app_store_button

google_play_button

is Device Banner Block 894x1036

Stígðu inn í heim af óteljandi sögum

Hlustaðu og lestu

Nikka Systems och SSF Stöldskyddsföreningen


“Bli säker” är podden som gör dig lite säkrare för varje vecka som går. Karl Emil Nikka och Peter Esse diskuterar dagens IT-säkerhetsutmaningar varvat med de senaste säkerhetsnyheterna och lyssnarnas frågor.


Podden produceras av Nikka Systems och SSF Stöldskyddsföreningen. Avsnitten publiceras under CC BY 4.0-licens.


Bli säker-podden

Termen ”totalsträckskryptering” (end-to-end encryption) har blivit ett riktigt modeord. Allt fler tjänsteleverantörer marknadsför att de skyddar sina användares data med just totalsträckskryptering. Det innebär att datan krypteras så att enbart användarna själva kan komma åt den. Tjänsteleverantören saknar åtkomst. Det gör att tjänsteleverantören varken kan spionera på användarnas data eller råka läcka datan ifall de skulle drabbas av ett cyberintrång.

Problemet är att långt ifrån alla tjänsteleverantörer tillämpar totalsträckskryptering trots att de påstår sig göra det. 2020 tvingades Zoom gå ut med en ursäkt efter att de hade påstått sig erbjuda totalsträckskrypterade möten trots att Zoom hade nycklarna som krävdes för att dekryptera trafiken.

Microsoft Teams stödjer totalsträckskrypterade möten men det är enbart röst- och videotrafiken som totalsträckskrypteras. Chattmeddelanden och uppladdade filer gör det inte. Apples meddelandetjänst är alltid totalsträckskrypterad med undantag för säkerhetskopiorna. De lagras utan totalsträckskryptering om inte alla deltagare i konversationen har aktiverat funktionen Avancerat dataskydd, vilken är avstängd som standard.

I veckans poddavsnitt belyser Peter och Nikka missbruket av termen totalsträckskryptering. Podduon fokuserar framför allt på två konsumentprodukter med tillhörande molntjänster. Boox och Kohler tillverkar läsplattor respektive toalettkameror (!). Båda tillverkarna påstår att de skyddar sina användares data med totalsträckskryptering. Tillverkarnas definition av totalsträckskryptering är dock den motsatta. När de två tillverkarna säger att de totalsträckskrypterar datan menar de i själva verket att de inte alls totalsträckskrypterar datan.

Se fullständiga shownotes på https://go.nikkasystems.com/podd331.

#331 Skitprodukter ljuger om totalsträckskryptering

Under 90-talet var Malmös äventyrsbad Aqvakul (”aq-va-kul”) ett välkänt utflyktsmål i Skåne med omnejd. Från mitten av 00-talet kantades anläggningen av återkommande problem med alltifrån legionellabakterier till söndervittrande betong. 2015 stängdes äventyrsbadet för gott.

På tiden då Aqvakul var öppet låg anläggningens webbplats på en egen domän. När verksamheten lades ned gjorde webbplatsen likaså. Besökare som gick till den gamla adressen skickades vidare till en ny webbsida på Malmö stads webbplats, åtminstone under det första året.

2017 upptäckte någon att Malmö stad hade låtit bli att förnya den gamla domänen. Personen registrerade domänen och återpublicerade en kopia av den gamla Aqvakul-webbplatsen, fast med en nämnvärd skillnad. Längst ned på Aqvakuls startsida ligger numera orelaterade reklamlänkar för belysning, akustikplattor och flyttstädstjänster.

Dagens sökmotorer prioriterar sökresultaten efter en mängd olika parametrar. En av parametrarna som väger tyngst är hur många andra välrenommerade webbplatser som länkar in till webbplatsen i fråga. Det har skapat en marknad för så kallade spamlänkar. Företag som vill få sina webbplatser att ranka högre kontaktar andra sajtägare i hopp om att få köpa länkar på deras webbplatser.

När någon, likt Malmö stad, låter en gammal domän förfalla kan en aktör i spamlänksbranschen registrera den gamla domänen. Aktören kan dra nytta av att många andra webbplatser fortfarande har länkar till den övergivna domänen, vilken därför har ett gott sökmotorsrykte. Det innebär att aktören kan publicera en ny webbplats på den gamla domänen och ta bra betalt för länkar till andra webbplatser.

