Bli säker-podden

Apples Airtags och liknande Bluetooth-taggar har blivit populära för att hitta borttappade prylar. Sådana taggar har inga inbyggda GPS-mottagare eller mobilmodem för att rapportera sina positioner. Taggarna förlitar sig i stället på nätverket av världens Iphone-mobiler. När en tagg är inom Bluetooth-räckvidd för en Iphone rapporterar Iphonen taggens position. Detta gör tekniken i taggarna både strömsnål och kostnadseffektiv.

På årets upplaga av Googles utvecklarkonferens meddelade Google att de bygger ett motsvarande spårningsnätverk med hjälp av världens Android-mobiler. Tekniken rullar ut i sommar och kommer att stödjas av Bluetooth-taggar från flera tredjepartstillverkare.

Med två globala spårningsnätverk för Bluetooth-taggar och flera olika taggtillverkare ökar vikten av att tekniken inte missbrukas. Apple och Google har därför slagit sina kloka huvuden ihop och skrivit ett förslag till standard för hur taggar ska skydda mot ofrivillig spårning. I veckans avsnitt av Bli säker-podden diskuterar Peter och Nikka detta utkast, vilket inte är helt okontroversiellt.

Se fullständiga shownotes på https://go.nikkasystems.com/podd199.

Förra veckan gick Googles årliga utvecklarkonferens Google IO av stapeln. Precis som tidigare år passar vi på att summera vilka säkerhets- och integritetsförbättringar som Google presenterade.

I år är nyheterna bland annat tydligare behörighetsfrågor för geografisk plats, en ny version av surfskyddet Google Safe Browsing samt ett nytt krav på appar som publiceras i Google Play-appbutiken. Om en app i Google Play låter användarna skapa konton kommer appen också behöva låta användarna radera dessa konton.

Se fullständiga shownotes på https://go.nikkasystems.com/podd198.

I förra veckans avsnitt av Bli säker-podden pratade vi om incidenten hos Region Skåne där en forskare hade råkat tappa bort ett okrypterat USB-minne med personuppgifter. Av IMY:s rapport framgår det att Region Skåne uppmanade medarbetare att använda komprimeringsprogrammet 7-zip som en teknisk säkerhetsåtgärd. 7-zip kan nämligen inte bara komprimera filer utan även kryptera de hoppackade zip-arkiven.

7-zip är dock ingen optimal lösning för situationen. Det är opraktiskt för medarbetarna att behöva packa ihop och packa upp krypterade zip-arkiv för att komma åt sina filer. Därutöver öppnar sådant krångel för misstag, till exempel att någon medarbetare packar upp ett krypterat zip-arkiv till det okrypterade USB-minnet i stället för till sin dator. Lyckligtvis finns det lämpligare lösningar än 7-zip, och i veckans avsnitt berättar vi vilka dessa är.

Se fullständiga shownotes på https://go.nikkasystems.com/podd197.

USB-minnen är problematiska. De är små, de är lätta att tappa bort och de används oftast för tillfällig kopiering eller flytt av data. I organisationer där USB-minnen tillåts är det därför lätt hänt att känslig data flyttas runt på ett ostrukturerat vis. Om datan läggs på ett USB-minne som inte är krypterat förvärras situationen. Ifall någon tappar bort ett sådant USB-minne har den känsliga datan läckt.

Detta var exakt vad som hände Region Skåne. Där råkade en medarbetare lagra känsliga personuppgifter tillhörande nära 2000 personer på ett okrypterat USB-minne. Medarbetaren glömde USB-minnet i kläder som senare skickades till ett tvätteri. USB-minnet återfanns aldrig.

I slutet av april utfärdade IMY en administrativ sanktionsavgift på 200 000 kronor mot Region Skåne med anledning av personuppgiftsincidenten. I veckans avsnitt av Bli säker-podden reflekterar vi över incidenten och vilka lärdomar som organisationer bör dra av den.

Se fullständiga shownotes på https://go.nikkasystems.com/podd196.

DNS-systemet fungerar som internets telefonkatalog. Det är tack vare DNS som vi slipper komma ihåg krångliga IP-adresser till servrarna som vi vill besöka. Vi behöver bara komma ihåg lättihågkomliga domännamn (till exempel nikkasystems.com), så översätter vår valda eller tilldelade DNS-server domännamnen till de rätta IP-adresserna (i det fallet 49.12.191.204).

