållet, belysningen har sitt nätverk, medan termostaterna och säkerhetsprodukterna har sina vilket kan kräva vissa överväganden. För industriell IoT gäller delvis andra förutsättningar och man måste skilja mellan normal processtyrning och den extra funktionalitet som exempelvis IIoT komponenter kan ge avseende övervakning och underhåll av vissa komponenter. Generellt är industriproduktion gjord för att fungera med så få externa beroenden som möjligt och det mesta styrs och övervakas på lokal nivå precis som i ett smart hem. Det som skiljer är att komplexiteten är större i industriella system och att man ofta har en eller flera egna underleverantörer som kan göra service, antingen på plats eller via kopplingar till egna system. För IIoT är beroendet till leverantören också större eftersom industriella system generellt har en längre livslängd, för att systemen ofta är nischade och kundanpassade samt för att reservdelar mm kan behövas. De mer komplexa kopplingarna till produktionen gör också att granskningar av säkerheten mer nödvändiga, både på en teknisk nivå och för att avgöra riskerna för störningar i verksamheten. Det finns ett antal källor för best practice, exempelvis från tjänsteleverantörerna, organisationer och myndigheter. Molnleverantören har egna guidelines och utbildningsvägar för hur tjänsterna ska användas på ett säkert sätt. Olika organisationer som CSA (Cloud Security Alliance), CIS mm har guidelines för hantering av säkerheten, utbildningsvägar och certifieringar. Olika branschkrav, tex HIPAA, SOX, PCI DSS och GDPR, ställer ett antal krav oavsett om systemet är molnbaserat eller inte. I många fall kan kraven leda till att delar av systemet måste ligga utanför en molntjänst. CSA har ett antal benchmarks och guidelines för alla typer av IT-system, inklusive molntjänster Cloud Security Alliance har ett antal guidelines, checklistor och utbildningsmaterial Microsoft har en grundläggande utbildning i Azure
h1|Säkerhet och molntjänster
h3|Molntjänster ur ett konsumentperspektiv Molntjänster ur ett kunskapsperspektiv Hantering av molntjänster ur ett säkerhetsperspektiv Hantering av molntjänster och virtualiseringslösningar vid härdning Hantering av smarta tjänster ur ett lokalt säkerhetsperspektiv Hantering enligt best practice
sp| Publicerat 2021-01-11  Skrivet av Tomas Forsberg Copyright © 2021 - Simovits AB
pa|Förra veckan gick flera stora anti-virusföretag med information om att en ny APT-plattform identifierats under hösten 2015 som döpts till respektive . APTn misstänks ha varit aktivt sedan 2011. Aktivitet har identifierats i bland annat Ryssland, Kina, Iran, Rwanda, Belgien och även en organisation i Sverige har blivit drabbad. Infektionsvektorn är dock inte känd och den har endast setts användas för att angripa Windows-baserade operativsystem. ProjectSauron är en modulär plattform som används för cyberspionage, där fler moduler laddas ner vid behov. Plattformen gör det möjligt för en angripare att ta kontroll över ett system och röra sig över nätverk. Modulerna kan exempelvis användas för att lyssna på kommandon över nätverk, öppna bakdörrar, spela in knapptryckingar genom keylogger-moduler samt för att stjäla filer. Det finns närmare 50 olika moduler som ProjectSauron kan utnyttna. För att kommunicera utnyttjar ProjectSauron ett flertal vanliga kommunikationsprotokoll, där DNS-protokollet används i stor utsträckning för att exfiltrera data men även för att rapportera ”status”. Nätverk som är air-gappade kan också bli angripna av ProjectSauron genom en specifik modul. Denna modul gör det möjligt att från ett air-gappat system flytta data till ett system som är anslutet till internet genom förflytta data med flyttbart USB-media. USB-mediat partitioneras på ett sådant sätt att den inte identifieras av operativsystemet korrekt, vilket medför att data från ett isolerat system kan förflyttas obemärkt och därefter exfiltreras från ett internetanslutet systemet. ProjectSauron har kunnat agera obemärkt under flera år av tack vare flera olika egenskaper. ProjectSauron körs i många fall inte aktivt utan fungerar som en ”sovande-cell” och väntar på nätverkskommandon för att aktiveras, vissa moduler kör även endast i minnet vilket försvårar upptäckt. För kommunikation används vanligt förekommande kommunikationsprotokoll för att exfiltrera data och skicka statusuppdateringar och på så sätt döljer sig den aktiviteten enkelt bland normal nätverkstrafik. ProjectSauron förändras beroende på mål, så klassiska signaturer är troligen inte användbara. Men både Kaspersky och Symantec har tagit fram ett antal IoC:er (Indicators of Compromise) utifrån de fall de har undersökt för att identifiera ProjectSauron.
h1|Kort om APT ProjectSauron
h3|Hur kan man skydda sig?
sp| Publicerat 2016-08-16  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|Tidigare har vi skrivit om BashBunny, men ungefär samtidigt som kaninen släpptes publicerades också den första versionen av P4wnP1, en USB-baserad attack-plattform. P4wnP1 kan installeras på en Raspberry Pi Zero och Zero W. P4wnP1 är särskilt användbar med den trådlösa varianten (Zero W) då den både kan konfigureras och skicka attack-kommandon och resultat på distans. […] Redan från barnsben blir utvecklare drillade att skriva så effektiv kod som möjligt utan onödiga jämförelser och funktionsanrop. Vid inloggning till en webbapplikation är det vanligt att man loggar in genom att ange ett användarnamn och ett lösenord. Dessa uppgifter skickas till servern som kontrollerar om det finns en sådan användare med ett sådant lösenord, […] En av utmaningarna vid forcering av WPA/WPA2-personal skyddade WiFi nätverk, så har man som angripare varit tvungen att placera sig i närheten av både anslutna klienter och accesspunkter. Syftet är att erhålla en lösenordshash. Genom att tvinga fram en omautentisering av klienten mot accesspunkten kan angriparen snappa upp en lösenordshash. Genom att sedan knäcka lösenordshashen […] Den första delen av Nätverkshacking-serien handlade om arp-spoofing, men nu är det dags att gå mot modernare tider och undersöka närmare vad man kan göra med trådlösa nätverk. Vi börjar med att sätta upp en WiFi honeypot som ovetande användare kan ansluta sig till. Till detta behövs en laptop (eller vilken dator som helst fungerar […] I dagens blogg inlägg skall vi titta närmare på RFID. Detta system används oftast som skalskydd när det gäller inpassering. Vi kommer att titta närmare på EM4100 som är ett alternativ för RFID läsare. Vi kommer att visa att detta system inte är säkert och vem som helst med niohundra kronor kan kopiera dessa taggar […] Många av er som sysslar med IT-säkerhet har nog vid ett eller annat tillfälle hört talas om organisationen OWASP. Vad så många inte vet är att OWASP själva står bakom ett sårbarhetsskanningsverktyg. Närmare bestämt ZAP eller Zed Attack Proxy. OWASP själva beskriver verktyget som ett lättanvänt verktyg för penetrationstestare och annat säkerhetsintresserat folk som är […]
sp| Publicerat 2020-01-31  Skrivet av Tiina Loukusa Hyttnäs  Publicerat 2019-08-12  Skrivet av Peder Sparell  Publicerat 2018-08-31  Skrivet av Mikael Simovits  Publicerat 2016-02-05  Skrivet av Simovits Consulting  Publicerat 2015-10-06  Skrivet av Simovits Consulting  Publicerat 2015-10-02  Skrivet av Peter Hildeblom Copyright © 2021 - Simovits AB
pa|I det här blogginlägget ska vi ta en närmare titt på en typ av attacker som kallas side-channel attacker eller sidoattack om vi ska försvenska ordet. Dessa typer av attack sker mot själva implementationen av datorer eller inbyggda system och inte direkt mot en applikation eller lösning. För att förenkla detta låt oss ta ett nytt exempel på ett hänglås. Detta hänglås har en fingeravtrycksläsare vilket ska göra att det inte ska kunna dyrkas. Så istället för att försöka angripa själva fingeravtrycksläsaren så analyseras låsets uppbyggnad. Då inser man ganska snabbt missen, att det går att öppna med en skruvmejsel. Alltså ett perfekt exempel på en sidoattack. Om vi går över till den digitala världen så finns det ett stort antal typer av sidoattacker som kan genomföras. Bland annat kan de användas för: Dessa typer av attacker möjliggör att man t.ex. kan ändra beteendet på en dator eller läsa ut information. Så låt oss nu gå igenom ett antal olika sidoattacker. Baseras på att beräkna hur lång tid det tar för processor att utföra beräkningar. Detta kan genomföras t.ex. med att analysera hur lång tid det tar för en specifik del av ett program att köra. Låt oss ta en kodsnutt från wikipedia. I den här kodsnutten jämförs två strängar med varje bokstav för sig. Det gör att loopen körs tills ett tecken är felaktigt, vilket leder till att loopen slutar. Detta gör att vi kan beräkna tiden för hur lång tid loopen tar och därmed gissa lösenordet med ett tecken i taget. Om den första strängen är ABCDE och vi gissar AB123 så kommer loopen sluta när vi har nått det tredje tecknet (1) och alltså kan det beräknas att vi gissat rätt på två bokstäver. Denna attack bygger på möjligheten att utnyttja en dators cache eller möjligheten att läsa ut data ur dem. Nästan all läsning och skrivning till minnet på en dator kommer hamna i processorns cache. Detta gör det möjligt att genom denna attack t.ex. exfiltrera data, extrahera kryptonycklar, etc. Detta ger möjligheten att läsa ut cache-data som delas mellan CPU kärnor, virtuella maskiner eller användare. Den vanligaste metodiken för cache-attacker är att: I detta fall kan en attack utföras mot delar som kan innehålla kvarvarande data. Ett exempel på detta är cold-boot attacker, vilka innebär att RAM-minnet hos en dator kyls ned för att sedan utläsas från ett annat system, detta för att extrahera t.ex. krypteringsnycklar. Denna typ av attack fungerar för att ett RAM-minne håller data under en kort tid efter avstängning, denna typ av effekt kan förstärkas genom att kyla ned ramminnet, vilket leder till att data hålls längre och en extraktion kan genomföras. Den sista attacken vi kommer gå igenom är fel-attacker. Denna attack bygger på att ett fel kan injiceras i ett system. Dessa fel kan påverka en stor mängd delar: Typiska tekniker för dessa attacker är: Med hjälp av att införa dessa fel kan man få t.ex. processor att ta ett felaktigt beslut, välja fel gren i en programexekvering, införa ett fel i minnet eller modifiera en adress. Det var en kortare översikt av sidoattacker. Förhoppningsvis kan det bli en del två av detta blogginlägg då vi testar att genomföra en eller flera sidoattacker. I sådant fall ska vi testa att experimentera lite med lite att injicera diverse fel på en Raspberry Pi.
li|Denial of Service (DoS) Kryptoanalys Mjukvaruattacker (cache-attacker, programflöde, etc) Injicera fel i system. Cache kan manipuleras till ett känt läge och sedan väntar vi på aktivitet och kontrollerar vad som ändrats. Modifiera ett registervärde Modifiera ett värde i minneshierarkin Modifiera en adress Modifiera en kontrollsignal, t.ex. statusflaggor, kontroll av flöde i program Försena eller påskynda kontrollsignaler Störa strömförsörjningen Störa klocksignaler Temperatur, kyla eller överhetta olika delar av elektroniken och därmed få olika komponenter att agera olika Strålning eller elektromagnetiska störningar
st|Möjligheter för sidoattacker Timing attack Cache attack Data remenence Fault attacks Summering Källor
h1|Side Channel – attacker (SCA)
sp| Publicerat 2018-06-21  Skrivet av Petter Stymne Copyright © 2021 - Simovits AB
pa|En välkänd pekpinne inom IT-säkerhet är att främmande USB-minnen under inga omständigheter ska anslutas till organisationens utrustning. Det klassiska angreppet går ut på att lämna en USB-sticka på en publik plats, i förhoppningen att den som hittar detta ansluter det till en dator. Den här bloggen handlar om O.MG Cable som är ett verktyg för att genomföra denna typ av angrepp. Säkerhetsfolk har pratat om det här så länge nu att man kan tycka att varenda kotte borde lärt sig, men när angreppet praktiskt testas fungerar det i allmänhet fortfarande relativt bra. Exempelvis testade man 2016 att placera ut 297 USB-stickor innehållande html-dokument på ett campus i USA som “ringde hem” om något dokument öppnades, [1]. Bland de utplacerade stickorna var det i 45% av fallen någon som plockade upp stickan, stoppades in den i dator och öppnade något av dokumenten. O.MG Cable är en HID- och WiFi-enhet och när kabeln stoppas in i en dator simulerar den ett tangentbord och agerar samtidigt som en access punkt eller ansluter till ett befintligt WiFi-nätverk, [2]. Genom att ansluta till kabeln över WiFi kan angriparen sedan exekverar kommandon som om hen skrev dem på ett tangentbord inkopplat i datorn. Funktionalitetsmässigt är inte O.MG Cable unik, då det finns flera liknande typer av enheter exempelvis Bash Bunny som Douglas skrivit om i en tidigare blogg, [3]. Det unika med O.MG Cable är istället sladdens utseende som syns i bilden nedan. Sladden har alltså maskerats att se ut precis som en vanlig laddningskabel för iPhone och allvarligt talat vem har inte någon gång lånat någons laddare när luren håller på att dö? För att testa O.MG. Cable använder jag openssl för att skapa en reverse shell över HTTPS på port 443 från en MacBook Air med senaste versionen av macOS. Den shell jag använder baseras på ett trick jag känner till från projectet GTFOBins som kartlägger olika sätt att använda standardfunktionalitet på linux i offensiva syften [4]. Till att börja med behöver jag en server som offrets klient kan ansluta till. För detta använder jag följande kommandon tagna från [4]. Detta skapar en privat nyckel samt certifikat och använder dem för att starta en HTTPS-server på 192.168.10.104 och port 443. Därutöver behöver vi konfigurera vår “hackersladd”. Vilket vi gör genom att flasha sladdens firmware och konfigurera en access punkt samt skapa ett skript att köra på offerts klient. Firmware laddas ned från Github [5] och installeras genom att ansluta sladden till angriparens dator via en programmerare och följa stegvisa instruktioner. Eftersom jag i installationen av firmware valde att konfigurerar sladden som en access punkt kan jag nu ansluta till den över wifi och navigerar till ett webbgränssnitt som används för kontroll. Där skapar jag ett skript för angreppet. Kärnan i skriptet är följande kommando från GTFObins som ansluter via klienten i openssl och använder pipen /tmp/s för att ta emot kommandon och returnera output. Det enda som återstår att anpassa det till sladden och macOS. Skriptspråket är snarlikt det för Bash Bunny och finns dokumenterat i gränssnittet. Efter en stunds pillande fick jag till följande skript som jag konfigurerade att automatiskt köras när sladden kopplas in. Det skriptet gör är: På vår kontrollserver ser vi att det funkar. Hur det ser ut på den angripna klienten syns i gif:en nedan. Som OM.G Cable med all önskvärd tydlighet påvisar finns det alltid en risk med att ansluta främmande utrustning till sin enhet. Det går att på olika vis låsa ned sina klienter för att motverka denna typ av angrepp, men minst lika viktiga åtgärder är detektionsmöjligheter och säkerhetsmedveten.
li|Konfigurera sladden som en enhet macOS förstår. Stäng eventuellt fokuserat fönster. Öppna Spotlight och sök efter Terminalen. Skriv in vårt kommandot med lite väntetider (behövs tyvärr). Kör kommandot som ett bakgrundsjobb (&), tryck enter för att få en ny rad och rensa terminalen (clear). Minimera terminalfönstret. Om USB-minnen på parkeringsplatser, https://www.blackhat.com/docs/us-16/materials/us-16-Bursztein-Does-Dropping-USB-Drives-In-Parking-Lots-And-Other-Places-Really-Work.pdf Hemsida för O.MG Cable, https://mg.lol/blog/omg-cable/ Blogg om Bash Bunny, https://simovits.com/en-elak-kanin/ GTFOBins, https://gtfobins.github.io/gtfobins/openssl/#reverse-shell Firmware för O.MG Cable,https://github.com/O-MG/O.MG_Cable-Firmware
st|Steg 1: Förberedelser Referenser
h1|Att ladda med försiktighet
h2|Praktiskt test
sp| Publicerat 2020-06-26  Skrivet av Anders Lundman Copyright © 2021 - Simovits AB
pa|Här på Simovits jobbar vi med informationssäkerhet, vilket typiskt innefattar det att säkerställa dess konfidentialitet, riktighet och tillgänglighet. I dagens blogg tänker jag vända lite på denna tolkning av termen . Bloggen kommer inte att handla om hur vi håller säker, utan om hur vi håller säkra från vår data. Temat är artificiell intelligens och de risker och domedagsscenarion som ofta målas upp kopplat till dess användande. Artificiell intelligens (AI) är ett område som har utvecklas kraftigt under de senaste tio åren. Man ser så gott som dagligen nya framsteg och nya användningsområden för AI. Denna explosionsartade och oreglerade utveckling hävdas medföra stora risker för vårt samhälle. Denna inställning är delad av många framstående namn och organisationer inom teknikbranschen, som t.ex. Sundar Pichai (CEO, google) och Elon Musk (CEO, Tesla och SpaceX), vilka båda uttryckt önskemål om reglering för AI och dess applikationer, som till exempel inom vapenutveckling. Även EU-kommissionen går i liknande tankar kring reglering av AI, se t.ex. nyligen publicerat blogginlägg här på Simovits blogg [1]. Riskerna med AI och behovet av reglering är dock en omtvistat fråga och många inom teknikindustrin anser att riskerna är överdrivna och att de potentiella fördelarna med AI kraftigt överväger riskerna. I denna blogg tänkte jag försöka ge en överblick över de risker som anses finnas med AI, med målet att ge läsaren en ökad förståelse kring problematiken. En av de fundamentala svårigheterna med AI system, och varför väldigt avancerade system ofta anses medföra stora risker är kopplat till hur dessa systems målbild definieras; vilka parametrar ska systemet ta hänsyn till (och hur), vid inlärning. Vad händer när AI-utvecklare gör små tankefel i sina definitioner av målbild? Väldigt kraftfulla AI-system med mål som inte är helt likriktade med mänskligheten är ett koncept som utforskats i otaliga science fiction historier, ofta med förödande konsekvenser. Ogenomtänkta mål ges till starka AI-system och situationen urartar (t.ex. skeppsdatorn från som vidtar drastiska åtgärder för att slutföra uppdraget Ett naivt definierat mål för en stark AI kan sakna aspekter och nyanser som begränsar möjliga/tillåtna tillvägagångssätt, vilka för oss människor skulle tas som underförstådda. Ett grovt förenklat exempel är en superintelligent AI får uppgiften att stärka trafiksäkerhet, vilket en utvecklare definierat som “ ”. AI:n inser snabbt att om det inte finns några människor i trafiken blir det inga dödsfall, varpå den arbetar för att stänga ned all trafik. Ett olyckligt och oförutsett utfall av ett naivt definierat mål för AI:n. Att detta figurerar så pass ofta i skönlitteratur är kanske en av anledningarna till varför riskerna kopplade till AI är svåra att på allvar? Detta låter förstås ganska långsökt. Och ja, det ligger troligtvis långt fram i tiden. De underliggande problem är dock något som realiseras konstant redan idag. Dagens AI-system lider ofta av liknande oavsiktliga effekter av “naivt” definierade mål. Det finns otaliga exempel på detta [2]. Ett exempel tydligt illustrerar detta är ett AI-projekt med målet att steka pannkakor. Ett första delmål för detta var att lära AI:n att balansera pannkakor i en stekpanna. Utvecklarens försök att definiera detta som ett mål där inkrementella förbättringar är möjliga var att ge ökad belöning ju längre tid det tar innan pannkakan faller till marken. Tanken var förstås att detta skulle få AI:n att lära sig att hålla pannkakan i stekpannan längre och längre tider. Resultatet: AI:s lärde sig att om den kasta pannkakan högre och högre så tar det längre tid innan pannkakan nådde golvet. En AI:s tolkning av målet balansera en pannkaka i en stekpanna. Med tanke på det höga antalet liknande “feltolkningar” av målbild kan man dra slutsatsen att detta inte handlar om tokiga små misstag som en utvecklare gjort. Detta kan anses vara ett fundamentalt beteende som vi kan förvänta oss för all maskininlärning. Det finns ingen garanti att morgondagens AI-utvecklare kommer att vara felfria i sina definitioner av mål. Betänk dessutom att även de mest genomtänkta mål kan lida av imperfekt implementering. Nästan inga system (AI eller inte) som skapas idag är buggfria och/eller fungerar precis som dess skapare förutspått vid första release. En avancerad AI förutspås dessutom ha en självförbättrande egenskap, eftersom det är viktigt för ett system som kan lära sig, vilket innebär att AI:n själv kan introducera nya buggar och nya oförutsedda egenskaper som inte existerade i dess originalutförande. Det är därmed inte svårt att föreställa sig scenarion där vi människor tappar kontrollen över en stark AI, vilket skulle kunna ha förödande konsekvenser. Trots detta anser många att riskerna är överdrivna. Att det är en extremt låg sannolikhet att vi når AI-system som är så pass avancerade, kraftfulla och intelligenta att de utgör en verklig fara för vårt samhälle inom en överskådlig framtid. Låt mig besvara detta påstående genom att stödja mig på ett område som vi jobbar mycket mer här på Simovits; . Riskanalys handlar om att identifiera och värdera risker. Identifikation är gjord redan; det handlar om att avancerade AI-system med dåligt definierade mål som ger oönskade och förödande effekter för vårt samhälle. Den vanligaste metoden för värdering av risker är sedan att man undersöker två dimensioner: Ansätt ett värde till varje dimension och multiplicera för att få en värdering av risken. Låg sannolikhet och låg konsekvens innebär en lågt värderad risk. Hög sannolikhet och stor konsekvens innebär en högt värderad risk. Detta används sedan för att kunna värdera risker mot varandra och prioritera de mer kritiska riskerna. I detta fall handlar det om något som (enligt många) har en väldigt låg sannolikhet att hända. Samtidigt är konsekvenserna väldigt höga. De mest extrema scenarierna liknar domedagsprofetior tagna ut science fiction. Därmed bör detta inte ses som en risk som man kan ignorera. Trots låg sannolikhet att det inträffar kan effekterna bli katastrofala. Det kan liknas vid astroidnedslag. En liten sannolikhet att det inträffar, men potentiellt förödande konsekvenser. Därför genomförs idag projekt där himlen genomsöks med jämna mellanrum på jakt efter himlakroppar på kollisionskurs med jorden. På samma sätt behöver vi vidta åtgärder för att minska riskerna med avancerade AI-system. Som till exempel reglering av AI-teknik för att begränsa vilka medel och befogenheter AI-system tillåts, eller genom att bedriva forskning på AI-system för att förstå och utveckla säkra metoder för definition av mål. [1] [2]: , med lista
li|att risken realiseras. , om risker realiseras.
st|Problem med maskininlärning Riskanalys; konsekvens och sannolikhet riskanalys Sannolikhet, Konsekvens
h1|Kommer AI förinta oss alla?
sp| Publicerat 2020-05-29  Skrivet av Erik Aronson Copyright © 2021 - Simovits AB
em|informationssäkerhet vår data oss HAL 9000 2001 a space odyssey ). minimera antalet trafikolyckor som resulterar i mänskliga dödsfall
pa|OSINT står för Open Source Intelligence och innebär generellt att man bedriver underrättelsetjänst med hjälp av informationsinhämtning från öppna källor, exempelvis massmedia, offentliga källor, sociala medier, akademiska och kommersiella datakällor samt olika företagskällor. Motsatsen till OSINT kan anses vara spioneri då man med olika medel försöker inhämta känslig information. Gränserna för OSINT är ändå delvis flytande och många förknippar inhämtandet av information med metoder som delvis syftar till att kartlägga personer och relationer som tekniker som befinner sig i en gråzon. En enkel översikt av vad som kan tänkas ingå i OSINT fås från osintframework.com varifrån följande figur har expanderats. Ett underrättelsearbete omfattar normalt en frågeställning, en metodik och en eller flera tekniker. Ett enkelt exempel taget från ovanstående sammanställning är en journalist som ska avgöra om en bild eller en film som skickats in till redaktionen är äkta. Frågeställningarna är då förenklat Under punkten Search Engines / Fact Checking / Verification Handbook hittar man en beskrivning av några av de metoder som journalister använder för att bedöma riktigheten, exempelvis att hitta landmärken och jämföra mot online kartor osv. Andra tekniker är bildsökning och personsökningar för att avgöra om materialet redan är känt. Vill man då använda en teknik för att bedöma en bild så kan man gå till något av de verktyg som finns under Images Videos Docs / Images / Forensics för att avgöra om bilden kan vara manipulerad. Därefter kan man använda ett verktyg under Geolocation Tools Maps för att avgöra om bilden kan vara tagen inom det aktuella området. Slutligen kan man använda en nyhetssökning eller bildsökning för att se om materialet redan är känt, tex att någon skickat in en gammal bild från förra årets händelse. Av introduktionen framgår att OSINT kan sägas ha ett spretigt innehåll. Kurser och akademiska avhandlingar i OSINT kan också ha ett högst skiftande innehåll, exempelvis Akademiska avhandlingar kring OSINT kan koncentrera sig på exempelvis underrättelsetjänst i allmänhet eller kriminalunderrättelsetjänst som är avsedd att spåra brottslighet. Alternativt kan avhandlingarna handla om olika specialiserade sökmotorer och sätt att söka på bilder, geografiska områden eller olika former av metadata. Kurser i OSINT är ofta inriktade på att hantera en virtuell klient som ska vara lämplig att använda för att söka information anonymt eller på dark webb via specialiserade program som TOR. Detta är särskilt viktigt om man ska söka information som berör kriminella aktiviteter även om detta egentligen inte är att betrakta som öppen information. Generellt så har nästan alla personer någon gång sökt information från öppna källor, exempelvis genom att googla eller genom att bara gå in på en organisations hemsida. De flesta personer har därvid aldrig haft behov att värdera riskerna eller metoderna att söka information på nätet eller på annat sätt. Vilka risker finns det då med att använda OSINT Ett enkelt exempel på en vardaglig sökning är en personalavdelning som i samband med en rekrytering vill göra en bakgrundskontroll. Man gör då ofta en sökning på personen och de referenser denna angett på olika sociala medier, exempelvis Linkedin, Facebook och kanske ytterligare några källor förutom en kontroll med aktuellt lärosäte och uppgivna referenser. Det krävs ingen anonymitet i denna situation och de risker som behöver beaktas är att man vid en egen sökning kan stöta på andra personer med samma namn eller felaktiga uppgifter. Man är i detta fall också medveten om att den person man vill kontrollera ofta vill framstå i en gynnsam dager och kan ha påverkat vissa av de uppgifter som kommer fram i sökningen. Vid en bakgrundskontroll inför en anställning för en högre befattning eller inför ett samarbete kan det också vara legitimt att göra en kreditkontroll. Man ska då vara beredd på att denna sökning av information kan komma till den berörda personens kännedom och även vara medveten om att det ska finnas ett befogat syfte för att hämta informationen. Ett mer komplicerat exempel är en journalist som vill få kontakt med källor inom en organisation och gör sökningar på vilka personer som har en bakgrund som kanske gör att de vill berätta om eventuella missförhållanden. Det kan här krävas mera anonymitet i sökningen, särskilt om man ställer sökfrågor mot en organisation som kan tänkas vilja spåra läckor inom den egna organisationen. Detta gäller särskilt om man hämtar information från den berörda organisationens egna databaser. Journalisten kan vilja ha en klient som framstår som anonym och varken kopplad till den egna organisationen eller sin privata identitet när han gör sina sökningar. I vissa länder kan journalisten också sätta sig själv i fara om sökningar görs avseende korrupta myndigheter eller kriminella organisationer. I det sista exemplet finns den verksamhet som bedrivs av professionella underrättelseorganisationer. I dessa fall gör man ofta insamlingen under så neutrala former som möjligt och lagrar insamlad information på egna databaser för att inte avslöja sina aktuella intresseområden och undvika att ställa samma sökfrågor upprepade gånger. I dessa fall har man både neutrala nätverk, klienter, webbläsare och vid behov neutrala användarkonton. Ett angränsande område är när man även vill göra enklare former av kontaktsökande eller enklare former av dataintrång i skydd av samma typ av anonymitet som används inom OSINT. Även om detta inte riktigt hör hemma i OSINT så används samma tekniker för att sätta upp neutral klienter och skydda dessa samt att använda anonyma nätverk.