I veckans poddavsnitt pratar Peter och Nikka om den ljusskygga handeln med länkar. Trots att länkspam är förbjudet enligt Google finns det stora nätverk som säljer, köper och byter länkar med varandra. En typ av verksamhet som gärna betalar för Google-förbjudna länkar är kasinoföretagen, framför allt företagen som inte vill följa lagar och regler.

Se fullständiga shownotes på https://go.nikkasystems.com/podd330.

#330 Den ljusskygga länkhandeln

Inför årsskiftet slutför Sveriges operatörer nedsläckningen av sina 3G-nät. Tele2 och Telenor släcker också sitt gemensamma 2G-nät, och Tre har aldrig haft något sådant nät. Telias 2G-nät blir därmed det enda 2G-nätet som lever vidare. Telia har meddelat att de skjuter upp nedsläckningen av sitt 2G-nät till årsskiftet 2027/2028.

Genom att släcka gamla mobilnät frigörs plats åt nya mobilnät med högre kapacitet och snabbare överföringshastigheter. Nedläggningen är dock inte helt oproblematisk. 2G- och 3G-mobiler är inte framåtkompatibla med 4G-näten. Många äldre 4G-mobiler saknar också stöd för att ringa 4G-samtal, vilket gör att dessa mobiler förvandlas till små surfplattor när 2G- och 3G-näten försvinner.

(SOS-samtal går, oavsett operatör, att ringa via Telias 2G-nät så länge det finns kvar.)

Problemet berör inte enbart mobiler. Många äldre larmsystem och andra mobilnätsuppkopplade prylar har inbyggda 2G- eller 3G-modem. Sådana modem kan inte kommunicera via 4G- eller 5G-nätet över huvud taget.

Sveriges bilflotta berörs likaså. Trots att många uppkopplade bilar har moderna 4G-modem förlorar bilarna nödfunktionen Ecall samma dag som Telia stänger av sitt 2G-nät. Fram till i år har nämligen alla uppkopplade bilar förlitat sig på 2G-nätet för Ecall-funktionen även om de har använt 4G- eller 5G-nätet för övrig funktionalitet.

I veckans podd reder Peter och Nikka ut vad händer med svenska mobiler och bilar när de gamla mobilnäten släcks. Podduon pratar också om att Utgivarna har polisanmält Metas chef Mark Zuckerberg på grund av att Meta inte har tagit itu med bluffannonsproblemet.

Se fullständiga shownotes på https://go.nikkasystems.com/podd329.

#329 Mobil och bil utan 2G- eller 3G-nät

Molnbaserade AI-chattbotar används för att diskutera många typer av frågor, inklusive frågor om känsliga ämnen. Detta är ChatGPT:s ägare OpenAI väl medvetna om. I mitten av november publicerade OpenAI ett blogginlägg där de skrev att det nu är över 800 miljoner människor som använder ChatGPT varje vecka. Enligt blogginlägget för användarna känsliga samtal med ChatGPT, och de delar allt från minnen och filer till inloggningsuppgifter och betalningsinformation.

På grund av en pågående rättstvist försöker New York Times tvinga OpenAI att lämna ut 20 miljoner privata chattsamtal. Eftersom OpenAI har designat molntjänsten utan totalsträckskryptering har OpenAI åtkomst till chattarna och kan därmed tvingas lämna ut dem.

ChatGPT är inte den enda chattboten som har hamnat i blåsväder under de senaste veckorna. Förra veckan avslöjade Crowdstrike att den kinesiska modellen Deepseek-R1 genererade programmeringskod som, med högre sannolikhet, innehöll sårbarheter om användaren nämnde ämnen som är politiskt känsliga för kinesiska kommunistpartiet.

Faktumet att Deepseeks molntjänst är hårt censurerad är ingen nyhet (lyssna på avsnitt 286 av Bli säker-podden), men Crowdstrikes avslöjande gällde inte molntjänsten utan själva modellen. Crowdstrike körde modellen i egen regi och kunde därmed påvisa att det är modellen i sig som är problematisk.