Så kallade DNS-skydd kan, tack vare vårt beroende av DNS, förhindra att vi ansluter till skadliga webbplatser. Genom att filtrera bort domäner som är kända för att sprida exempelvis skadeprogram förhindrar DNS-servern att vi besöker dessa webbplatser. Om vi luras att klicka på en länk till en känd skadlig webbplats händer ingenting. Vår dator eller mobil får helt enkelt inte reda på vart den ska ansluta.

I veckans avsnitt av Bli säker-podden pratar vi om en förhållandevis ny aktör på DNS-skyddsmarknaden: NextDNS. NextDNS har skapat en tjänst som gör det möjligt för privatpersoner och småföretag att själva anpassa hur deras DNS-skydd ska fungera.

Se fullständiga shownotes på https://go.nikkasystems.com/podd195.

Problematiken med stater som utnyttjar kommersiella spionprogram för att spionera på folket har gjort sig påmind igen. Citizen Lab vid University of Toronto har upptäckt hur den ökända Pegasus-trojanen, återigen, har missbrukats för att spionera på människorättskämpar. Tillsammans med Microsoft har Citizen Lab också kunnat avslöja hur Kingspawn-trojanen har infekterat bland annat journalisters och politiska meningsmotståndares mobiler. Allt detta har gjorts via sårbarheter i mobilernas operativsystem som har gjort det möjligt att infektera mobilerna utan att användarna har behövt göra någonting alls.

I veckans poddavsnitt återvänder Peter och Nikka till diskussionen om kommersiella spionprogram och hemlig dataavläsning. Frågan har aktualiserats med anledning av nya förbud från Biden-administrationen och nya lagförslagsändringar från svenska regeringen. Citizen Labs rapport visar också att Apples nya funktion ?låst läge? faktiskt fungerar och har förhindrat verkliga infektionsförsök.

Se fullständiga shownotes på https://go.nikkasystems.com/podd194.

Googles sökmotor är det självklara valet för att söka på webben. Google är inte bara den förvalda sökmotorn i Googles egen webbläsare. Det är också den förvalda sökmotorn i konkurrerande webbläsare såsom Safari och Firefox. Faktumet att vi har vant oss vid att ?googla? understryker rollen som Googles sökmotor har fått i våra liv.

Efter att Google slog igenom har de andra sökmotorerna haft svårt att plocka nämnvärda marknadsandelar. Men Googles dominans betyder inte att det saknas gångbara alternativ. Det finns rent av sökmotorer som ger bokstavligen lika bra sökresultat. Startpage är ett sådant exempel. Startpage köper nämligen sina sökresultat av just Google.

I veckans poddavsnitt pratar Nikka och Peter om de integritetsvärnande Google-alternativen som finns i dagens sökmotorlandskap. Podduon jämför nämnda Startpage med bland annat Duck Duck Go och Brave Search. Nikka avslöjar också Mullvad Leta ? en integritetsvärnande sökmotor från företaget bakom Mullvad VPN.

Se fullständiga shownotes på https://go.nikkasystems.com/podd193.

Avsnitt 183 av Bli säker-podden fokuserade på säkerhetsproblematiken med EU-kommissionär Ylva Johanssons kontroversiella förslag ?Chat Control 2.0?. I det avsnittet konstaterade Peter och Nikka att förslaget både bygger på tekniska orimligheter och öppnar dörren för massövervakning som utsätter hela världen för nya faror.

Sedan dess har mycket hänt. I Svenska Dagbladets debatt mellan Johansson och Nikka tydliggjordes det att förslaget är skrivet på helt felaktiga tekniska antaganden, såsom att det skulle gå att ?sniffa? innehållet i totalsträckskrypterade konversationer. Svenska ledarredaktioner från hela den politiska höger/vänster-skalan har tagit avstånd från förslaget. Bland de svenska riksdagspartierna har Centerpartiet, Sverigedemokraterna och Vänsterpartiet tillkännagjort att de inte kan stötta ett förslag som Chat Control 2.0.

I veckans avsnitt av Bli säker-podden följer Nikka och Peter upp med svaret på den viktiga följdfrågan: vad kan göras i stället? I avsnittets huvudämne redogör Nikka för vad som går att göra rent tekniskt för att adressera problematiken utan att ta bort barnens Barnkonventionsstadgade rättigheter eller bryta mot Europakonventionen och FN:s deklaration om mänskliga rättigheter.