li|Är materialet taget i det sammanhang och på den plats och tid som gjorts gällande? Är materialet manipulerat eller redigerat? Är materialet publicerat eller känt sedan tidigare? Är uppgiftslämnaren känd och verifierad sedan tidigare? Underrättelsetjänstens inriktning och arbetsmetoder Olika typer av tillgängliga källor på Internet Sökverktyg och logganalyser (vad andra söker efter osv) Sökning efter personrelaterad information Hantering klient och anonymitet Hantering av klient och osäkra källor, dark web mm Risken att man söker eller hittar föråldrad eller ej relevant information Risken att man utsätts för brott, bedrägerier eller vilseledning Risken att man utsätts för skadlig kod Risken att man själv kartläggs under sin sökning Risken att sökningen röjer känslig information eller ett informationsbehov Risken att man hämtar eller begär information i strid med regelverk avseende sekretess eller utan ett befogat syfte
h1|Några aspekter kring OSINT
h3|Vad ingår egentligen i OSINT Risker med OSINT och anonymitet
h4|Några länkar och referenser
sp| Publicerat 2019-09-27  Skrivet av Tomas Forsberg Copyright © 2021 - Simovits AB
pa|TheHive ( är ett open source Incident-Response-hanteringssystem/Plattform som på senare tid börjat användas hos CERTs världen över. TheHive har ett enkelt ticketing-system och är specifikt utvecklat för just CERTs/SOCs vilket gör att man undviker mycket strul med tidsslösande anpassningar. Dessutom är det open source vilket gör licenshanteringen smidig (och kostnadseffektiv). Det finns en mängd integrationer för TheHive och det är lätt att själv integrera egna analysatorer och responders för IOCer genom dess “Cortex”-del (se mer här; ) TheHive har även, precis som de flesta andra moderna verktyg, ett öppet API som är lättanvänt och kan användas för integrationer mot egna system för att exempelvis automatiskt skapa Case etc. Populärt är förstås att integrera mot loggsystem/SIEM-system och liknande. Det finns (förstås) färdiga bibliotek för Python att använda ( ) men TheHive har ett enkelt API att integrera mot och det blir inte många kodrader så det är egentligen inte så mycket nytta att använda någon annans bibliotek för sina integrationer. Nedan visas delar av en enkel exempel-implementation av API:et i C# som kan användas som mall för egna integrationer. Endast en liten del av API:et är implementerat men, det är inte rocket-science att utöka med egna funktioner när man väl ser hur autentisering och grundläggande kommunikation fungerar. Exempel-koden i en fullständig klass hittas under God fortsättning på det nya året!!!
h1|C#-exempel-API till TheHive
sp| Publicerat 2019-01-04  Skrivet av James Dickson Copyright © 2021 - Simovits AB
pa|12 september startade en gruppering som kallar sig Fancy Bears HT en kampanj för att avslöja att flertalet olympier dopar sig. Följande text publicerades på Twitter. WADA (World Anti-Doping Agency) har ett system som heter ADAMS, vilket atleter och personal använder för dopingkontroller. Atleterna har genom detta system möjlighet att rapportera in vart i världen de befinner sig. Detta ska göras i block om tre månader, för att WADA ska ha möjlighet att göra dopingtest på atleterna. En TUE står för Therapeutic Use Exemption och är ett sätt för atleterna att söka dispenser för medicin som behövs för diverse medicinska åkommor. Det har framkommit för att kunna reglera vissa substanser men ändå inte begränsa atleter som behöver medicin. För att få tillstånd för medicin behöver denna styrkas av läkare och ett antal blanketter behöver skickas in till sitt specifika förbund för den idrotten som atleten tillhör. Förbundet godkänner eller avslår sedan användandet av preparaten och skickar detta till WADA. Själv har jag diabetes och iom detta behöver jag en TUE för insulin då denna medicin är klassad som doping. Detta tillstånd beviljades då på 4 år vilket är det längsta perioden som WADA ger undantag för medicinering. Fancy Bear har gått ut med att de tänker avslöja olympier och de hävdar att de gör så genom att publicera ett stort antal TUE för att påvisa flertalet länder och idrottare använder sig av legal doping. De gör det genom att ansöka för en TUE och genom detta kunna dopa sig utan att åka fast. WADA hävdade tidigt att grupperingen som utfört attacken var ryssarna via en grupp som kallas APT 28 [2]. De ska ha kommit över ett konto som användes vid de olympiska spelen i Rio. Detta genom att ha utfört en spear phishing attack mot en anställd och genom detta fått full tillgång till ADAMS. Genom detta har de kunnat ladda hem ett stort antal TUE. APT 28 är enligt FireEye [3] en gruppering från Ryssland som koncentrerar sig på att spionera på strategiska mål för att stjäla information som gynnar en regering. Detta uttalande har gjort i två omgångar där de första gången utpekade ryssarna och att det troligtvis använt sig av en spear phishing attack. I det senaste uttalandet är inte längre ordet kanske utskrivet utan de benämner det som en attack. WADA har även tidigare haft ett intrång [4] då kontot till Yuliya Stepanova, visselblåsaren som avslöjade att Ryssland systematisk dopar atleter. Bakgrunden till denna attack säges sig vara att komma över Yuliyas rapportering i ADAMS. Vilket ger tillgång till exakt vart hon befinner sig. Fancy Bears hävdar sig tillhöra den lössatta grupperingen Anonymous. Kollar vi upp twitter kontot som skapats för Fancy Bear ser vi att det följer vita huset, demokraterna och även Hillary Clinton. Som WADA skriver är det skrämmande att medicinskdata tillhörande ett stort antal atleter publiceras av grupperingen. Men det som är mer skrämmande är att WADA inte har säkrat upp sitt system och att hacket tillåts i denna omfattning. Det är även svårt att analysera informationen för att se om det verkligen var ryssarna som hackade WADA. De gick tidigt ut med grupperingen APT 28. Hur de har kommit fram till den informationen har inte delgivits. I senaste pressreleasen har de inte heller namngivit ryssarna som skyldiga[5]. Är det här ett försök att skadereglera efter anklagelserna om statligt sponsrad doping från rysk håll eller bara något annat? [1] [2] [3] [4] [5]
h1|Doping, hacking och politik
sp| Publicerat 2016-10-04  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|Den 23 Mars röstade USA:s kongress igenom CloudAct (‘‘Clarifying Lawful Overseas Use of Data Act’’) i samband med genomröstningen av USA:s budget. Med tanke på att Europa är i full färd med att införa GDPR, den nya dataskyddsförordningen med syfte att skydda personinformation, är det få reaktioner på CloudAct. Electronic Frontier Foundation och olika typer […] Vad handlar detta om? EU (kommissionen, Europaparlamentet och Europeiska unionens råd) enades den 15 december 2015 om ett förslag till en ny EU-förordning (GDPR) som syftar till att modernisera dataskyddsdirektiv från 1995 till en mer enhetlig tillämpning inom EU, och förordningen är nu antagen [1]. I överenskommelsen ingick även ett direktiv som reglerar hur polis […] Forensik i alla dess former börjar bli allt mer vanligt förekommande. Problemet är att det ofta är dyrt med både den mjukvara och hårdvara som behövs för att genomföra en forensisk undersökning. I den här artikeln undersöker vi vad vi kan åstadkomma med en begränsad budget och när vi enbart använder oss av freeware. Scenario: […]
sp| Publicerat 2018-05-04  Skrivet av Mikael Simovits  Publicerat 2016-05-12  Skrivet av Simovits Consulting  Publicerat 2016-01-08  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
di|När nyårsklockorna ringde för det nya året 2000 skulle våra datorer slås ut. Det skulle bli kaos och förtvivlan när år 2000-buggen påverkade alla system. Vi skulle drabbas av kärnkraftsolyckor, öppna dammportar, kor som inte kunde mjölkas och flygplan som föll från skyn. Men inget hände.
st|Bifogad fil:
h1|600 miljarder dollar i sjön
sp|  Publicerat 2011-12-08  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|Våra experter hjälper er att få kontroll av er säkerhet genom att identifiera brister i erat nuvarande skydd. Vi ger er tydliga rekommendationer för hur ni kan uppnå en enhetlig säkerhetsnivå utifrån er riskprofil. Penetrationstester är ett sätt att få en utökad och konkret ögonblicksbild över tekniska sårbarheter i följande miljöer: Vi utgår från erkända standarder som OWASP Top 10 och OWASP Testing Guide och vi utför även penetrationstester enligt PCI-DSS. Våra experter anpassar testerna efter era behov och syfte. Sårbarhetsskanning är en snabb och effektiv metod att hitta tekniska sårbarheter. Våra experter filtrerar, bedömer och prioriterar resultaten så att ni enkelt och kostnadseffektivt kan sätta rätt resurser på rätt åtgärder. På Simovits Consulting arbetar vi ständigt med att hålla oss uppdaterade inom den senaste teknologin. Vi kan därmed erbjuda avancerade applikationstester som sträcker sig längre än OWASP Top 10. Testerna är skräddarsydda efter just er applikation. Vi kan exempelvis hjälpa er hitta: IT-säkerhetsgranskningar utvärderar säkerheten i ett system eller en process från ett verksamhetsperspektiv. Utifrån granskningsobjektets hotbild utvärderar våra experter möjliga bristhypoteser. Den här typen av granskning hjälper er att göra en tydlig riskbedömning av granskningsobjektet. I en fysisk granskning kartlägger våra experter er fysiska skyddsnivå inkluderat säkerhetssystem för att bemöta ett ökat terroristhot. Granskningen följer standarderna FEMA (Federal Emergency Management Agency) och ANSI/ASIS. Vi ger er rekommendationer på de förändringar som behövs eller bör övervägas för att möta er hotnivå.
li|Infrastruktur – Servermiljö, nätverk och WiFi Applikation – Webbapplikationer, appar och klientapplikationer Hårdvara – IoT, firmware och mobiltelefoner Brister i klientapplikationer. Komplexa webbapplikationssårbarheter. Exempelvis http-smuggling och brister i API:n Sätt att kringgå webbapplikationsbrandväggar och andra typer av skydd.
h1|Säkerhetsgranskning
h2|Penetrationstest Sårbarhetsskanning Avancerade applikationstester IT-säkerhetsgranskning Fysisk säkerhet
sp|Brister i er molninfrastruktur Copyright © 2021 - Simovits AB
pa|Källor samt fortsatt läsning:
li|https://www.bbc.com/news/technology-45281495 https://nordic.businessinsider.com/russia-gru-caught-hacking-into-opcw-via-wifi-dutch-intelligence-says-2018-10?r=US&IR=T
h1|Finns spioner i våra servrar?
sp|I den här bloggen tänkte jag diskutera de senaste veckornas gäckande samt fascinerade rapporteringen om kinesiska hacknings-attacker. Dessa ska bland annat ha tillämpat väldigt små inbyggda spion-chip i servrar. Grunden till påståendet om hacknings-attacker är tre stycken publicerade artiklar av Bloomberg. Den 4 oktober 2018 publicerades den första artikel om hur kinesiska underrättelseagenter har gömt små data-chip i servrar som har tillverkats av företaget Super Micro. Bland Super Micros kunder återfinns dels amerikan myndigheter så som Department of Defence, CIA och den amerikanska flottan, men även stora företag varit kunder hos Super Micron (direkt eller indirekt via underleverantörer). De som nämns i artikeln är Apple och Amazon (Amazon Web Services). Totalt citerade Bloomberg 17 stycken anonyma källor som påstås jobba hos amerikanska myndigheter, Apple samt Amazon. Målet med spion-chipen hävdas vara att påverka och övervaka maskinvara (servrar) som används av amerikanska myndigheter och storföretag. Tillvägagångssättet ska ha varit att muta och utpressa personal i de kinesiska fabrikerna där servermoderkort tillverkas. De inplacerade chipen ska ha varit små (storleken av ett riskorn) och kamouflerade som naturliga moderkorts komponenter för att undvika upptäckt. Upptäckten av dessa chip ska ha skett oberoende av varandra hos både Apple och Amazon. Bägge företagen ska efter upptäckten ha rapporterat detta till FBI och sedan assisterat i utredningen. De federala myndigheterna (FBI) ska dock redan innan ha haft en pågående utredning igång om möjlig kinesisk hårdvarupåverkan av servrar. I den andra artikeln publicerad samtidigt som den första berättar Bloomberg om hur en online portal för firmware hos Super Micro också angripits. Attacken ska ha skett under 2015 och varit utförd av en kinesiskgrupp. Resultatet av attacken hävdades vara att skadlig firmware gjordes tillgänglig för kunder som ämnade ladda ner den senaste varianten via kund-portalen. Firmwaren var riktat till nätverkskortsdelen av moderkortet. Den källan som citeras är en anonym Facebook anställd. I den tredje, och vid skrivandet av denna blogg senaste, artikeln från Bloomberg rapporterade om ytterligare hårdvarupåverkan från kinesisk sida. Även här ska de påverkade servrarna ha kommit från Super Micro. Denna gång omnämns dock en källa med namn. En säkerhetsexpert med namnet Yossi Appleboum ska ha visat dokument och andra bevis för Bloomberg som påvisar att han har upptäckt ett inbyggt implantat i en Ethernet-anslutning på en server. Detta skulle motsvara en annan typ av hårdvarumanipulation jämfört med spion-chipet i den första artikeln. Upptäckten ska ha gjorts hos en av USA:s största teleoperatörer, exakt vilken är oklart då sekretessavtal ska ha hindrat Appleboum från att avslöja det till Bloomberg. Sedan starten av Bloombergs rapporterande har samtliga namngivna företag (Apple, Amazon och Super Micro) nekat till påståendena. Deras uttalanden har varit synnerligen starka, och det är ytterst svårt att tro att de någonsin kan gå tillbaka från dem utifrån refererande till vag formulering. Men det är inte bara företagen som har tagit avstånd från påståendena. Samtliga amerikanska myndigheter som har uttalat sig har ställt sig frågande när det gäller rapporteringen, och uppger att de inte har någon kunskap om händelserna (exempel inkluderar officiella uttalande från Homland Security, representanter från NSA och högsta FBI chefen). Till och med en rådgivare till den första artikeln, samt den enda namngivna källan, har efter sina uttalanden i Bloomberg artiklarna tagit avstånd från hur de citerades i dessa. Båda anger att sammanhanget i vilket de gjorde uttalandena har förvanskats. I teknikvärlden råder just nu en viss skepticism rörande rapporteringen. Väldigt få tekniska detaljer är beskrivna av Bloomberg. Nästan alla experter är överens om att spion-chip kan byggas, och att dessa kan ha den förmågan som påstås. Det som dock ter sig märkligt för de flesta expert, och blir än mer påtagligt för varje dag som går, är den totala avsaknaden av tekniska detaljer rörande dessa chip. Det resoneras att om dessa spion-chip är så vitt sprida som Bloomberg påstår borde något exemplar ha upptäckts ”ute i det vilda” vid det här laget. Alla de omnämnda parterna i artikeln har gått ut i pressmeddelanden om att de bestämt tar avstånd ifrån allt som nämns i den första artikeln och att den är fullständigt falskt. Bloomberg vidhåller samtidigt att deras källor är tillförlitliga. Därför utgörs det tillgängliga underlaget mest av motstridiga uppgifter och ”ord mot ord”. I slutändan beror mycket på vem som anses vara mest trovärdig. Flera saker gör att man kan ifrågasätta riktigheten i Bloombergs rapporterande: Få tekniska detaljer Starka avståndstaganden från företag och myndigheter Osäkerhet rörande källornas-trovärdighet. Det som dock gör saken mest förbryllande är varför inga ytterligare rapporter från andra källor har inkommit efter Bloombergs första artikel som publicerades för ca 2 veckor sedan. Flera olika företag samt myndigheter bör ha initierat undersökningar av sina servar efter rapporten om spion-chip. Men eftersom inget har hörts rörande upptäckten av spion-chip så går det att börja ifrågasätta deras sprida förekomst, iallafall så som beskriven av Bloomberg. Om det är så att det som Bloombergs rapporterande i huvudsak inte stämmer går det att fråga sig varför de ändå publicerade dessa artiklar. En förklaring kan vara att källor helt enkelt har misstolkat situationen. Detta skulle kunna ske om ”vanliga” mjukvaruattacker har skett och att de källorna som citeras av Bloomberg har hört om dessa händelser sekundärt. Det kan helt enkelt ha blivit en ”visknings-lek” där varje led har förvridit information för att tillslut nå Bloomberg efter många olika revisioner. Det som talar emot denna mest rättframma förklaring är att Bloombergs påståenden har skapat stor påverkan på många. Bland annat har Super Micro:s börsvärde fullständigt kollapsat efter nyheten om spion-chip förekomst. Om de uppgifterna som har orsakat detta visar sig vara falska skulle det säkerligen innebära en storskalig stämning mot Bloomberg. Därför måste Bloomberg ha känt sig väldigt säkra på sina källor och noga undersökt risken att de kan ha fel. Det går även att tänka sig mer konspirationsinriktade förklaringar. Samma dag som Bloomberg publicerade sin första artikel rapporterades det om hur ryska spioner hade arresterats för att ha utfört Wi-Fi hackning i bland annat Nederländerna. Att två stora hacknings-händelser rapporteras samma dag är ovanligt. En tanke skulle därför kunna vara att fejkande nyheter (fake-news) spreds i samband med uppmärksammandet av ryska hackers för att dra fokus från dessa. Jämförelsevis motsvarar de påstådda spion-chipen en större säkerhetsrisk för företag och myndigheter än vad de ryska spionerna representerar. En annan möjlighet är att amerikanska intressen skulle vilja spä på de redan spända relationerna mellan USA och Kina samt det pågående handelskriget. Viljan för företag och myndigheter att välja kinesiska företag som leverantörer för tjänster och teknik minskar ifall de misstänker hårdvarumanipulation. Något snarlikt har redan hänt i exempelvis Australien, där Huawei och ZTE (båda kinesiska företag) inte får leverera 5G nätverk på grund av hävdade säkerhetsrisker. Att liknade scenarion för andra tekniker därför skulle kunna gagna amerikanska företag ter sig därför uppenbart. På samma sätt skulle det vara mer fördelaktigt att flytta tillverkning tillbaka till USA eftersom leverantörskedjan då skulle kunna erbjuda bättre säkerhet mot de påstådda hårdvarumanipulationerna I slutändan går det inte att definitivt veta om Bloombergs rapporterande är sant eller inte. Det som dock kommer vara den största indikationen är det fortsatta händelseförloppet. Om exemplar på spion-chip upptäckts och presenteras, eller om namngivna trovärdiga källor träder fram, finns det anledning att tro på det Bloomberg hävdar. Fram till dess bör vi alla ta detta med en stor nypa salt. I slutändan kan detta mycket väl vara ytterligare ett exempel på det idag allt vänligare konceptet som är fejkande nyheter (fake-news).  Publicerat 2018-10-19  Skrivet av Carl-Douglas Benno Copyright © 2021 - Simovits AB
bo|Bakgrund Nekande och undrande Vem ska man tro? Anknytning till andra händelser? Tålamod är en dygd
pa|När vi kommer till skadlig kod så finns det ett antal sätt för den att kommunicera med utsidan och kontrolleras. Detta kan göras för att hämta uppdateringar, instruktioner eller transportera ut värdefull information från nätverket. I det här blogginlägget kommer vi snabbt och lätt gå igenom ett par nya trender för skadlig kod att kommunicera och för den nyfikne kommer vi presentera två open source alternativ som använder twitter och gmail. Låt oss introducera Command and Control även benämnt som C2 samt C&C. Det är ett sätt för den som kontrollerar den skadliga koden att kommunicera med sitt mästerverk. De har nu fått in sin kod i ditt nät, men varför sluta där? För om koden har kommit dit, så ska den kontrolleras. Data kan behövas transporteras ut, den skadliga koden uppdateras eller instruktioner som ska genomföras. Kommunikationen till kontrollservern brukar oftast ske med två metoder, antingen push eller pull. Men hur ofta används C2 i skadlig kod och ser vi några trender inom detta? QinetiQ [1] har tagit fram en tabell över C2 i dokumenterade incidenter. I den tabellen kan vi klart och tydligt se en ökning i användningen av C2. Dock skriver de att dessa siffror inte är helt fastställda då det finns problem med insamlingen och rapportering av data innan 2010. Tabell 1, C2 i dokumenterade attacker, lyckade och misslyckade. Det finns ett antal kommunikationskanaler för skadlig kod att använda sig av. Historiskt så har de flesta kommunicerat genom http och IRC. Men hur ser det ut idag? Ser vi någon förändring inom detta? Vi tittar på en presentation från BlackHat [2] som presenterar följande tabell: Tabell 2, C2, tekniker och nivå. Som vi ser i tabellen ovan beskrivs det i presentationen även hur DNS:er används för denna kommunikation. Det sker genom att den infekterade datorn skickar ut en förfrågan om en domän. Denna förfrågan skickas till en DNS-server som även är C2 server. I svaret den skickar göms ett meddelande. Så kan alltså den skadliga koden kommunicera genom DNS förfrågningar. Två exempel på skadlig kod som använder denna teknik är Feederbot och PlugX. En annan intressant teknik som visas är steganografi, då bilder kan laddas upp på t.ex. en blogg som sedan läses in av den skadliga koden. Bilderna innehåller då gömd kod för att instruera offret. Ett exempel på skadlig kod som använt det här konceptet är TDSS/Alureon. Sedan finns även exempel på att kommentatorsfältet på Youtube-video har använts för kommunikation. Ett exempel är Janicab [3] Låt oss gå tillbaka till tabellen igen, vi har där en tregradig skala. Denna skala visar hur sofistikerade kommunikationskanalerna är. Vi ser där att Stuxnet ligger på andra nivån. Så om vi utgår från detta läge, så är det inte troligt att dessa används av för så många grupperingar. Det var en kort och snabb sammanfattning om några olika sätt som den skadliga koden kan kommunicera. För den nyfikna presentera vi också två exempel med källkod som använder Gmail och Twitter som C2. Både Gcat och Twittor är uppbyggda på samma sätt. Nedan följer en snabb presentation: För att sätta upp denna bakdörr behöver du: När detta är ordnat finns följande kommandon: Kommandon som Twittor kan köra: Vi har idag gått igenom och nosat på ytan hur skadlig kod kan kommunicera, samt länkat två exempel. Så hur ser framtiden ut? Det är svårt att säga, men det verkar vara en trend att mer skadlig kod kommunicerar utåt och att en ökning har skett i att använda sociala-medier. Vid mer avancerade attacker kan mer sofistikerade kommunikationskanaler användas. Det är dock inte troligt att dessa tekniker används för den stora massan i nuläget. Det var allt för idag. Hoppas ni lärde er något idag samt att er dator inte twittrar konstiga tweets. [1] [2] [3] [4] [5]
li|Push-modellen, här skickar C2-servern ut kommandon till alla infekterade datorer. Pull-modellen, här hämtar den infekterade datorn kommandon från en bestämd plats, detta görs genom att den skadliga koden tittar efter nya kommandon regelbundet. Ett gmail konto, samt att du tillåter alla appar att ansluta till detta. De två filerna: gcat.py ett script som låter dig kommunicera med dina bakdörrar. implant.py själva bakdörren. Ett twitter konto De två filerna: twittor.py ett script som låter dig kommunicera med dina bakdörrar. implant.py själva bakdörren.
h1|Hur kommunicerar skadlig kod
h2|Gmail – Gcat [4] bakdörr som använder Gmail som C2 server Twitter – Twittor [5] Bakdörr som använder twitter för C2 Sammanfattning
sp| Publicerat 2015-11-30  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|Ransomware är ett av de mest högljudda hoten i dag, risken är liten att du missar att du har blivit drabbad. Det drabbar både privatpersoner och företag hårt genom att göra att filer blir otillgängliga och förblir så såvida du inte betalar den lösensumma som begärs ut. Filer som den krypterar ligger oftast inte bara lokalt, utan de inkluderar exempelvis nätverkshårddiskar som finns mappade så att ännu fler blir drabbade. Infektion sker oftast genom en av två infektionsvägar; antingen via bilagor i phishingmail och ibland finns det även länkar som skickar användaren till URLer som kör exploit-kits. Ett exploit-kit kan utnyttja brister i olika programvaror som användaren har installerad på datorn för att leverera skadlig kod. Det första ransomwaret sägs vara upptäckt i Ryssland 2006 som då skapade lösenordsskyddade zip-filer och raderade orginalfilerna. Då fick offret betala 300$ för att kunna låsa upp de lösenordsskyddade filerna. Under en lång period hade ransomware en begränsad spridning, men 2012 började de även dyka upp i Europa. Den första typen av ransomware var ”polis ransomware” som låste användarens dator på något sätt eller krypterade filer som gjorde dem otillgängliga för användaren. En bild visades till användaren där det stod att “polisen” hade “beslagtagit” dina filer för att du hade gjort något olagligt. Den information som visades till användaren var ofta anpassad så att det såg ut som det var den lokala polisorganisationen som krävde lösensumman. I exemplet nedan som ser ut att komma från Polisen kostade det 1000 SEK att låsa upp datorn eller filerna. Sedan under 2013 kom den första versionen av CryptoLocker och därefter har en mängd varianter vuxit fram. Idag dominerar ransomwarefamiljerna TeslaCrypt, CryptoWall, CBT-Locker och Cryptolocker. att ransomware (alla typer, inte bara crypto-ransomware) haft en ökning på 113% från 2013 till 2014. Samtidigt ser 2015 ut att vara året för de nya varianterna av ransomware… Även en ökning för 2016 där den nya affärsmodellen ” ” fortsätter att växa. Redan under de senaste veckorna har det skett några förändringar i ransomware-sfären. Den senaste varianten av skapar nu slumpmässiga filnamn. En annan variant av ransomware, , hotar med att publicera filerna som den har tagit som gisslan. Och nu är inte heller Linux-användare säkra med i det vilda. Som tur är hade den första varianten av Linux-ransomwaret några brister och BitDefender har tagit fram ett . Det är inte första missen som utvecklarna av ransomware gör, till exempel så har Kaspersky utvecklat verktyget för ransomware som bland annat skapar filändelserna .locked, .oshit, .encrypted på de krypterade filerna. Men man kan inte alltid förlita sig på att det finns ett verktyg som kan dekryptera filerna, med råd hur man kan skydda sig och vad man kan göra om man blir drabbad. Följande är några generella råd som alltid är bra att följa: Vad kan vi vänta oss härnäst då? Vad händer om Ransomware börjar plantera exekverbara filer med skadlig kod på filytor som delas med andra användare? Ja, det skulle säkert leda till en ökad spridning. McAfee förutspår en ökning av ”RaaS” och ransomware som inte gör så mycket väsen av sig, utan krypterar i det tysta. Det skulle kunna medföra att krypterade filer även hamnar i backuper som tas regelbundet, och då kan man inte längre förlita sig på att kunna använda sig av backuper för att återskapa filer. Och förresten… Var extra försiktiga på fredagar, då är det tydligen är !
li|Filtrera inkommande e-post, baserat på misstänkta sändare/domäner och bilagor som exempelvis är .exe filer. Blockera åtkomst till kända webbsidor som sprider skadlig kod, här kan båda din anti-virusprogramvara vara tillhjälp, men för företag som använder andra säkerhetskomponenter kan applicera filter på flera nivåer för att öka skyddet ytterligare. Svartlista/Vitlista program, exempelvis genom att konfigurera grupp-policies (GPO:er) som förhindrar att vissa program körs på systemet samt varifrån program får köras och vad de tillåts att göra. Ta backuper, på hela eller delar av disken, och se till att återställning av backuper fungerar. Se till att uppdatera datorn med de senaste uppdateringarna för programvaror och operativsystem och anti-virusskydd. Undvika att vara inloggad med lokala administratörsrättigheter Begränsa behörigheter på nätverksdiskar
h1|Ransomware – det växande hotet.
sp| Publicerat 2015-11-13  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|Det finns idag höga krav på cybersäkerhet från både lagar och avtal. Våra experter hjälper er att etablera en god säkerhetskultur och ett strukturerat arbetssätt med informationssäkerhet. Vi anpassar informationssäkerhetsarbetet utifrån era specifika verksamhetsbehov så att det blir en naturlig del av er verksamhet. Ett strukturerat arbetssätt för informationssäkerhet är en idag en nödvändighet. Vi hjälper er att arbeta enligt ISO 27000 och få en väl fungerande styrning av informationssäkerhet inom er verksamhet. Våra experter har stor erfarenhet att på ett kostnadseffektivt sätt hjälpa verksamheter att utforma och införa säkerhetsramverk efter behov. Vi ger även stöd genom att ta fram nödvändiga underlag, så som SOA, för att uppnå en certifiering enligt ISO 27000. Många verksamheter utsätts för att kunna påvisa operativa risker. Våra experter har stor vana att sätta sig in i regelverk och genomföra due diligence och gap-analyser gentemot nya och kända regelverk så som PCI-DSS och WLA. Våra konsulter har erfarenhet att tolka standarder som t.ex. ISO 27000, SOC2 och ISAE 3402 samt lagkrav och föreskrifter så som FI-FFFS och GDPR. Resultaten från uppföljningen ger er en bild hur ni står mot dessa på ett entydigt sätt med konkreta rekommendationer för att kunna påvisa god efterlevnad. Riskanalys har som syfte att definiera hotbild gentemot verksamheten och bedöma den risk denna hotbild utgör. Vi hjälper er att utforma och styra analysarbete för att verksamheten ska kunna lyfta risker. Våra experter bedömer dessa risker tillsammans med er för att på ett effektivt sätt avgöra riskernas betydelse och vi föreslår och förankrar åtgärder för att minimera deras påverkan på verksamheten. Vi hjälper er att utöka er beställarkompetens genom att ställa relevanta säkerhetskrav vid exempelvis outsourcing, förändrings- och it-säkerhetsprojekt samt inköp. Kraven tas fram genom utvärdering av riskanalyser, analys av legala krav och genomgång av ingångna avtal. Detta ger er möjlighet att bibehålla er säkerhetsnivå även vid en it-strategisk förändring. Förberedelser för de situationer som äventyrar er kärnverksamhet är kritiska. Våra experter hjälper er ta kontroll över dessa situationer och strömlinjeforma arbetet för att begränsa skada samt återgå till ordinarie verksamhet. Affärsmässiga samt legala aspekter vägs in i arbetet och innebär att ni i förväg kan avgöra vad som ska prioriteras i händelse av kris, samt vilka tillgänglighetskrav detta innebär. Vi skapar genom detta förutsättningar för er verksamhet att klara kriser. Informationskartläggningen är en förutsättning för informationssäkerhetsarbetet vilket skapar ramar för beskrivning av hotbilder och risker. Genom att inventera den information som används i er verksamhet tar våra experter fram anpassade skyddsåtgärder för att nå önskad säkerhetsnivå. Informationskartläggningen är en utmärkt grund för att etablera och förankra informationssäkerhet i er verksamhet.
