Bli säker-podden

I förrförra veckans avsnitt av Bli säker-podden pratade vi om hur Facebooks annonsgranskare ansåg att hundratals bluffannonser var förenliga med deras annonsregler. Den här veckan avslöjar vi att problemet sträcker sig ännu längre. Resultatet är nämligen detsamma när vi anmäler skadeprogramsspridande annonser. Facebooks annonsgranskare avslår såväl anmälan som överklagan.

Gemensamt för många av de skadeprogramsspridande annonserna är att de låtsas erbjuda någon typ av AI-app. Annonserna anspelar på att komma från AI-jättar såsom OpenAI, Bing, Midjourney eller Adobe. Annonserna försöker få användarna att ladda ned krypterade arkiv som i sin tur innehåller Windows-installationsprogram. Dessa installationsprogram är trojaner som i hemlighet lägger till spionerande webbläsartillägg. Därigenom kan bedragarna kapa ytterligare Facebook-sidor för att sprida ännu fler annonser för investeringsbedrägerier och skadeprogram.

Se fullständiga shownotes på https://go.nikkasystems.com/podd244.

I veckan avslöjade Säpo att kinesiska Judgement Panda (även kallade APT 31) hade utnyttjat svenska privatpersoners routrar för att spionera och utföra cyberattacker. Avslöjandet kom i samband med att USA väckte åtal mot sju statsanställda vid Kinas ministerium för statssäkerhet.

Ryssland har också visat intresse för privatpersoners routrar. Fancy Bear (även kallade APT 28), som har kopplingar till ryska underrättelsetjänsten GRU, infekterade tusentals routrar över hela världen i syfte att bygga en global spionageplattform. Det avslöjade FBI tidigare i år.

I veckans avsnitt av Bli säker-podden pratar Peter och Nikka om varför statsunderstödda aktörer kapar just hemmaroutrar. Nikka förklarar också vilka konsekvenserna blir och vad privatpersoner som vill skydda sig lite extra bör göra.

Veckans avsnitt bjuder också på goda nyheter om Googles föreslagna lösning för att stoppa kakstölder. Avsnittet bjuder tillika på skrämmande nyheter om spiontrojanen som Facebook spred via VPN-tjänsten som de tillhandahöll fram till avslöjandet 2019. Nya domstolsdokument visar att Facebook spred spiontrojanen trots stark intern kritik och att skadeprogrammet var betydligt värre än världen tidigare vetat.

Se fullständiga shownotes på https://go.nikkasystems.com/podd243.

Problemet med bluffannonser på Facebook tar inte slut. Bedragare fortsätter att utnyttja svenska kändisar i annonser för investeringsbedrägerier. Annonserna leder ofta till klonade versioner av populära nyhetssajter. Ibland står till och med den riktiga nyhetssajtens domän i annonsens länktext trots att annonsen i själva verket leder till en falsk webbplatskopia på en helt annan domän.

Förra veckan lämnade över 500 personer in en stämningsansökan mot Facebook Sweden på grund av att Facebook inte har tagit itu med problemet. Då publicerade Kalla Fakta ett uppföljningsinslag till granskningen som de gjorde tillsammans med mig i fjol. I uppföljningsinslaget visade jag hur Facebook har slutat plocka bort uppenbara bluffannonser som jag anmäler.

I veckans poddavsnitt berättar jag och Peter mer om hur bedragarna arbetar. Vi lyfter också några av våra hundratals exempel på bluffannonser som Facebooks annonsgranskare säger att inte bryter mot några av deras annonsregler.

Korrigering i samband med publicering: stämningsansökan har lämnats in mot Facebook Sverige (inte Meta och Mark Zuckerberg).

Se fullständiga shownotes på https://go.nikkasystems.com/podd242.

Medborgares fria tillgång till oberoende information hotar makten i totalitära stater. Länder såsom Kina, Ryssland, Egypten, Saudiarabien och Pakistan nöjer sig därför inte längre med att censurera internet. De försöker också blockera medborgarnas möjligheter att komma åt det fria internet via VPN-tjänster eller via Tor-nätverket.

Säkerhets- och integritetsfokuserade VPN-tjänster, till exempel Mullvad VPN och Proton VPN, har vidtagit motåtgärder. De har bland annat implementerat lösningar som får användarnas VPN-trafik att se ut som vanlig webbtrafik, vilket gör det svårare för övervakningsregimer att blockera trafiken. Senaste versionen av Tor-webbläsaren har också fått stöd för så kallade webbtunnlar. Webbtunnlarna gör att samma servrar som driver vanliga webbplatser kan bli hemliga ingångar i Tor-nätverket och därmed vägar ut på ocensurerade internet.

I den fria världen pågår samtidigt en oroväckande trend för ökad censur. I början av mars föreslog Liberalerna att sociala medier ska blockeras för barn efter klockan 23. Två veckor senare, på andra sidan Atlanten, valde världens största porrsajtsleverantör att blockera besökare från Texas i protest mot en ny lag om legitimeringskrav.

Vårdnadshavare kan redan begränsa såväl skärmtid som webbplatsinnehåll för sina barn. Både IOS och Android har inbyggda och kostnadsfria funktioner för just detta. Trots det vill politiker lägga ålderskontrollkrav på webbplatsägarna. I veckans avsnitt av Bli säker-podden pratar Peter och Nikka om varför det inte bara är en tekniskt vansinnig lösning utan rent av en farlig lösning.

Se fullständiga shownotes på https://go.nikkasystems.com/podd241.

Hur länge kan en mobil förväntas förses med säkerhetsuppdateringar? Under smartphone-erans första decennium hade Apple och Android-mobiltillverkarna vitt skilda åsikter kring sitt underhållsansvar. Än idag anser många Android-mobiltillverkare att deras mobiler bara ska hålla i något enstaka år. Till och med annars välrenommerade mobiltillverkare som Motorola anser att två år från lanseringsdatum är skälig livslängd på en mobil. Det är förvånande eftersom två år är kortare tid än den lagstadgade treåriga reklamationsrätten, vilken dessutom räknas från köpdagen (inte modellanseringsdagen).

Lyckligtvis är några Android-mobiltillverkare mer seriösa. Google utlovar sju års månatligt underhåll för sin senaste Pixel 8-serie. Samsung utlovar lika lång underhållstid för några av sina nya modeller men väljer att inte utfästa någon garanti för uppdateringsfrekvensen.

I veckans avsnitt av Bli säker-podden jämför Peter och Nikka de olika Android-mobiltillverkarnas underhållsgarantier. I samband med detta snubblar podduon över ett oväntat uttalande från en av cheferna på Oneplus ? som tycker att deras mobiler kan liknas vid en smörgås.

Se fullständiga shownotes på https://go.nikkasystems.com/podd240.

De senaste veckorna har många svenska organisationer drabbats av driftstörningar till följd av IT-attacker. Dessa attacker har varit av varierande slag och av olika allvarlighetsgrad.

I ena änden av allvarlighetsskalan ligger dubbelutpressningsattacker. Det är den typ av attack som bland annat Kalmar kommun och Sophiahemmet har fallit offer för. Vid en dubbelutpressningsattack passar angriparna på att både stjäla och utpressningskryptera filer.