Se fullständiga shownotes på https://go.nikkasystems.com/podd192.

För två år sedan fick Peter Esse ett misstänkt mejl angående sin Youtube-kanal. Ett företag som påstod sig representera Epic Games ville betala en orimlig summa för att han skulle testa ett nytt spel. Peter insåg att något var suspekt och undersökte därför mejlets bilaga i en virtuell maskin. Bilagan var i själva verket inget sponsorkontrakt. Det var ett skadeprogram.

Sedan dess har Peter fortsatt att få liknande mejl på veckobasis, och han är inte ensam. Google har till och med gått ut med en varning om problemet. Bedragare lockar med stora sponsorsummor i hopp om att youtubers ska öppna de infekterade bilagorna.

Om de gör det kapas deras Youtube-kanaler som därefter missbrukas för att sprida investeringsbedrägerier. Förra veckan föll mediehuset Linus Media Group offer för att attacken. Deras tre Youtube-kanaler, inklusive flaggskeppet Linus Tech Tips, började live-strömma en intervju med Elon Musk och uppmanade tittarna att investera i ett bedrägeriprojekt.

I veckans podd pratar Peter och Nikka om hur angriparna lyckades få tillgång till Linus Media Groups Youtube-kanaler trots att Youtube-kontona skyddades med tvåfaktorsautentisering. Trogna Bli säker-poddenlyssnare som minns avsnitt 165 (Snatta kakor) vet redan svaret.

Se fullständiga shownotes på https://go.nikkasystems.com/podd191.

I avsnitt 187 av Bli säker-podden förklarade vi varför det är så lämpligt att använda Iphones biometriska upplåsningsfunktioner (Touch-ID och Face-ID). Vi meddelade också att den insamlade biometriska datan aldrig lämnar mobilen. En av våra lyssnare ställde nyfiket den relevanta följdfrågan om hur vi kunde veta att så är fallet. Iphones operativsystem har trots allt stängd källkod.

I veckans avsnitt dedikerar vi huvudämnet till att reflektera kring den utmärkta frågan. Svaret är att det helt enkelt handlar om var vi lägger vår ?tillitsribba?.

Se fullständiga shownotes på https://go.nikkasystems.com/podd190.

En av de stora utmaningarna med lösenordbaserad inloggning är behovet av att hemlighålla lösenorden. Det är framför allt en utmaning för alla webbplatser som du registrerar dig på. Webbplatserna måste spara dina lösenord utan att själva ha tillgång till dem.

Webbplatser som läcker sina lösenordsdatabaser är ett ständigt återkommande problem. Hur allvarliga dessa lösenordsläckor blir beror på hur väl webbplatserna skyddade sina användares lösenord. Det finns fortfarande webbplatser som sparar användarnas lösenord i klartext, så att angripare kan få lösenorden serverade på silverfat.

I veckans poddavsnitt pratar vi bland annat om den amerikanska vapenauktionssajten Gunauction. I slutet av förra året läckte Gunauction över en halv miljon användares lösenord i klartext. Incidenten är ett skolbokexempel på hur lösenord inte bör sparas. Vi pratar självfallet också om den rätta metoden för hur lösenord bör sparas. Då krävs det kryddor i form av salt och peppar.

Se fullständiga shownotes på https://go.nikkasystems.com/podd189.

Veckans poddavsnitt tar avstamp i frågan om hur tvåfaktorsautentisering med Authenticator-metoden fungerar. Peter och Nikka konstaterar att det enda som behövs är en slumpad tvåfaktorsautentiseringshemlighet och ett räkneverk. Räkneverket är i sin tur baserat på antalet sekunder som har gått sedan tidens begynnelse, det vill säga första januari 1970. Nikka varnar också för den stundande ?epokalypsen? och den riktiga millenniebuggen. Tiden tar slut den 19:e januari 2038!

Se fullständiga shownotes på https://go.nikkasystems.com/podd188.

De senaste månaderna har varningarna om Tiktok duggat tätt. Företag och myndigheter har förbjudit medarbetare att ha appen installerad på jobbmobilerna. I veckans podd pratar Peter och Nikka om bakgrunden till dessa förbud. Podduon analyserar också vilka de faktiska riskerna är, och Nikka försöker att ge ett nyanserat svar på frågan om huruvida Tiktok borde förbjudas. Svaret är inte lika svart eller vitt som det kan verka vid en första anblick.