h1|Informationssäkerhet
h2|Regelverk Uppföljning och audit Hot-, risk- och sårbarhetsanalys Kravställning Kontinuitetshantering och konsekvensanalys (BCP/BIA) Informationskartläggning
sp|Copyright © 2021 - Simovits AB
pa|Denna veckas blogg belyser interna hot inom organisationer. Anledningen till ämnet är att det nyligen lyftes i samband med en scenariobaserad riskanalys. Frågeställningen handlade om huruvida detta hot, utöver att det identifierats som relevant, verkligen realiserats överhuvudtaget? Existerar det fall då detta verkligen inneburit en avsevärd påverkan på en organisation och i så fall på […] Efter det förnedrande intrånget på Ryska järnvägen i januari i år [1][2] , så kom jag över en artikel[3] i den ryska motsvarigheten till Engadget – habr.ru som citerade ett ”axiom” som förklaring till varför just Ryska järnvägen blev hackad. Författaren hade snällt länkat till den ursprungliga artikeln som beskrev ett antal axiom/lagar kring Cybersäkerhet […] Bakgrund I höst kommer Post- och Telestyrelsen auktionera ut 5G-frekvenser till mobiloperatörer [2]. Tilldelningen ska främja kapaciteten för mobila bredbandstjänster och skapa en plattform för den kommande 5G-utbyggnaden. För den som är villig att delta i Sveriges kommande 5G-utrullning kommer ett lägsta bud i tilldelningen att kosta 1.5 miljarder kronor i 3.5 GHz-bandet och 160 […] Kartläggning av individer och organisationer har kommit att förknippas med främst med integritet, men det finns fler aspekter som är av intresse ur olika säkerhetsperspektiv. Vissa utredningar är både normala och önskvärda, exempelvis bakgrundskontroller vid anställningar och kontroller vid företagsförvärv. Andra former av kartläggning är mindre önskvärda, men svåra att förhindra. Det som möjliggjort denna […] Denna blogg kommer att kort ta upp centrala delar av det white paper Europeiska kommissionen släppte avseende AI. Friskrivning Denna blogg kommer inte gå in på kommissionens definition av AI, eller hur AI har blivit ett samlingsbegrepp för flera olika typer av algoritmer som författaren inte anser är ”intelligenta”. Bloggen kommer heller ej behandla den […] Denna blogg är en fortsättning på ett tidigare blogginlägg som berörde CLOUD Act och GDPR [1], och kommer beröra problemen som är associerade med användningen av amerikanska molntjänster. Bakgrund I mars 2018 antogs CLOUD Act i USA i syfte att underlätta för amerikanska myndigheter att inhämta data från amerikanska IT-bolag. Detta som svar på en […] Införandet av EU:s nya dataskyddsregler (GDPR) 2018 skedde framförallt för att stärka individers rätt till att i högre utsträckning veta och ha möjlighet att påverka hur företag hanterar deras personuppgifter. Införandet innebar avsevärt förberedande arbete för de som behandlar personuppgifter, vilket i princip inte uteslöt något företag eller organisation, förening eller branschsektor. För att visa […] Säkerhetsskyddslagstiftning reglerar säkerhetskänslig verksamhet med betydelse för Sveriges säkerhet. Detta innebär skydd för de mest skyddsvärda verksamheterna mot i första hand antagonistiska angrepp. I april 2019 träder dels den nya säkerhetsskyddslagen (1) samt den nya säkerhetsskyddsförordningen (2) i kraft. Nyligen redovisades ett betänkande med förslag på kompletteringar till den nya säkerhetsskyddslagen (3). Veckans blogg sammanfattar […] De senaste åren har transparens i hanteringen och skydd av personuppgifter givits mycket stort fokus på nationell och europeisk nivå genom införandet av Dataskyddsförordningen. Man kan nu möjligen se tendenser till att detta är på väg att ta en motsatt riktning och att intressen som har att göra med nationell säkerhet prioriteras. Tecken på detta […] Frågeställningen i detta inlägg är vilka förändringar som den nya dataskyddsförordningen (som ersätter personuppgiftslagen) kan komma att medföra för hur känsliga personuppgifter hanteras inom IT-relaterade utredningar. Utgångspunkten för dataskyddsförordningen är förenklat att enbart sådan behandling av personuppgifter får äga rum som är nödvändig, har stöd av lagstiftning och regelverk och som framstår som relevant och […]
sp| Publicerat 2021-02-26  Skrivet av Filip Crona  Publicerat 2021-02-19  Skrivet av Mikael Simovits  Publicerat 2020-08-07  Skrivet av Dennis Nilsson Sjöström  Publicerat 2020-05-14  Skrivet av Tomas Forsberg  Publicerat 2020-04-30  Skrivet av Dennis Nilsson Sjöström  Publicerat 2020-01-03  Skrivet av Dennis Nilsson Sjöström  Publicerat 2019-11-01  Skrivet av Filip Crona  Publicerat 2018-12-07  Skrivet av Filip Crona  Publicerat 2018-09-07  Skrivet av Filip Crona  Publicerat 2018-08-03  Skrivet av Tomas Forsberg Copyright © 2021 - Simovits AB
pa|I denna bloggpost kommer jag berätta övergripande om kvantdator och de utmaningar som förväntas komma med deras intåg för hur vi håller vår data och informationsflöde säkert. Kvantdatorer är en form av datorer där man utnyttjar kvantmekaniska fenomen för att för utföra beräkningar. Den mest grundläggande egenskapen hos en kvantdator är att data representeras av “qubits” istället för de vanliga “bits” som vi är vana vid. Qubits har egenskapen att de kan vara i två tillstånden samtidigt, DVS en qubit kan vara både ‘0’ och ‘1’, samtidigt. Detta är typiskt kodat i kvanttillstånd hos enskilda partiklar, såsom en fotons polarisation. Detta kvantmekaniska beteende kommer från en grundläggande egenskap inom kvantmekaniken; superposition, vilken innebär att partiklar kan befinna sig i flera tillstånd samtidigt. När värdet på en qubits mäts kollapsar denna superposition och man får då antingen ett värde på 0 eller 1, med viss sannolikhetsfördelning för vilket svar som ges. Denna egenskap hos qubits är grunden för varför kvantdatorer har potential till väldigt kraftfull beräkningsförmåga. Genom att qubits kan representera flera värden kan parallella beräkningar utföras; samtidigt på samma qubits. Detta gör kvantdatorer väldigt kraftfulla för en vissa typer av beräkningar, som till exempel genomsökning av databaser, simulering av fysiska system som molekylstrukturer, eller dekryptering. Men svårigheter med att konstruera algoritmer som faktiskt ger de svar man är ute efter (istället för viss sannolikhet att det var svaret man var ute efter) gör det svårt att föreställa sig att kvantdatorer kommer ersätta dagens klassiska datorer inom en överskådlig framtid. Kvantdatorer lider även av problem relaterat till vår brusiga omgivning. Superposition av qubits är ett väldigt skört tillstånd och små störningar kan förstöra superpositionen. Trots dessa svårigheter läggs mycket energi och pengar på utveckling av kvantdatorer, både inom den privata och offentliga sektorn. Som nämnts ovan kan kvantdatorer ge stora förbättringar för beräkningstid för vissa typer av problem som klassiska datorer har svårt för. Ett av dessa är relaterad till hur vi idag gör nyckelutbyten för att kunna kryptera och signera digitala meddelanden. De algoritmer vi använder idag för detta (RSA, ECDH osv) bygger på att en publik nyckel delas öppet med partner, och att denna är kopplad till en privat nyckel som hemlighålls. Denna privata nyckel går i teorin att beräkna från den publika, men det är extremt långsamt process med klassiska datorer då det inte finns några genvägar. Man behöver testa alla möjliga alternativ tills man hittar rätt lösning. Med tillräckligt stor mängd potentiella lösningar som måste testas kan man enkelt göra det praktiskt omöjligt att beräkna den privata nyckeln. Med kvantdatorer kan man till stor del komma runt detta. Det existerar redan idag i algoritmer som i teorin gör det möjligt för kvantdatorer att beräkna en privat nyckel från en publik nyckel i en bråkdel av den tid som en det skulle ta för en klassisk dator. Shors algoritm, namngiven efter sin skapare Peter Shor, är den mest välkända, och i ett framtida blogginlägg ska jag gå igenom denna algoritm, men för diskussionen idag räcker det med att veta att kvantdatorer av tillräcklig storlek (mycket större än vad som existerar idag) enkelt kan bryta de krypteringsalgoritmer vi använder till all vår kommunikation över internet, som till exempel banktransaktioner, webbtrafik, fjärranslutningar, epost, osv. Det pågår för närvarande aktiv forskning på alternativa metoder för nyckelutbyten som är säkra även efter kvantdatorernas infart. Lösningar på problemet med dagens algoritmer med nyckelutbyte kan delas upp i två typer metoder. Den första är metoder där kvantmekaniska fenomen används för att dela nycklar. Ett exempel är BB84 protokollet. En detaljerad beskrivning av detta är för en framtida blogg, men enkelt kan man säga att nyckeln kodas i kvanttillstånd hos fotoner (ljuspartiklar) som skickas genom optiska fiber. Det faktum att det inom kvantmekanik är omöjligt att observera något utan att påverka det används för att detektera om någon avlyssnar. I teorin är denna metod oerhört säker då den använder fysikens lagar för att säkra informationen istället för som dagens algoritmer; begränsningar i beräkningskraft hos våra datorer. Den kommer dock med en stor nackdel i form av krav på tekniska framsteg och ekonomisk investering i både hårdvara och infrastruktur. Det behövs dedikerad fiberoptik för att skicka signalerna, samt hårdvara som kan mäta och producera signalerna. Det pågår forskning för att undersöka möjligheterna att använda laser och satelliter för att skicka detta genom luften och över långa avstånd. Gitterbaserad kryptografi kan vara lösningen på post-kvantdator kryptografi, så kallad kvantsäker kryptografi. Ett annat, kanske mer realistiskt, tillvägagångssätt för att motverka att kvantdatorer kan knäcka all vår kommunikation är så kallad kvantsäker kryptografi. Detta bygger på mer klassiska krypteringsalgoritmer för nyckelutbyte, men där de matematiska problemen som används inte är enklare att tackla med kvantdatorer än för klassiska datorer. Det finns en rad alternativ för kvantsäkra algoritmer som studeras, såsom gitter-, hash-, eller flervariabel-baserad kryptografi. Man kan visa att dessa är motståndskraftiga mot attacker med Shors algoritm, men det är svårt att visa att det inte går att konstruera andra algoritmer för kvantdatorer som kan knäcka dem. Den största fördelen med kvantsäkra algoritmer är att implementeringen av dessa skulle kunna göras väldigt enkelt utan krav på ny hårdvara eller infrastruktur. Det skulle i princip kunna vara så enkelt som att utveckla uppdateringar för nuvarande protokoll såsom Transport Layer Security (TLS). på grund av detta anser de flesta att detta är den mest troliga vägen framåt för att säkra vår kommunikation i framtiden.
st|Vad är en kvantdator? Kodbrytning med kvantdatorer Kodbrytning med kvantdatorer Nyckelar kodade i kvanttillstånd Kvantsäkra kryptografiska algoritmer
h1|Kvantkryptografi, en överblick
sp| Publicerat 2019-06-07  Skrivet av Erik Aronson Copyright © 2021 - Simovits AB
em|Gitterbaserad kryptografi kan vara lösningen på post-kvantdator kryptografi, så kallad kvantsäker kryptografi.
pa|Det är nu drygt en månad kvar av det nuvarande året, och med det närmare sig döden för Python 2. Efter första januari 2020 kommer väsentligen allt officiellt stöd för Python 2 försvinna, inklusive utfärdandet av nya säkerhetsuppdateringar. Mängden program ute i det vilda som är skrivna i det äldre Python 2 är dock så omfattande att det kommer dröja lång tid innan alla dessa har skrivits om för Python 3. Samlevnad av dessa två versioner kommer därför oundvikligen att vara ett faktum över de nästkommande åren. Samtidigt är det så att en ny utvecklare som idag (eller i framtiden) lär sig Python kommer att lära sig Python 3. Likaväl kan denna få i uppgift att underhålla och utöka funktionaliteten hos ett tidigare program skrivit i Python 2. Med bristande förståelse om skillnaden dem emellan kan säkerhetsbrister uppstå. Låt oss för stunden bortse ifrån allt vad uppdateringar beträffar och istället betrakta ett exempel på en risk som uppstår till följd av förändringar mellan hur en vanligt förekommande funktion fungerar i Python 2 och Python 3. En junior utvecklare har blivit ombedd att lägga till funktionalitet hos ett Python 2 program som gör att en användare kan ange ett värde. Detta skulle exempelvis kunna vara ett värde som används i någon form av beräkning eller simulation. Utvecklaren använder sig av input funktionen för att ta emot data, och utför sedan en kontrollerad konvertering (med undantagshantering) till ett heltal eller flyttal enligt vanligt Python 3 förfarande. Antagandet är att all mottagen indata lagras i form av en sträng. Utvecklaren vet med sig att Python 3 är framtiden och skriver därför koden så att den ska kunna köras i båda versionerna, för att förenkla eventuell framtida uppdatering. Förenklat så förekommer följande kod: Vad skiljer sig i Python 2 jämfört med Python 3 för denna kod? Mycket visar det sig. Låt oss testa vad som händer när vi kör följande kod med de olika Python versionerna. Först testar vi med Python 3: Inga konstigheter, vid inmatande av något som inte kan konverteras till en siffra så uppstår ett undantag som hanteras. Låt oss se skillnaden när vi kör samma skript fast denna gång med Python 2: När vi kollar felmeddelandet när vi skriver text istället för siffror ser vi något intressant, det ser ut som att Python klagar på att den stöter på en odefinierad variabel! Vi testar att försöka skriva Python kod direkt in, vilket visar sig fungera! Det går alltså för en användare att exekvera godtycklig kod på värdmaskinen som kör detta skript. Skillnaden mellan dessa två fall beror på följande: Sättet att samla in inmatning från användare har förändrats mellan de olika versionerna. I Python 2 finns det främst två funktioner som båda kan användas, ”input” och ”raw_input”, medans enbart ”input” finns i Python 3 av dessa två. Vad är skillnaden mellan input och raw_input? Den första hanterar allt som Python-kod, som den sedan omedelbart exekverar; medans raw_input tolkar allt som en sträng. I andra ord, raw_input fungerar i princip som input gör i Python 3. En utvecklare som inte vet skillnaden på hur två identiskt namngivna funktioner fungerar i olika versioner av Python kan alltså gå i fällan att använda input istället för raw_input i Python 2. Detta illustrerar en risk som inte relaterar till frånvaron av säkerhetsuppdateringar, utan är en konsekvens av att grundläggande saker i språket ändras mellan versioner. I den här bloggen har ett kraftigt förenklat exempel används för att illustrera risker som uppstår till följd av bristande versionskännedom rörande Python 2 och 3. Fallet här är enkelt att lösa genom att lägga till, i början av skriptet, något i stil med: Detta pekar om referensen i input variabeln till raw_input funktionen, vilket fungerar likartat med Python 3 input funktionen. Slutsatsen är att även framtida utvecklare kommer behöva veta hur Python 2 fungerar, och vad för skillnader som finns mellan denna och version 3. Risken är annars att en ny kategori av sårbarheter dyker upp, vilket inte beror på någon omedveten brist, utan är en följd av namnbyte samt hur en gammal funktion var tänkt att användas.
st|Med ena foten i Python 3 och andra i Python 2 Versionskännedom i framtiden
h1|Python 2 är dött, leve Python 2!
sp| Publicerat 2019-11-29  Skrivet av Carl-Douglas Benno Copyright © 2021 - Simovits AB
pa|Jag besökte BlackHat i början av augusti och gick utöver själva konferensen en kurs som heter ”BlackOps Hacking – Master Level”. Gemensamt med båda var att det var en hel del diskussion om sårbarheter (så klart…) och 0-days från olika perspektiv – utveckling/forskning, köpare och säljare. Marknaden är stor för 0-days och sårbarheter och det är en kamp mellan de som behöver skydda sig mot dem och de som vill utnyttja dem. Incitamentet att vara den fösta som hittar 0-days/sårbarheter är stor. Sedan är det skillnad på dem som får lön under tiden de letar efter dessa, som Project Zero, och de som livnär sig på att hitta och sälja sårbarheter. Under de senare åren har vi sett en mängd 0-days som fått en hel del uppmärksamhet efter att de blivit kända, så som Heartbleed [1] och Meltdown [2]. Maor Shwartz [3] talade på BlackHat och placerade intressenterna i tre grupper; white hats, grey hats och black hats: Vidare beskriver Shwartz att 0-day marknaden har gått från att vara något som sker i det mörka till att ske mer öppet. Att det har blivit mer öppet kan vara utökning av marknaden, då det finns företag som Zerodium som köper från utvecklade/forskare och säljer 0-day till statliga aktörer [5]. Det behöver inte alltid vara ett ”ont” företag som köper sårbarheterna. En 0-day kan självklart ge ett företag en fördel i sin bransch för att kunna leverera en produkt eller lösning. Det är exempelvis sannolikt att Cellebrite, ett mobilforensikföretag, har kännedom om en sårbarhet som tillåter dem extrahera data från vissa telefonmodeller när de har fysisk tillgång till den – och denna sårbarhet är inte allmänt känd [6] (notera att det inte är känt hur Cellebrite går tillväga eller om de köpt eller själv identifierat en eventuell sårbarhet). Men finns det en sårbarhet kan de också utnyttjas av de som vill något ont. Å ena sidan har vi 0-day försäljarna och sedan har vi de som (kanske) försöker göra en god gärning. En aktör utför en responsible disclosure genom att informera de som har en sårbarhet för att ge dem viss tid att årgärda en brist innan information om sårbarheten publiceras. Detta sätter press på att åtgärda en sårbarhet – vi kan nog bara spekulera kring hur länge vissa sårbarheter har varit kända för en leverantör men åtgärden har inte prioriterats. Vid en responsible disclosure ges leverantören en deadline – när tidsfristen går ut publiceras information om sårbarheten och den blir allmänt känd. Googles Project Zero har blivit ”anklagade” för att ha publicerat information om sårbarheter efter en responsible disclosure trots att tidsfristen gått ut [7]. Responsible discolsure är ett sätt att tvinga fram säkrare produkter och bättre rutiner kring hantering av sårbarheter, men det fungerar inte alltid riktigt som tänkt. Är det ens möjligt att förbättra responsible disclosure och uppnår det verkligen det man vill? Finns det möjligheter att få det att bli lika populärt som att sälja sårbarheterna vidare? Bug bounty-program börjar öka – där får de som hittar sårbarheter en slant (allt från några få dollar till tusentals dollar) för att rapportera in dem till leverantören. Men för att marknaden ens ska ha en chans att bli mer öppen måste dessa belöningar ibland motsvara den summa som de som faktiskt är intresserade av att utnyttja en sårbarheterna är villiga att betala, vilket oftast är betydligt mycket mer. Och det är helt enkelt osannolikt att det skulle utrota 0-day marknaden… Dessutom är bug bounty programmen många gånger begränsade till en viss typ av sårbarheter och endast delar av system – de kanske bara skrapar på ytan. En black hat skulle inte bry sig detta och leta efter sårbarheter överallt och sälja dem vidare i en mer dold marknad utan att tänka på eventuell etik och moral. Företagen skulle i längden antagligen tjäna på att investera i säkerhetsgranskningar själva (antingen internt eller av extern leverantör) och leverera en säker produkt från start, men trots det så finns alltid risk att sårbarheter finns. Marknaden för sårbarheter finns och det finns incitament att hitta sårbarheter. Sedan är det skillnad på dem som får lön under tiden de letar efter dessa, som Project Zero, och de som livnär sig på att hitta och sälja sårbarheter. Bug bounty-programmen är ofta begränsade till vissa typer av sårbarheter och delar av system så som publika webbsidor – de riktigt allvarliga sårbarheterna kanske aldrig identifieras på detta sätt. Det är aldrig möjligt att säga att ett system är buggfritt eller att ett system är helt säkert. Det finns så många faktorer som spelar in. Hot utifrån och inifrån. Många attackvektorer. Det viktigaste är trots allt att göra det bästa för att göra ett system säkert, ta med säkerhet redan från början i ett projekt och ha med det under systemets hela livscykel. Och om något skulle orsaka en it-säkerhetsincident trots det, för det går aldrig att förutse, behöver man veta hur information hanteras och var den finns för att kunna minimera risker och begränsa skada. Det finns ingen silver bullet. [1] [2] [3] [4] [5] [6] [7]
li|”white hats” består av bug bounty program så som HackerOne och BugCrowd, och it-säkerhetsföretag som riktar sig på blue teaming. ”grey hats” är mellanhänderna för försäljning av 0-days och de tävlingar som riktar sig på att hitta 0-days, så som pwn2own [4]. Sist har vi ”black hats” – de offensiva it-säkerhetsföretagen, statliga aktörer och kriminella.
h1|Sårbarheter och silver bullets.
h3|Marknaden för 0-days Responsible disclosure och bug bounties Slutsatser…
h4|Referenser
sp| Publicerat 2019-08-23  Skrivet av Tiina Loukusa Hyttnäs Copyright © 2021 - Simovits AB
pa|Våra experter med bakgrund inom matematisk forskning hjälper er att modellera era operativa risker. Med statistiska och kombinatoriska analysmetoder skapar vi modeller och objektiva underlag för att fatta bättre informerade strategiska och taktiska beslut. Inom spelbranschen finns idag ett stort antal turspel med allt mer komplexa spelregler. För ägaren av ett sådana spel är det kritiskt att förstå spelets matematiska förutsättningar. Detta dels för att kunna redovisa att man bemöter krav från tillsynsmyndighet och dels för att säkerställa att spelare inte kan utnyttja spelets logik för att få en orättvis fördel. Vi har erfarenhet från spelbranschen av att matematiskt modellera befintliga och tilltänkta spel samt analysera möjligheterna för en rationell spelare att “lura systemet”. Att mäta och presentera den egna organisationens säkerhetsarbete för rapportering till styrelse eller uppföljning av operativa risker är inte alltid enkelt. Vanligt är att man använder antal konstaterade incidenter som ett mått på organisationens säkerhet, men måttet är missvisande, då investeringar i säkerhet kan leda till en ökning förmågan att upptäcka incidenter. Vi har kunskap och erfarenhet från finansbranschen av att stödja organisationer i att ta fram precisa mätetal som i god tid belyser riskområden inom informationssäkerhet.
h1|Matematisk modellering
h2|Modellering för spelbranschen Att mäta säkerhet
sp|Copyright © 2021 - Simovits AB
pa|Zoom kommer bara att erbjuda end-to-end kryptering till betalande användare Och här finns ett dokument som beskriver den troliga implementationen SMBv3 fortsätter att spöka till det. SMBGhost är en PoC för att utnyttja en sårbarhet i SMBv3 som kan tillåta en angripare att exekvera kod, sårbarheten i sig är inte ny, men nu finns det en PoC. SMBGhost kan kombineras med SMBleed för att skapa SMBleedingGhost som kan tillåta en pre-auth RCE och såklart finns det en PoC för det! CallStranger, en sårbarhet som finns i UPnP-enheter och kan användas för exfiltrera data. PoC finns på GitHub. Tysk oberoende it säkerhetsfirma har utfört kodgranskning av Huaweis 5G kod och finner det svårt att avsiktliga säkerhetsbrister eller brister i transparens döljer sig. Facebook anlitade en IT-säkerhetsfirma för att utveckla en zeroday som röjd IP-address i det integritetsorienterade operativsystemet Tails. Verktyget gavs sedan till FBI som använda det för att hitta en pedofil.
h1|Simovits Hänt-i-veckan Vecka 24
sp| Publicerat 2020-06-16  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|Apple har patchat den sårbarhet som gjorde jailbreaken Unc0ver möjlig En bild med felaktig/alltför omfattande color space får Androidtelefoner att krasch-loopa om den sätts som bakgrund Det fortsätter trilla in sårbarheter i Zoom, dessa har dock åtgärdats innan de blev publikt kända. Talos skriver att det kan behövas en fix på klient-sidan för att den ena sårbarheten ska åtgärdas helt. Och lite mer om Zoom… Zoom kommer bara att erbjuda end-to-end kryptering till betalande användare och här finns ett dokument som beskriver den troliga implementationen MSB publicerar en rapport om Cybersäkerhet i Sverige 2020 i samarbete med Försvarets materielverk (FMV), Försvarets radioanstalt (FRA), Försvarsmakten, Polismyndigheten, Post- och telestyrelsen (PTS), samt Säkerhetspolisen Direktlänk till rapporten: Rapport om Cybersäkerhet i Sverige 2020 och direktlänk till Rapport med rekommenderade säkerhetsåtgärder
h1|Simovits Hänt-i-veckan Vecka 23
sp| Publicerat 2020-06-08  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|Samtal via Signal kan avslöja information om din position Unc0ver – Ny 0-day jailbreak som fungerar för iOS 11 till iOS 13.5 Strax under 100 000 skickade lösenord i klartext kunde observeras under 4 dagar på årets RSA-konferens publika WiFi (bättre än förra året). Årets SOC-rapport: Microsoft informerar om ett nytt ransomware, som till skillnad från spridning via e-postbilagor kräver att användaren exekverar den skadliga koden. PonyFinal är en av de ransomware som inte tagit “paus” under den pågående coronakrisen
h1|Simovits Hänt-i-veckan Vecka 22
sp| Publicerat 2020-06-02  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|Vänlig påminnelse: Ska du utveckla skadlig kod så glöm inte att stänga av ditt antivirus. Annars går det som för GhostDNS som läckte sin källkod till Avast: Kasperskys Q1-sammanställning kring it-hot
h1|Simovits Hänt-i-veckan Vecka 21
sp| Publicerat 2020-05-25  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|Allvarliga säkerhetsbrister i WordPress pluginet “Page Builder WordPress” som används av nästan en miljon siter. Top 10 mest utnyttjade sårbarheterna 2016-2019, artikel publicerad av US-CERT APT slår till mot norska fonder Ska vi omvårdera iPhones säkerhet? Med några enkla handgrepp är det möjligt att bryta sig ut ur den begränsade miljön och exekvera skadlig kod på UFED-enheterna från Cellebrite som används av polismyndigheter världen över för att extrahera och analysera digitala bevis. I likhet med instruktionerna i verktyget själv består angreppet av en stegvis beskrivning av hur man ska klicka sig runt i användargränssnittet för att fullständigt kompromettera enheten.
h1|Simovits Hänt-i-veckan Vecka 20
sp| Publicerat 2020-05-19  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|Forskare konverterar en PSU till en högtalare genom att infektera skadlig kod för att exfiltrera data (länken innehåller också andra intressanta/kluriga dataexfilteringstekniker för air-gappade system som samma forskare har arbetat med) Ytterligare en falsk Zoom-installer sprids, nu med inbakad WebMonitor RAT!
h1|Simovits Hänt-i-veckan vecka 19
sp| Publicerat 2020-05-11  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|Zerodays med hjälp av mail till den inbygga klienten i iOS används i riktade angrepp för att komprometterande iPhones utan användarinteraktion. Företagsledare, säkerhetsleverantörer och journalister är bland de drabbade. Kina föreslår centraliserat och kontrollerat internet med uppdatering till TCP/IP, RIPE motsätter sig Microsoft Teams var sårbar mot ett kontokapning genom att angriparen tog över en subdomän och skickade en särskilt utformad GIF.