I andra änden av allvarlighetsskalan ligger överbelastningsattacker. Det är den typ av attack som flera svenska myndighetswebbplatser utsattes för under veckan. Överbelastningsattacker är generellt ofarliga och får sällan permanenta konsekvenser. Sådana attacker gör bara att en eller flera webbplatser blir otillgängliga en stund.

I veckans avsnitt av Bli säker-podden pratar Peter och Nikka om de senaste veckornas attacker. Podduon förklarar också varför överbelastningsattacker knappt förtjänar att kallas ?attacker? och varför de som utför överbelastningsattacker borde kallas ?aktivister? i stället för ?hackergrupper?.

Se fullständiga shownotes på https://go.nikkasystems.com/podd239.

Världens meddelandetjänster blir allt bättre. Sedan några år tillbaka stödjer alla meddelandetjänster värda namnet totalsträckskryptering (end-to-end-kryptering). Det gör att ingen annan än konversationsparterna kan läsa meddelandena.

I fjol förbättrade meddelandeappen Signal det underliggande protokollet så att meddelandena som vi skickar idag förbli säkra dagen då effektiva kvantdatorer blir verklighet. Den här veckan följde Apple i Signals fotspår när de lanserade en kvantsäker och förbättrad version av Imessage-protokollet. Apple hävdar rent av att deras nya Imessage-protokoll är ännu säkrare än Signals dito.

I veckans meddelandefokuserade poddavsnitt pratar Peter och Nikka om Apples nya tilltag. De pratar också om hur Signals nya stöd för användarnamn stärker den personliga integriteten och om hur Whatsapp snart börjar fungera med andra meddelandeappar.

Se fullständiga shownotes på https://go.nikkasystems.com/podd238.

Windows har en inbyggd krypteringsfunktion som kallas Bitlocker. Den förhindrar att tjuvar som stjäl datorer kommer åt filerna som ligger sparade på datorerna. Tjuvarna kan på sin höjd rensa datorerna och sälja dem som stöldgods.

Detta är åtminstone tanken med Bitlocker. Tyvärr har säkerhetsforskaren Stacksmashing visat att flera Windows-datorer har en brist som sätter Bitlocker-skyddet ur spel. Bristen gör att resursstarka hotaktörer kan läsa filerna på Bitlocker-skyddade datorer.

I veckans poddavsnitt pratar Peter och Nikka om vad som orsakar Bitlocker-bristen, varför den inte påverkar alla datorer samt hur den kan åtgärdas. De pratar också om en falsk Lastpass-app, nya framsteg för passkeys och den oväntade nedläggningen av e-posttjänsten Skiff.

Se fullständiga shownotes på https://go.nikkasystems.com/podd237.

Akira-attackerna mot Sverige duggar tätt. I tisdags drabbades det senaste kända offret: Kalmar kommun. Kalmars kommunikationschef, Nico Werge, höll kommuninvånarna underrättade med frekventa lägesuppdateringar. Han kallade också till presskonferens redan samma eftermiddag.

På presskonferensen presenterade kommunstyrelsens ordförande, Johan Persson, en intressant siffra. Han sade att kommunens system utsattes för cirka 70 miljoner attacker under 2023.

I veckans avsnitt av Bli säker-podden funderar vi över vad 70 miljoner attacker egentligen innebär. Är det många attacker på årsbasis? Vi pratar också om den påhittade överbelastningsattacken som påstods ha utförts med hjälp av uppkopplade eltandborstar.

Se fullständiga shownotes på https://go.nikkasystems.com/podd236.

Det händer mycket på Iphone-fronten. Den senaste IOS-uppdateringen (IOS 17.3) lade till en funktion som gör det svårare för tjuvar att stänga av Iphones stöldskydd. Samma funktion åtgärdar också en designmiss som Iphone har dragits med sedan lanseringen av Icloud.

I mars släpper Apple IOS 17.4, vilket blir smått revolutionerande för oss i Europa. Den IOS-uppdateringen lägger nämligen både till stöd för alternativa appbutiker och tillåter webbläsarutvecklare att släppa IOS-webbläsare som är mer än bara ?Safari-skal?.

I veckans avsnitt av Bli säker-podden gästas vi av Apple-journalisten Ida Blix från tekniksajten M3. Hon förklarar vad de nya förändringarna innebär i praktiken för såväl slutanvändare som apputvecklare. Nikka förklarar därtill hur Apples nya lösning skiljer sig från sättet som appar distribueras på Android. Apple tänker nämligen behålla kontrollen över IOS-appar på ett sätt som gynnar slutanvändare ur ett säkerhets- och integritetsperspektiv.

Se fullständiga shownotes på https://go.nikkasystems.com/podd235.

Konsekvenserna av utpressningsattacken mot IT-tjänsteleverantören Tietoevry har märkts tydligt runt omkring i samhället. Kontantfria verksamheter kunde plötsligt inte ta betalt. Detaljhandelskedjan Granngården fick rent av hålla sina butiker stängda i över tre dagar. Webbplatserna för Rusta och Stadium gick ner och de ligger fortfarande nere sex dagar efter attacken.

Värst av alla drabbades Vellinge kommun. Utöver att deras webbplats slogs ut påverkades deras interna system. Under onsdagen blev det känt att till och med deras säkerhetskopior har blivit utpressningskrypterade.

I veckans poddavsnitt går jag (Karl Emil Nikka) och Peter Esse igenom vad världen vet om attacken och dess konsekvenser än så länge. Vi pratar också om riskerna med det kontantfria samhället, hur organisationer ska tänka vid val av driftpartner samt vad alla myndigheter med medborgarkontakt måste ha i åtanke på grund av det förändrade säkerhetspolitiska läget.

Veckans avsnitt är dessutom poddens femårsjubileum. Det var i januari 2019 som jag och Tess Hamark spelade in första avsnittet, vilket handlade om den onödiga lösenordsbytardagen. Målsättningen var då att släppa kvartslånga veckoavsnitt, men det byttes snabbt ut mot veckoliga halvtimmesavsnitt.

Fem år (och 234 avsnitt) senare tackar vår samarbetspartner Bredband2 för sig. Jag är mycket tacksam över tiden som vi producerade podden tillsammans i ett gynnsamt ekonomiskt oberoende samarbete. Jag hade inte förväntat mig att det som började som ett ?experiment? skulle vara i hela fem år. Utan Bredband2:s stora kundskara hade podden aldrig heller fått så stort genomslag och stor spridning bland svenska folket, så stort tack till Bredband2.

Med anledning dessa förändringar tar podden ett kort uppehåll under februari. Jag återkommer med mer information.

Se fullständiga shownotes på https://go.nikkasystems.com/podd234.

Många av dagens lösenordshanterare har inbyggt stöd för att generera engångskoderna som behövs vid inloggning på konton som skyddas med tvåfaktorsautentisering. Bitwarden, 1password, Proton Pass och Icloud-nyckelringen är exempel på lösenordshanterare med sådant stöd.