Se fullständiga shownotes på https://go.nikkasystems.com/podd187.

Hur kommer det sig att bluffannonser för investeringsbedrägerier slinker igenom Facebooks granskningsprocess? Bedragarna använder så kallade cloaking-metoder för att dölja de faktiska budskapen. I veckans podd pratar Peter och Nikka om hur olika cloaking-metoder fungerar och hur cloaking-metoderna kan anpassa budskapet som visas utifrån besökaren. Om personen som klickar på annonsen är ett potentiellt offer visas investeringsbedrägeriet. Om personen som klickar på annonsen tillhör Facebooks granskningsteam visas i stället reklam för högkvalitativt parkettgolv.

Se fullständiga shownotes på https://go.nikkasystems.com/podd186.

Under den senaste veckan har svenska organisationer plågats av överbelastningsattacker. Webbplatser tillhörande allt från regioner och lärosäten till transportföretag och mediaföretag har gjorts oåtkomliga. Gruppen som ligger bakom attackerna kallar sig Anonymous Sudan, och i meddelanden på Telegram varnar gruppen för vad de tänker ställa till med i det svenska samhället. Frågan är bara hur allvarliga dessa attacker är?

I veckans podd hävdar Nikka och Peter att attackerna inte alls är så farliga som Anonymous Sudan vill ge sken av. Nikka ifrågasätter därtill ifall Anonymous Sudan överhuvudtaget har några kopplingar till Sudan.

Se fullständiga shownotes på https://go.nikkasystems.com/podd185.

Dagens webbläsare gör det enkelt att hålla en profil i synk mellan dator och mobil. Oavsett om du väljer Chrome, Safari, Edge eller Firefox ombesörjer din webbläsare att du alltid har med dig din webbläsarhistorik och dina bokmärken. Du kan till och med öppna en flik på mobilen och sömlöst flytta över den till datorn.

De flesta stora webbläsare låter dig dessutom synkronisera denna profildata totalsträckskrypterat. Det gör att ingen utomstående aktör, inte ens de som driver webbläsarens molntjänst, kan se din profildata. Efter att Apple introducerade funktionen Avancerat dataskydd är det faktiskt enbart Microsofts webbläsare Edge som saknar stödet. I veckans podd pratar Peter och Nikka om problemet med att Edge har halkat efter på denna punkt. De finner bristen förvånande med tanke på alla andra säkerhets- och integritetsförbättringar som Edge har begåvats med.

Se fullständiga shownotes på https://go.nikkasystems.com/podd184.

I syfte att stoppa spridning av barnporr presenterade Apple, sommaren 2021, en kontroversiell lösning. Apple ville skanna efter kända barnporrbilder på klientsidan innan bilderna laddades upp till molntjänsten Icloud. Planerna möttes av stor kritik från säkerhetsbranschen, och Apple skrotade lösningen när de insåg vilka negativa konsekvenser lösningen kunde få. I en kommentar till Wired sade Apple att ?barn kan skyddas utan att företag kammar igenom deras personliga data?.

Våren 2022 lade EU-kommissionär Ylva Johansson fram ett massövervakningsförslag som får riskerna med Apples skrotade lösning att blekna. Förslaget som kallas ?Chat Control 2.0? vill tvinga publika moln- och meddelandetjänster att skanna mejl, chattar, spelkonversationer och molnuppladdade filer efter material med sexuella övergrepp mot barn. Förslaget omfattar även totalsträckskrypterade tjänster, vilket omöjliggör säker kommunikation för alla EU-medborgare, inklusive journalister, politiker, sjukvårdspersonal och frihetskämpar.

Utöver riskerna kring dataläckage och spionage går förslaget stick i stäv med FN:s konvention om mänskliga rättigheter, Europakonventionen och Barnkonventionen. Men kanske värst av allt är kanske att förslaget inte ens tar itu med barnporrproblemet. I stället tar förslaget bort barnens rätt till integritet och skydd för personlig data. Unicef skriver att barnens [barnkonventionsskyddade] kommunikationsintegritet hotas när deras inlägg, chattar, meddelanden eller samtal avlyssnas av stater eller andra aktörer. Detta är precis vad Chat Control 2.0 vill tvinga världens IT-jättar att göra.

Se fullständiga shownotes på https://go.nikkasystems.com/podd183.