h1|Simovits Hänt-i-veckan vecka 17
sp| Publicerat 2020-04-28  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|Besökare på webbsidor får upp certifikatsvarningar och användarna uppmanas att installera ett certifikat, sidan är legitim men i själva verket ligger det en iframe över sidan och syftet är att sprida skadlig kod Även kryptolösningar har kass serversäkerhet. Ska man våga använda komersiella kryptotjänster överhuvudtaget. En ny attackmetod för att kringgå befintliga försvar mot attacktypen RowHammer har publicerats tillsammans med proof-of-concept-kod. RowHammer utnyttjar oönskade fysikaliska sidoeffekter av ramminnens konstruktion för att göra oauktoriserade ändringar i minnet, vilket kan leda till exempelvis denial of service eller privilegiehöjning. Datainspektionen lanserar sin e-tjänst för anmälning av personuppgiftsincidenter! Något man bör vara medveten om. Populära appar som läser din clipboard – även om de kanske inte ens har textfält som skulle använda informationen.
h1|Simovits Hänt-i-veckan vecka 11
sp| Publicerat 2020-03-16  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|Internet skannas nu med publika exploits efter tomcat-servrar sårbara mot CVE-2020-1938 (a.k.a. Ghostcat). Den bakomliggande bristen är att anslutningar via AJP getts högre behörigheter än dem via HTTP i Tomcat. AJP är också som default aktiverat och kräver ingen autentisering. Finns i webbapplikationen möjlighet att ladda upp filer kan bristen leda till fjärrexekvering av kod. Check point har sammanställt olika kända sätt som olika typer av skadlig kod avgör om den kör i en virtuell miljö. Bra referensmaterial för den som utvecklar eller gör reverse engineering av skadlig kod! Coronaviruset är också en anledning till “virusspridning” på nätet
h1|Simovits Hänt-i-veckan vecka 10
sp| Publicerat 2020-03-09  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|Det har de senaste åren dykt upp fler och fler appar för de som vill hålla sina konversationer privata. Exempel på funktioner är efemära meddelanden (som försvinner efter läsning eller viss tid) och end-to-end-kryptering, vilket innebär att den sändande mobilen krypterar och den mottagande mobilen dekrypterar, utan att ens tjänsteleverantören kan återskapa meddelandena till klartext. Men hur är det när meddelandena väl finns på telefonen? Hur lätt är det att se meddelandena för polisen som beslagtagit din telefon, eller för (den mer avancerade) tjuven som stulit den? Vi tänkte idag göra några enkla test av tre exempel på appar med end-to-end-kryptering, för att se hur mycket av meddelandena vi kan se vid en forensisk utredning av telefonerna. De appar vi testar idag är: – Populär chattapp som ägs av Facebook. Hävdar end-to-end-kryptering, men Facebook är ökända för att på diverse snillrika sätt ”spionera” på sina användare. I WhatsApps fall är det metadata de fått kritik att de kartlägger, såsom med vem och när du chattar. – En open source chattapp framtagen av Open Whisper Systems, som ses som ett seriöst säkerhetsföretag med en väl ansedd kryptolog-ägare som starkt värnar om integritet, och om man nu är en sådan som anser att Edward Snowden vet bäst om allting så är detta chattappen han använder för att hålla sina konversationer privata från FBI etc. – En chattapp som bland annat hävdar kryptering såväl end-to-end som för meddelanden i vila. Företaget erbjuder även betalversion/företagslösningar för mer funktionalitet. Samtliga av dessa appar har möjlighet att höja säkerheten ytterligare på olika sätt, till exempel genom att göra meddelandena efemära/tidsbegränsade, men idag använder vi grundinställningar på samtliga appar eftersom de flesta vanliga användare litar på dem samt att jämförelserna blir mer rättvisa. De testtelefoner som används är en Samsung Galaxy S5 (Android 6.0.1) samt en iPhone 5S (iOS 12). Grundsäkerheten är något större för en ”nyare” iPhone, som för en vanlig forensisk undersökning kräver att den är upplåst och att man därför på något sätt måste komma över eventuell pinkod/lösenord för telefonen. På Samsungen, likt många andra Androider, går det däremot att gå runt telefonlåset, och man kan dessutom få ut en exakt bit-för-bit-kopia av telefonens hårddisk vilket möjliggör att man även kan söka (”carva”) efter exempelvis bilder som är raderade och ligger på diskens oallokerade utrymme. Vi förbereder genom att skicka ”hemliga” meddelanden fram och tillbaks mellan de båda telefonerna med respektive app, både i form av textmeddelanden och bilder tagna med respektive apps inbyggda kamerafunktion. Därefter förs telefonernas data med hjälp av programmet UFED 4PC över till undersökningsdatorn genom en forensisk filsystemextraktion av iPhone, respektive en “fysisk” forensisk extraktion av Samsung (som även kringgår telefonlåset). Nu kan vi ladda telefonernas data i undersökningsprogrammet Cellebrite PA och söka efter eventuella spår av meddelandena och bilderna. Vid genomgång av telefonernas data på undersökningsdatorn kan man lätt välja att titta på kategorin ”Chats”, varpå den enda av de testade apparna som visas är WhatsApp. Väljer man att titta på vår testkonversation så ser man att såväl text som bilder visas utan svårigheter för denna app. Samma resultat gäller för båda telefonerna. Om man tittar på kategorin för installerade applikationer kan man se att samtliga tre appar har upptäckts på telefonen, men enligt kolumnen ”Decoded by” har Cellebrite (undersökningsprogrammet) mycket riktigt inte lyckats tolka Signal eller Wickr Me. I bilden ovan ser man även vilken version av apparna som körs på telefonen, och vid jämförelse med Cellebrites offentligt stödda versioner för dessa appar inser vi att vi troligen kör på tok för nya versioner av dessa program. Dock testades även en nedgradering av dessa appar till en stödd version, vilket inte gav någon direkt skillnad. Om man allmänt tittar på vilka bilder som lyckats hittas av undersökningsprogrammet så finns ett antal versioner av de bilder som skickades/tog emot av WhatsApp. Eftersom standardinställningen i WhatsApp är att spara en kopia av all media i meddelandena i ”Kamerarullen”, så finns det en kopia där, sen är det några cachade versioner och thumbnails. Det finns alltså rätt många spår av bilderna från WhatsApp som inte är krypterade eller lätt avkodade av undersökningsprogrammet. Även här fungerade det ungefär lika för såväl iPhonen som Samsungen. Det sista testet var att ”carva” igenom hela bit-för-bit-avbilden av Samsungdisken för att se om vi kan hitta gömda/raderade bilder. Inte heller detta visade något från Signal eller Wickr, men även här dök bilderna från WhatsApp upp. Sammanfattningsvis fick resultat enligt tabellen nedan som visar vilken data vi lätt fick ut ur respektive testad app: Att WhatsApp skryter med kryptering end-to-end betyder inte så mycket i en sådant här avseende. Eftersom det nog är mångt mycket vanligare att en telefon blir stulen än att telefonens trafik avlyssnas, känns nästan kryptering av appdata i vila på telefonen viktigare. Nu har vi idag bara gjort ett snabbt test med forensiska standardmetoder, och det kan givetvis finnas sätt att komma åt mer data från Signal och Wickr Me om man har motivation och lite mer tid till övers för att testa lite mer avancerade tillvägagångssätt. Men till synes verkar Signal och Wickr Me enligt detta test hålla måttet för att kvalificera som säkerhetsappar i detta avseende. Dock är det ju givetvis så att om man ändå har tillgång till, eller kan kringgå telefonens lås, så kan man ju givetvis komma åt datan genom att bläddra i apparna direkt i telefonen om användaren inte satt ytterligare lås för att starta dem. Detta är enligt mobilforensikens best practice den sist valda metoden att undersöka en telefon på pga risken för beviskontaminering, men det bryr sig kanske inte tjuven om. [1] – [2] – [3] –
td|Text + bilder Text + bilder – – – –
st|iPhone Samsung WhatsApp Signal Wickr Me
h1|Forensik av privata chatt-appar
h2|Testade appar Testtelefoner Testförfarande Resultat Slutsats Referenser
sp| Publicerat 2018-10-05  Skrivet av Peder Sparell Copyright © 2021 - Simovits AB
pa|Denna blogginläggsserie på två delar, skriven av Peder Sparell, behandlar WPS vilket är en extra funktion för trådlösa nätverk som genom sin konstruktion är väldigt bristfällig. I första inlägget, del 1, förklaras kort vad WPS är och varför det är så sårbart, och i denna del (del 2) utför vi praktiska tester där vi genomför attacker mot två WiFi-enheter. För att Reaver ska fungera bra behöver man en dator med ett nätverkskort som går att sätta i ”Monitor mode”. För att aktivera monitor mode kan vi använda verktyget airmon-ng. En snabb koll med kommandot iwconfig visar att datorns trådlösa nätverksgränssnitt heter ”wlan0”. Det är den enda uppgift man behöver för att starta airmon-ng, vilket vi då kan göra med kommandot: Airmon-ng svarar med att den satt wlan0 i monitor mode på ett nytt gränssnitt ”mon0”, men om man vill dubbelkolla kan man återigen använda iwconfig, och bekräfta att man nu har ytterligare ett gränssnitt. Som ni ser på bilden finns mycket riktigt nu en ny post som heter mon0, och är i ”Mode:Monitor”. Om vi skulle vara riktiga angripare skulle vi nu kanske vilja dölja vår egen identitet så mycket som möjligt, och därför ändra (”spoofa”) vår egen dators MAC-adress. Detta är en trivial uppgift som man exempelvis skulle kunna göra med verktyget macchanger, men det behöver inte göras i vårt fall, så vi hoppar över det. Om vi nu inte skulle ha fysisk tillgång till de routrar vi tänker attackera så behöver vi veta dels vilket BSSID de har, dels om de över huvud taget har WPS igång. Ett litet verktyg som ger oss bägge dessa uppgifter är ”wash”. Det är utvecklat av samma person som utvecklat Reaver, Craig Heffner. Man startar det med kommandot: där ”–i mon0” betyder att vi ska använda gränssnittet mon0, och ”–s” betyder scan. Resultatet syns i bilden nedan, där man ser båda våra angreppsmål, deras BSSID och ESSID, att de stöder och har igång WPS version 1.0, att WPS inte är i låst läge, samt vilken kanal de använder. BSSID:t är samma som MAC-adressen och står ju oftast på bak- eller undersidan av enheterna (se exempelvis tp-link), men en angripare skulle i de flesta fall inte kunna titta där. Vi som har fysisk tillgång till enheterna kan åtminstone dubbelkolla där om vi tror att wash bara hittar på, men det ser onekligen ut att stämma. Nu har vi de uppgifter som behövs och är redo att utföra själva attacken, och vårt första mål blir TP-link-modemet. Vi startar attacken med kommandot: Bilden visar startkommandot och när Reaver precis startat igång och associerat sig med accesspunkten. Som man kan se på rad 2 i loggen har vi startat en session mot detta modem tidigare. Reaver frågar om man vill återuppta den sessionen men vi valde så klart att inte göra det för att testet skulle göra sig rättvisa, men det är en bra funktion i andra fall. Efter att man har verifierat att det inte kommer några direkta fel på ett tag kan man i princip lita på att Reaver sköter sig själv, och med gott samvete ta en lång paus och göra annat ett tag. Vissa accesspunkter har skydd mot brute force-attacker som kan låsa WPS vid för många misslyckade försök. Men om det fortfarande inte visat sig några felmeddelanden på några minuter kan man nog lugnt misstänka att Reaver kommer göra sitt jobb utan problem även resten av tiden. På bilden nedan har processen varit igång några timmar, och man kan se att det tar hela 3 sekunder att evaluera varje PIN. Hastigheten är beroende av fler faktorer, exempelvis prestandan hos accesspunkten, hos datorn samt signalstyrkan mellan dem. Det är trots allt en del beräkningar som görs med Diffie-Hellman-nycklar och checksummor etc. Här har det gått 4 timmar sedan start och vi kan även se att det kommer att ta max 6 timmar och 8 minuter till om vi har maximal otur. Vi ser också vilka typer av meddelanden som skickas och att accesspunkten mycket riktigt sänder en NACK efter meddelandet M4, vilket betyder att vi inte hittat första halvan av koden än. Detta bekräftas ju även när man tittar på vilka PIN-koder som just nu testas: Efter 3634 567 0 testas 3635 567 9. Då ser man att den första halvan byts från 3634 till efterföljande 3635, och att de 3 första siffrorna i andra halvan 567 ignoreras just nu och troligen bara är en rest från när den gissade på en av de vanligare koderna 12345670 innan den började med sekventiell gissning. Den sista siffran är som tidigare nämnt en checksumma som vi ser ändras beroende av de andra siffrorna i koden. När sökandet pågått i 7 timmar och 20 minuter ser vi plötsligt på första bilden nedan att accesspunkten plötsligt godtar vårat meddelande M4, och skickar meddelande M5 istället för en NACK. Detta betyder att första halvan är rätt, och om vi smygkikar på kan vi bekräfta att första halvan mycket riktigt är 6749. Efter detta ser vi även att den börjar söka efter andra halvans tre okända siffror med början på 000. Den andra bilden är tagen några sekunder efter den första, och visar att även när den börjar med gissningarna på andra delen så börjar den med några vanligare standardkombinationer innan den börjar gissa sekventiellt. Vi ser även att de nya statusraderna plötsligt visar rejält mer positiva siffror, eftersom vi slapp försöka ca 3250 sifferkombinationer i steg 1, och nu bara har 995 kvar att försöka med i värsta fall. Efter ytterligare ca en halvtimme har Reaver slutfört sitt arbete och avslutar. Vi kan se på de sista tre raderna på bilden nedan att den mycket riktigt har hittat rätt PIN, 67495740, och att den serverar oss WPA2-nyckeln på ett silverfat så fort vi använder rätt PIN. Värt att notera är att det inte spelar någon som helst roll hur lång och avancerad nätverksnyckel man konfigurerat sitt nätverk med. Den temporära långa vi hade satt för detta test och som vi med denna metod fick tag på efter ca 8 timmar, skulle inte kunna crackas av en angripare med en sedvanlig brute force-attack mot WPA under ett löjligt antal miljoner gånger hans livstid, då den är 58 tecken lång och innehåller såväl gemener, versaler, siffror som specialtecken. Med vårt lyckade försök med det något nyare TP-link-modemet nära i minnet angriper vi förväntansfullt vårt andra mål, Netgear-routern på samma sätt. Självklart byter vi ut BSSID och kanalen mot de som denna router använder, och som vi tidigare tagit reda på med verktyget wash. Reaver sätter igång och testar PIN-koder exakt som i förra försöket, och allt ser bra ut i inledningen. Efter 20 testade PIN-koder händer dock något annorlunda. Routern slutar sända meddelandet . Vi får vid upprepade återförsök en timeout i väntan på detta meddelande. Netgear har tydligen varit tillräckligt förutseende för att inse att WPS skulle kunna utsättas för brute force-attacker, och låter routern låsa för fler inkommande WPS-anslutningsförsök efter gränsen på 20 st misslyckade. På bilden ser vi strax nedanför mitten en varning om att Reaver uppfattat att den fått 10 st likadana misslyckanden i rad och har därför då pausat (även om just pausen inte loggats) i 6 minuter innan den återupptog försöken. Denna paus kom sig av vårat argument –x 360 i kommandot, men verkade uppenbarligen inte ha hjälpt eftersom samma timeout fortsätter inträffa i samma anda efteråt. De flesta accesspunkter som låser WPS-funktionen brukar släppa låsningen automatiskt efter en viss tid. I vårt första försök hade vi redan något oavsiktligt förberett för detta genom att lägga in en paus på 360 sekunder om något fel inträffar 10 gånger i rad. Denna router talar uppenbarligen inte om att den är låst, utan slutar bara svara vilket blir ett felmeddelande om timeout i Reaver. Därför testar vi först med att använda samma pausfunktion för att pausa en längre period än vad vi gjorde i första försöket för att sedan återuppta försöken och se om det går bättre. Detta gör vi genom att höja siffran efter argumentet –x. Vi har redan testat med 6 minuter (360 sekunder), så jag valde att utöka till drygt 15 minuter, sedan 30 minuter osv. För att bara ta reda på låsningstiden kan man ju även stänga ner Reaver helt och starta om det efter en viss tid för att se om låsningen fortfarande är aktiv om man tycker det är smidigare över långa perioder. Efter ett antal utökningar av paustiden, drar jag till slut slutsatsen att det dessvärre verkar som att det enda sätt att låsa upp denna router kräver en administratörs handpåläggning, antingen genom att starta om routern eller att stänga av och sätta på WPS-funktionen via webgränssnittet. Jag väntade till slut i nästan ett dygn för att se om den låste upp sig själv, vilket den inte gjorde. Där gav jag upp, för om man bara kan testa 20 PIN-koder per dygn blir attacken något opraktisk, om än genomförbar med nästan två års tålamod. Vi satsar i stället på att försöka få routern att inte låsa sig alls. Det kan ju vara så att den glömmer de tidigare försöken efter en stund. Reaver har en funktion även för detta i argumentet –r X:Y, där X är det antal försök den ska göra innan den tar paus i Y sekunder. Vi börjar testa med –r 19:125. En avancerad gissning, eftersom accesspunkter enligt WPS-specifikationen skall minnas åtminstone 2 minuter tillbaks i tiden. Då detta inte funkade, utökade jag tiden på ungefär samma sätt som i förra försöket. Jag försökte även några olika kombinationer med ändrat X-värde i argumentet, men routern kom ihåg varenda misslyckat försök och låste sig varje gång. Även här sträckte jag mig inte längre än ungefär ett dygns paus utan resultat innan jag gav upp av samma anledning som tidigare. En viktig parameter som routern kan kolla på för att avgöra om den är utsatt för en brute force-attack är frekvensen av inkommande anslutningar. Därför försökte jag att med hjälp av argumentet –d utöka fördröjningen mellan de olika PIN-försöken. Jag använde samma teknik som i föregående försök, att utöka tiden en bit i taget. Även här gick jag bet när jag till slut inte tyckte det var idé att fortsätta då jag bara gjorde ett försök per timme. Självklart testade jag även några olika kombinationer av ovanstående försök, samt en del andra av Reavers argument. Exempel på vilka jag testade trots att jag ansåg många av dem icke relevanta för detta problem är: Jag provade till och med att byta kanal som nätverket använde, till ingen skillnad. Till slut ansåg jag Netgears implementation av låsningen i denna enhet tillräckligt säker, men denna enhet hade jag tidigare uppdaterat så den hade den senast släppta inbyggda programvaran (firmware). Kunde det vara någon skillnad i detta avseende på olika firmware, var frågeställningen som dök upp eftersom jag är envis och inte gillar att ge mig i första taget. Jag nedgraderade således enheten från firmware version 1.2.3.7, som är den senast släppta, till version 1.1.2.6 som är ursprungsversionen för denna modell. Jag gick i princip igenom alla ovanstående försök ännu en gång, men utan resultat. Däremot kan man se en skillnad mellan versionerna i form av att Reaver av någon anledning inte signalerar timeout. Jämför nedanstående bild med den tidigare. Vid det här laget är jag redo att ge upp med slutsatsen att Netgear verkar ha ett bra skydd mot brute force-attacker i sin WPS-implementation. Efter att denna sårbarhet blev offentlig gick de flesta tillverkare ut med tipset på deras hemsidor att stänga av WPS för att skydda sig mot denna attack, och på de flesta enheter kan man göra detta via webgränssnittet. Men det är fortfarande många (speciellt äldre) enheter och firmware som har WPS aktiverat som default i fabriksinställningarna. Båda modellerna vi testat till exempel. Men vet man bara om problemet kan man alltså stänga av WPS och vara ”säker” igen, skönt. Helt säker kan man ju så klart aldrig vara, men åtminstone mot denna attack. Eller kan man? Det har rapporterats ( ) om enheter som inte helt stänger av WPS trots att man väljer detta i administratörsgränssnittet, så det får bli vårt sista test på båda enheterna om de gör det eller inte. Trots att användarvänligheten är usel i TP-links webgränssnitt, så går det att hitta avstängningsvalet under den något konstigt valda rubriken ”Multiple SSID settings”, där man för övrigt sätter upp resten av de grundläggande trådlösa inställningarna. Bilden visar en översikt över dessa inställningar efter vi stängt av QSS. Efter att ha stängt av gör vi en test med Reaver. Vi startar en attack, och prövar då med att lägga till argumentet –L för att ignorera låsningar, för att se om/hur modemet svarar. Denna enhet verkar åtminstone stänga av WPS helt, då vi inte får någon som helst respons från den. Vi lyckas inte associera med den, vilket är det första steget och Reaver fastnar då tills man stänger ner med Ctrl-c. Se bild nedan. Detta anser jag bekräfta att WPS är avstängt och helt oåtkomligt, så TP-link fick godkänt på detta test. Vi gör samma test mot netgear-routern, och börjar med den nyaste inbyggda programvaran laddad, version 1.2.3.7. Vi börjar med att stänga av WPS, eller som det står i webgränssnittet: ”Avaktivera routerns PIN-kod”. Inställningarna för detta visas i bilden nedan. När det är gjort, startar vi återigen en attack mot routern och ser snabbt att det är skillnad mot TP-links implementation, med tanke på att vi lyckas associera med routern och den frågar vem vi är innan den slutar prata med oss. (Se bild nedan) Nu hjälper det inte oss så mycket, eftersom det ser precis likadant ut som när routern låste sig, och det är säkert på samma sätt de har implementerat avaktiveringen. Vi lyckades inte komma runt låsningen tidigare, så vi lär inte lyckas komma runt avaktiveringen heller. Vi drar slutsatsen av detta test att denna firmware verkar hålla måttet och låsa ute alla försök till WPS-anslutningar. Eftersom jag tidigare lade märke till att den äldre inbyggda programvaran betedde sig något, än så lite, annorlunda i de andra testerna, så kan det ju vara någon liten skillnad mellan de två på detta test också. Så vi laddar åter igen in den ursprungliga versionen 1.1.2.6 i enheten och avaktiverar WPS på samma sätt som ovan. Vi drar igång en attack, och se god dag då, Reaver börjar faktiskt gissa PIN-koder precis som om WPS inte skulle varit avaktiverat. Vi hittade till slut en sårbarhet i Netgears implementation! Nu har vi ju dock redan testat brute force mot denna firmware, och efter 20 PIN-försök låser den sig, och samma svårigheter att gå runt låsningen uppstår ju även nu. Det ser ut exakt som på , så en extra bild är överflödig. Men ponera exempelvis detta inte helt otänkbara scenario: Du har fest hemma eller gäster på kontoret, och en av gästerna är en halvt okänd skum bekant till någon bekant, som du vid ett obevakat tillfälle avslöjar snoka vid nätverksutrustningen. Du funderar lite och inser att han kan ha sett PIN-koden på baksidan av routern. Inga problem tänker du, bara att dubbelkolla att WPS är avstängt… Du säkerställer att WPS är avstängt, och sover nu lugnare på natten i din tro att nätverket är säkert. Men den skumma gästen tar nu med sig en laptop och sätter sig i bilen utanför huset/kontoret och skriver in detta Reaver-kommando, där han även anger vilken PIN-kod som ska testas med argumentet -p: Vilket ger resultatet enligt bilden nedan; ditt långa lösenord som du slitit så länge med för att få extra långt och avancerat överfört till inkräktaren på två sekunder. Oavsett om du efter detta byter nyckel/lösenord kan han återkomma och köra samma kommando igen när som helst under enhetens livstid (eller tills du byter firmware) för att erhålla den nya nyckeln på samma korta tid. PIN-koden går ju inte att ändra, och tydligen inte heller att stänga av. Våra test visade att TP-link TD-W8951ND är sårbar för brute force-attacken, men det går att stänga av WPS (eller QSS) med gott resultat. Vidare visade det sig att Netgear WNR2000 var imponerande motståndig mot attacken, men en bugg i en tidig firmware gjorde att det inte gick att stänga av WPS-funktionen som utlovat. Mot vissa accesspunkter kan det alltså vara väldigt lätt att utnyttja sårbarheten i WPS. Det kan vara gjort på några timmar eller under ett dygn, vilket är en relativt kort tid om man jämför med en traditionell brute force-attack mot ett WPA-nätverk som har en hyffsat bra nyckel. Om tillverkaren tillämpat ett bra skydd mot brute force-attacker genom låsning av WPS på ett bra sätt kan det fördröja attacken tillräckligt för att det ska bli opraktiskt att genomföra den. Om de däremot har gjort en miss i avstängningsfunktionen så att WPS egentligen inte alls stängs av, vilket av någon anledning verkar vanligt, anser jag att det kan vara anledning att stänga av hela enheten (om nu åtminstone det går) och inte använda den igen förrän firmware är uppdaterad som löser problemet, alternativt byta enheten mot en annan modell. Mitt första intryck av WPS när det var nytt var att det var en totalt onödig extra funktion som verkade tulla på säkerheten en hel del för att vinna en gnutta användarvänlighet (ett vanligt fenomen). Detta intryck har förstärkts ytterligare nu efter jag gjort denna undersökning. Det övergår dessutom mitt förstånd vad som gör just PIN-funktionen mer användarvänlig och varför man skulle komma ihåg en 8 siffrors PIN-kod lättare än en nätverksnyckel man designar själv, trots att PIN-koden är kortare. Man kan ju för övrigt tycka att det redan är allt för många som inte byter ut sitt default-lösenord till sin nyinköpta router, och WPS-funktionen som i princip kan innebära att användaren inte ens behöver logga in en enda gång i webgränssnittet för att använda routern hjälper ju inte direkt till att påminna användaren om att göra detta. Det allmänna tipset jag har (förutom att hålla all din utrustning uppdaterad och aktuell), och som stöds av de flesta tillverkarna som implementerar funktionen är:
li|mon0 är vårt nätverksgränssnitt i monitor mode som vi skapade med airmon-ng F4:EC:38:FF:94:06 är accesspunktens BSSID som vi hittade med hjälp av wash 11 är kanalen som accesspunkten använder, och det såg vi också i wash. Denna uppgift kan utelämnas, men då måste Reaver leta upp vilken kanal som gäller och det går åt någon sekund extra i inledningen av attacken. 360 är en viloperiod (360 s = 6 min) som Reaver ska pausa om den upptäcker 10 likadana fel i rad, för att låta accesspunkten stabilisera sig. -l (lock-delay) Att beordra Reaver att ta en paus när den upptäcker att accesspunkter är låst gjorde ingen skillnad eftersom Reaver inte ansåg routern låst, utan snarare bara oresponsiv. -t (timeout) Att utöka tiden för mottagning av paket gav inte bättre resultat. -N (no-nacks) Handlar om att Reaver inte ska skicka NACK-meddelanden, vilket inte var problemet och därför inte heller gjorde skillnad. -L (ignore-locks) Hade ingen effekt eftersom accesspunkten inte visade att den var låst. -E (eap-terminate) Vissa accesspunkter blir tydligen gladare om de får ett EAP FAIL-meddelande efter varje försök, men inte denna.
h1|WPS – Weakly Protected Setup? – Del 2
h2|Förberedelser Brute force-attack 1 – TP-link Brute force-attack 2 – Netgear Avaktivering av WPS Slutsats
h3|Airmon-ng Wash Start Mellantid Halva koden hittad PIN hittad Start Låsning Försök att kringgå låsningen Godkänt skydd TP-link Netgear
h4|Paus efter låsning Paus innan låsning Fördröjning mellan PIN-försök Övriga försök Byte av firmware Senaste firmware Äldre firmware
sp| Publicerat 2016-12-30  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
em|Stäng av WPS!