Integrerat stöd för att spara tvåfaktorsautentiseringshemligheter och generera engångskoder förenklar inloggningsprocessen. Stödet ersätter dock inte fristående tvåfaktorsautentiseringsappar helt och hållet. Någon app måste ju generera engångskoden som behövs vid inloggning i lösenordshanteraren.

I veckans poddavsnitt pratar Peter och Nikka om den bästa lösningen på lösenordshanterarnas ?moment 22?. Nikka tipsar också om en kommande lösning som tar itu med problemet på riktigt. På sikt kommer det nämligen gå att låsa upp lösenordshanterare med passkeys. Tack vare en utökning till den underliggande standarden kommer kompatibla passkeys dessutom att eliminera behovet av att skriva in användarnamn och lösenord vid upplåsning av lösenordshanterarnas lösenordsvalv.

Se fullständiga shownotes på https://go.nikkasystems.com/podd233.

Authy har länge varit en favorit bland tvåfaktorsautentiseringsappar. Authy har låtit användarna synkronisera sina tvåfaktorsautentiseringshemligheter totalsträckskrypterat mellan enheter och mellan olika operativsystem. Appen har dessutom varit både reklamfri och kostnadsfri.

Nu meddelar Twilio, företaget som driver Authy, att de framåt sommaren lägger ned stödet för Windows, Mac OS och Linux. De vill i stället satsa helhjärtat på IOS- och Android-versionerna. Lyckligtvis sammanfaller Authys stundande plattformsbegränsning med framväxten av en konkurrent: 2FAS. Den appen har dessutom öppen källkod.

I veckans poddavsnitt pratar Peter och Nikka om varför 2FAS kan bli en lämplig ersättare till Authy lagom till Authys sorti från världens skrivbordsoperativsystem. Nikka förklarar också vilka förbättringar som 2FAS behöver göra fram till dess samt vilken begränsning som 2FAS alltid kommer att ha på grund av sättet som appen synkroniserar tvåfaktorsautentiseringshemligheterna.

Se fullständiga shownotes på https://go.nikkasystems.com/podd232.

Ett nytt år är kommet. Det inleds traditionsenligt med ett poddavsnitt om vad som stundar ur ett IT-säkerhets- och integritetsperspektiv. Peter och Nikka sneglar på kalendern och tittar in i spåkulan för att servera fem profetior för IT-säkerhetsåret 2024.

Se fullständiga shownotes på https://go.nikkasystems.com/podd231.

2023 går mot sitt slut. Årets sista poddavsnitt dedikeras traditionsenligt till att följa upp profetiorna som myntades vid årets start. Slog passkeys igenom? Reste sig Firefox ur elden? Blev det problem med push-notiser på IOS? Blev Bing Bra? Skedde det några framsteg över Atlanten?

Se fullständiga shownotes på https://go.nikkasystems.com/podd230.

Nu har Meta lanserat sin Twitter-kopia ?Threads? i Europa. Förra veckan tillkännagav Metas grundare Mark Zuckerberg att de dessutom har påbörjat integrationen med Activitypub-nätverket. I sann Meta-anda har de dock gjort det enkelriktat: det går att följa utvalda Threads-profiler från Activitypub-baserade Mastodon, men det finns inga Mastodon-profiler som går att följa från Threads.

I veckans poddavsnitt pratar Peter och Nikka om de senaste veckornas nyheter kring X (Twitter) och dess kloner. Podduon ger Threads en avriven guldstjärneudd som beröm för att de åtminstone delvis har anammat Mastodons lösning för profilverifiering. De pratar också om problematiken med falska säkerhetsvarningar på X samt om hur EU-kommissionen utreder om X verkligen lever upp till kraven som Digital Services Act lägger på tjänster av X:s storlek.

Se fullständiga shownotes på https://go.nikkasystems.com/podd229.

I början av december avslöjade den amerikanska senatorn Ron Wyden att Apple och Google lämnade ut information om användarnas push-notiser. Detta gjorde de två IT-jättarna utan att informera de berörda användarna. I en kommentar till Reuters meddelade Apple att federala myndigheter hade förbjudit dem att offentliggöra utlämnandet.

Sättet som push-notiser skickas gör avlyssningen extra allvarlig. Nästintill alla push-notiser som går till IOS- och Android-mobiler skickas nämligen via Apples respektive Googles molntjänster. Signals VD Meredith Whittaker har förklarat att det är av batteriskäl som operativsystemstillverkarnas molntjänster är de enda framkomliga vägarna för att skicka push-notiser.

Signal, Proton och andra tjänster som tar dataskyddet på allvar totalsträckskrypterar innehållet i push-notiserna. Tyvärr är totalsträckskrypteringen inte något som Apple och Google tillhandahåller, vilket gör att IT-jättarna i normalfall kan se exakt vad som står i push-notiserna.

I veckans avsnitt av Bli säker-podden pratar Peter och Nikka om Ron Wydens avslöjande och vilka konsekvenser som det får, inte bara för push-notiser utan för all data som passerar IT-jättarnas molntjänster. Det blir allt viktigare att Apple och Google skyddar användarnas data på teknisk väg, så att IT-jättarna inte har någon data att lämna ut när de nästa gång åläggs att göra det i hemlighet.

Se fullständiga shownotes på https://go.nikkasystems.com/podd228.

Digitalt distribuerade filmer och böcker kopieringsskyddas ofta med någon typ av DRM (Digital Rights Management). Kunder som köper DRM-skyddade filer kan inte dra nytta av sin lagstadgade rätt att privatkopiera dessa (notera ?privatkopiera?, inte ?piratkopiera?). Kunderna kan också fråntas sin möjlighet att spela upp filmerna eller läsa böckerna.

Fram till 2021 sålde Sony både filmer och TV-serier via Playstation Store. Nu står det dock klart att kunder som ?köpte? filmer och TV-serier därigenom i själva verket långtidshyrde dessa. Förra veckan meddelade Sony att de hade ändrat i sina licensavtal med innehållsleverantören Discovery och att Sony därför raderar kundernas ?köpta? Discovery-filmer och -serier.

En liknande situation drabbade kunderna som hade ?köpt? böcker i bokbutiken som Microsoft drev fram till 2019. Då valde Microsoft att lägga ned bokbutiken och radera kundernas köpta böcker. Till skillnad från Sony valde Microsoft att betala tillbaka pengarna, men situationen belyste ändå problemet: så länge böcker har DRM-skydd kan säljaren frånta köparen möjligheten att läsa boken.

I veckans poddavsnitt pratar Peter och Nikka om de mångåriga problemen med DRM i musik, böcker och filmer. Historiskt har Sony nämligen gjort något ännu värre än att bara radera kundernas köpta filmer.

Se fullständiga shownotes på https://go.nikkasystems.com/podd227.

Dagens telefonisystem är trasigt. På grund av mobiloperatörernas oförmåga att ta itu med gamla kvarlevor kan bedragare skicka SMS som står att kommer från banken och ringa från det lokala bankkontorets telefonnummer (så kallad spoofing).