En av Bli säker-poddens återkommande rekommendationer är att vara restriktiv med vilka tillägg som installeras i webbläsaren. Dagens webbläsartillägg är extremt kraftfulla, men de har också lite för fria händer för att vara säkra. Det vill Google, Mozilla och Apple ändra på genom Manifest version 3.

Manifest version 3 låter inte webbläsartillägg ändra fritt i webbläsarkommunikationen. Webbläsartilläggen får i stället berätta för webbläsaren vad den ska göra med förfrågningarna, och sedan gör webbläsaren det åt webbläsartilläggen. Manifest version 3 förhindrar också att webbläsartilläggen hämtar kompletterande körbar kod från externa servrar. Det gör att webbläsartilläggen inte kan modifiera sig själva, så att de fungerar på ett sätt vid publicering i tilläggsbutikerna och ett annat sätt på användarnas datorer.

I veckans podd pratar Nikka och Peter om den nya tilläggstypen samt dess för- och nackdelar. Manifest version 3 är nämligen inte helt okontroversiellt.

Se fullständiga shownotes på https://go.nikkasystems.com/podd182.

I fjol råkade nyhetsbrevsjätten Mailchimp ut för en attack. Genom att lura Mailchimp-medarbetare att avslöja sina inloggningsuppgifter fick angripare tillgång till Mailchimps interna system. Nu i januari föll Mailchimp för samma attack, på samma sätt, en gång till.

I höstas undersökte Södertälje kommun hur många av deras medarbetare som lurades att läcka sina inloggningsuppgifter i en iscensatt nätfiskeattack. 70 medarbetare råkade läcka sina inloggningsuppgifter. Samma höst testade Malmö Universitet sina medarbetare. Hos dem var det 179 medarbetare som läckte sina lösenord.

I veckans podd pratar Peter och Nikka om det ständigt återkommande problemet med nätfiskeattacker. Nikka ger också tre handgripliga tips som alla organisationer bör implementera för att få bukt med problemet.

Se fullständiga shownotes på https://go.nikkasystems.com/podd181.

Ett nytt år är kommet. Det är i traditionsenlig ordning dags att titta in i spåkulan och spekulera kring vad året bringar på IT-säkerhets- och informationssäkerhetsfronten. Årets fem spaningar kretsar kring genomslaget för passkeys, revanschen för Firefox, ett helt nytt problem för Iphone samt tekniken som gör att ?Bing blir bra?.

Se fullständiga shownotes på https://go.nikkasystems.com/podd180.

I januaris första avsnitt av Bli säker-podden är det traditionsenligt dags att följa upp det gångna året. Inför 2022 presenterade Nikka och Tess fem framtidsspaningar. Podduon trodde bland annat att hästar skulle flyga igen, att Nextcloud skulle bli nästa moln och att ?ankan skulle kväva eldräven?. Tillsammans med Peter redogör Nikka i veckans avsnitt för vilka spaningar som slog in och vilka spaningar som var helt galna.

Se fullständiga shownotes på https://go.nikkasystems.com/podd179.

Två dagar före julafton tillkännagav företaget bakom lösenordshanteraren Lastpass att höstens intrång var allvarligare än de inledningsvis trott. Angriparna hade inte bara kommit över kunddata utan även användarnas krypterade lösenordsvalv.

Lyckligtvis är Lastpass och liknande lösenordshanterare konstruerade för att stå pall för sådana incidenter. För att kunna låsa upp de krypterade lösenordsvalven krävs de rätta huvudlösenorden. Så länge användarna har valt starka huvudlösenord är därmed ingen skada skedd. Det råder däremot en kraftigt förhöjd risk för nätfiskeattacker där angripare försöker lura användarna att avslöja sina lösenord.

Se fullständiga shownotes på https://go.nikkasystems.com/podd178.

I över 18 månader arbetade vi och Kalla fakta med att kartlägga handeln med personuppgifter som samlats in via bluffannonser på sociala medier. Granskningen mynnade ut i fem inslag som nu finns på TV4:s webbplats. I veckans poddavsnitt förklarar vi hur stora och etablerade bolag kunde få för sig att köpa personuppgifter från dessa misstänkta bedrägerier. Det korta svaret är ?många mellanhänder?.

Se fullständiga shownotes på https://go.nikkasystems.com/podd177.