pa|Denna blogginläggsserie, skriven av Peder Sparell, är på två delar behandlar WPS, vilket är en extra funktion för trådlösa nätverk som genom sin konstruktion är väldigt bristfällig. Det är ingen ny funktion, och dess sårbarhet som vi tar upp här är inte direkt någon nyhet, men det känns fortfarande aktuellt då förvånandsvärt få känner till hur sårbar deras WLAN-utrustning är på grund av detta, och många har utrustning stående som installerats med defaultinställningar för några år sedan och sedan glöms bort tills de får en ny accesspunkt vid nästa abbonemangsbyte eller tills något slutar fungera. Många vet inte ens vad WPS är och/eller struntar helt enkelt att bry sig om inställningarna för den funktionen för de inte tänker använda den. Om du är en av dem, så är du med stor sannolikhet omedvetet sårbar för en effektiv attack mot ditt WiFi, där en angripare lätt kan få tag på din WPA-nyckel (PSK) oavsett hur lång och komplicerad den är. I detta inlägg, del 1, förklaras kort vad WPS är och varför det är så sårbart, och i del 2 kommer vi att utföra praktiska tester där vi utför attacker mot två WiFi-enheter. Det har upptäckts ytterligare kritiska sårbarheter i implementationen av WPS i vissa enheter, men vi kikar i huvudsak på den som upptäcktes i slutet av 2011. För att sätta upp ett trådlöst nätverk manuellt måste oftast användaren efter att ha kopplat in sin nya router koppla en dator till den via det fysiska nätverket för att kunna logga in i dess administratörswebgränssnitt. Sedan måste han in i inställningarna för det trådlösa nätverket och skriva dit ett SSID (nätverksnamn), välja säkerhetstyp samt en nätverksnyckel. När detta är gjort kan han koppla upp sina trådlösa enheter genom att välja sitt nätverks SSID och skriva in samma nyckel i den aktuella enhetens inställningar. Detta ansåg Wi-Fi Alliance vara på tok för avancerat för medelanvändaren, så för att förenkla konfiguration av trådlösa nätverk för användare i hem och småföretag presenterade de 2007 lösningen ”Wi-Fi Protected Setup” – WPS, som skulle låta medelanvändaren konfigurera sitt nätverk utan att behöva gå igenom de steg som tidigare var nödvändiga för att sätta upp sitt nätverk, utan i stället låta mycket av detta ske automatiskt. För att en WLAN-produkt ska bli certifierad och därmed få använda de skyddade namnen ”Wi-Fi Protected Setup” eller ”WPS” måste produkten följa Wi-Fi Alliance framtagna standard. Det kan förklara att de flesta tillverkare har egna namn på samma funktion som kan sitta i av någon anledning icke ännu certifierade produkter, vilket kan anses till viss del förvirrar och motverkar enkelheten. Exempelvis om vi tittar på de enheter vi tänkte testa kallar ibland Netgear sin funktion för PNC – ”Push ‘N’ Connect”, och TP-Link kallar sin för QSS – ”Quick Security Setup” och ibland kallar de den båda för WPS. WPS har olika metoder för att ansluta en enhet till en nätverket, varav de vanligaste två (PBC och PIN) förklaras nedan. Accesspunkter måste stöda båda dessa metoder för att bli certifierade. Det finns även ”out-of-band”-metoder som är något mer ovanliga, där man med hjälp av annan media så som ett usb-minne eller NFC (Near Field Communication) utbyter nyckeln. WPS använder sig av Wi-Fi Simple Configuration, vilket innefattar en specifikation på protokollet som används för att skicka meddelanden mellan de olika parterna. Den första figuren nedan är från (Wi-Fi Alliance, 2006, s. 22) som visar en översikt över vilka meddelanden som skickas mellan parterna. I vårt fall spelar verktyget Reaver som vi ska använda rollen som både ”User” och ”Registrar”, och ”AP” är accesspunkten. Den andra figuren har en mer detaljerad men ändå överskådlig sammanställning, och är Stefan Viehböcks tabell från ( ) som är enkel att följa och har förklarande text för ändamålet. Om man tittar på meddelande M4, så ska ”Registrar” (i vårt fall verktyget Reaver) i detta meddelande till ”Enrollee” (i vårt fall accesspunkten) bevisa att han känner till första halvan av PIN-koden, och i M6 bevisa att han känner till andra halvan. I den lilla rutan längst ned syns även hur PIN-koden är uppdelad. Varför dessa saker är intressanta förklaras nedan. I slutet av december 2011 offentliggjordes sårbarhet av cert.org, efter att den . Föga överraskande hade ännu ett team, lett av Craig Heffner, upptäckt samma sårbarhet och dagen efter släppte de sitt verktyg ” ” som kan användas för att utnyttja den i praktiken. Till att börja med så borde det säga sig självt att WPS kringgår all säkerhet som reglerna för nyckellängd i WPA/WPA2 medför, genom att använda sig av en PIN-kod på exakt 8 siffror för att kunna ansluta sig, jämfört med WPA:s nyckel som kräver minst 8 siffror/bokstäver/specialtecken (skrivbara ASCII-tecken). För att använda en brute force-attack mot en 8-siffrig sifferkod måste man testa 10^8=100 miljoner kombinationer, vilket jämfört med en 8 tecken lång slumpmässig WPA-nyckel som ger ca 95^8 = ~6,6 biljarder kombinationer är en struntsumma. Dock så blir det ändå opraktiskt i brute force-sammanhang när varje försök mot WPS tar i storleksgraden 1 sekund. Att testa alla 10^8 kombinationer skulle ta ca 32 år, men statistiskt sett är medeltiden tills man hittar rätt nyckel den halva, alltså enbart 16 år. Det finns dock några svagheter i algoritmen och protokollet för meddelandeutbytena i WPS som förenklar för angriparen och drar ner antalet kombinationer väsentligt: Antal kombinationer drogs nu drastiskt ned till 10 000 + 1 000 = 11 000 st. Detta gör att en brute force-attack är helt klart genomförbar och realistisk trots långsam onlinegissning. Om man lyckas med att hålla hastigheten 1 gissning per sekund medför det att man kan prova alla kombinationer på ca 3 timmar, och medelgenomförandetiden för en attack blir ca 1½ timme. är ett verktyg utvecklat av en av upptäckarna av sårbarheten, Craig Heffner, och finns i en open source-version samt en kommersiell hårdvaruversion. Hårdvaruversionen har ett grafiskt gränssnitt, är optimerad i sitt PIN-kodssökande, och kan skicka resultatet till specificerad e-mailadress när den hittat PIN och nätverksnyckel. Gratisversionen av verktyget är ett kommandoradsprogram och några viktiga argument förklaras nedan. Denna version ingår i Kali Linux, och är den vi kommer att använda. Verktyget försöker först med kända vanliga default-PIN-koder, och fortsätter därefter gå igenom alla varianter av första halvan av PIN-koden och struntar i att ändra på andra delen (förutom checksumman som måste stämma). När den väl hittat första delen fortsätter den med de tre siffrorna i andra delen tills den slutligen hittar rätt. Detta är inte en komplett lista på Reavers alternativ, utan en lista på de vanligaste eller av annan anledning intressanta. De enheter vi använder som testobjekt är något äldre, men det är något oväsentligt då det dels faktiskt fortfarande finns många som använder dessa modeller eller motsvarande, samt att sårbarheten till stor del består av själva implementationen av funktionen som fortfarande har samma standard, även om många tillverkare på nyare modeller börjat implementera bättre skydd såsom låsning vid för många misslyckade PIN-kodsförsök etc. Den första enheten som är tänkt som mål för attacken är en TP-Link TD-W8951ND, och är ett ADSL-modem med inbyggd router/switch samt WLAN-accesspunkt. Denna produkt kan fortfarande, trots åldern, medfölja vid tecknande av nytt bredbandsabbonemang. Denna produkt är , men själva WPS-funktionen verkar inte ha klarat testerna, så detta modem är inte WPS-certifierad. Den WPS-liknande funktionen heter därmed i denna produkt QSS istället för WPS. På framsidan sitter knappen för PBC-anslutningar och PIN-koden står på en etikett på undersidan (se bild) så väl som i inställningarna för det trådlösa nätverket i webgränssnittet (se bild). PIN-koden är 67495740 som ni kan se på bilderna nedan (klicka för att förstora). (Normalt avråder vi så klart starkt från att på något sätt blotta sådan känslig information, men i detta fall kommer inte dessa enheter att nånsin användas igen.) Den andra modellen är en router/switch med inbyggt WLAN och heter Netgear WNR2000. Den har några år på nacken och blev (senast) . Även denna modell har sin PCB-knapp på framsidan, men till skillnad från TP-linkmodemet kan den alltså stoltsera med att skylta knappen med bokstavskombinationen ”WPS”. Likt TP-linkmodemet har denna också sin PIN-kod på en etikett på baksidan (se bild), samt i webgränssnittet på sidan för ”Avancerade trådlösa inställningar” (se bild). WPS är som förval aktiverat i fabriksinställningarna, även i den senaste inbyggda programvaran daterad december 2011. Sårbarheten offentliggjordes senare samma månad, och efter det har ingen ny programvara till denna modell släppts, vilket känns positivt inför testet. Denna enhets PIN-kod är som synes på bilderna nedan: 55340670. Härnäst kommer vi att utföra attacker mot dessa två accesspunkter med hjälp av i huvudsak verktyget Reaver. CERT® Coordination Center. (2011). Heffner, C. (2011-2016). Microsoft. (2006). Netgear. (2008-2016). Netgear. (2012-2016). Okänd/flera författare. (2011-2016). Viehböck, S. (2011-1). Viehböck, S. (2011-2). Wi-Fi Alliance. (2006). Wi-Fi Protected Setup Specification (version 1.0h) Wi-Fi Alliance. (2008). Wi-Fi Alliance. (2010).
di|-v -vv Verbose Visa fler statusmeddelanden (-vv=ännu fler). Small Diffie-Hellman keys Använd små dh-nycklar för att AP:n ska få jobba mindre och därmed snabba upp processen.
td|-i Interface Vilket nätverksgränssnitt som ska användas. (Måste vara i monitor mode.) -i mon0 Ja -b BSSID AP:ns MAC-adress. -b 00:11:22:33:44:55 Ja -c Channel Vilken kanal som Reaver ska använda. Något snabbare initiering, men om AP:n byter kanal följer inte Reaver efter. -c 11 Nej auto -e ESSID/SSID Nätverkets namn -e Homenetwork Nej (bara om AP:n inte sänder ut sitt SSID) auto -t Timeout Timeout för mottagning av meddelanden. -t 2 Nej 5 -d Delay Dröjsmål mellan PIN-försök (sekunder). -d 5 Nej 1 -vv Nej -l Lock delay Om reaver upptäcker att AP:n låst sig, vänta med att försöka mer i detta antal sekunder. -l 300 Nej 60 -r X:Y Recurring delay Efter ett antal (X) PIN-försök, vila ett antal (Y) sekunder. -r 10:15 Nej -x Fail wait Om samma fel sker 10 försök i rad, vila i detta antal sekunder. -x 360 Nej 0 -S -S Nej -h Help. -h Nej
th|Argument Förklaring Exempel Obligatorisk? default
li|För att automatiskt konfigurera nätverket och ansluta en klient till nätverket trycker användaren på en knapp på accesspunkten och strax därefter på en knapp på klientenheten. Dessa knappar kan vara fysiska alternativt logiska i något användarinterface.Detta förfarande måste ske inom ett intervall på två minuter, vilket kallas ”Walk time”. Accesspunkten ska även logga PBC-ansökningar (knapptryckningar på klienter i närheten) kontinuerligt två minuter bak i tiden (”PBC Monitor time”), och om två olika enheter ansöker om att få koppla upp under [PBC Monitor time] + [Walking time], ska den inte tillåta någon av anslutningarna på grund av ”session overlap”. En PIN-kod bestående av 8 siffror och tillhörande klienten som ska anslutas skrivs in i accesspunktens webgränssnitt. PIN-koden står antingen på en etikett på klienten, eller kan genereras i dess tillämpningsprogram. Räknas oftast som samma funktion som ovan, skillnaden är var PIN-koden skrivs in. I detta fall är det accesspunktens PIN-kod bestående av 8 siffror som skrivs in i klientens tillämpningsprogram. Accesspunktens PIN-kod står oftast på baksidan av enheten, och/eller i dess webgränssnitt. Det är denna metod som är sårbar för attacken vi snart ska genomföra, varför vi nedan kommer att koncentrera oss på den. Om WPS-autentiseringen misslyckas vid något tillfälle måste accesspunkten skicka ett EAP-NACK-meddelande för att avbryta sessionen. Eftersom meddelandena ser ut som de gör inser accesspunkten vid mottaget meddelande M4 enligt ovan att de första 4 siffrorna är fel, och skickar sin NACK. Den andra halvan evalueras i senare meddelande. Det gör att angriparen kan gissa på första delen först, och vänta med andra delen. Alla kombinationer som behöver testas för att inse att första 4 siffrorna är rätt är 10^4 = 10 000 st. Sista siffran i PIN-koden är en checksumma som beräknas med känd enkel algoritm på resten av koden, vilket betyder att den andra delen bara består av 3 siffror. Antal kombinationer = 10^3 = 1 000 st.
st|PBC – PushButton Configuration PIN (internal registrar) PIN (external registrar)
h1|WPS – Weakly Protected Setup? – Del 1
h2|Översikt WPS Sårbarheten Reaver – översikt Våra attackmål Referenser
h3|Metoder Protokollet Argument TP-link Netgear
sp| Publicerat 2016-11-28  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|I den här bloggen kommer vi att titta mer på en Ransomware-familj Ryuk. Namnet Ryuk kommer från mangaserien Death Note. Ryuk är en gud som lämnat en anteckningsbok som tillåter användaren av boken att döda någon, genom att skriva in deras namn och rita deras ansikte i boken. Han lämnar boken på jorden för att att inte längre vara uttråkad. Till skillnad från en vanlig ransomware kampanj som går ut på att distribuera ransomware till så många som möjligt antingen via massiva spam-kampanjer eller exploit-kit. Inriktar sig en attack med Ryuk på att försöka få så stor spridning som möjligt inom nätverket innan en attack sker [15, 16]. Det kan exempelvis göras genom att kartlägga miljön innan ransomwaret aktiveras. Ryuk kräver vanligtvis en stor lösensumma. Lösensumman varierar mellan attacker och offer och varierar från 15 BTC till 50 BTC. Men det finns även exempel på att de har begärt 4.5 miljoner USD för att dekryptera filerna [10]. Ryuk lämnar som ett vanligt ransomware en utpressningskrav, detta med filnamnet RyukReadMe.txt. Denna fil innehåller ett mer eller mindre välformulerad utpressningskrav enligt nedan. [15, 16] Vanligtvis innehåller det två e-postadresser till förövarna. I tidigare varianter fanns en BTC-adress inlagd, i senare varianter fås den genom att en kontakt måste ske för betalningsdetaljer och Bitcoin adress. Ryuk krypterar alla filer på systemet förutom filändelserna .exe, .dll och. hrmlog. Finns även en vitlistning på följande mappar: Detta medför att en enhet som utsätts för Ryuk tenderar på att bli instabil och till och med oanvändbar. Då att den ibland krypterar Windows Bootloader (C:\Boot) och även .sys och .ocx filer. Ryuk försöker sedan kryptera alla monterade enheter på den infekterade enheten. Ryuk använder sig sedan av för att visa ARP-tabellen. Sedan itererar Ryuk genom alla filer och mappar på de hostarna och försöker kryptera dessa. Ryuk använder sig av en kombination av symmetrisk AES och asymmetrisk RSA kryptering för att kryptera filer. När filen har blivit krypterad döps de om och får en .ryk filändelse. Ryuk använder sig av tre nivåer för krypteringen. Där den första nivån består av ett RSA-nyckelpar där den privata nyckeln aldrig hamnar på den infekterade enheten, utan ges när en betalning sker. Den andra nivån är ett RSA-nyckelpar vilket är unika för offret. Här kommer även den privata nyckeln krypterad. Det är ett ganska ovanligt sätt för ett ransomware, vanligtvis brukar de genereras på offret och sedan brukar den privata nyckeln krypteras. Den tredje nivån består av en AES kryptering, vilket krypterar varje fil med en egen nyckel med hjälp av Win32API funktionen CryptGenKey. Den exporteras sedan genom CryptExportKey och krypteras med den andra nivåns nyckel och det krypterade resultatet läggs sedan till i den krypterade filen. Det finns ett stort antal likheter med Hermes, en annan variant av Ransomware som såldes som en tjänst. För den intresserade finns mer att läsa om detta skrivet av checkpoint och crowdstrike [15,16] Om vi kartlägger de kända attackerna så kan följande tabell skapas. Räknar vi ihop hur mycket BTC som har betalats för att låsa upp de krypterade filerna, så ser vi att det är över 865 BTC. Vilket motsvarar ca 62 000 000 SEK till dagens pris (1BTC=72119.56kr). Från kartläggningen ovan är det svårt att se den gemensamma nämnaren över den initiala infektionsvektorn. Detta genom att organisationerna som drabbats inte kommunicerat, vet vad den ursprungliga infektionsvektorn var eller att pressen inte tycker det är någon intressant information. Men de attacker som beskrivit infektionsvektorn är följande: Vid nästa blogg kanske vi tar en närmare titt på Emotet och Trickbot, för att djupdyka oss i dem. Så länge håll koll på infektioner av Emotet och Trickbot. [1] [2] [3] [4] [5] [6] [7] [8] [9] [10] [11] [13] [14] [15] [16] [17] [18] [19] [20]
li|Chrome Mozilla Recycle.bin Windows Microsoft AhnLab Attacken sker via Emotet -> Trickbot -> Ryuk [2, 15, 16, 18]. Komprometterat konto [2] Skadlig kod via mail [9], okänd familj
st|En översikt av en Ryuk Fil Kryptering Hermes Attacker Spridning Källor
h1|Ryuk – ett framgångsrikt ransomware
sp| Publicerat 2019-10-25  Skrivet av Petter Stymne Copyright © 2021 - Simovits AB
em|GetIpNetTable
pa|UEFI, Unified Extensible Firmware Interface, är en specifikation som definierar gränssnitt mellan operativsystemet och firmware och en ersättare till BIOS, Basic Input/Output System. UEFI ser till att ladda de komponenter som behövs för att din dator ska starta. Rootkit är en annan definition som behöver förtydligas lite inför detta inlägg – ett rootkit fångar och byter ut de inbyggda operativssystemsprocesserna, och på så sätt kan den dölja skadlig aktivitet i det som ser ut som är riktiga processer. Vid infektion av ett rootkit kan du inte längre lita på den information från den infektera enheten, eftersom rootkitet kontrollerar vad vissa processer gör. T.ex. skulle den kunna dölja vissa processer som körs för att kunna dölja sig själv. Ett UEFI-rootkit skulle alltså kunna injicera sig under bootprocessen i operativsystemet – eftersom att UEFI är den som ser till att bland annat operativsystemet laddas. Det kluriga med UEFI, eller även BIOS, rootkits är att de överlever ominstallation av operativsystem och även hårddiskbyte, eftersom den skadliga koden är flashad till SPI flashminnet som sitter på moderkortet. I januari 2015 publicerade det italienska it-säkerhetsföretaget Hacking Team att de blivit hackade vilket ledde till att ca. 400GB data läcktes. Bland all data fanns bland annat e-post och kundinformation, men även källkod för olika typer av skadlig kod. Bland källkoden fanns ett Remote Command System (RCS) som använder sig av en UEFI rootkit för att hålla sig kvar. Hacking Teams metod kräver att angriparen har fysisk tillgång till systemet och nedan följer ett exempel på hur det skulle kunna gå till: Den intresserade kan läsa vidare om HackingTeams UEFI rootkit på exempelvis TrendMicros hemsida [2]. Det finns en mängd andra PoC:ar på UEFI/BIOS rootkit, t.ex. NSAs har en mängd olika varianter i sin ”katalog” bl.a. Deitybounce, Ironchef och Jetplow. Tidigare har inte ett UEFI rootkit observerats i det vilda (inte heller Hacking Teams UEFI rootkit) – förrän nu. ESET upptäckte att APT-gruppen Sednit (även kända som APT28, FancyBear, Sofacy eller STRONTIUM) har lyckats installera ett UEFI rootkit som fått namnet Lojax. Lojax har fått sitt namn p.g.a. likheter med anti-stöldlösningen LoJack som ser till att kommunicera med en typ av C&C för att kunna hitta enheten. För att LoJack, en anti-stöldlösning, ska kunna fungera även efter att hårddisken har blivit utbytt och operativsystemet har blivit ominstallerat så installerades den som en UEFI/BIOS modul – något som skulle kunna användas av ett rootkit också. ESET har identifierat LoJax hos organisationer i Balkan och Centrala- och Östeuropa. Kopplingarna till Sednit kunde göras då andra komponenter som är kända att användas av Sednit identifierades, bland annat bakdörrar och proxyverktyg – dock hade inte alla som drabbats av LoJax dessa. Infektionsvektorn för LoJax är okänd, även om misstanke finns att en Sednit bakdörr gjort det möjligt att infektera maskinerna med LoJax. När LoJax har fått fotfäste har angriparen full kontroll över din dator även om du kanske inte märker det – och det är sannolikt svårt att upptäcka det. För att skydda sig mot UEFI rootkits så är det första steget att ha ett uppdaterat anti-virus eftersom det kan vara en potentiell infektionsvektor. Secure Boot (som aktiveras i UEFI) bör också användas, det förhindrar att komponenter som inte är godkända eller signerade laddas vid boot. Kontrollen sker dock inte av det som ligger i SPI flashminnet och det skulle inte vara ett skydd LoJax – men det är en bra funktion som bör användas! Vidare gäller att hålla programvara uppdaterad och det gäller även UEFI firmware, något som inte är lika vanligt att hålla uppdaterat. Det här blogginlägget är endast en mycket kort och o-teknisk presentation av UEFI rootkits och en sammanfattning om LoJax. UEFI rootkits är nu ett realistiskt hot. För den intresserade så vill jag passa på att tipsa om att läsa vidare i ESETs analys för att gräva i mer detaljer om hur LoJax fungerar [3]. [1] – Presentation från BlackHat Asia 2017 om UEFI Rootkits (Alex Matrosov, Eugene Rodionov) [2] – Hacking Teams rootkit [3] – ESETs analys av LoJax
h1|UEFI-rootkits – från PoC till LoJax
h3|Hacking Team läcker UEFI rootkit LoJax i det vilda Hur kan man skydda sig?
h4|Källor och mer läsning:
sp| Publicerat 2018-10-12  Skrivet av Tiina Loukusa Hyttnäs Copyright © 2021 - Simovits AB
pa|Tidigare i veckan publicerades en artikel i Dagens Industri att införandet av GDPR kostat företag och organisationer i EU motsvarande 2000 miljarder kronor. GDPR behövs, det är många eniga om, och har krävt stora investeringar av företag och myndigheter. Vissa har jobbat med GDPR-införandet i över ett år. Den stora utmaningen för lagstiftaren är dock att lagen ska få trovärdighet i sin tillämpning efter den 25 maj. Rapportering av personuppgiftsincidenter och viten är några av pelarna i GDPR för att lagen ska få en trovärdighet i sin tillämpning. Det enklaste sättet för Datainspektionen, för att skapa trovärdighet, skulle ha varit en etablering av ett system innan den 25 maj, som automatiskt bedömer ärenden, prioriterar, återkopplar till anmälaren och skickar vidare de viktiga ärendena, för manuell bedömning, till handläggare. Personuppgiftsincidenter ska enligt GDPR rapporteras till tillsynsmyndighet (Datainspektionen) inom 72 timmar. En dag innan GDPR träder i kraft möts man av följande text, efter att datainspektionen uppdaterat sin websida, på sidan ” ” : Den som läser detta och jobbat med införandet av GDPR, ställer sig säkert frågor om man inte gjort för mycket: Att ärenden kommer att skickas in via post/rekommenderat brev innebär att datainspektionens kännedom om ärendet fördröjs ytterligare 24 timmar. (Att under pågående incident se en Data Protection Officer springa runt efter ett ombud till postnord för att kunna skicka ett rekommenderat brev känns som ett underutnyttjande av resurser.) Handläggningstiden av ett ärende kommer under nuvarande situation troligen ta lång rid. Att sätta upp en enklare rapporteringstjänst inför GDPR som beskrivs ovan, med tanke på antalet bolag och myndigheter som finns, är inte en orimlig tanke. I Sverige finns idag ca 1 000 000 registrerade företag. Om vi antar att 200 000 av dessa har behövt införa processer relaterat till GDPR, och att hälften av dessa råkar ut för en GDPR-relaterad incident under loppet av ett år, så bör Datainspektionen få in ca 100 000 anmälningar på årsbasis. Det innebär ca 277 anmälningar per dag. Även om Datainspektionen har bra processer för att göra bedömningar på ärendena så bör ändå återkoppling ske till den som lämnat in anmälan. Medeltiden för ett ärende i ett normalfall, där ärendet inte resulterar i ett vite eller annan utökad tillsyn, skulle kunna bedömas till ca två timmar. För att kunna bedöma alla ärenden och svara på dessa skulle det då krävas ca. 70 handläggare. Vid ett större utbrott med ransomware, skulle mängden ärenden troligtvis mångdubblas, vilket i sin tur resultera i en eftersläpning, dvs en ökning av ärenden skulle resultera i att ärenden hamnar i kö och högen med obehandlade ärenden växer snabbare än de hinner hantera dessa. GDPR har varit känt länge och att inte ha system på plats för incidentrapportering ger en felaktig signal till de bolag som jobbat med GDPR. Vid avsaknad av en effektiv hantering av rapporterade ärenden, så är risken stor att kostnaderna för GDPR-införandet hos bolag och myndigheter kommer ifrågasättas samt att lagens efterlevnad urholkas.
li|Har Datainspektionen lagt lika stor vikt vid GDPR som de som investerat stora belopp på att följa lagstiftningen? Kommer Datainspektionen ha praktisk möjlighet att utöva den tillsyn som GDPR utlovar/bestämt? Spelar de 72 timmarna egentligen någon roll?
h1|GDPR – 2000 miljarder kronor i sjön?
sp| Publicerat 2018-05-24  Skrivet av Mikael Simovits Copyright © 2021 - Simovits AB
em|”Senare under året kommer det att finnas en e-tjänst för att anmäla personuppgiftsincidenter här på vår webbplats. Fram till dess görs anmälningar genom att fylla i vår pdf-blankett och skicka till oss via brev. Blanketten kommer att vara färdig den 25 maj. Om ni anser att det behövs, kan ni skicka anmälan som rekommenderat brev. Adressera kuvertet: Datainspektionen Box 8114 104 20 Stockholm Blankett för att anmäla personuppgiftsincidenter (färdig den 25 maj 2018) Enligt dataskyddsförordningen ska personuppgiftsincidenter normalt anmälas inom 72 timmar från upptäckt. Då ni skickar in en incidentanmälan via fysiskt brev till Datainspektionen, kommer vi att ta hänsyn till tiden det tar för brevet att nå oss.”
pa|Att särskilja skadlig kod från legitima filer eller applikationer är idag en stor industri som omsätter stora pengar världen över. Det är också ett område som är i konstant behov av utveckling, för att kunna hålla jämna steg med utvecklare av skadlig kod. På ett övergripande plan kan man dela upp metodik för analys av potentiell skadlig kod i två grupper; dynamisk och statisk analys. Den dynamiska analysen handlar om inspektion av vilka kommandon som körs när filen exekveras. Under statiska analys, som är den typ av analys som detta blogginlägg kommer att fokusera på, inspekteras innehåll i en fil som inte har exekveras, vanligtvis via en automatiserad process. Den enklaste versionen av detta är att skapa en hash av filen och jämföra denna mot en databas med hashar på känd skadlig kod. Mer sofistikerade algoritmer inspekterar innehållet i filen mer noggrant, på jakt efter signaturer som kan associeras med malware. Likheter mellan olika typer av skadlig kod, och hur de skiljer sig mot legitima filer används för att klassificera något som antingen skadlig kod eller inte skadlig kod. När en fil inspekteras på detta sätt extraheras en serie egenskaper som förhoppningsvis är relevanta för att definiera träffsäkra signaturer. Det finns otaliga skolor för vilka egenskaper som är bäst att använda här, samt hur de olika egenskaperna bör vägas mot varandra. Exempel på typiska egenskaper som används kan vara: Här kan man tänka man sig att om bra egenskaper används, så bör en fil som inspekteras kunna placeras på en n-dimensionell graf, där varje vald attribut motsvarar en dimension. Om många olika filer sätts i denna graf kan man tänka sig att filer av olika typer av filer bilder distinkta grupperingar, där vissa av dessa grupper motsvarar skadlig kod. Om man kan hitta dessa grupperingar kan de användas för att klassificera skadlig kod, utifrån vilken grupp en fil är placerad i. Att hitta de optimala egenskaperna för detta, samt att utifrån det definiera grupperingar är inte trivialt. För att analytiker ska hänga med i utvecklingen av skadlig kod appliceras allt mer avancerade metoder för identifikation av vilka egenskaper som är mest relevanta. En av dessa metoder är utveckling och tillämpning av maskininlärning, eller “AI”, inom området. Detta är ett mycket användbart verktyg för att hitta mönster i stora datamängder. En av de främsta styrkorna är att AI kan klara av att hantera och hitta korrelationer i mycket större datamängder, med fler dimensioner, än människor kan hantera på ett bra sätt. Inom områden där det kan vara svårt eller väldigt tidskrävande för människor att göra analysen är AI-system en mycket vanlig application. Automatiserad analys av skadlig kod är ett bra exempel på detta. Det finns en stor mängd data att analysera, uppskattningsvis runt 1 miljard malware har skapats under de senaste 30 åren. Att separera dessa från de otaligt många fler legitima filer som skapats under denna tid handlar om hantering av väldigt stora datamängder. Maskininlärning har dessutom potential att klara av identifikation av skadlig kod utan antaganden eller förkunskaper om typer av skadlig kod. Detta är inte minst relevant när det kommer till helt nya typer av skadlig kod som inte setts tidigare av säkerhetsanalytiker. Med maskininlärning behöver utvecklaren inte ta ställning till vilka egenskaper som är relevanta, samt hur man extraherar dessa. Tränar man en AI algoritm på ett korrekt sätt kommer den att hitta sambanden automatiskt. Parametrar förknippade med egenskaper eller kombinationer av egenskaper som (generellt) inte har någon inverkan på bestämmande av filer som malware eller inte kommer att närma sig noll (och därmed inte bidra till klassificeringen), och parametrar eller kombinationer av parametrar med stor betydelse för om en fil är malware kommer att växa. Ett extremt exempel på detta visades för ett par år sedan [1] när en grupp AI-forskare applicerade maskininlärning på identifikation av skadlig kod via inspektion av rena bytes i headers. Detta test visar tydligt på potentialen i AI-system inom detta område. Det är högst troligt att vi kommer att se en ökande andel applicering av AI-teknik inom bekämpningen av malware inom de närmaste åren. [1]
li|N-gram av bytes eller OP-kod ASCII strängar Systemanrop Innehåll i header
h1|Att hitta skadlig kod i en höstack
sp| Publicerat 2020-10-23  Skrivet av Erik Aronson Copyright © 2021 - Simovits AB
em|Om dessa egenskaper ritas ut på n-dimensionell graf skapas kluster. Grannar tillhörande samma kluster representerar liknande filer.