I november presenterade mobiloperatörerna och PTS varsin åtgärd för att begränsa problemen. Mobiloperatörerna lanserade ett nytt kortnummer som medborgare kan rapportera misstänkta SMS till. SMS som vidarebefordras till kortnummer 7726 går till alla mobiloperatörers bedrägeribekämpningsavdelningar på samma gång. Detta löser självfallet inte problemet med att bedragare skickar SMS i falska namn, men det kan åtminstone begränsa spridningen.

PTS lanserade en ny vägledning för hur telefonoperatörer ?kan? (inte ?ska?) hantera situationer då någon ringer från utlandet med ett telefonnummer som börjar på +46. Idag spoofar internationella bedragare ofta svenska nummer för att öka sannolikheten att svenska offer svarar. PTS uppmanar telefonoperatörerna att sätta stopp för detta. Vägledningen kan omvandlas till bindande föreskrifter redan nästa år.

I veckans avsnitt av Bli säker-podden pratar Peter och Nikka om dessa två tilltag. Nikka förklarar också hur det faktiskt redan finns en teknisk lösning som stoppar spoofing av telefonnummer. Lösningen heter STIR/SHAKEN och används redan i USA efter krav från amerikanska FCC. Frankrike kommer också att anamma tekniken.

Med STIR/SHAKEN på plats kan mobiloperatörerna se ifall samtal kommer från de påstådda telefonnumren och stoppa falska samtal innan de kopplas fram till abonnenterna. Sedan släppet av IOS 13 och Android 11 kan verifierade samtal till och med indikeras med en verifieringssymbol på samtalsskärmen, så att den som blir uppringd vet att uppringarnumret är äkta.

Se fullständiga shownotes på https://go.nikkasystems.com/podd226.

I förra veckans poddavsnitt pratade vi bland annat om Nothings bryggtjänst som kopplade ihop Android-mobiler med Apples Imessage-system. Vi summerade situationen med orden ?det här är någonting som ingen bör använda? 

Sedan dess har det hänt än hel del. För det första visade sig tjänsten vara ännu värre än vi ursprungligen antog. Utöver den säkerhetsmässigt vidriga principen som lösningen förlitade sig på var Nothings säkerhets- och konfidentialitetsutfästelser rena lögner. Detta avslöjades av trio säkerhetsgranskare, och deras avslöjanden fick Nothing att ta bort appen från Google Play.

För det andra har Apple meddelat att de kommer förbättra interoperabiliteten mellan IOS och Android på egen hand. Nästa år kommer Apple att lägga till stöd för RCS-meddelanden i Iphones meddelandeapp. Det gör att meddelanden som skickas mellan Iphone- och Android-mobiler får stöd för moderna meddelandefunktioner, till exempel reaktioner, läskvitton, skrivindikatorer och bilagor med hög kvalitet.

I veckans podd pratar vi om båda dessa nyheter och varför de inte förändrar vår ständigt återkommande rekommendation: använd Signal.

Se fullständiga shownotes på https://go.nikkasystems.com/podd225.

Termen ?doxing? syftar på när någon illvilligt publicerar information om någon annan på nätet. Ett exempel är när konflikter mellan gamers eller youtubers får den ena parten att röja den andra partens bostadsadress. Ur ett svenskt perspektiv kan det låta tämligen harmlöst. Våra svenska bostadsadresser är ju redan offentliga. Internationellt sett är det annorlunda.

I veckans poddavsnitt pratar Peter och Nikka om offentliga personuppgifter och hur flera svenska webbplatser utnyttjar ett undantag i GDPR för att göra offentliga personuppgifter lättillgängliga. Frågan är om webbplatserna gör personuppgifterna lite för lättillgängliga? Förra månaden inledde regeringen en utredning av grundlagsskyddet som ger sajter såsom Eniro, Hitta.se, Mr Koll och Ratsit rätt att publicera personuppgifter på sättet som de gör idag.

Se fullständiga shownotes på https://go.nikkasystems.com/podd224.

EU vill förändra sättet som säkra anslutningar på internet garanteras. Dagens modell bygger på ett certifikatsystem med signering i flera led. För att en webbläsare ska lita på att webbplatsen som visas är den äkta måste webbplatsen ha ett giltigt certifikat. Det certifikatet måste i sin tur vara signerat av en certifikatutfärdare som webbläsaren eller det underliggande operativsystemet har förtroende för.

Certifikatutfärdarna som är betrodda fastläggs av de rotcertifikat som webbläsar- och operativsystemsutvecklarna har valt ut. Webbläsar- och operativsystemsutvecklarna ansvarar för att granska rotcertifikatutfärdarna. Slutanvändarna litar på sina webbläsare och operativsystem samt deras granskningsprocesser. Därigenom litar slutanvändarna också på att ingen av de utvalda rotcertifikatutfärdarna låter sig utnyttjas för att generera falska certifikat.

Nu vill EU att EU:s medlemsländer ska få samma roll som de betrodda rotcertifikatutfärdarna. Som en del av den reviderade EIDAS-förordningen vill EU kräva att europeiska webbläsare ska lita på statsutfärdade certifikat på samma sätt som webbläsarna litar på dagens rotcertifikat. Dessa statsunderstödda certifikat kallas Qwac (Qualified website authentication certificate) och kan ge EU:s medlemsländer möjlighet att bryta upp krypterad internettrafik.

I veckans avsnitt av Bli säker-podden pratar Peter och Nikka om konsekvenserna som Qwac får för säkerheten på nätet. Avsnittet är en uppföljning till avsnitt 162 från våren 2022 då Tess och Nikka varnade för förslaget, vilket nu ser ut att bli verklighet.

Se fullständiga shownotes på https://go.nikkasystems.com/podd223.

Den här veckan gästas Bli säker-podden av Karl Selin. Han arbetar som senior cybersäkerhetsspecialist vid Cert-SE och NCSC-SE. Cert-SE är Sveriges nationella ?Computer Security Incident Response Team? och är en del av MSB - Myndigheten för samhällsskydd och beredskap. NCSC-SE är Sveriges nationella cybersäkerhetscenter som har uppdraget att ?stärka Sveriges samlade förmåga att förebygga, upptäcka och hantera cyberhot?.

I veckans avsnitt förklarar Karl Selin vad Cert-SE och NCSC-SE pysslar med om dagarna samt hur han och hans kollegor kan hjälpa svenska organisationer. Karl Selin ger också konkreta tips på hur Cert-SE:s omvärldsbevakning kan bli en kostnadsfri och viktig pusselbit i organisationers IT-säkerhetsarbete.

Se fullständiga shownotes på https://go.nikkasystems.com/podd222.

Det finns flera sätt som användare kan spåras mellan webbplatser på nätet, till exempel spårningskakor, webbläsarinställningar och IP-adresser. Användare som vill förhindra att de spåras via sin IP-adress har fram till nyligen behövt skaffa en VPN-tjänst, men nu börjar allt fler webbläsare få inbyggda VPN-liknande lösningar för att motverka just IP-adressbaserad spårning.

Google har börjat experimentera med en funktion som de kallar IP Protection. Funktionen gör att Chrome-användarnas trafik tunnlas via en proxy, vilket effektivt döljer användarnas IP-adresser för webbplatserna som de besöker. Google överväger till och med att implementera samma dubbelhoppsmetod som Apple erbjuder i Safari (som en del av Icloud+). Dubbelhoppsmetoden förhindrar att Google själva ser vilka webbplatser som användarna besöker.