Den artificiella intelligensen blir allt smartare. Genom åren har AI-utvecklingen passerat flera nämnvärda milstolpar. En sådan milstolpe var 1996 när schackdatorn Deep Blue vann över världsmästaren Garry Kasparov. En annan milstolpe passerades i slutet av november i år. Då lanserade Open AI en chattbot vid namn ChatGPT. Det är en chattbot som, till skillnad från chattbotarna som vi är vana att möta i webbutiker, ger häpnadsväckande bra svar. ChatGPT kan till och med skriva korrekt svenska.

ChatGPT får självfallet inte användas för kriminella ändamål. Vi kunde ändå inte låta bli att testa dess förmåga att skriva bra nätfiskemejl. Resultatet var slående. Nu finns därmed förutsättningarna som angripare behöver för att utföra attackerna som vi varnade för i avsnitt 78, sommaren 2020.

Se fullständiga shownotes på https://go.nikkasystems.com/podd176.

I veckan tillkännagav Apple fyra stora förbättringar som kommer att stärka IT-säkerheten och integriteten för världens Iphone- och Mac-användare. De tidigare planerna på lokal signaturskanning av användarnas Icloud-bilder stryks helt. Apple har ändrat sig på den punkten och säger nu att ?barn kan skyddas utan att företag kammar igenom personlig data? och att de vill ?värna om [ungdomars] rätt till integritet?.

Apple meddelade också att flera av Icloud-tjänsterna som tidigare saknade stöd för totalsträckskryptering (end-to-end kryptering) kommer att få det nästa år. Där ingår bland annat Icloud Drive och säkerhetskopior som laddas upp till Apples molnlagringstjänst. Nästa år kommer också Apple-ID-konton att kunna skyddas med hjälp av säkerhetsnycklar och Imessage kommer att begåvas med två Signal-inspirerade säkerhetsfunktioner. Detta och mer därtill avhandlar Peter och Nikka i veckans avsnitt av Bli säker-podden.

Se fullständiga shownotes på https://go.nikkasystems.com/podd175.

I en tid då vart och vartannat Youtube-klipp sponsras av en VPN-tjänst är det dags att ställa sig frågan: behövs ens VPN-tjänster längre? Förr i tiden var det exempelvis viktigt att använda en VPN-tjänst vid anslutning till publika wifi-nät. VPN-tunneln behövdes för att tunnla ut den okrypterade webbtrafiken från det publika wifi-nätet där innehållet annars kunde avlyssnas eller rent av modifieras.

I och med att nästintill all webbtrafik numera är krypterad, mycket tack vare Let?s encrypt-projektet, har säkerhetsriskerna vid användning av publika wifi-nät minskat. Därmed har också behovet av VPN-tjänster sjunkit, men utan en sådan ställs högre krav på användarens riskmedvetenhet och uppmärksamhet. I veckans podd förklarar Peter och Nikka vad det innebär. De förklarar också varför VPN-tjänster fortfarande behövs av integritetsskäl och för att kringgå geografiska begränsningar. Nikka avslöjar slutligen ifall VPN-jättarna NordVPN och Surfshark har slutat med sin vilseledande marknadsföring efter fjolårets avslöjande i Bli säker-podden.

Se fullständiga shownotes på https://go.nikkasystems.com/podd174.

I förra veckans podd pratade Nikka och Peter om hur fysiska säkerhetsnycklar gjorde inloggningsförfarandet immunt mot nätfiskeattacker. De konstaterade också att det fanns problem på användarvänlighetsfronten som gjorde att lösningen skulle få svårt att slå igenom bland privatpersoner. Lyckligtvis löser passkeys dessa problem.

Tess och Nikka diskuterade passkeys så tidigt som våren 2021 (avsnitt 125). Då var passkeys bara en lovande framtidslösning i utvecklingsstadiet. Nu är passkeys här, och är tillgängligt för allmänheten att dra nytta av.

Se fullständiga shownotes på https://go.nikkasystems.com/podd173.

Sommaren 2022 föll flera av världens storföretag i en flod av sofistikerade nätfiskeattacker. Inte ens tvåfaktorsautentisering skyddade alla medarbetare mot att falla offer. Genom en så kallad utmattningsattack lyckades angripare ta sig in hos Uber när en av Ubers externa medarbetare råkade godkänna angriparnas inloggningsförsök.