pa|iPhone har länge legat i framkant vad gäller säkerhet och integritet, med delade känslor för många IT-forensiker som hittills i princip omedelbart fått ge upp när en låst iPhone av nyare modell än 4S hamnar på bordet utan att användaren frivilligt lämnat ifrån sig koden. För någon månad sedan släppte Cellebrite dock sin implementation av exploiten checkm8, som är något av en revolutionär händelse för mobilforensiker. Deras implementation av checkm8 utför via en bootloader en tillfällig forensiskt sund jailbreak (checkra1n) i telefonens minne, och den innebär två nya möjligheter jämfört med tidigare metoder: Vad betyder då detta? Andra tidigare tillgängliga metoder för att få ur data ur en iPhone är oftast beroende av vad telefonen väljer att lämna ifrån sig via dess egna inbyggda funktioner för exempelvis backup. Även om man får ut relativt mycket data från en sådan extraktion, så är viss data ofta begränsad som antingen skyddas lite extra eller inte är relevanta vid en backup, exempelvis lösenord, epost, diverse loggar, vissa gps-positioner, raderade filer och cachar av olika slag. En del av nämnd data kan följa med en vanlig extraktion till viss del, men som sagt ofta begränsat. Vid en full filsystemextraktion kan man alltså få ut även en stor del ytterligare sådan data, och checkm8 ska göra detta möjligt och enkelt. Att metoden är forensiskt sund innebär att ingen relevant data ändras på telefonen och att bevisunderlaget därmed är starkt nog att accepteras i en rättsal. BFU är en förkortning för ”Before First Unlock”. Det mesta på en iPhone är skyddat av kryptering med en krypteringsnyckel som genereras i telefonens ”Secure Enclave” med hjälp av användarens pin-kod/lösenord. Men för att telefonen ska starta och vissa funktioner fungera även innan man låser upp första gången, såsom kanske visning av vissa notiser på låsskärmen, uppkoppling mot sparade WiFi-nätverk, nödsamtalsfunktion, hälsoinformation (användarens ICE-information) etc. är inte all data skyddad av pin-koden. Ni kanske tänkt på att man första gången efter uppstart inte kan använda fingeravtrycksläsaren utan ombeds slå in koden för att ”aktivera” iTouch? Det är en effekt av att fingeravtrycksdata är krypterad, och pinkoden alltså måste anges för att kunna dekryptera och läsa dina sparade fingerdata, och därmed jämförelse med ditt riktiga finger kan ske. Checkm8 gör det alltså möjligt att utan kod extrahera den data som är tillgänglig innan första upplåsning. Om man har tur kan man sedan bland denna data eventuellt hitta ledtrådar till vad koden faktiskt är, och därmed lyckas komma vidare med en riktig extraktion. Det intressanta är att checkm8 stöds av iPhones 5S till iPhone X, med iOS version 12.3 och uppåt (det finns ingen patch som skyddar mot exploiten), vilket ironiskt nog betyder att nästan alla som har en någorlunda modern och uppdaterad iPhone, är de som är ofrånkomligt mest utsatta. Givetvis var detta något vi måste testa praktiskt och göra ett blogginlägg om. Vårt test idag fokuserar på BFU-varianten av checkm8, för att undersöka hur mycket intressant data man alltså kan få ut från en låst iPhone. Mitt testobjekt är min egna arbetstelefon, en iPhone 8 fullt uppdaterad till i skrivande stund senaste iOS-version 13.3.1. I Cellebrites extraktionsverktyg UFED 4PC väljer vi aktuell telefonmodell (i mitt fall en iPhone 8, A1905) som nu har ett nytt tillgängligt val ”Full File System (checkm8)”. Trots att vi bara avser göra en BFU-extraktion, så ska vi ändå välja detta val. Det klurigaste steget var helt klart att få telefonen i DFU-läge. DFU ”Device Firmware Update” är ett underhållsläge inbyggt i iPhones som krävs för att köra exploiten. Hur man för iPhone 8 aktiverar detta läge syns i instruktionerna i bilden och involverar en del knapptryckskombinationer med olika lång tid. Här är timing tydligen av yttersta vikt, så jag misslyckades ett flertal gånger och började tro antingen att instruktionerna var fel eller att just min iPhone magiskt saknade detta läge. Men efter ett antal försök lyckades jag till sist och kunde komma vidare med extraktionen. När man gjort knapptryckningarna och telefonens skärm förblir svart (istället för att den startar om) samtidigt som UFEDs Continue-knapp tänds, har man lyckats. Därefter kan man klicka vidare för att bli presenterad för Checkm8-loggan på telefonen som antyder att exploiten lyckats. Nästa steg är att ange koden om man vet om den. I vårat test var scenariot sådant att vi inte har en aning om vad den kan vara, så vi väljer ‘Cancel’ och blir då artigt befrågade om vi vill göra en BFU-extraktion. Se goddag då, det var ju precis detta vi ville, så vi klickar glatt ‘Yes’. Sedan startar extraktionen och det är bara att vänta på att den blir klar, varefter telefonen startar om som om ingenting har hänt. Under tiden ser man på telefonen hur mycket data som kommer att extraheras, i mitt fall nästan 5,6 GB, vilket är en hel del data man får ut utan kod. När extraktionen är klar öppnar vi den i analysprogrammet (UFED Physical Analyzer, PA). Vid öppningen kan vi även välja att låta verktyget berika data med positioner från eventuella kända WiFi-accesspunkter, vilket vi väljer att göra. Nedan bild visar antal poster PA har analyserat/tolkat åt oss, samt totalt antal filer av olika typ. Det ser imponerande ut, och det är det väl också, men det är nog bara en bråkdel av detta som verkligen är användbart. Många av filerna är standardfiler, och tillhör exempelvis grundinstallationer av appar etc. Exempelvis är inte en enda av de 348 videorna något jag känns vid själv, utan nästan uteslutande filmtrailers från appen iMovie som jag aldrig använt. Men det finns även en del personlig data som i olika fall kan vara användbar. Nedan bild visar senaste uppkopplingar mot mina sparade WiFi-accesspunkter med bl.a. namn, BSSID och tid (bilden är lite maskerad, men jag kan bekräfta att namnen stämmer). Även position visas eftersom vi tidigare valde att berika denna data. På kartan finns markeringar vid min jobbadress samt min hemadress. Detta kan ju i vissa fall vara väldigt användbart för att binda en misstänkt till en geografisk plats. Om man dessutom väljer att carva efter positioner, vilket innebär att det görs en mer djupgående sökning i filer, bilder och databaser efter potentiella positionsangivelser, får vi över 52000 positioner i Stockholmsområdet. Carvade positioner är dock av varierande kvalitet och kan alltså vara väldigt inexakta eller rent av felaktiga, men kan även ibland ge någon värdefull insikt. Tittar man på fliken med bilder som extraherats så är en del även här allmänna systemfiler som tillhör appar, men det finns faktiskt mycket som skulle kunna hjälpa till att åtminstone få en uppfattning om ägarens intressen och vanor. Det är inte helt enkelt att härleda var bilderna kommer ifrån, då de extraherats ur cachar, men jag tycker mig kunna avgöra att det finns bilder från bland annat mitt facebookflöde, diverse nyhets- och reklammail jag fått, LinkedIn, surfhistorik etc. På bilden nedan visas ett kort utdrag av bilderna från extraktionen, där man kan se exempelvis en bild på mig, min syster, en kompis och en mobilforensikguru jag följer på LinkedIn. Man kanske också kan dra slutsats om att jag på något sätt är relaterad till KTH, kör MC, vad jag gillar för netflix-serier, några butiker jag brukar handla från, att jag kanske vid något tillfälle skjutit pistol m.m. Det var några exempel på intressant data, och det kan finnas mer beroende på vad man är ute efter. Man kan ju även rota runt bland de filer som inte kategoriserats eller analyserats av PA för att hitta ytterligare artifakter, men detta får räcka för denna gång. Som slutsats kan man nog säga att trots att en BFU-extraktion är en relativt väldigt begränsad extraktion, så är det imponerande vad man med hjälp av Checkm8 kan få ut från en iPhone utan tillgänglig kod, något som alltså inte varit möjligt alls tidigare. Detta kan tyckas vara något av en revolution för forensikvärlden och ett stort nederlag för Apples hårda integritetsarbete.
li|Forensiskt sund extraktion av fullt filsystem (om kod känd) Extraktion av BFU-data (om kod okänd) Cellebrite blog – A practical guide to checkm8: Cellebrite blog – iPhone Extractions: 5 Questions That Will Unlock More Data with checkm8: Elcomsoft blog – BFU Extraction: Forensic Analysis of Locked and Disabled iPhones: LinkedIn hashtag #checkm8:
h1|Dump av iPhone utan pinkod (Checkm8)
h2|Praktiskt test Referenser
h3|Fullt filsystem BFU-data Sårbara iPhone/iOS-versioner Extraktionen Resultatet
sp| Publicerat 2020-03-08  Skrivet av Peder Sparell Copyright © 2021 - Simovits AB
em|Senaste iOS-version på testtelefonen Nytt tillgängligt val i UFED – ‘Full File System (checkm8)’ Enhetsinstuktioner för DFU-läge Recovery mode (steg 2 enl. ovan) Checkm8! Lösenord? Ingen aning… Varför inte? 5,56 GB data på väg. Klart.
pa|Dagens blogg handlar om type-juggling som är en ”feature” i PHP som kan användas i antagonistiska syfte. Angreppen baseras på att “==“ är en svagare form av jämförelse mellan två objekt än ”===”, enligt vad som syns nedan. Det som händer när man använder “==“ är att PHP ser om det går ändra typen av en av sidorna för att kunna göra jämförelsen “bättre”. I exemplet försöker man jämföra en int och en sträng. Strängen ändras då till en int (0) vartefter jämförelsen görs. Anledningen till att detta är värt att nämna i en blogg om säkerhet är att det kan användas i antagonistiska syften för att komma runt kontroller där “==“ används i tron att det fungerar som “===”. För att exemplifiera risken skapade jag ett enkelt inloggningsformulär där en svag jämförelse används som består av ett html-formulär samt kod som hanterar input från formuläret på serversidan. Källkod till inloggningsformulär När användaren klickar på “Login” körs följande kod på servern (action_form_vuln.php): I exemplet ovan är det möjligt att kringgå autentiseringen via type-juggling då uttrycket strcmp($psw,$password)==0 används för att kontrollera om rätt lösenord angivits. Generellt används funktionen strcmp för att jämföra skillnader mellan två strängar och (int-)värdet 0 innebär att strängarna är lika. Variabeln $psw är det värde som användaren fyller i lösenordsfältet medan $password är det (för pedagogiska syften hårdkodade) korrekta lösenordet. Funktionen strcmp fungerar dock så att den returnerar värdet null om en av strängarna som jämförs är en array. En angripare kan använda detta för att kringgå autentiseringen enligt skärmbilden nedan. Det som händer i skärmbilden är att eftersom angriparen kontrollerar parametern $psw testar hen att använda type-juggling för att kringgå autentisering genom att skicka en array istället för sträng som parametern $psw. Resultatet är att strcmp blir null istället för en int och tillföljd av type juggling är vidare uttrycket null==0 sant.
h1|Säkerhetsaspekter av Type Juggling
sp| Publicerat 2019-03-08  Skrivet av Anders Lundman Copyright © 2021 - Simovits AB
pa|En par intressanta händelser under det gångna året har varit de myndighetsingripanden som gjorts mot företag som ansetts ha en bristande säkerhetsstyrning. Nyligen har Finansinspektionen gjort ingripanden mot företag som outsourcat delar av sitt säkerhetsansvar och tidigare under året har Transportstyrelsen gjort ingripande mot företag där säkerhetsstyrningen påvisats ha vissa brister. Mer information finns på respektive myndigheters hemsidor där både aktuella förordningar och beslut i tillsynsfrågor finns tillgängliga. Vissa ärenden har också överklagats så det kan komma ytterligare uppgifter under 2017. Det är alltid lätt i efterhand att peka på saker som har gått fel, men hur ska man egentligen undvika den här typen av händelser? Några generella slutsatser kan man dra utan att kommentera enskilda ingripanden. Finns det några andra faktorer som är värda att tänka på? Inför en revision av tillsynsmyndigheten kan det vara svårt att sammanställa nödvändiga underlag eftersom ansvaret för säkerheten normalt är utspritt inom företaget. Både företagsledning, säkerhetsansvariga på olika positioner och internrevisionen har ett ansvar. Nedanstående beskrivning är starkt förenklad och företag kan ha starkt varierande organisation. Frågan av mer allmänt intresse är vilket ansvar för säkerhetsstyrningen som ledningen har och hur man egentligen påvisar att ledningen tagit sitt ansvar. Företagsledningen kan delegera det direkta operativa säkerhetsansvaret, men har hela tiden det övergripande ansvaret för att säkerheten är tillräcklig. Detta kan exempelvis omfatta att formulera ett regelverk, att delegera ett ansvar, att bestämma en organisation och en budget samt att kontrollera och följa upp säkerhetsstyrningen genom återkommande uppföljningsmöten, riskbedömningar och revisioner. Givetvis måste ledningen själva kunna redovisa sitt eget ansvar, men man måste också kunna leda verksamheten och tillämpa sitt eget regelverk i en kritisk situation. Detta ansvar omfattar även att besvara och delegera uppgifter inom och utanför den egna organisationen samt säkerställa att all anställd och inhyrd personal känner till regelverket. Inom ett företag finns ofta en utsedd säkerhetschef och även andra roller med direkt säkerhets eller riskansvar, exempelvis controllers. Det finns ofta en uttalad person som ansvarar för företagets säkerhetsstyrning, ändringar i säkerhetsregelverk och hanterar kravställda möten och utbildningar. Även konsulter kan arbeta med att ta fram, följa upp eller tillämpa säkerhetsregelverk i samverkan med en utsedd säkerhetschef som rapporterar till en företagsledning. Detta kan ibland skapa ett avstånd mellan företagsledningen och de som granskar eller följer upp säkerhetsregelverket eller riskanalyser för den lokala verksamheten. Ofta har ledningen ändå nödvändig kunskap genom framtagna regelverk, avrapporteringar, tillämpningsövningar och faktiska händelser. Men de myndighetsingripanden som gjorts visar ett behov att formellt påvisa att ansvaret uppfyllts. Den person som utsetts inom företaget som övergripande sammanhållande för säkerhetsstyrningen bör tillsammans med företagsledningen inför ett möte med tillsynsmyndigheten repetera regelverk och ansvar, samt gå igenom aktuella händelser, aktuella riskanalyser, genomförda säkerhetsmöten och fattade beslut så att man kan påvisa att all berörd personal, inklusive ledningen, har nödvändig kunskap och befogenheter och att säkerhetsstyrningen fungerat som avsett eller förbättrats vid behov. Man bör också säkerställa att alla skriftliga regelverk, relevanta mötesprotokoll och tidigare incidentrapporter är fullständiga inför en avrapportering till myndigheten. Internrevisionens ansvar är i första hand att kontrollera att företagets interna rutiner fungerar samt att rapportera sina iakttagelser till företagsledningen. För företag som har en säkerhetsstyrning så gör internrevisionen även de kontroller som står angivna i säkerhetsplanen. Det är dock viktigt att komma ihåg att internrevisionens kontroller och rapportering till företagsledningen inte med automatik kan översättas till att tillsynsmyndighetens revision kommer att utfalla positivt. Även vid extern förvaltningsrevision kontrolleras att företagsledningen sköter sina uppgifter enligt bolagsordningen och att företaget följer lagar och regelverk av betydelse. Men varken positiva besked från intern eller extern granskning är någon garanti för att tillsynsmyndigheten inte ska göra något ingripande. Följ alltid upp tidigare påpekanden från myndigheten. En brist som kvarstår eller upprepas kan annars leda till ett ingripande. Studera de beslut som myndigheten tagit tidigare och tänk ut vad som kan göras för att slippa att hamna i en liknande situation.
li|För det första behöver det inte ha inträffat några allvarliga incidenter för att en tillsynsmyndighet ska vilja göra ett ingripande. Det räcker med att företaget inte klarar av att styrka För det andra är det företaget som har bevisbördan att visa att interna rutiner har följts, att riskanalyser och interna revisioner genomförts i rätt tid, att incidenter utretts och återkoppling skett till företagsledning och att regelverket uppdaterats vid behov.Detta kräver att interna protokoll skrivs och att alla dokument finns versionshanterade. För det tredje är det företagets skyldighet att underrätta tillsynsmyndigheten löpande om förändringar i organisation, delegering av ansvar eller säkerhetsregelverk, då incidenter inträffat eller vid andra situationer som de aktuella regelverken anger. Slutligen är alla i företaget tvungna att kunna redogöra för sitt ansvar enligt säkerhetsregelverket. Vid de kontroller som tillsynsmyndigheten gör så kan alla personer som har ett uttalat ansvar komma att tillfrågas.
h1|Lärdomar kring säkerhetsrevisioner
h2|Företagsledningens ansvar Säkerhetsansvariges ansvar Internrevisionens ansvar Några praktiska rekommendationer
sp| Publicerat 2017-01-17  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|Välkommen till Del 1 i Simovits Consultings första bloggserie om nätverkshacking! Hur svårt är det egentligen för en angripare att fånga upp information från cyberrymden? Vilken typ av information kan fångas upp? Finns det anledning att vara orolig? Och hur kan vi skydda oss? Idag är de flesta nätverk switchade, vilket gör att trafiken skickas ut till rätt port där mottagaren borde befinna sig. Detta till skillnad från hubbar (som i stort sätt är utdöda idag), eftersom hubbar skickade ut trafiken till alla portar. Då var det tillräckligt att vara ansluten till samma hubb för att kunna sniffa all trafik som passerade den. En mycket enkel metod för att fånga trafik är att placera en hubb mellan en switch och internet, men då krävs det att man har möjlighet att ansluta en hubb på det sättet vilket kanske inte är särskilt diskret. I första delen går på offensiven och demonstrerar en metod för att sniffa trafik på ett trådat nätverk, genom ARP spoofing eller ARP poisoning (eller ARP förgiftning på svenska). ARP, Adress Resolution Protocol, är det protokoll som används för att mappa en MAC adress till en IP adress. När data skickas från en dator till en annan är det IP adresser som används, men för att data faktiskt ska komma fram behöver man den MAC adress som det mottagande nätverkskortet har. ARP poisoning är en typ av man-in-the-middle attack och går ut på att förgifta enheters IP till MAC mappning. ARP cachen, ”adresslistan”, förgiftas genom att skicka en stor mängd spoofade ARP meddelanden för en eller flera IP adresser. Resultatet blir att all IP till MAC mappning pekar på den MAC-adress som angriparen valt (sin egen). För att demonstrera hur man kan gå tillväga att utföra en ARP förgiftning använder vi men ett alternativt verktyg är . Efter att du har installerat Cain & Abel, börja med att stänga av datorns lokala brandvägg. Det första du gör efter att du startat programmet är att du konfigurerar Cain & Abel för att använda rätt nätverkskort på din dator. Nästa steg är att navigera in på ”Sniffer”-fliken. Starta sniffning och ARP spoofing genom att trycka på de två ikonerna i övre vänstra hörnet. Tryck på plussikonen eller högerklicka sedan i det vita fältet för att välja ett nätverksspann som verktyget ska söka efter MAC-adresser på. Denna lista ger vilka enheter som finns på nätverket som vi sedan kan försöka ARP förgifta. Listan börjar nu populeras med IP- och MAC adresser som har fångats upp i det nätverk som sniffningen har utförts mot. Nu är det dags att välja vilka enheter som ska ARP förgiftas. Klicka på den nedre ARP fliken och högerklicka i det vita fältet för att välja ”ARP Poisoning Routing”. Här väljer vi mellan vilka noder som vi vill fånga trafik, förslagsvis mellan en router och en eller flera datorer. Under tiden som giftet sprids kan vi se en mängd ARP meddelanden om vi tittar i Wireshark, och Cain visar ”poisoning”-status på enheterna: Sen är det bara att vänta på att informationen rullar in… Fliken ”Passwords” kan vara en guldgruva. Den här gången har vi inte lyckats få några intressanta lösenord i labbmiljön. Vi har i alla fall ett användarnmamn ”tiinal” och ett lösenord ”Pa55w0rd” som vi fångat upp! Med Wireshark exempelvis kan vi såklart se all trafik som passerar om även det skulle vara av intresse. Så går man tillväga för att utföra en ARP poisoning för att sniffa trafik på ett switchat nätverk. I nästa del tittar vi närmare på möjligheterna i trådlösa nätverk…
h1|Nätverkshacking Del 1: ARP spoofing
h3|Vad är ARP och hur kan det användas för att sniffa trafik? Steg för steg – ARP spoofing och ARP poisoning med Cain & Abel
sp| Publicerat 2015-09-11  Skrivet av Tiina Loukusa Hyttnäs Copyright © 2021 - Simovits AB
pa|Jag har tidigare skrivit om dnurl vilket är ett enkelt curl-liknande verktyg för att testa webbsidor. Då kallades projektet nurl men bytte namn eftersom det namnkrockade med ett annat verktyg. Verktyget är till för att testa webbsidor och nu har stöd för chunked transfer encoding lagts till. Det har även skett en del refactoring av koden utöver namnbytet. Tanken med DNurl är inte att ersätta curl eller andra liknande verktyg. Jag kommer fortsätta ha behov av curl. Tanken är snarare ett komplement. Eftersom DNurl är en .NET-applikation så kan man ladda in den exekverbara filen som en .NET-assembly och använda den i powershell. Ifall man exempelvis behöver använda powershell för att skripta sidhämtningar så kan därmed DNurl erbjuda full kontroll över http-requests i powershell. För detta har jag bifogat ett exempel nedan. Exemplet laddar dynamiskt in dnurl.exe som en .net-assemly, skapar ett objekt av klassen DNurl och anropar google på port 80. För att demonstrera att objektet från klassen DNurl håller svaret från google så skrivs dessa ut. DNurl är tänkt att hållas väldigt enkelt. Om man kan sätta sig in i koden snabbt och slippa massa beroenden till tredjeparts-program så har man full kontroll över vad som händer då man testar en funktion på en webbsida. Om man exempelvis använder HttpClient-klassen som erbjuds i .net så sker massor av saker bakom kulisserna. Man har inte full kontroll över vad som händer. Det samma gäller andra liknande komponenter såsom curl. Om man utför web-applikations-tester och i synnerhet penetrationstester för webapplikationer så är total kontroll över kommunikationen väldigt viktig. Därför ville jag exempelvis inte använda mig av en tredjeparts-komponent för att koda av chunked transfer encoding eller bara låta det ske magiskt i bakgrunden från HttpClient (speciellt inte som det är superenkelt att implementera). DNurl kommer inte heller innehålla någon superbra felhantering eftersom det är tänkt att användas mer som en template när man utför webbapplikations-tester. Om man håller ned antalet kodrader så tar det kortare tid att läsa igenom. Tanken är som sagt att ge full kontroll över varje byte som skickas till servern, inte att skapa ett specifikt kommando för varje möjlig http-request (då vill man antagligen använda curl istället). Nedan visas DNurls olika kommandoradsalternativ. Om man ska använda DNurl direkt från kommandoraden så kan man göra det på formen: dnurl.exe –host www.simovits.com –port 80 Länk till projektets git repository:
h1|DNurl – Chunked transfer encoding i C#
sp| Publicerat 2016-02-25  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|Den första delen av Nätverkshacking-serien handlade om arp-spoofing, men nu är det dags att gå mot modernare tider och undersöka närmare vad man kan göra med trådlösa nätverk. Vi börjar med att sätta upp en WiFi honeypot som ovetande användare kan ansluta sig till. Till detta behövs en laptop (eller vilken dator som helst fungerar egentligen), verktygslådan som innehåller en mängd WiFi verktyg och ett externt nätverkskort, ALFA NETWORK AWUS036H som ansluts via USB till datorn. På min laptop har jag dessutom installerat, så de flesta verktyg som behövs för att sätta upp en WiFi honeypot finns redan. Vi börjar med att konfigurera en DHCP server så att användarna som ansluter sig får en giltig IP-adress. För att sätta upp en DHCP-server kan du behöva du installera paketet isc-dhcp-server <apt-get install isc-dhcp-server>. Nu när du har en DHCP-server, konfigurera din server för att dela ut IP-adresser, redigera filen /etc/dhcp/dhcpd.conf. Nästa steg är att sätta upp Alfa-nätverkskortet i monitoreringsläge. Kontrollera först att nätverkskortet känns igen av operativsystemet med <ifconfig>. I mitt fall heter det gränssnittet wlan1, och för att sätta upp det i monitor-läge använder vi airmon-ng <airmon-ng start wlan1>. Detta skapar ett virtuellt gränssnitt som fått namnet wlan1mon. Men nu har jag Kali 2.0 installerat, och då behöver vi göra några extra steg för att få detta att fungera ordentligt. Om du inte har Kali 2.0 kan du skippa ifconfig och iwconfig kommandona nedan. …och nu borde monitoreringen på gränssnittet wlan1mon fungera som det ska! Vi kan använda airodump-ng för att se vilka nätverk vi har i närheten. Och för den luriga så kan din Honeypot sen fungera som en Evil Twin (en nod som har samma namn som ett annat nätverk), men det gör vi inte denna gång. För att skapa en hotspot används ännu ett verktyg i Aircrack-suiten, Airbase-ng och kommandot <airbase-ng -e GratisWiFi -c 9 wlan1mon>. Flaggan –e står för ESSID som jag i detta, kanske något tråkiga exempel, valt att kalla ”GratisWiFi” och –c för vilken kanal som den ska användas, här kanal 9, och wlan1mon är namnet på gränssnittet. Airbase-ng skapar ännu ett nytt gränssnitt, at0, som kan användas för att sniffa trafik. at0 har inte ett IP och vi har inte satt upp att DHCP konfigurationen, vilket vi nu behöver göra med kommandona <ifconfig at0 up 10.0.0.1 netmask 255.255.255.0> och <dhcpd -cf /etc/dhcp/dhcpd.conf at0> som löser detta. Och – ta da! Nu har vi honeypoten uppe, utan kryptering och helt öppen, och klienter kan fritt ansluta sig till den. Som ni ser i Wireshark-dumpen på interfacet at0 ovan kan klienten med IP 10.0.0.100 inte surfa någonstans via “Gratis WiFi”, utan här ser vi bara DNS frågor eftersom vi inte har konfigurerat den delen att man faktiskt kan surfa, men vem vet – det kanske vi löser nästa gång.