I veckans podd pratar Peter och Nikka om dessa orosmoln som nu har visat sig vara befogade att ta på allvar. Podduon bekymrar sig också över ett nytt orosmoln som Microsoft har skapat: Windows-chefen har precis twittrat att Windows ska bli ett AI-agentbaserat operativsystem.

Se fullständiga shownotes på https://go.nikkasystems.com/podd328.

#328 AI-genererade orosmoln var befogade

Angripare behöver inte besitta någon större teknisk kompetens för att utföra sofistikerade nätfiskeattacker. Kriminella aktörer säljer färdiga nätfiskeverktyg som angriparna kan utnyttja för att försöka stjäla inloggningsuppgifter.

Under hösten har det rapporterats om hur två kommersiella nätfiskeverktyg har lagt till stöd för så kallade browser-in-the-browser-attacker. Det är en attacktyp där en webbsida skapar en ruta som ser ut som ett riktigt webbläsarfönster. I själva verket är rutan bara grafik som visas ovanpå resten av webbsidans innehåll. Eftersom den falska rutan inte är något äkta webbläsarfönster kan angriparna anpassa allt som visas däri, inklusive domänen i rutans falska adressfält.

Den här typen av attack går att avslöja genom att försöka dra det falska webbläsarfönstret ut från webbsidan som det visas ovanpå. Om webbläsarfönstret är falskt är det omöjligt. Genom att använda en lösenordshanterare minimeras risken för att falla offer. En lösenordshanterare föreslår bara inloggningsuppgifter som är kopplade till domänen för webbsidan som visas. Eftersom det falska webbläsarfönstret är en del av en aldrig tidigare besökt webbsida har lösenordshanteraren inga sparade inloggningsuppgifter att föreslå.

Microsoft har också noterat att de så kallade Clickfix-attackerna blir alltmer sofistikerade. Angripare har bland annat börjat dra nytta av webbsidor som visar falska blåskärmar. Webbsidorna efterliknar de blå Windows Update-skärmarna och öppnas i helskärmsläge. För ovana datoranvändare är det svårt att se skillnad på en riktig Windows Update-skärm och en webbsida som simulerar en sådan men i själva verket instruerar användaren att infektera sin egen dator.

I veckans podd pratar Peter och Nikka om de innovativa webbläsarattackerna och vad användare bör göra för att inte falla offer. Podduon pratar också om vad som orsakade tisdagens stora internetproblem. Nikka går även igenom Nordpass lista över Sveriges vanligaste lösenord och konstaterar att listan är helt orimlig.

Se fullständiga shownotes på https://go.nikkasystems.com/podd327.

#327 En webbläsare i webbläsaren

Förra veckan släppte nyhetsbyrån Reuters ett stort avslöjande. Reuters hade fått tag i interna dokument från Meta. Dessa dokument bekräftade farhågorna som länge funnits kring alla bluffannonser som förpestar Metas sociala medier. Reuters konstaterade att Meta inte bara är medvetna om problemet. Meta väljer att låta det fortgå eftersom intäkterna är större än de sannolika sanktionsavgifterna.

Enligt Metas interna dokument kommer omkring tio procent av Metas totala årliga omsättning från annonser för bedrägerier och förbjudna varor. Det rör sig om över hundra miljarder svenska kronor. Metas presstalesperson Andy Stone svarade Reuters att siffran var överinkluderande men ville inte uppge någon annan siffra.

I veckans poddavsnitt blickar Peter och Nikka tillbaka på några av de många bedrägliga annonskampanjer som podden har uppmärksammat genom åren. Med Reuters avslöjande i åtanke är Metas agerande mer förståeligt. Faktumet att redan ertappade bedragare får fortsätta publicera nya bluffannonser har sin naturliga förklaring. I stället för att spärra misstänkta annonsörer höjer Meta annonspriserna.

Se fullständiga shownotes på https://go.nikkasystems.com/podd326.

#326 Meta tjänar miljarder på bedrägerier

Under 2010-talet började ett av internets största säkerhetsproblem nå sin lösning. Fram till mitten av 2010-talet var det mindre än hälften av världens webbsidesbesök som gjordes över säkra anslutningar (HTTPS). Det innebar att angripare på publika wifi-nätverk kunde se vad användarna gjorde på nätet. Angriparna kunde till och med ändra i innehållet på webbsidorna som användarna besökte.