I veckans avsnitt av Bli säker-podden pratar Peter och Nikka om för- och nackdelarna med Googles nya förslag samt dess likheter med Iclouds redan existerande funktion ?Privat relätjänst?. Podduon pratar också om den webbläsarintegrerade VPN-tjänsten Brave VPN som har gjort att företaget bakom Brave-webbläsaren har hamnat i blåsväder? igen.

Se fullständiga shownotes på https://go.nikkasystems.com/podd221.

I veckans avsnitt av Bli säker-podden pratar Peter och Nikka om hur e-postappar bör konfigureras ur ett säkerhetsperspektiv. Till skillnad från dagens webbläsare indikerar nämligen inte e-postapparna lika tydligt när mejl hämtas över osäkra och avlyssningsbara anslutningar.

Se fullständiga shownotes på https://go.nikkasystems.com/podd220.

Varje år publicerar Internetstiftelsen Sveriges största rapport om svenskars internetvanor: Svenskarna och internet. Undersökningen omfattar en mängd perspektiv, däribland svenskarnas syn på integritet och säkerhet på nätet.

Årets veckofärska undersökning är extra intressant. Den avslöjar att hela 94 % av svenska folket vill ge polisen rätt att ta del av privata meddelanden från brottsmisstänkta personer. I veckans poddavsnitt diskuterar Peter och Nikka vad som ligger bakom den höga siffran. De lyfter också upp en handfull andra statistikgodbitar som Internetstiftelsen påvisar genom årets undersökning.

Se fullständiga shownotes på https://go.nikkasystems.com/podd219. Avsnittet innehåller ett ljudklipp från Internetstiftelsens presentation av rapporten (CC BY, Internetstiftelsen).

För tio år sedan gjordes merparten av världens webbplatsbesök över osäkra anslutningar. Tack vare Let?s encrypt-projektet och påtryckningar från webbläsarutvecklarna sker numera nästintill alla webbplatsbesök över säkra anslutningar. På sikt ska samtliga webbanslutningar vara säkra och stora helsidesvarningar kommer att visas ifall ett besök sker över en osäker anslutning. 

Möjligheten att aktivera krav på säkra anslutningar finns redan i dagens webbläsare, men kravet är inaktiverat som standard. Webbläsarutvecklarna tar i stället små steg framåt för att sakta men säkert närma sig det slutliga målet. Under sommarmånaderna har framförallt Google Chrome tagit flera sådana steg, och i veckans avsnitt av Bli säker-podden pratar Peter och Nikka om dessa förändringar.

Se fullständiga shownotes på https://go.nikkasystems.com/podd218.

Microsofts plan var en gång i tiden att Windows 10 skulle bli den sista Windows-versionen. I stället för att släppa nya Windows-versioner skulle Microsoft släppa uppdateringar till Windows 10 två gånger per år. Denna underhållsmodell fungerade dåligt i praktiken och Microsoft åtgick till att släppa nya Windows-versioner och att revidera dessa på årlig basis i stället för halvårsvis.

För att bibehålla möjligheten att släppa nya funktioner i hög takt lanserade Microsoft ?Moments?. Det är små funktionspaketeringar som Microsoft kan rulla ut via Windows Update utan att behöva släppa nya Windows-versioner. I veckan började det fjärde Moments-paketet rulla ut, vilket innehöll flera säkerhetsrelaterade nyheter

I veckans poddavsnitt diskuterar Peter och Nikka säkerhetsnyheterna i det fjärde Moments-paketet. Nikka var inledningsvis glad över att det innehöll både en säkerhetskopieringsapp och stöd för passkeys, men efter att ha testat de nya funktionerna var glädjen försvunnen.

Se fullständiga shownotes på https://go.nikkasystems.com/podd217.

I årtionden har privatpersoner och medarbetare varit rädda för att klicka på länkar som kommit via mejl. Bakgrunden till detta är att det en gång i tiden gick att bli infekterad av att enbart besöka en attackpreparerad webbsida. Den tiden är förbi.

Vi har fått säkrare webbläsare med sandlådor och webbplatsisolering. Dessa webbläsare kör vi sin tur på säkrare operativsystem. Vi har därtill gjort oss av med alla webbläsartillägg som tidigare krävdes för att köra exempelvis Java-, Flash- och Silverlight-innehåll på webbsidor. Dessa tredjepartstekniker behövdes förr i tiden till allt från bankinloggning till videouppspelning, men de är numera ersatta med renodlade webbtekniker som våra webbläsare kan visa på egen hand.

I veckans poddavsnitt pratar Peter och Nikka om varför det är dags att ändra den uråldriga rekommendationen om att vara rädd för länkar i mejl. Risken för länkar som leder till nätfiskesidor kvarstår, men för att bli infekterad måste den som klickar på länken göra något mer än att bara besöka den länkade webbsidan. Allt detta gäller självfallet under förutsättning att datorn och dess appar är underhållna och uppdaterade.

Se fullständiga shownotes på https://go.nikkasystems.com/podd216.

Under den gångna veckan åtgärdades flera aktivt utnyttjade nolldagarssårbarheter, det vill säga sårbarheter som utnyttjades av angripare innan det fanns några åtgärdande säkerhetsuppdateringar. Apple släppte en panikuppdatering till IOS för att täppa till två nolldagarssårbarheter som utnyttjades av en okänd aktör för att infektera Iphone med det ökända spionprogrammet Pegasus. Allt aktören behövde göra var att skicka en specialpreparerad Imessage-bilaga till mobilen som de ville infektera.

Google och Mozilla släppte uppdateringar för att täppa till en nolldagarssårbarhet i Chrome respektive Firefox. Sårbarheten lät angripare infektera datorer genom att lura användaren att visa en specialpreparerad bild. Adobe åtgärdade en sårbarhet i Acrobat Reader som lät angripare infektera datorer på samma sätt fast genom att visa en PDF-fil i stället för en bild.

I veckans poddavsnitt pratar Peter och Nikka om dessa nolldagarssårbarheter, varför det är så viktigt att köra underhållen mjukvara och varför det är så viktigt att installera säkerhetsuppdateringar så fort de blir tillgängliga. Podduon återkommer till detta frekvent belysta ämne med anledning av veckans ovanligt intressanta nolldagarssårbarheter och för att ge viktig bakgrundsinformation inför nästa veckas huvudämne.

Se fullständiga shownotes på https://go.nikkasystems.com/podd215.

Förra veckans poddavsnitt handlade om säkra anteckningsappar av det traditionella slaget. Veckans poddavsnitt följer upp med en genomgång av så kallade second brain-anteckningsappar. Det är anteckningsappar som låter dig länka ihop anteckningar, så att helheten av dina anteckningar blir mer givande än alla anteckningar var för sig.

Som exempel används den säkra anteckningsappen Obsidian, vilken även löser portabilitetsproblematiken. Genom att spara anteckningarna i individuella råtextfiler säkerställer Obsidian att du alltid kommer att kunna läsa dina anteckningar, även dagen då någon ny app har konkurrerat ut Obsidian.