h1|Nätverkshacking Del 2: WiFi Honeypot
sp| Publicerat 2016-02-05  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|( ) Nu är det dags för nästa del i vår (nu fullt etablerade) bloggserie om ! I denna tredje del kommer vi fortsätta där vi slutade i del 1 och – för tillfället – lägga informationen om elliptiska kurvor från förra avsnittets avstickare på hyllan. Vi återkommer till elliptiska kurvor i bloggseriens N:te del för något stort tal N. Författaren ber i förväg om ursäkt för mängden matematik, den dåliga formateringen, och bristen på skämt. Del 1 avslutades med att vi tittade på Challenge 5. I denna uppgift skulle man implementera Vigenère-chiffret. För att påminna läsaren om hur denna kryptering går till ger vi här en snabb beskrivning: Implementeringen av Vigenère-chiffret på datorn görs med hjälp av byte-vis XOR, vilket helt enkelt reduceras till komponentvis addition i . Om texten man ska kryptera är längre än nyckelordet kan man göra på olika sätt – cryptopals väljer att återupprepa nyckelordet om och om igen. Om vi vill kryptera texten SIMOVITS med nyckel ABC börjar vi med att utvidga nyckeln till rätt längd: Den krypterade texten blir då resultatet av operationen “SIMOVITS” XOR “ABCABCAB”. Resultatet av denna operation är en ny sträng där första byten är “S” XOR “A”, den andra byten är “I” XOR “B”, etc. Det är inte helt lätt att skriva ut en läsbar version av denna sträng, då den ej består av några skrivbara tecken. Varje byte i denna sträng har nämligen ASCII-värden mellan 10 och 21 – och dessa bytes motsvarar operationer såsom “line feed”, “tab” och “shift out”. Detta är dock inget problem för en dator som inte ser någon större skillnad på dessa tecken och de skrivbara tecknen som vi kan läsa på skärmen. Vi dödliga får istället använda oss av exempelvis hexadecimal notation (som vi gick igenom i del 1) för att uttrycka resultatet av “SIMOVITS” XOR “ABCABCAB” som “120b0e0e140a1511”. Hur som helt, nu är vi redo för nästa utmaning! Denna uppgift går ut på att dekryptera en text som krypterats med Vigenère-chiffret, utan att känna till krypteringsnyckeln. Vi ska alltså knäcka denna kryptoalgoritm! Uppgiften ger följande förslag på hur man kan gå tillväga: Låt oss förklara detta angripssätt i lite mer detalj. Antag att man har en lång krypterad text, som vi kallar för (crypto text). Denna text är krypteringen av någon klartext (plain text) med en nyckel (key). Vi vet alltså att , där är klartexten vi är ute efter och är strängen upprepad för att göra den lika lång som För att lösa ut behöver vi först lista ut hur lång nyckeln är. Varför är det intressant? Låt oss förklara med hjälp av vårt exempel: Eftersom =”ABC” har längd 3 ser vi att var tredje byte i har krypterats med samma byte i nyckeln: Vi skapar nu de 9 nya strängarna: Då gäller att: Detta är tre stycken Ceasarchiffer! I exemplet ovan använde vi oss av vi kände till och , men notera att vi skulle kunna utfört denna ommöblering av bokstäver om vi enbart kände till och längden på nyckeln . Alltså, om vi har en krypterad text och längden på krypteringsnyckeln så kan vi dela upp vårt Vigenère-chiffer i ett antal Ceasarchiffer – lika många som längden på nyckeln – och dessa kan lösas med tekniken vi lärde oss i Challenge 3. Sedan behöver vi bara möblera tillbaka bokstäverna i lösningarna av dessa , etc, för att återskapa . Det återstår bara ett problem. Vi känner ju fortfarande inte till vad nyckeln är, och speciellt vet vi inte hur lång den är. Men, det går att lista ut! Som läsaren kanske har märkt har vi ofta undvikit att skriva ut innehållet i vår sträng från vårt återkommande exempel – då den består av icke skrivbara tecken. Att inte består av skrivbara tecken är faktiskt inte så konstigt, eftersom både och har valts att innehålla skrivbara tecken, och alla skrivbara tecken är ihopklumpade efter varandra i ASCII-tabellen. Det vill säga att de skrivbara tecknen har ganska lika ASCII-värden, vilket i sin tur innebär att de ofta har 1:or och 0:or på ungefär samma plats i sina binära representationer. Exempelvis: Beräkning av “S” XOR “A” = 01010011 XOR 01000001 går i praktiken ut på att enbart skriva 1:or på de positioner där precis en av de två karaktärerna har en 1:a, och 0:or överallt annars. Enklaste sättet att se detta är kanske att skriva dessa två tal över varandra: 00010010 har ASCII-värde 18, vilket motsvarar den inte så jättekända karaktären “Device Control 2” (ej skrivbar). Poängen här är att XOR av två skrivbara tecken ej är skrivbart i allmänhet – poängen är istället att skrivbara tecken ofta har 1:or på samma positioner, vilket i sin tur innebär att XOR av två skrivbara tecken ofta har få 1:or men många 0:or i sin binära representation. mellan två tecken är definierat som antalet 1:or i den binära representationen av deras XOR-summa. Det vi försökte säga i vårt babblande ovan är alltså att Hammingavståndet mellan två skrivbara tecken ofta är litet (i jämförelse med Hammingavståndet av två godtyckliga tecken som i snitt bör vara ~4). Puh. På samma sätt gäller att mellan två strängar definieras som antalet 1:or i den binära representationen av XOR-summan av strängarna. Hammingavståndet mellan två strängar som består av enbart skrivbara tecken är av samma anledning som ovan också ofta litet (i jämförelse med Hammingavståndet av två godtyckliga strängar). Nu kanske läsaren kommer med den rimliga invändningen: Jaha, vadårå? Jo, det ska jag berätta! Låt oss anta att vi har en lång krypterad text där vi använt notationen att små bokstäver representerar individuella bytes i strängen. Vi vet att för någon klartext och någon sträng . Dessutom vet vi att upprepar sig: där är en nyckel av okänd längd . Med vår kunskap från ovan kan vi faktiskt gissa oss fram till vad är! Antag att nyckeln har längd för något tal . Då kan vi titta på delsträngarna och och beräkna Hammingavståndet mellan dem. XOR-summan av dessa strängar blir en sträng av längd . Första byten i denna sträng är . Eftersom får vi att Det gäller alltid att , och notera att om vi gissar rätt på längden, det vill säga om , så gäller det även att , vilket innebär att: och alltså att (om ) På samma gäller, om , att , , och så vidare. Med andra ord, om , så blir = där och är delsträngar av klartexten . Med antagandet att klartexten som vi började med består av skrivbara tecken (som har små Hammingavstånd mellan varandra) så gäller det alltså att om vi gissade rätt med så är Hammingavståndet mellan och oftast mindre än avståndet mellan två godtyckliga strängar. Genom att beräkna Hammingavståndet mellan och för massa olika värden på , så kan vi till slut få fram det som gett minst Hammingavstånd, och därför också den troligaste kandidaten för nyckellängden. Slutkommentar: Det klassiska Vigenère-chiffret (ej för datorer) använder sig inte av addition i , utan av addition i – och där fungerar inte denna metod att leta efter icke skrivbara tecken. Istället får man använda sig av mer komplicerad statistik (så som att identifiera återkommande delsträngar, osv) – så ifall man vet att klartexten består av skrivbara tecken blir det faktiskt enklare att knäcka XOR-implementation för Vigenère-chiffret än i det klassiska exemplet. Ifall klartexten istället består av tecken från hela ASCII-intervallet blir detta angripssätt däremot inte lika effektivt. I denna uppgift ska man dekryptera en text med hjälp av AES-128 i ECB-mode och en känd nyckel. De föreslår att man kan använda sig av open-ssl:s AES-implementation, men det känns som fusk. Syftet med den här bloggserien är ju att försöka förstå saker. Låt oss därför istället implementera AES från grunden! Men för att kunna göra det så vill man ju först förstå vad den gör. Låt oss därför gräva ner oss i väldigt obetydliga detaljer – och samtidigt försöka reda ut om det finns någon hemlig bakdörr i algoritmen (som vissa konspirationsteorier hävdar). Vi har hittills enbart implementerat krypteringsalgoritmer som bygger på additionen i . Om man vill göra en mer “komplicerad” krypteringsalgoritm vore nästa logiska steg, rent matematiskt, vara att använda en mer “komplicerad” operation än addition. Exempelvis multiplikation! Additionen i såg vi var enkel att definiera som den komponentvisa additionen i varje -komponent. För att få en multiplikation med vettiga egenskaper funkar det dessvärre inte att definiera även den komponentvis (överkurs: leder till existens av nolldelare och resulterar i ett icke-integritetsområde). Matematiskt babbel och handviftande (läsaren är välkommen att skippa): En “kropp” är i matematiken en struktur vari man kan addera och multiplicera, och där båda dessa operationer har bra egenskaper (så som inverterbarhet). En Galoiskropp är en kropp med ändligt många element. Ett exempel på en sådan är kroppen med 2 element GF(2)= där multiplikationen är klassisk multiplikation modulo 2 (GF = Galois field). Det finns massa häftiga satser om dessa kroppar, exempelvis: Eftersom 256=2^8 är en potens av ett primtal finns det en Galoiskropp GF(256) med just 256 element. Ett sätt att definiera denna kropp är som mängden av polynom med 0 och 1 som koefficienter, och med kravet att . Matematiskt kan detta skrivas: Exempel på element i GF(256) är: Det finns precis 256 olika sådana polynom. Varför finns det inte oändligt många? Jo, för att så fort som ett polynom har en term som har högre potens än 7 så går den att reducera. Exempel: Nästa naturliga fråga: Vad tusan har det här struntet med någonting att göra? Jag kommer till det! Koefficienterna för alla dessa 256 polynom kan paras ihop med alla de 256 olika binära representationer av ASCII-tecken. Exempel: S kan binärt skrivas 01010011, och detta kan vi para ihop med polynomet Vi kan också multiplicera två polynom som vanligt, och varje term i produkten som har en potens högre än 7 reducerar vi på samma sätt med hjälp av kravet: Dessa polynom kan alltså användas för att definiera en multiplikation på . The Advanced Ecryption Standard (AES) är en krypteringsalgoritm som år 2001 fastställdes av NIST som den standardiserade krypteringsmetoden för datorer. Valet av AES är en intressant historia där många olika algoritmer tävlade mot varandra, och vann gjorde en variant av en algoritm vid namn Rijndael – numera känd som AES (även om Rijndael i grunden är mer generellt definierad). Den intresserade läsaren uppmanas att googla efter mer infomation. Algoritmen kan handviftande beskrivas som följer: Tag en sträng med 16 tecken och en nyckel som också består av 16 tecken. (Ja, 16 tecken är ett krav – hur man använder AES för att kryptera andra längder på strängar förklarar vi i nästa uppgift) AES krypterar då med nyckeln genom att utföra följande (extremt luddiga och oprecisa) algoritm: Alla som blandat en kortlek någon gång vet att det (med största sannolikhet) blir en bättre oordning ju mer man blandar. I analogi med detta så gör vi om stegen ovan flera gånger – 11 gånger för att vara exakt! För att få lite extra säkerhet används inte samma K i varje blandning, utan först utvidgas K till 11 stycken strängar av längd 16 (och varje sträng används i precis en omgång). Detta görs genom en iterativ process där man utför operationer – cyklisk rotation, tecken-substitution, och en XOR-operation – på ord (4-bytes-delsträngar av nyckeln) för att skapa nya ord, som i sin tur används för att skapa ännu fler ord, och så vidare tills 44 stycken genererats. Den cykliska rotationen flyttar varje tecken i ett ord ett steg åt vänster (cykliskt). Teckensubstitutionen använder sig av en 16×16-substitutionstabell som beskriver vad varje tecken ska bytas ut mot för nytt tecken (vi återkommer till detta nedan). XOR-operationen använder sig av den nu invanda additionen i tillsammans med diverse konstanter. Dessa konstanter är definierade utifrån representationen av elementen i GF(256). Nu när nyckeln är utvidgad så utförs resten av blandningen – här nedan beskriver vi detta i mer detalj. Vi börjar med att förklara hur detta är definierat. Låt c vara ett tecken i strängen C. Tecknet c kan, som vi beskrivit tidigare, representeras av ett polynom i . Varje polynom (utom 0) har en invers, och vi kallar detta polynom för . Att enbart ta inversen är dock en för trivial algebraisk operation, så därefter utförs en affin transformation som kan beskrivas, i termer av polynom-multiplikation, som Polynomet man får som resultat av beräkningen ovan svarar mot en binär representation av något ASCII-tecken, vilket definieras som substitutionen för tecknet c. Från denna beskrivning kan man generera en 16×16-tabell som kan användas istället för att utföra dessa beräkningar varje gång. Det är denna tabell som det syftades på i nyckelutvidgningen ovan. Efter dessa substitutioner har vi en ny sträng bestående av 16 tecken, och vi skriver dessa i en matris: I jämförelse med resten så är denna del ganska enkel. Man roterar cykliskt raderna i matrisen som följer: Detta steg tyckte författaren av denna bloggtext var den mest komplicerade när författaren skrev sin egna AES-implementation, men oroa er inte – vi är snart klara! I detta steg börjar vi med en matris på formen (vi numrerar om indexen på tecknen för att förvirra så mycket som möjligt): Varje element i denna matris motsvarar en byte, som kan representeras som ett polynom i GF(256). Vi kan nu gå ett steg längre i vår abstraktionsnivå och betrakta varje kolumn i matrisen som ett element i polynomringen Kul va?! Variabeln är här godtyckligt vald för att inte misstas för variabeln för polynom i GF(256). Exempelvis kan man skriva den första kolumnen som Blandningen i denna fas går ut på att multiplicera var och en av de fyra polynomen man får från de fyra kolumnerna med det fixerade polynomet och använda sig av både multiplikationen i och, för koefficienterna, multiplikationen i . AES-algoritmen är, som vi sett, åtminstone inte uppenbart trivialt. Alla komplicerade matematiska strukturer, operationer, och val av konstanter, har inspirerat till flera konspirationsteorier om att det finns någon hemlig bakdörr i algoritmen som är obfuskerad av all komplexitet. Eftersom vi börjat få en ganska bra förståelse för de olika delarna så kan vi ju lite snabbt försöka leta efter en sådan. Vårt letande får gå ut på att försöka förstå varför de olika valen av konstanter och relationer har gjorts: Så, varför valdes: Förklaringarna som getts ovan går att hitta (med högre detaljrikedom) , och då vi inte lyckats hitta något misstänkt får vi nog komma fram till att det inte finns någon bakdörr… Det som återstår nu är enbart själva implementationen, och lämnas som övning till läsaren. För övrigt, om någon läsare fortfarande är vaken (vilket känns högst osannolikt) kanske den undrar varför vi inte diskuterat någonting om ECB-mode som nämndes i uppgiftsbeskrivningen. Vad det är, och varför det är dåligt, går vi igenom i nästa Challenge – men det får bli i nästa del av denna helt absurda bloggserie. Spänningen är olidlig!
li|Lista ut hur lång nyckeln är. Reducera problemet att knäcka Vigenère-chiffret till att istället knäcka flera “enklare” Ceasarchiffer. Lös varje Ceasarchiffer var för sig. Det existerar en Galoiskropp med element när är ett primtal eller en potens av ett primtal. Två Galoiskroppar med lika många element är (i princip) lika med varandra – de är isomorfa. Låt Byt ut alla tecken i mot andra tecken. Placera de 16 tecknen i i en 4×4-matris. Blanda runt i varje rad i matrisen. Modifiera varje kolumn i matrisen. för definitionen av GF(256)? Eftersom alla kroppar med 256 element är isomorfa så hade man ju kunnat välja vilket annat irreducibelt polynom av grad 8 som helst här… Misstänkt! : Skaparna av Rijndael använde sig av boken Introduction to finite fields and their applications (1986), av R. Lidl and H. Niederreiter, som uppslagsbok när de studerade Galoiskroppar, och detta polynom var det första i den bokens lista över irreducibla polynom av grad 8. Okej, det får vi väl acceptera! som den affina transformationen? Det finns ju jättemånga olika val av affina transformationer… Misstänkt! : relationen var den enklast möjliga. Polynomet var polynomet som hade enklast beskrivning och samtidigt var koprimt till (och därför inverterbart). Konstanten valdes så att fixpunkter undveks. Det är även noterat i Rijndael-dokumentationen att man är välkommen att byta ut denna affina transformation mot något annat om man hellre vill det. Okej, vi släpper denna också. för kolumn-beräkningen? Finns massa andra val av polynomringar? Misstänkt! : Relationen är återigen det enklaste möjliga för användsområdet. Acceptabel motivering. som den konstanta produkten i kolumn-beräkningen? Finns återigen massa olika val, misstänkt! : koefficienterna är de fyra minsta och enklaste elementen i GF(256) – och det optimerar beräkningshastigheten hos datorn. Dessutom har dessa koeffiencenter valts så att den följande linjära transformationen har ett maximalt “branch number” – som i princip innebär att små förändringar i indatat propagerar sig och ger stora skillnader i utdatat. Detta får ju anses vara en bra egenskap hos en kryptoalgoritm. Vi köper nog detta också. konstanterna i beräkningen för nyckelutvidgningen? Finns ju massa olika konstanter att välja… Misstänkt! : Enklast möjliga valen… Vi köper det! (speciellt eftersom författaren av denna blogg börjar bli trött)
st|Exempel: Ex: Förklaring Förklaring Förklaring Förklaring Förklaring
h1|Cryptopals – del 3 (men egentligen 2) av ?
h4|Challenge 6: Challenge 7 –
h5|1) Utvidga nyckeln: 2) Byt ut alla tecken i mot andra tecken: 3) Blanda runt i varje rad i matrisen. 4) Modifiera varje kolumn i matrisen Finns det en bakdörr i AES?
sp| Publicerat 2020-05-22  Skrivet av Gustav Sædén Ståhl Copyright © 2021 - Simovits AB
em|C P K C = P XOR L P L K P. P K K P P K C K C K P1, P2 P K C C P K inte Hammingavståndet Hammingavståndet C = P XOR L L n n u u u u=n u=n u=n u=n C’ XOR C” P’ XOR P” P’ P” P u=n C’ C” C’ C” u u n n P K C = P XOR K C C C p T x 0, 1, x, x+1
pa|Om man i sin verksamhet använder sig av subdomäner för att avskilja olika internetbaserade tjänster så är det viktigt att komma ihåg att inaktivera subdomänen då den inte används längre. Särskilt viktigt är det förstås ifall subdomänen pekar mot en domän som man själv inte har kontroll över. Det finns exempelvis användningsfall där man använder en tredjepartsleverantör för ett specifikt API men vill använda sin egen domän av olika orsaker. Exempel: api2.testitesttest.se hänvisas till molnleverantorenx.se som i sin tur pekar domännamnet mot rätt IP vid en DNS-request. Det vill säga att en cname-pekare konfigureras från api2.testitesttest.se mot molnleverantorenx.se. Ifall man i framtiden slutar använda sin api2.testitesttest.se-adress hos molnleverantorenx.se så kanske molnleverantorenx.se låter någon annan registrera api2.testitesttest.se (eftersom den inte längre används) och därmed möjliggörs en subdomain-takeover. Här finns en fin beskrivning över riskerna med att glömma bort att ta hand om sin DNS. Vanligen leder en bortglömd subdomän inte till någon allvarlig brist… men det skulle kunna vara en potentiell sårbarhet beroende på hur den bortglömda subdomänen används eller använts historiskt. För att slippa sådana situationer kan det då vara bra att hålla koll på sina egna domänregistreringar. Det finns förstås ett antal verktyg för olika tester kring detta på internet…men det kan vara nyttigt att göra sitt eget verktyg som utgår ifrån domänstrukturen och tjänsterna hos den organisation man testar. Om inte annat för att få kontroll över vad det är man gör. Särskilt som det inte är komplicerat. För detta syfte kan man använda en kod-template som jag publicerat här: . Eftersom koden är kortfattad kan man således ändra den efter vad man har för behov för den domän som man för tillfället testar. Programmet använder det gamla programmet för DNS-requests (för att slippa implementera DNS-protokoll). Ifall man använder Windows behöver man sannolikt installera Bind för att få tillgång till dig. Det kan laddas ned på följande länk: . Nedanstående programargument kan användas. Nedan ges två exempel på utdata med fiktiva ip-adresser och domäner: – webmail.example.se|1.2.3.4|http:The operation has timed out|https:The operation has timed out|NOERROR|A:webmail.example.se:1.2.3.4 – www99.example.se|5.6.7.8|http:The operation has timed out|https:The operation has timed out|NOERROR|CNAME:www99.example.se:exampleserver.example.com,A:exampleserver.example.com:5.6.7.8
st|dig Exempel 1 Exempel 2
h1|Enkelt verktyg för subdomän-skanning
sp| Publicerat 2019-11-08  Skrivet av James Dickson Copyright © 2021 - Simovits AB
em|Subdomänen finns och pekar mot ip 1.2.3.4 som ägs av organisationen men det går inte att ansluta via http eller https. Subdomänen finns och pekar mot en tredjepartsserver (exampleserver.example.com). Det går inte att ansluta via vare sig http eller https. I detta fall kan det vara nyttigt att kontrollera vad tredjepartsservern är för något. Går det att registrera basdomänen example.com eller är det en molntjänst där det går att registrera egna domännamn?
pa|Den 1:a Maj 2018 infördes omfattande ändringar i Lagen om betaltjänster [1] och Lagen om elektroniska pengar [2], samt att Finansinspektionen publiserade FFFS 2018:4 [3]. I och med att dessa trädde i kraft, så infördes det nya betaltjänstdirektivet PSD2 (Payment Service Directive 2). Syftet med PSD2 är att modernisera och harmonisera regleringen av betaltjänster inom […] Outsourcing av IT kan ske av olika skäl, oftast kostnadsmässiga, men även då teknik och kunskap enbart finns hos aktörer utanför egna verksamheten. Outsourcing behöver inte vara problematisk. Dock kan det innebära att flera kunders system och information hanteras i gemensam IT-miljö hos leverantör med riskexponering som följd, samt som möjligt mål för främmande makts […] Den 23 Mars röstade USA:s kongress igenom CloudAct (‘‘Clarifying Lawful Overseas Use of Data Act’’) i samband med genomröstningen av USA:s budget. Med tanke på att Europa är i full färd med att införa GDPR, den nya dataskyddsförordningen med syfte att skydda personinformation, är det få reaktioner på CloudAct. Electronic Frontier Foundation och olika typer […] Regeringen publicerar årligen en sammanfattning av hur hemliga tvångsmedel använts under det föregående året. Den senaste skrivelsen publicerades i december 2016 och redogör alltså för användandet av hemliga tvångsmedel under 2015 [1]. Dessa dokument utvecklas fortfarande från år till år. Delvis för att göra användningen av hemliga tvångsmedel mer transparent, men också för att det […] En utredning av regeringen [1] föreslår att säkerhetsskyddslagen ersätts av en ny lag. Lagen ska bemöta förändrade krav på säkerhetsskyddet, exempelvis avseende sårbarhet hos samhällsfunktioner och att säkerhetskänslig verksamhet i högre grad bedrivs i enskild regi. Denna veckas blogg går igenom vad betänkandet beskriver samt hur det mottagits hos myndigheter och andra aktörer. Vad innebar […] En par intressanta händelser under det gångna året har varit de myndighetsingripanden som gjorts mot företag som ansetts ha en bristande säkerhetsstyrning. Nyligen har Finansinspektionen gjort ingripanden mot företag som outsourcat delar av sitt säkerhetsansvar och tidigare under året har Transportstyrelsen gjort ingripande mot företag där säkerhetsstyrningen påvisats ha vissa brister. Mer information finns på […] Vad handlar detta om? EU (kommissionen, Europaparlamentet och Europeiska unionens råd) enades den 15 december 2015 om ett förslag till en ny EU-förordning (GDPR) som syftar till att modernisera dataskyddsdirektiv från 1995 till en mer enhetlig tillämpning inom EU, och förordningen är nu antagen [1]. I överenskommelsen ingick även ett direktiv som reglerar hur polis […] På Näringslivets Säkerhetsdelegations årsseminarium som hölls den 4e februari i år, berörde flera talare hur anställdas beteenden påverkar säkerheten inom företag. Till exempel så talade Lars Korsell, forskare på Brå, om infiltration. Han nämnde bl.a. fem sätt att infiltrera: förvärv av befintliga företag, bilda nytt bolag, utpressning, kapning av bolag och insider [1]. På samma […] I tidigare blogginlägg har regeringens initiativ inom informations- och cybersäkerhetsområdet belysts. Regeringen har nu tagit beslutet att från den 1 april 2016 införa regler för att förbättra samhällets informationssäkerhet och krisberedskap1. Reglerna styr obligatorisk rapportering för statliga myndigheter, till exempel avseende störningar i driftmiljöer till följd av hackerattacker. Bakgrund I takt med ökad användning av […] Under höst/vinter 2015 kommer regeringen och EU-kommissionen ta beslutom initiativ som har bäring på it och informationssäkerhet. Realiseringen av dessa initiativ kommer omfatta många aktörer och det kan komma att ge en påverkan på den verksamheten du arbetar i. Tidsplanen för vissa av aktiviteterna är forcerad och beslut kan komma att träda i kraft redan […]
sp| Publicerat 2018-06-01  Skrivet av Victor Sedin  Publicerat 2018-05-18  Skrivet av Filip Crona  Publicerat 2018-05-04  Skrivet av Mikael Simovits  Publicerat 2017-02-13  Skrivet av Simovits Consulting  Publicerat 2017-01-25  Skrivet av Simovits Consulting  Publicerat 2017-01-17  Skrivet av Simovits Consulting  Publicerat 2016-05-12  Skrivet av Simovits Consulting  Publicerat 2016-02-15  Skrivet av Simovits Consulting  Publicerat 2015-12-21  Skrivet av Simovits Consulting  Publicerat 2015-11-24  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|I fredags var det Gustav Adolfs dag, sedan på lördagen så var det kladdkakans dag och på söndagen så var det Fars dag. I dagens värld finns det alltid rum för att fira eller att kontemplera ett specifikt ämne. Så vad finns det för säkerhet. Här följer en minikalender för dagar att hålla reda på […] Informationssäkerhet uppnås i stor utsträckning genom att organisationer har förmågan att skapa förutsättningar för en säkerhetskultur hos alla delar av verksamheten. Effekterna av en väl förankrad säkerhetskultur är flera, i synnerhet: Riskerna för säkerhetsincidenter beroende på okunskap eller slarv minskar avsevärt, och dessutom reduceras även konsekvenser för verksamheten. Ledtiderna vid incidenter minskar eftersom personal agerar […] IT-säkerhetsarbetet beskriv ofta som ett konstant släckande av bränder. En arbetssätt ingen är nöjd med men de flesta känner igen. Att ständigt vara utsatt för och hantera incidenter är inte unikt för it-säkerhetsbranchen. Andra brancher hanterar likande situationer dagligen. Frågan är om vi som arbetar inom IT-säkerhet ka ta lärdom från andra branscher?
sp| Publicerat 2015-11-09  Skrivet av Simovits Consulting  Publicerat 2015-10-30  Skrivet av Simovits Consulting  Publicerat 2015-09-21  Skrivet av Simovits Consulting Copyright © 2021 - Simovits AB
pa|Vi erbjuder ständigt examensarbeten inom Cybersäkerhet. Avsikten med examensarbetet är att utgöra en del i företagets forskning och omvärldsbevakning, men framförallt för dig att känna på vad ett typiskt uppdrag kan innebär och för oss att på sikt hitta en ny kollega. För de examensarbeten som erbjuds gäller följande: Ni är även välkomna att komma med egna förslag på examensarbete, så länge de är inom Simovits Consultings affärsområde och bedöms föra forskning inom området framåt.
li|Examensarbetet ska vara i nivå med en Master-uppsats. Erbjudna examensarbeten är riktade till en student. (Ej gemensamt examensarbete) Erbjudna examensarbeten är en best effort insats omfattande 20 arbetsveckor (5 månader) Examensarbetet utförs på plats i Simovits Consultings lokaler i Stockholm. Simovits Consulting kommer utbetala en symbolisk månadsersättning för nedlagt arbete. Examensarbetet ska skrivas på Svenska.