Värst av allt var att kakorna som höll användarna inloggade ofta skickades i klartext över samma osäkra anslutningar. Genom att avlyssna trafiken och kopiera dessa kakor kunde angripare inte bara se vad användarna gjorde på nätet. Angriparna kunde ta över användarnas konton. Detta var ett av huvudskälen till att alla som anslöt till publika wifi-nätverk behövde en VPN-tjänst för att hålla trafiken säker.

År 2025 är problemet nästan löst. Alla stora webbplatser stödjer säkra anslutningar och våra webbläsare uppgraderar automatiskt osäkra anslutningar (HTTP) till säkra anslutningar (HTTPS). De enda problemen som kvarstår är en liten skara webbplatser som slarvar med säkerheten samt risken för så kallade degraderingsattacker (angripare som lurar webbläsare att webbplatser inte stödjer säkra anslutningar).

För att råda bukt på de sista problemen har Google precis meddelat att de tänker aktivera ”Endast HTTPS-läget” som standard för alla Chrome-användare. Ändringen träder i kraft om ett år i oktober 2026.

I veckans podd pratar Peter och Nikka om hur anslutningssäkerheten på nätet har förbättrats under de senaste 15 åren. Podduon pratar också om ”djupt provocerande” reklam för säkerhetskopiering och om vad som händer med massövervakningsförslaget Chat Control 2.0 nu när kravet på bakdörrar i totalsträckskrypterade meddelandeappar ser ut att strykas.

Se fullständiga shownotes på https://go.nikkasystems.com/podd325.

#325 Sista året med osäkra anslutningar

Under veckan har det rapporterats frekvent om en ny stor lösenordsläcka. Mejladresser och lösenord till 183 miljoner konton påstås ha läckt ut. Brittiska Independent publicerade en brådskande varning till alla Gmail-användare med anledning av läckan.

I själva verket handlade nyheten, som vanligt, om en ny paketering av tidigare stulna inloggningsuppgifter. Säkerhetsföretaget Synthient hade sammanställt dataläckor som florerade i den undre världen och överlämnat samlingen till världens de facto nav för lösenordsläckor, ”Have I Been Pwned”.

Dessa inloggningsuppgifter berörde inte enbart Gmail-konton, och det var inte ens Google som hade läckt dem. Inloggningsuppgifterna hade stulits av spionprogram på användarnas datorer.

Även om rubrikerna var överdrivna var samlingen av läckta lösenord anmärkningsvärd. Bland de läckta inloggningsuppgifterna fanns nämligen lösenord till över 16 miljoner tidigare okända mejladresser. Dessa mejladresser hade aldrig synts till i någon tidigare läcka som kommit ”Have I Been Pwned” tillkänna.

I veckans podd pratar Peter och Nikka om vad lösenordssamlingen innebär för de berörda användarna. Podduon förklarar varför dessa ständigt återkommande lösenordsläckor visar på vikten av att gå över till nyckelinloggning snarast möjligt.

Peter och Nikka följer också upp förra veckans diskussion om webbläsaren ChatGPT Atlas, summerar attacken mot Svenska kraftnät och berättar vad som egentligen hände i onsdags när många webbplatser blev oåtkomliga… igen.

Se fullständiga shownotes på https://go.nikkasystems.com/podd324.

#324 Google har inte läckt miljoner lösenord

OpenAI har lanserat en ny webbläsare vid namn ”ChatGPT Atlas”. Webbläsaren har en inbyggd AI-agent. Till skillnad från traditionella chattbotar kan AI-agenten göra mer än att bara generera, översätta och summera texter. Den kan också utföra åtgärder på uppdrag av användaren. AI-agenten kan till exempel leta upp det bästa priset på en produkt och klicka sig igenom hela köpprocessen, från start till slut.

Ny teknik medför samtidigt nya risker. OpenAI varnar själva för att AI-agenten kan vara sårbar för så kallade promptinjektionsattacker. Det är attacker där angripare lurar AI-agenten att ignorera de ursprungliga instruktionerna och i stället göra något helt annat. I värsta fall kan det leda till att AI-agenten stjäl information eller kapar användarens konton.