I veckans poddavsnitt demonstrerar också Peter och Nikka hur bra Elevenlabs nya AI-röstklonare fungerar. Nikka passar även på att, ytterligare en gång, döda myten om att mobilen tjuvlyssnar för att servera oss relevanta annonser.

Se fullständiga shownotes på https://go.nikkasystems.com/podd214.

Vi har alla behov av att anteckna saker i vår vardag. För att göra detta kan vi välja mellan en mängd olika anteckningsappar som låter oss strukturera och synkronisera våra anteckningar. Tyvärr är det långt ifrån alla anteckningsappar som synkroniserar våra anteckningar totalsträckskrypterat. Det är problematiskt med tanke på hur känsliga saker som många av oss skriver i våra anteckningar.

Lyckligtvis finns det flera bra, säkra och integritetsvärnande anteckningsappar. I veckans poddavsnitt pratar Peter och Nikka om fyra av dem: Apple Anteckningar, Joplin, Standard Notes och Notesnook. De fyra anteckningsapparna har sina respektive för- och nackdelar som gör dem mer eller mindre optimala för olika målgrupper och ändamål.

Veckans poddavsnitt är den första halvan av genomgången. Lyssna även på nästa veckas avsnitt som handlar om säkra så kallade ?second brain-anteckningsappar?, till exempel Obsidian.

Se fullständiga shownotes på https://go.nikkasystems.com/podd213.

Sättet som vi spåras på nätet är ohållbart i längden. Det vet till och med Google. Dagens tredjepartskakor som låter annonsföretag bygga annonsprofiler om oss är helt enkelt för integritetskränkande. Både Firefox och Brave har sedan länge blockerat alla tredjepartskakor av detta skäl, och snart kommer även Google att låta Chrome göra det.

Googles ursprungstanke var att fasa ut stödet för tredjepartskakor lagom till årsskiftet 2021/2022, men de har skjutit upp utfasningen gång på gång. En av huvudorsakerna till fördröjningen är att Google har saknat en gångbar ersättningsteknik. Deras första förslag på ersättningsteknik kallades Floc. Den tekniken sågades från flera håll. Integritetsvurmare bad rent av Google att ?go floc yourself?.

Google lyssnade på kritiken och tog fram en förbättrad ersättare som kallas Topics API. Under årets sommarmånader rullade Google successivt ut stödet för Topics API. Nu ska nästintill alla Chrome-användare ha fått frågan om de vill aktivera tekniken, vilken på svenska kallas ?annonsämnen?.

I veckans podd diskuterar Peter och Nikka Googles nya påhitt. De konstaterar att Topics API/annonsämnen är mycket mer integritetsvärnande än tredjepartskakor, men Nikka är ändå långt ifrån såld på konceptet.

Se fullständiga shownotes på https://go.nikkasystems.com/podd212.

Säkerhetsforskare vid New York University har upptäckt en nedslående sårbarhet i världens VPN-tjänster. Sårbarheten som de kallar Tunnelcrack kan få VPN-appar att läcka trafik. Genom att lura besökare att ansluta till ett angriparkontrollerat nätverk kan angripare se vilka webbplatser som besökarna går till även om besökarna tunnlar trafiken via VPN.

Tunnelcrack är ingen ny sårbarhet. Rapportförfattarna konstaterar tvärtom att sårbarheten är lika gammal som VPN-tekniken i sig. Sårbarheten har alltså funnits i över 20 år. När rapportförfattarna testade över 60 olika VPN-tjänster visade det sig dessutom att samtliga VPN-tjänster var sårbara. Den populära VPN-tjänsten Torguard (ej relaterad till Tor) var sårbar oavsett operativsystem. Till och med vår rekommenderade VPN-tjänst Mullvad var sårbar, men bara på IOS.

I veckans avsnitt av Bli säker-podden förklarar Nikka vad som orsakar sårbarheten, vilka konsekvenser den får och vad användare kan göra åt den. Peter avslutar genomgången med ett förslag på lösning som är den allra enklaste åtgärden: anslut inte till publika wifi-nät.

Se fullständiga shownotes på https://go.nikkasystems.com/podd211.

Google har släppt sin årliga rapport om aktivt utnyttjade nolldagarssårbarheter. En av slutsatserna som Google själva drar är att Android-mobiler inte får säkerhetsuppdateringar tillräckligt snabbt. Rapportförfattarna ställer rent av frågan om huruvida världens Android-angripare behöver dra nytta av några nolldagarssårbarheter. Angriparna kan ju lika gärna utnyttja de väldokumenterade sårbarheterna som inte har blivit åtgärdade än.

I veckans avsnitt av Bli säker-podden reflekterar Peter och Nikka om den nedslående rapporten. De djupdyker också i två av rapportens exempel på hur Android-användare har blivit infekterade på grund av mobiltillverkarnas oförmåga att underhålla sina operativsystem och webbläsare. I de två exemplen infekterades alltså inte användarna för att de var sena med att installera några uppdateringar ? det fanns inga uppdateringar som användarna kunde installera.

Se fullständiga shownotes på https://go.nikkasystems.com/podd210.

Nuförtiden är nästan all trafik på webben krypterad. Det har minskat behovet av att använda VPN-tjänster vid anslutning till internet från publika wifi-nät, åtminstone ur ett säkerhetsperspektiv. Det förblir lämpligt att använda VPN-tjänster ur ett integritetsperspektiv eftersom viss metadata fortfarande skickas okrypterad och därmed avlyssningsbar. Exempel på sådan metadata är DNS-uppslag och SNI-indikatorer. Ett DNS-uppslag översätter vilken IP-adress som hör ihop med en specifik domän. En SNI-indikator pekar på vilken webbplats som ska besökas ifall flera webbplatser delar på samma IP-adress.

Både DNS och SNI avslöjar vilka domäner som besöks. I tidigare poddavsnitt har vi pratat om hur DOH (DNS over HTTPS) kan aktiveras för att kryptera DNS-uppslagen, men det har inte funnits någon gängse lösning för att kryptera SNI-indikatorerna. Det blir det ändring på nu i samband med att Google börjar aktivera funktionen som kallas Encrypted Client Hello.

I veckans poddavsnitt förklarar Peter och Nikka varför SNI-indikatorer egentligen behövs och hur Encrypted Client Hello (på sikt) förhindrar att SNI-indikatorerna läcker vilka domäner som besöks.

Se fullständiga shownotes på https://go.nikkasystems.com/podd209.

Ett av de största problemen med dagens meddelandetjänster är att de inte fungerar med varandra. Trots att appar såsom Signal, Whatsapp och Google Messages alla använder Signal-protokollet går det ändå inte att kommunicera mellan apparna. Alla användare måste ha samma app.

Lösningen på problemet stavas MLS (Messaging Layer Security). Det är en ny protokoll- och arkitekturstandard från IETF som lägger grunden till säker och totalsträckskrypterad kommunikation mellan olika meddelandetjänster. Google, Matrix och Wire är några av organisationerna som redan har tillkännagivit att deras tjänster kommer att stödja MLS, vilket gör att deras användare kommer att kunna kommunicera med varandra över plattformsbarriärerna.