st|Examensarbete: Examensarbete: Examensarbete:
h1|Examensarbeten på Simovits Consulting
sp| Publicerat 2020-09-13  Skrivet av Mikael Simovits Copyright © 2021 - Simovits AB
em|Frågor om examensarbetena ställs till Mikael Simovits, mikael@simovits.com, Mob: 070-7415162
pa|Under sommaren 2020 drabbades Garmin av en störning i sina IT-system som det tog närmare en vecka att helt avhjälpa. Utanför företaget märktes störningen främst som en otillgänglighet för användare av online tjänster för exempelvis registrering av träningshistorik från sportklockor. Men även betaltjänster och uppdateringar av navigeringssystem för flygtrafik kan ha påverkats. Garmin har hittills enbart lämnat ett pressmeddelande den 27 juli som bekräftar att de utsatts för ett cyberangrepp som krypterat data i deras IT-system. Det har inte bekräftats om någon lösensumma har betalats eller andra detaljer. Det förefaller finnas vissa indikationer på att angreppet delvis skett utanför USA, exempelvis Taiwan där viss tillverkning av Garmins produkter sker utpekades inledningsvis som en tänkbar angreppspunkt. På Taiwan finns också en eller flera konkurrenter inom samma produktsortiment. Generellt kan ransomware tyckas vara ett enkelt problem, om bara alla slutar betala för utpressning så kommer problemet att minska i omfattning. Samtidigt finns det ekonomiska och praktiska aspekter som inte alltid är helt kända inom de organisationer som kan drabbas. I ett större sammanhang så är risker med ransomware liksom risker med outsourcing och globala samarbeten risker som måste hanteras centralt inom ett företag och ur ett långsiktigt perspektiv. Även om ransomware är ett förhållandevis nytt fenomen så ligger det nära till hands att se det som en möjlig form av korruption eller insiderbrott när en intern (eller extern) part tar företagets tillgångar som gisslan. Brotten kan vara svåra att spåra då betalning sker i cybervaluta, men kräver ofta en viss insiderkunskap för att angriparen ska kunna välja en känslig tidpunkt, kunna skada en tillräcklig mängd känslig information och även kunna förstöra backuper i tillräcklig omfattning. De ekonomiska faktorerna är ofta avgörande för vilka beslut som tas. Ibland är det billigare att betala en lösensumma och slippa leta efter säkerhetskopierat data som överlevt attacken. Försäkringsbolag är också ofta ovilliga att betala ett högre belopp än vad som faktiskt krävs för att reducera skadan. Kostnaden att åtgärda felet inom organisationen vägs då direkt mot lösensumman. Man ska även komma ihåg att kostnaderna för att se över säkerheten i stort och vidta säkerhetshöjande åtgärder normalt inte täcks av försäkringen, detta är försäkringstagarens ansvar och skulle varit på plats före angreppet. Det finns en pågående diskussion om både försäkringsbolagens och säkerhetsföretagens roll i denna typ av brottslighet. En aspekt som framförs är att försäkringsbranschen indirekt möjliggör fortsatta angrepp samt att det saknas incitament att begränsa försäkringsmarknaden, möjligheten att teckna cyberförsäkringar och vilka förutsättningar som ska gälla för utbetalningen av en sådan försäkring. Inom ett företag är det viktigt att klargöra förutsättningarna för att betala ut en lösensumma inom organisationen, både hur detta påverkar IT avdelningen och hur den påverkar organisationen i stort, dvs vilka ytterligare åtgärder som krävs för att inte på nytt hamna i samma situation. För det interna säkerhetsarbetet är det viktigt att kunna skilja på olika typer av störningar och se till att rutiner och planering är på plats. Det finns tyvärr också indikationer att företag och organisationer kan ha påverkats negativt av att lämna ut överflödig information om cyberförsäkringar i bokslut och revisionsberättelser. Denna information kan då tolkas av angriparna att det finns förutsättningar att få en lösensumma utbetald. Företag och andra organisationer har ofta en rapporteringsskyldighet som kan avse händelser som kan påverka företagets värdering eller förlust av känsliga data. Om verksamheten är samhällskritisk finns även krav på skyndsam rapportering till bland annat tillsynsmyndigheter. Om en lösensumma ska kunna hanteras i bokföringen krävs någon form av polisanmälan eller försäkringsanmälan. Detta kan också hanteras genom försäkringsbolaget eller säkerhetsföretaget som ofta får utföra viss handpåläggning för att få dekryptering av låsta filer att fungera rent praktiskt. En ytterligare aspekt är de sanktioner som ibland finns mot att stödja vissa terror eller kriminella organisationer. Om en lösensumma betalas ut så kan företaget drabbas av myndighetssanktioner eller andra åtgärder som bojkotter. Riskerna att drabbas för en attack ökar inom en global organisation som har verksamhet i olika länder, ett komplext nätverk och underleverantörer och tjänsteleverantörer med olika bakgrund som har kopplingar till nätverket. Om exempelvis delar av IT-driften outsourcas till ett land där korruption är ett påtagligt problem så ökar också risken att utsättas för ransomware attacker. Den ökade risken kan bero på skillnader i säkerhetskultur, förståelse för säkerhetsarbete, praktisk vana att leva med korruption och risken att egen eller inhyrd personal faktiskt medverkar i attacken av ideologiska eller ekonomiska orsaker. Det går att se både ransomware och exempelvis industrispionage som typiska risker som kan uppstå vid outsourcing och globala samarbeten. Man kan ibland se ett mönster när en verksamhet globaliseras Frågan är hur man bäst hanterar denna typ av situationer. För ett företag innebär verksamheten alltid ett risktagande och risken att få en ökad konkurrens eller andra angrepp mot den egna verksamheten ställs mot möjligheterna att få en billigare produktion, att dela kostnader för utveckling och forskning och möjligheterna att få marknadsandelar i utlandet. Varje situation behöver givetvis bedömas riskmässigt vilket kan göras översiktligt på följande sätt. Vid legotillverkning sker ett risktagande genom att anläggningstillgångar och produktionskunskap hamnar utomlands. Även om man äger anläggningen själv och hyr in egen personal eller outsourcar hela eller delar av sin tillverkning till en underleverantör så skapas ett beroende som kan resultera i att företagshemligheter sprids på ett oönskat sätt. Ofta behåller man utveckling och forskning hemma och hanterar enbart produktion och distribution utomlands. Men även produktionen är i sig ofta starkt IT-beroende och det hjälper inte att ha ordrar och bokföring intakta om produktionsanläggningarna utsätts för ett ransomware angrepp. Kunskapsöverföring är ofta en nödvändig del vid försäljning av komplicerade system eftersom kunden behöver kunskap för den fortsatta driften av det system som levereras. Man försöker då att hålla utbildningen separat från sin forskning och utveckling för att undvika att företagshemligheter sprids. Man bör i samband med försäljningen också specificera vad som ingår i kunskapsöverföringen så att det inte uppstår diskussioner och tvister i efterhand. Vid större försäljningar av hela system kan det komma krav på motköp eller att delar av tillverkning görs i köparlandet. Även här uppstår risken att företagshemligheter sprids tillsammans med den kunskap som överförs till köparlandet. Ofta väljer man i detta läge att exempelvis sälja en äldre teknologi för att inte riskera andra försäljningar med en nyare teknologi. Vid samarbeten brukar två eller flera företag gå ihop för att exempelvis dela på kostnader för utveckling och forskning. Detta kräver givetvis avtal om vilka investeringar som ska göras och vilka produktionsvolymer eller marknader som resultaten ska delas på. För att minska risken för spridning av företagshemligheter så konstrueras ofta gemensamma företag som hanterar den forskning som ska bedrivas och de produkter som ska säljas. Man undviker då att andra delar av företaget blandas in i de gemensamma projekten. Det kan vara svårt att helt skilja på spridning av företagshemligheter och risker med ransomware angrepp. Generellt innebär all spridning av information som skulle kunna medföra skada om den kommer i orätta händer en ökad risk. Alla organisationer bör ha en planering för hur en attack ska hanteras och större organisationer kan behöva ha färdiga rutiner på plats och genomföra vissa övningar. Några exempel på viktiga aspekter kan vara: . Både drabbade system och särskilt känsliga system kan behöva isoleras, men även konsekvenser och kostnader för en fullständig avstängning bör vara kända och reservrutiner för känsliga produktionsflöden bör därför finnas för en isolering. . I likhet med disaster recovery planer och övriga reservplaner så ska man inte riskera att dessa blir otillgängliga för att de ligger i de IT-system som ska skyddas. I händelse av ett angrepp så söker angriparen medvetet efter beskrivningar av organisationens IT-system, rutiner för säkerhetskopiering och hantering av cyberangrepp inklusive under vilka omständigheter en lösensumma ska betalas ut. Tillgång till denna information kan öka en angripares möjligheter att vålla skada och nå sina övriga mål. En ransomware attack kan resultera i både polisutredningar och försäkringsutredningar liksom säkerhetsrelaterade granskningar och utredningar. För den organisation som drabbats bör den egna internutredningen som minst svara på följande frågor En internutredning bör fokusera på riskerna för den egna organisationen och behov att förändra arbetssätt eller eventuellt se över valet av drift och tjänsteleverantörer. Eventuella misstankar om insiderbrott bör komma i andra hand och enbart om det finns tydliga indikationer och med klara avstämningar med företagsledning om utredningens inriktning och genomförande. Ransomware relaterade brott är en ny och allvarlig kategori av risker som måste beaktas inom en organisation. De tekniska möjligheterna till anonymitet både då brottet begås och då en eventuell lösensumma ska betalas kan göra det till ett attraktivt brott för en insider. Motiven kan variera från missnöje med arbetsplatsen eller kollegor, ekonomisk vinning i olika former (ersättning för övertidsarbete, ersättning från en konkurrent eller del av en lösensumma) eller utpressning då en insider tvingats att utföra vissa handlingar eller lämna ut information innan angreppet. Till detta kommer övriga risker med en hög exponering, en utspridd organisation och påverkbara tjänster som kan motivera en angripare. En företagsledning bör känna till de risker som finns med outsourcing och externa tjänsteleverantörer och kontinuerligt värdera förändringar i riskbilden i förhållande till de vinster som kan uppnås. Ansvariga personer inom företagsledningen behöver också känna till vilka rutiner som ska finnas vid ett angrepp, vilken rapportering som krävs vid ett angrepp samt vilka utredningar som behöver göras vid och efter ett angrepp. Samspelet mellan cyberförsäkringar och ransomware: Trender kring ransomware: Information om hur ransomware bör hanteras: Information om attacken mot Garmin:
li|Legotillverkning förläggs utomlands för att spara lönekostnader Kunskapsöverföring sker i samband med stora försäljningar Samarbeten, outsourcing och investeringar sker för att dela kostnader Industrispionage och på sikt konkurrens kan uppstå, nu även på tidigare egna marknader Ransomwareattacker, strejker eller nationell konfiskation kan uppstå ur tidigare legotillverkning och etablering av dotterbolag Vad hände, vilka omständigheter är kända Finns det brister i organisationen säkerhetsmedvetande eller rutiner Finns det omständigheter som kan förklara varför just vi drabbades Finns det några indikationer på att vi kan drabbas på nytt Framstår vår organisation som mer sårbar för denna typ av angrepp än andra Finns det några tecken på att angriparen haft kunskap om rutiner och planering inom organisationen Finns det några tecken på att angriparen kan ha haft hjälp inifrån organisationen Finns det några typer av svårigheter att internt utreda händelsen, tex få tillgång till loggar, personalfiler, få tillgång till bakgrundskontroller av nyckelpersoner etc
st|Driftorganisationen bör ha färdiga instruktioner hur IT-system och kopplingar till omgivande system ska stängas av vid en akut situation och i vilka steg Planering för hantering av en ransomware attack bör finnas färdiga i ett utskrivet format Planeringen för hantering av en ransomware attack bör vara väl skyddad mot obehörig åtkomst.
h1|Risker med ransomware och outsourcing
h3|Försäkringsaspekterna vid ransomware Rapporteringsskyldighet samt etiska och rättsliga principer Ransomware som ett korruptionsbrott Fler risker med outsourcing Hantering av en ransomware attack Utredningar vid en ransomeware attack Slutsatser Länkar
sp| Publicerat 2020-08-14  Skrivet av Tomas Forsberg Copyright © 2021 - Simovits AB
pa|I det här blogginlägget vill jag uppmärksamma den typ av hysteri som ibland driver utvecklingen framåt. (Nu senast införandet av GDPR.) Vi människor har mycket av ett flockbeteende särskilt då vi målar upp olika typer av rädslor, så som rädsla för jordens undergång, men även rädsla för skeenden och nya lagar. Nu när jag skriver det här så finns det många anledningar till att skapa rädsla, såsom rädsla för klimatet, varma somrar, Iran, Trump, Nord Korea osv. Det som jag upplever just nu skiljer dagens läge från Y2K, är att vid Y2K tog rädslan sådana proportioner, till gränsen till det absurda, så att det mer eller mindre var omöjligt att få fram en annan åsikt eller angreppssätt på problemet. Hade man en annan åsikt så riskerade man bli utfrusen, särskilt då Y2K var en del av ens egna profession. För några månader sedan intervjuades jag av Linda Aktén om Y2K-buggen för ett program som sändes nu under mellandagarna. Syftet med programmet var att ta fram den stämning som fanns inför millennieårsskiftet, där flera olika personer intervjuades om stämningen inför och efter Y2K. Jag tycker programmet är väl värd att lyssna på för att få en förståelse att det alltid är viktigt att ta ett steg tillbaka och förstå rimligheten i det vi håller på med, särskilt nu när världen känns mer osäker. Om inte annat Ni hittar länken till radiodokumentären här: Nedan hittar ni en artikel som jag skrev åt IDG 2008 som föranlädde att jag intervjuades i programmet:
st|Bifogad fil:
h1|20 år sedan Y2K-buggen, då inget hände!
sp|  Publicerat 2020-01-06  Skrivet av Mikael Simovits Copyright © 2021 - Simovits AB
pa|Fingeravtrycksscanners är något som idag frekvent används som biometrisk autentisering för bland annat datorer och telefoner. Eftersom det mönster som bildas av huden på våra fingrar är unik för varje individ, till och med för enäggstvillingar (eftersom detta mönster bildas delvis genom en slumpartad process i livmodern), samt att fingrar generellt är ett lättillgängligt “redskap” ter sig fingeravtryck vara en smidig metod för autentisering av individer. I dagens blogginlägg ska vi titta lite närmare på bakomliggande metoder för fingeravtryck som autentisering. För en enhet som man låser upp många gånger varje dag (t.ex. en mobiltelefon) är hastighet och smidighet för autentisering en viktig aspekt för många användare. Som alla som använt en elektronisk fingeravtrycksscanner vet råder det inga tvivel om att denna metod för autentisering är svårslagen vad gäller hastighet. Jämförelsen mellan att lägga ett finger på läsaren en gång är förstås omöjligt att slå för alla typer av lösenord där man behöver skriva in flera tecken. Det finns dock ännu snabbare autentiseringsmetoder som t.ex. ansiktsigenkänning. För enheter där autentisering bara behövs ett fåtal gånger om dagen bör någon sekunds skillnad i hastighet inte vara en avgörande faktor för vilken autentiseringsmetod man väljer att använda. Vid första anblick kan man tro att en fingeravtrycksläsare även eliminerar behovet att memorera ett lösenord eller pinkod, då det inte ska behövas för autentisering. Dock är detta sällan fallet eftersom fingeravtrycksläsare inte är lika pålitligt som en pinkod. De misslyckas ofta matcha fingeravtryck mot de tidigare registrerade avtrycken. Saker som att fingret läggs mot scannern med olika tryck eller att scannern är smutsig kan göra att matchning mot tidigare registrerade fingrar misslyckas. Därmed behöver fingeravtrycksläsare ha möjlighet till alternativ autentiseringsmetod, vilket ofta innebär att man även behöver memorera en en pinkod. Att många fingeravtrycksläsare kräver pinkod efter ett fåtal misslyckade försök att matcha ett avtryck är även en säkerhetsfunktion som gör det svårare för en angripare att komma in i enheten. Den vanligaste typer av fingeravtrycksscanner som används idag bygger på kapacitiv teknik. Detta är i grund samma teknologi som används i majoriteten av alla touchscreens som finns för handhållna enheter som mobiltelefoner och tablets. Skärmen känner av skillnader i kapacitans mellan den del av ett finger som vilar mot skannern och den del av fingret som inte gör det, därmed kan en högupplöst bild av mönstret på fingret skapas. En algoritm identifierar sedan drag som går att definiera på ett entydigt sätt, t.ex. punkter där linjer slutar eller möts (se bild nedan), vilka kallas “minutiae”. Antal och relativa positioner mellan dessa minutiae omvandlas till en unik identifierare för ett finger. Låt oss göra en snabb utsvävning till hur nyckelhantering hanteras för “vanliga“ lösenord, där lösenordet består av tecken inskrivna via ett tangentbord. Här omvandlas knapptryckningar till binär kod. Password blir t.ex. 0101000001100001011100110111001101110111011011110111001001100100 När lösenord sparas gör detta lämpligen genom att lösenordet körs genom en kryptografisk hash-funktion, vilket är en envägsfunktion. Samma input ger alltid samma output, men funktionen är omöjligt att backa. DVS har du output kan du inte veta vad input var. Denna förmåga är användbar om man vill spara lösenord. Man sparar den hashade versionen av lösenordet. När man ska kolla om ett lösenord är korrekt kör man det som en användare angivit genom samma kryptografiska hash-funktion, och jämför sedan det man får ut med den tidigare sparat. Är det samma output vet man att man haft samma input, och därmed måste lösenordet vara korrekt. Även om någon får tag på den hashade versionen av lösenordet vet personen inte vad lösenordet i sig är, och kan därmed inte ta sig in i systemet. Återgår vi till fingeravtryck, där den den unika identifieraren för ett finger bygger på relativa positioner mellan minutiae på fingret. Som med de flesta saker i den fysiska världen är fingeravtryck inte helt beständiga och därmed inte 100% replikerbara. Sår på fingrar, skräp på detektor, svullna fingrar, fuktig scanner, osv gör att två avläsningar av ett samma finger inte kommer att ge exakt samma unika identifierare. Detta försvårar lagringen av denna identifierare. Skulle man använda en vanlig kryptografisk hash-funktion skulle även extremt små förändringar i identifieraren ge en ny helt unik output, och därmed misslyckas autentiseringen. Detta är en bra egenskap när man har att göra med vanliga lösenord då den minsta möjliga förändringar där är fördämningen av mellan ett tecken till ett annat. Password binärt är 0101000001100001011100110111001101110111011011110111001001100100 Qassword binärt är 0101000101100001011100110111001101110111011011110111001001100100 Körs detta genom en kryptografisk hash-funktion som t.ex. SHA256 nedan blir det helt olika output: Password blir E7cf3ef4f17c3999a94f2c6f612e8a888e5b1026878e4e19398b23bd38ec221a Qassword blir 06cd9423ada2b4af7e1a8d01181599508fb32f682a44712e1ee62c446e50ccff Knappt ett tecken lika! Skulle detta användas för fingeravtryck skulle alltså även en extremt liten förändring göra att autentiseringen misslyckades. Fingeravtrycksigenkänning är inte lämpat att hanteras i termer om strikt sant eller strikt falskt. Istället används så kallad suddig logik, som betyder att man hanterar saker på en skala, från tveklöst falskt (0) till tveklöst sant (1). Godkänd autentisering ges vid ett tillräckligt högt sanningsvärde (t.ex. 0.95). För att spara information som är kopplad till den unika identifieraren för ett finger, utan att ge ut information om hur fingret ser ut behöver man använda en unik typ av hash-funktion, så kallad suddig extraherare. Målet är att kunna använda värden för kryptografiska ändamål som plockas från en ungefärlig input, tagna i närheten av ursprungliga värden (hur fingret såg ut när det först registrerades). En unik binär kod ska extraheras från input, där det finns visst brustolerans i inputvärden. Små förändringar i input ska ge samma output i form av en unika följd av tecken, som används som nyckel för kryptografiska ändamål, t.ex. autentisering. Dessutom är det änskvärt att funktionen ha samma egenskaper som andra kryptografisk hash-funktioner, dvs den ska inte gå att backa och förändringar (om större än brustoleransen) ska ge en output som är oigenkännlig och till synes slumpartad. Detta görs i två steg, där första steget är felkorrektion där man delvis eliminerar brus och andra delen liknar vanliga hash-funktioner. Det finns många möjliga sätt att göra felkorrektion. För att illustrera principen tittar vi på en förenkling. Här skapar man en mappning mellan potentiellt möjlig input-rymd och felkorrigerad output, en så kallad hjälpsträng. Denna mappning bör optimeras genom att välja en funktion som gör slumpmässiga gissningar osannolika att mappas mot korrekta värden, samtidigt som man försöker öka chanser att små fel av input mappas mot en korrekt output, samt att kännedom om mappningen inte ska ge ut information om användarens fingeravtryck. Nedan ges en visualisering av hur denna mappning kan se ut i ett förenklat fall med bara två dimensioner på input. En nackdel med den typ av mappnig som visas ovan är att en angripare med kännedom om hur mappningen ser ut kan utesluta en stor del av den möjliga input-rymden genom att göra antagandet att den sökta punkten ligger nära centrum av någon av de definierade områdena. Om detta inte var fallet, dvs punkten låg nära en kant mellan två områden, skulle det innebär att små fel i input lätt kan mappas mot fel värde. Därmed är mappningen inte bra vald efter optimerings-principerna. Därmed ger kännedom om hur denna mappning ser ut en angripare information som hjälper den komma in i systemet. Och ju större fel-korrektionen är (DVS större frånsteg från orginalvärdet ger fortfarande rätt output), desto fler möjliga inputs kan uteslutas. Detta blir en avvägning mellan säkerhet (tillåta endast väldigt små fel = svårare att forcera) mot smidighet i användandet (större fel tillåts = mindre risk att bli nekad autentisering). Ett sätt att delvis komma runt detta är att använda en stor mängd dimensioner i inputen. För fingeravtrycksscanner skulle detta innebära att man tittar på många minutea punkter. Ju fler dimensioner man har desto större fel kan tolereras i varje individuell input.
st|Smidighet Teknik Spara fingeravtryck som kryptonyckel Felkorrektion
h1|Fingeravtryck som autentiseringsmetod
sp| Publicerat 2019-10-18  Skrivet av Erik Aronson Copyright © 2021 - Simovits AB
pa|I Elasticsearch-stacken finns Logstash med som loggmottagare. Logstash är ofta inte önskvärt som loggmottagare eftersom det utnyttjar en stor mängd systemresurser vilket förstås inte alltid är lämpligt. Därför används ofta andra loggmottagare eller egenutvecklade loggmottagare. Lumberjack är det protokoll som vanligen används av Elasticsearch beats-suiten ( ) såsom Filebeat och Winlogbeat då loggar ska skeppas. Protokollet har i sig relativt små overhead-förluster och man har så försökt skapa protokollet för att passa till överföring av loggar. Det är inte så väldokumenterat som man skulle önska men å andra sidan är det open source så det går fint att läsa källkoden (som är skriven i Golang). Den dokumentation jag hittade efter lite googlingar är följande: . När man ska skeppa stora mängder loggar är det viktigt att tänka på att protokollet som används inte tar för mycket prestanda ur nät och systemresurser för loggmottagare. Av den anledningen gjorde jag en liten exempel-implementation av Lumberjack v2 i c# så jag kan vara säker på exakt hur det funkar. Lumberjack v2 är, som sagt ett okomplicerat protokoll att implementera och fungerar vid normal operation enligt följande: Det finns 3 typer av frames för loggrader: key-value och json. Frames kan även komprimeras med zlib för att spara utrymme i nätverkstrafik. Nedan visas en enkel implementation för okomprimerade frames med json-struktur på cirka 100 kodrader (utan felhantering etc. för att enklare kunna fokusera på själva protokollet). Ett exekverbart exempel med tillhörande boilerplate-kod kan hittas under: .
li|Beats skickar window-size vilket i praktiken är det antal frames som loggmottagaren ska ta emot innan ett ACK returneras. Beats skickar det antal frames som tidigare specificerats i steg 1. Loggmottagaren tar emot alla frames fram till den sista i fönstret och skickar ett ACK till Beats. Beats tar emot ACK och noterar att loggmottagaren tagit emot alla frames i fönstret och börjar därefter om på steg 1 (och skickar ny window-size).
h1|Lumberjack protocol v2 på 100 rader C#
sp| Publicerat 2018-09-28  Skrivet av James Dickson Copyright © 2021 - Simovits AB
pa|Den 1:a Maj 2018 infördes omfattande ändringar i Lagen om betaltjänster [1] och Lagen om elektroniska pengar [2], samt att Finansinspektionen publiserade FFFS 2018:4 [3]. I och med att dessa trädde i kraft, så infördes det nya betaltjänstdirektivet PSD2 (Payment Service Directive 2). Syftet med PSD2 är att modernisera och harmonisera regleringen av betaltjänster inom Europa. PSD2 kommer dels att placera krav på öppenhet från bankernas sida, men även en betydligt hårdare reglering av betaltjänsteleverantörer. Eftersom PSD2 är ett direktiv, så har respektive land frihet att välja hur det skall implementeras i lag. För att lagen skall vara anpassad till moderna betaltjänster är denna förändring nödvändig. Direktivets införande innebär att bankerna är skyldiga att tillgodose ett API för alla betaltjänstleverantörer som vill kunna utföra transaktioner till och från bankens kunders konton, förutsatt att bankkunden givit sitt samtycke. Inom Europa kommer det alltså att krävas att Betaltjänsteleverantörer auktoriseras av respektive lands tillsynsmyndighet. I Sverige är Betaltjänstleverantörerna nu, enligt de uppdaterade lagarna, under tillsyn av Finansinspektionen. Betaltjänstleverantörerna blir därmed också skyldiga att följa regler avseende hantering av operativa risker och säkerhetsrisker på ett sätt som de inte har varit tidigare. De nya kraven för betaltjänsteleverantörerna innefattar bland annat att; Den som är intresserad av mer detaljerade rekommendationer bör se EBAs riktlinjer [5]. Det finns en risk med införandet av PSD2 att auktoriseringskravet för Betaltjänstleverantörer och det tillhörande kravet på ett ledingssystem kommer att att göra det svårt för startups och mindre företag att ta sig in på marknaden. Emellertid så ger PSD2 utrymme för att, enligt proportionalitetsprincipen, låta mindre företag upfylla kraven på ett vis som är lämpligt för deras verksamhet. Finansinspektionen har också i 2018:4 givit uttryck för denna proportionalitetsprincip genom att det finns en möjligheten ansöka om speciella undantag från autoriseringskravet. Förhoppningsvis kommer dessa förändringar leda till mer öppen, bättre reglerad och säkrare marknad för nya typer av betaltjänster. Vilket kommer att gynna slutanvändaren. Referenser [1] – [2] – [3] – [4] – [5] –
li|Det skall finnas ett ramverk av dokumenterade åtgärder som minskar risken för operativa risker och säkerhetsrisker relaterade till leverantörens betaltjänster (”risker” nedan). Ramverket måste alltså inte förhålla sig till risker för annan verksamhet som betaltjänstleverantören eventuellt ägnar sig åt. Finansinspektionen ger 12 minimumkriterier för ramverket [3]. Kort sammanfattat; Det skall finnas processer, rutiner och en dokumenterad nivåbaserad modell för att mäta, övervaka och hantera risker, samt att en riskaptit skall definieras. Det skall finnas krisberedskapsplaner skall finnas, som regelbundet testas. En hotbildsanalys skall utföras och anställda skall regelbundet utbildas i krisberedskapsplanerna. För it-system, fysisk säkerhet och åtkomstkontroll skall finnas säkerhetsåtgärder utformade enligt resultat från en riskanalys. De ansvarsfunktionerna som krävs för att säkerhetsåtgärderna skall kunna uppfyllas måste vara definierade. Det skall finnas processer och rutiner för att informera kunder om säkerhetsrisker och felmedelanden kring betaltjänsterna, samt om möjligheten att avaktivera valbara betalfunktioner. Årligen skall Bataltjänstleverantörerna lämna en rapport till Finansinspektionen innehållandes en övergripande bedömning av operativa risker och säkerhetsrisker som är förknippade med de betaltjänster som Betaltjänstleverantören tillhandahåller. Rapporten skall även innehålla en beskrivning av de säkerhetsåtgärder som är på plats, samt en utvärdering av deras lämplighet för att hantera dessa risker. Betaltjänstleverantörerna bör tillgodose stark kund autentisering, vilket är synonymt med multifaktorautentisering, för alla betalningar, inloggningar eller andra handlingar som innebär risk för bedrägeri eller missbruk.
h1|Om det nya betaltjänstdirektivet – PSD2
h2|Bankernas skyldigheter mot betaltjänstleverantörern Betalningstjänstleverantörernas skyldigheter Förväntningar
sp| Publicerat 2018-06-01  Skrivet av Victor Sedin Copyright © 2021 - Simovits AB
pa|.NET Linq-uttryck är vanligen inte sårbara för injektionsattacker eftersom de är explicit parametriserade. Men sedan Microsoft skänkte världen dynamisk Linq skapar det möjligheter för programmerare att åstadkomma säkerhetsproblematik såsom Remote Code Execution (RCE) även med Linq-uttryck. Ett sårbart dynamiskt Linq-uttryck kan se ut något liknande som visas nedanstående pseudokod: Det vill säga att man konkatenerar logiken direkt in i Linq-uttrycket. Vid länkarna i referenslistan kan man sätta sig in i mer detaljer kring hur Linq-injection funkar och varför. Ett dynamiskt Linq-uttryck verkar dock inte som default kunna skapa nya objekt eller typecasta objekt. Detta gör att man, ifall man behöver utnyttja en linq-injection-sårbarhet, behöver gå omvägen genom .NET Reflection-metoderna i existerande objekt. Eftersom .NET Reflection har den kraftfullhet som krävs för att hitta och skapa nya objekt utifrån metadata kring klassen som ska instantieras är detta inte något stort problem. Det skapar dock restriktioner över hur en injection-kod behöver formatteras för att slutligen exekvera. För att på ett enklare sätt kunna utvärdera dynamisk Linq-injection-sårbaheter har jag därför skapat ett litet verktyg för att generera injection-kod utifrån vilken funktion man vill exekvera på den sårbara servern. Nedan visas hur injektionskod för en enkel statisk API-funktion kan genereras. Listan med strängar till ska innehålla värdet till de parametrar som ska användas i anropet. Koden kan användas som en sammanfattande förklaring i kodformat över resonemanget kring Linq-injection i . Nedan visas ett körningsexempel över hur man kan använda verktyget för att skapa inject-kod (se röd text i output) för ett harmlöst anrop till File.Exists(). Resultatet (sista raden i output) noterar en strängkonvertering av det objekt som returneras vid anropet (i detta fall konverterad Bool från true till strängen True). Nedan visas ett annat körningsexempel för hur en process skulle kunna spawnas på ett system med ett sårbart Linq-uttryck. Siffrorna för metod-positionerna (44 och 18 i inject-koden nedan) skapas utifrån den version som exekverar .NET-koden så ifall det är ett system med .NET-version 4.7.5.1 som ska testas så behöver klinqers.exe vara kompilerat med den versionen. I tidigare exempel finns inga överlagrade funktioner och därför behövs inte dessa positioner i arrayen med metod-metadata. Eftersom parameter –test används så exekverar även det anrop som inject-kod skapas för. I detta fall exekveras då “ls -l” (lista kataloger/filer i ett linux-system). Output skrivs till stdout (som visas med den gula texten). Källkoden till verktyget nås på länken nedan:
st|Som titeln ger tydliga ledtrådar om så handlar dagens blogg om hur .NET Reflection kan användas för att utnyttja Linq-injection-sårbarheter. Linq-injection uppstår då dynamiska Linq-uttryck används tillsammans med felaktig eller saknad indatakontroll. Verktyget klinqers // Skapa inject-kod // Call-delen genereras olika ifall det är en överlagrad // funktion som ska anropas eller ej. // Invoke-delen Exempel Exempel 2 Referenser
h1|En kort reflektion över felande länkar
sp| Publicerat 2021-03-19  Skrivet av James Dickson Copyright © 2021 - Simovits AB
em|buildParameterString()