I veckans podd pratar Peter och Nikka om promptinjektionsattacker. Attacktypen har redan visat sig vara möjlig att utföra mot andra AI-agenter, och OpenAI:s säkerhetschef erkänner öppet att promptinjektioner är ett hittills olöst säkerhetsproblem. Peters och Nikkas rekommendation blir därför, föga förvånande, att inte använda Atlas AI-agent i skarpt läge än.

Nikka lyfter också problematiken kring en annan funktion som Atlas erbjuder: webbläsarminnen. Funktionen gör att webbläsarens chattbot minns vad användaren har gjort i webbläsaren, så att chattboten kan ge smartare förslag. Enligt Atlas konfigurationsguide är webbläsarminnena privata, men OpenAI:s supportdokumentation avslöjar att webbinnehållet skickas till OpenAI:s servrar.

Se fullständiga shownotes på https://go.nikkasystems.com/podd323.

#323 En dubbelagent i webbläsaren

Runt omkring i världen införs krav på åldersverifiering på nätet. Storbritannien gick i bräschen och införde sådana krav innan det ens fanns lämpliga lösningar. Resultatet blev att många britter behövde verifiera sin ålder genom att ladda upp bilder på sina ID-handlingar, vilket föga förvånande har lett till att sådana bilder har hamnat på avvägar.

EU vill inte upprepa britternas misstag och har utvecklat en mer genomtänkt lösning. Under sommaren lanserade EU-kommissionen en white-label-app med öppen källkod som kan ligga till grund för medlemsstaternas egna åldersverifieringsappar. Tekniken ska utvärderas av fem länder, däribland Danmark som lanserar en dansk åldersverifieringsapp nästa år.

I veckans podd pratar Peter och Nikka om för- och nackdelarna med EU:s föreslagna lösning för åldersverifiering. Appen är designad så att ingen information om användaren läcker till webbplatserna som tillämpar åldersverifiering. Appen intygar att användaren är över 18 år utan att avslöja vem användaren är.

Organisationen som går i god för användarens ålder, till exempel användarens bank, får inte heller reda på vilka webbplatser som användaren besöker. När användaren har konfigurerat appen klipps kopplingen till organisationen som verifierade användarens ålder. På så sätt uppnås sekretess i båda riktningar. Appen kan varken utnyttjas för att spåra användarens internetvanor eller för att röja användarens identitet.

Tyvärr konstaterar Peter och Nikka att appen har två stora problem. För det första kräver appen en Iphone eller en Android-mobil. Appen har ingen version för Windows, Mac OS eller Linux. För det andra är Android-versionen beroende av Google Play. Det gör att appen förutsätter att användaren kör ett amerikanskt operativsystem och godkänner ett amerikanskt företags användarvillkor. Samtidigt som EU inför krav på åldersverifiering lägger unionen därmed kontrollen över medborgarnas webbplatsåtkomst i händerna på USA.

Podduon konstaterar också att EU-medborgare som vill slippa verifiera sin ålder kan göra som många britter redan har valt att göra: använda en VPN-tjänst för att tunnla sin trafik till ett land utan krav på åldersverifiering.

Se fullständiga shownotes på https://go.nikkasystems.com/podd322.

#322 En inte helt vansinnig åldersverifiering

Veckans stora snackis har utan tvekan varit Thunderspy-sårbarheterna. Via dessa sårbarheter kan en motiverad angripare gå förbi låsskärmen på Windows- och Linux-datorer för att därigenom få full kontroll över maskinen. Det inkluderar även alla filer. Hårddiskkryptering skyddar ej. Alla Thunderbolt-datorer fram till 2019 är drabbade och Thunderspy går inte att åtgärda genom mjukvaruuppdateringar. I veckans podd diskuterar Tess och Nikka hur pass allvarliga Thunderspy-sårbarheterna egentligen är. Nikka anser nämligen att de i praktiken inte är så farliga som rapporteringen har gett sken av.
 
Se fullständiga shownotes på https://go.nikkasystems.com/podd068.

#068 Thunderbolt-attacken Thunderspy

Hlustaðu og lestu

Other podcasts you might like ...