I veckans poddavsnitt pratar Peter och Nikka om hur MLS har förutsättningarna för att revolutionera sättet som vi kommunicerar. Med MLS öppnas inte bara nya möjligheter för privatpersoner som vill kunna chatta med alla sina vänner från samma app. MLS kan till och med bli nyckeln som har saknats för att äntligen kunna minimera det osäkra mejlandet mellan organisationer.

Se fullständiga shownotes på https://go.nikkasystems.com/podd208.

Alla enheter som ansluter till internet har en IP-adress. Med dagens version av internet finns totalt 4,3 miljarder sådana IP-adresser. Problemet som uppenbarade sig vid internets stora genombrott var att världen skulle behöva ansluta fler än 4,3 miljarder enheter. Lösningen, en ny version av internets internetprotokoll, uppfanns därför i god tid innan IP-adresserna tog slut. Med nästa generations internetprotokoll (IPv6) finns fler IP-adresser per person än världen delar på totalt på dagens internetprotokoll (IPv4).

Tyvärr har övergången till nästa generations internetprotokoll gått långsamt, framförallt i Sverige. I Sverige har vi i stället löst situationen genom att låta flera hushåll dela på samma IP-adress. Detta är problematiskt av flera skäl, vilket Peter och Nikka förklarar i veckans avsnitt av Bli säker-podden. I avsnittet pratar de också om Protons nya molnlagringstjänst, Metas norska böter och Microsofts nya företagsanpassade version av Bing Chat.

Se fullständiga shownotes på https://go.nikkasystems.com/podd207.

Under många år tillhörde Twitter och Reddit en speciell typ av sociala medier. Twitter och Reddit tillät en mängd olika tredjepartsappar att interagera med innehållet på plattformarna. Twitter utkristalliserade sig med tiden som ett viktigt verktyg för företag och myndigheter att nå ut med information, framförallt i USA.

Under årets första halva förändrades situationen. Både Twitter och Reddit tog bort stödet för tredjepartsappar. Twitter införde tillfälliga inloggningskrav och begränsningar på hur många inlägg som användare fick se per dag om de inte betalade för Twitters premiumtjänst Twitter Blue. Parallellt med införandet av Twitters och Reddits begränsningar har de öppna alternativen Mastodon och Lemmy växt sig starkare.

I veckans poddavsnitt pratar Peter och Nikka om huruvida sociala medier såsom Mastodon skulle kunna ta över samhällsrollen som Twitter en gång hade. Nikka förklarar också de nya IT-säkerhetsrelaterade riskerna som Mastodon och andra Activitypub-baserade sociala medier för med sig.

Se fullständiga shownotes på https://go.nikkasystems.com/podd206.

På senare tid har flera webbläsare, bland annat Microsoft Edge och Apple Safari, fått inbyggt stöd för VPN-anslutningar. Microsoft och Apple vill låta användare som sitter på osäkra wifi-nätverk tunnla ut sin trafik över säkra, krypterade anslutningar. För att åstadkomma detta har Microsoft börjat rulla ut Edge-funktionen som de kallar ?Säkert nätverk?. Den ger privatanvändare som loggar in med ett kostnadsfritt Microsoft-konto 5 GB månatligt VPN-trafik. Apple kallar sin motsvarighet ?Privat reläservice? och ger prenumeranter på Icloud+ obegränsat med data.

Gemensamt för de nämnda tjänsterna är att de saknar stöd för att välja vilket land som trafiken ska tunnlas ut genom. Denna begränsande egenskap delar tjänsterna med Googles VPN-tjänst, vilken Google paketerar som en del av betaltjänsten Google One. Skillnaden mellan Googles VPN-tjänst och de två andra är att Googles tjänst åtminstone tunnlar trafiken från alla appar som körs på datorn eller mobilen. Microsofts och Apples tjänster enbart tunnlar trafiken från tillverkarnas respektive webbläsare.

I veckans avsnitt av Bli säker-podden pratar Nikka och Peter om nämnda VPN-tjänster och hur de står sig mot de mer traditionella alternativen såsom Mullvad VPN och Proton VPN. Podduon tittar också in under huven på Microsofts VPN-tjänst där de hittar underleverantörens kostnadsfria VPN-tjänst. Den verkar rent av vara bättre än Microsofts ompaketering.

Se fullständiga shownotes på https://go.nikkasystems.com/podd205.

Nuförtiden lanseras många tjänster enligt den så kallade Minimum Viable Product-principen. Tjänsterna släppts så tidigt som möjligt för att utvecklarna ska få möjlighet att bygga klart tjänsterna baserat på användarnas feedback. Fördelen med lanseringsprincipen är att utvecklarna blir medvetna om var de ska lägga fokus. Nackdelen med lanseringsprincipen är att produkterna är långt ifrån konkurrenskraftiga vid lansering.

I veckans avsnitt av Bli säker-podden pratar Peter och Nikka om just denna typ av tjänster. Bakgrunden är Protons lansering av lösenordshanteraren Proton Pass, en lösenordshanterare som Proton själva hävdar att är bättre än väletablerade Bitwarden (trots att tjänsten i själva verket bara är en Minimum Viable Product).

Se fullständiga shownotes på https://go.nikkasystems.com/podd204.

ChatGPT och liknande generativa text-AI-verktyg har börjat underlätta våra jobb. Aftonbladet och Expressen drar nytta av ChatGPT för att skapa kortfattade summeringar av långa artiklar. Nyhetsappen Readwise har en inbyggd ?spökläsare? som automatiskt sammanfattar artiklarna som användarna sparar. Detta är exempel på situationer då ChatGPT både briljerar och kan användas riskfritt. Så är dock inte alltid fallet.

Flera av de amerikanska storbankerna har förbjudit sina medarbetare att använda generativa text-AI-verktyg. Koreanska Samsung har gjort samma sak efter att medarbetare har råkat läcka företagshemligheter i konversationer med ChatGPT. Problemet är att generativa text-AI-verktyg inte fungerar som vilka andra molntjänster som helst. Informationen som användarna förser verktygen med kan användas för att träna modellerna, vilket riskerar leda till att personuppgifter och företagshemligheter läcker. Värst av allt är att datan som den artificiella intelligensen har ?lärt sig? kan vara svår eller rent av omöjligt att radera eller korrigera.

I veckans somriga avsnitt av Bli säker-podden pratar Peter och Nikka om riskerna med generativa text-AI-verktyg. Nikka berättar också om de glädjande AI-nyheterna som Nextcloud presenterade förra veckan. Nextcloud har nämligen en lösning på problematiken.

Se fullständiga shownotes på https://go.nikkasystems.com/podd203.

Webbläsaren Brave har på senare år seglat upp som en favorit­webbläsare bland säkerhets- och integritets­värnande användare. Brave-utvecklarna har baserat sin webbläsare på den branschledande Chromium-grunden och ersatt de Google-specifika anpassningarna med sina egna motsvarigheter. Brave-webbläsaren innehåller dessutom en mycket kompetent innehålls­blockerare som motverkar spårning och laddning av integritets­kränkande annonser.

I Bli säker-podden har vi vid flera tillfällen pratat om smarta funktioner i Brave-webbläsaren. Trots detta har Brave aldrig fått vår rekommendation. Bakgrunden ligger i Brave-organisationens kontroversiella historik. I veckans avsnitt av Bli säker-podden förklarar vi varför historiken gör Brave svår att rekommendera, trots att Brave kan vara världens bästa webbläsare.

Se fullständiga shownotes på https://go.nikkasystems.com/podd202.

I måndags började Apples årliga utvecklarkonferens WWDC. I vanlig ordning presenterade Apple flera säkerhets- och integritetsförbättringar för IOS och Mac OS. Dessa förbättringar hamnade lite i skymundan av att Apple samtidigt avslöjade sin senaste storsatsning ?Apple Vision Pro? och deras intåg i VR-glasögonsvärlden.

I veckans avsnitt av Bli säker-podden går Nikka och Peter igenom höjdpunkterna från konferensen ? både när det gäller Apples väletablerade operativsystem och Apples helt nya Vision OS.

Se fullständiga shownotes på https://go.nikkasystems.com/podd201.

Det kan vara svårt att hitta rätt i djungeln bland appar i Google Play. Bra och pålitliga appar brukar kännetecknas av stora installationsbaser och många goda omdömen. Detta har även världens angripare börjat ta i beaktning. De senaste veckorna har vi fått flera exempel på hur uthålliga angripare har delat upp sina attacker i flera steg. Först laddade angriparna upp bra och användbara appar till Google Play. Dessa appar tillskansade sig stora användarskaror och bra betyg. Några månader senare släppte angriparna spionprogramspreparerade uppdateringar till dessa appar.

I veckans avsnitt av Bli säker-podden pratar Peter och Nikka om de senaste rapporterna kring skadliga Android-appar. Podduon tar också en tillbakablick på hur Google har förbättrat Android genom åren för att minska riskerna och begränsa skadorna som illasinnade Android-appar kan orsaka.

Se fullständiga shownotes på https://go.nikkasystems.com/podd200.

Apples Airtags och liknande Bluetooth-taggar har blivit populära för att hitta borttappade prylar. Sådana taggar har inga inbyggda GPS-mottagare eller mobilmodem för att rapportera sina positioner. Taggarna förlitar sig i stället på nätverket av världens Iphone-mobiler. När en tagg är inom Bluetooth-räckvidd för en Iphone rapporterar Iphonen taggens position. Detta gör tekniken i taggarna både strömsnål och kostnadseffektiv.

På årets upplaga av Googles utvecklarkonferens meddelade Google att de bygger ett motsvarande spårningsnätverk med hjälp av världens Android-mobiler. Tekniken rullar ut i sommar och kommer att stödjas av Bluetooth-taggar från flera tredjepartstillverkare.

Med två globala spårningsnätverk för Bluetooth-taggar och flera olika taggtillverkare ökar vikten av att tekniken inte missbrukas. Apple och Google har därför slagit sina kloka huvuden ihop och skrivit ett förslag till standard för hur taggar ska skydda mot ofrivillig spårning. I veckans avsnitt av Bli säker-podden diskuterar Peter och Nikka detta utkast, vilket inte är helt okontroversiellt.

Se fullständiga shownotes på https://go.nikkasystems.com/podd199.

Förra veckan gick Googles årliga utvecklarkonferens Google IO av stapeln. Precis som tidigare år passar vi på att summera vilka säkerhets- och integritetsförbättringar som Google presenterade.

I år är nyheterna bland annat tydligare behörighetsfrågor för geografisk plats, en ny version av surfskyddet Google Safe Browsing samt ett nytt krav på appar som publiceras i Google Play-appbutiken. Om en app i Google Play låter användarna skapa konton kommer appen också behöva låta användarna radera dessa konton.

Se fullständiga shownotes på https://go.nikkasystems.com/podd198.

I förra veckans avsnitt av Bli säker-podden pratade vi om incidenten hos Region Skåne där en forskare hade råkat tappa bort ett okrypterat USB-minne med personuppgifter. Av IMY:s rapport framgår det att Region Skåne uppmanade medarbetare att använda komprimeringsprogrammet 7-zip som en teknisk säkerhetsåtgärd. 7-zip kan nämligen inte bara komprimera filer utan även kryptera de hoppackade zip-arkiven.

7-zip är dock ingen optimal lösning för situationen. Det är opraktiskt för medarbetarna att behöva packa ihop och packa upp krypterade zip-arkiv för att komma åt sina filer. Därutöver öppnar sådant krångel för misstag, till exempel att någon medarbetare packar upp ett krypterat zip-arkiv till det okrypterade USB-minnet i stället för till sin dator. Lyckligtvis finns det lämpligare lösningar än 7-zip, och i veckans avsnitt berättar vi vilka dessa är.

Se fullständiga shownotes på https://go.nikkasystems.com/podd197.

USB-minnen är problematiska. De är små, de är lätta att tappa bort och de används oftast för tillfällig kopiering eller flytt av data. I organisationer där USB-minnen tillåts är det därför lätt hänt att känslig data flyttas runt på ett ostrukturerat vis. Om datan läggs på ett USB-minne som inte är krypterat förvärras situationen. Ifall någon tappar bort ett sådant USB-minne har den känsliga datan läckt.

Detta var exakt vad som hände Region Skåne. Där råkade en medarbetare lagra känsliga personuppgifter tillhörande nära 2000 personer på ett okrypterat USB-minne. Medarbetaren glömde USB-minnet i kläder som senare skickades till ett tvätteri. USB-minnet återfanns aldrig.

I slutet av april utfärdade IMY en administrativ sanktionsavgift på 200 000 kronor mot Region Skåne med anledning av personuppgiftsincidenten. I veckans avsnitt av Bli säker-podden reflekterar vi över incidenten och vilka lärdomar som organisationer bör dra av den.

Se fullständiga shownotes på https://go.nikkasystems.com/podd196.

DNS-systemet fungerar som internets telefonkatalog. Det är tack vare DNS som vi slipper komma ihåg krångliga IP-adresser till servrarna som vi vill besöka. Vi behöver bara komma ihåg lättihågkomliga domännamn (till exempel nikkasystems.com), så översätter vår valda eller tilldelade DNS-server domännamnen till de rätta IP-adresserna (i det fallet 49.12.191.204).

Så kallade DNS-skydd kan, tack vare vårt beroende av DNS, förhindra att vi ansluter till skadliga webbplatser. Genom att filtrera bort domäner som är kända för att sprida exempelvis skadeprogram förhindrar DNS-servern att vi besöker dessa webbplatser. Om vi luras att klicka på en länk till en känd skadlig webbplats händer ingenting. Vår dator eller mobil får helt enkelt inte reda på vart den ska ansluta.

I veckans avsnitt av Bli säker-podden pratar vi om en förhållandevis ny aktör på DNS-skyddsmarknaden: NextDNS. NextDNS har skapat en tjänst som gör det möjligt för privatpersoner och småföretag att själva anpassa hur deras DNS-skydd ska fungera.

Se fullständiga shownotes på https://go.nikkasystems.com/podd195.