Bland alla utsatta företag fanns ett lysande undantag: nätjätten Cloudflare. I ett officiellt blogginlägg tillkännagav Cloudflare att tre av deras medarbetare visserligen hade råkat läcka sina användarnamn och lösenord på nätfiskarnas falska inloggningssidor. Men trots det var ingen skada skedd. Cloudflares medarbetare skyddade sina konton med säkerhetsnycklar, det vill säga en nätfiskeresistent metod för tvåfaktorsautentisering.

I veckans podd pratar Nikka och Peter om varför säkerhetsnycklar är den gyllene lösningen för autentisering. Nästa vecka följer de upp med ett avsnitt om passkeys; lösningen som Tess och Nikka pratade om våren 2021 medan passkeys fortfarande var i sin linda. Då berättade Nikka hur passkeys i framtiden skulle dra nytta av tekniken som redan finns inbyggd i världens mobiler för att erbjuda säkerhetsnycklarnas inloggningssäkerhet till allmänheten. Nu är passkeys äntligen här!

Se fullständiga shownotes på https://go.nikkasystems.com/podd172.

Webben har blivit nedlusad med irriterade cookie-banners. Det går knappt att besöka nya webbplatser utan att få stora och innehållsblockerande rutor uppslängda i ansiktet. I veckans podd liknar Nikka detta irritationsmoment med pop-up-problematiken som rådde på 90- och 00-talet.

Världen fick bukt med pop-up-problematiken när webbläsarna fick inbyggda blockeringslösningar som förhindrade att webbplatser kunde öppna nya fönster helt ohämmat. Nu har utvecklarna bakom den Chromium-baserade webbläsaren Brave bestämt sig för att låta cookie-banners gå pop-up-fönstrens öde tillmötes. I nya versionen av Brave kan användaren helt enkelt blockera cookie-banners.

Blockering av cookie-banners är i sig inget nytt. Blockeringen kan dock ske på olika sätt, och i veckans podd pratar Nikka och Peter om för- och nackdelarna med fyra vanliga metoder, inklusive Braves nya metod.

Se fullständiga shownotes på https://go.nikkasystems.com/podd171.

Bli säker-podden är äntligen tillbaka efter det förlängda sommaruppehållet. Konceptet är detsamma men rösterna är annorlunda. Under de kommande månaderna får Nikka nämligen sällskap av Youtubern Peter Esse som träder in i rollen som vikarierande programledare.

I veckans avsnitt pratar Peter och Nikka om rimligheten i uppmaningen ?think before you click?, vilket var parollen som årets cybersäkerhetsmånad gick under. Peter frågar sig hur mycket man egentligen ska behöva tänka innan man klickar, medan Nikka beklagar sig över att storföretagens domänslarv spelar nätfiskarna rakt i händerna. Den nya podduon diskuterar också Elon Musks vilja att sälja Twitter-verifieringar och faktumet att Apple har bekräftat sitt försämrade säkerhetsunderhåll av Mac OS.

Se fullständiga shownotes på https://go.nikkasystems.com/podd170.

För två månader sedan gav vi en introduktion till Nextcloud-projektet. Nextcloud gör att allt från enskilda privatpersoner till stora organisationer kan drifta sina egna molntjänster. Med Nextcloud går det exempelvis att synka filer, skapa bildbibliotek och chatta med kollegor. Vilka funktioner som erbjuds beror på vad administratören väljer att aktivera. I veckans poddavsnitt fortsätter vi, som utlovat, med vår Nextcloud-genomgång.

Den här veckan gästas vi därför av Johan Bernhardsson som är en av Sveriges absolut främsta Nextcloud-experter. Han lotsar oss igenom valen som Nextcloud-nyfikna organisationer står inför ur ett mer tekniskt perspektiv.

Se fullständiga shownotes på https://go.nikkasystems.com/podd169.

Den här veckan gick Googles årliga utvecklarkonferens Google IO av stapeln. Under den presenterades i vanlig ordning flera säkerhets- och integritetsförbättringar som kommer i höstens Android-version ? Android 13 (?Tiramisu?). Traditionsenligt dedikerar vi därför veckans podd till Googles nyheter; den här gången med Peter Esse från Teknikveckan.se som gäst i studion.

Se fullständiga shownotes på https://go.nikkasystems.com/podd168.

Den svenska betaljätten Klarna har gjort sig känd för att förenkla betalningar på nätet. Beroende på situation kan kunder till och med handla mot faktura utan att ens legitimera sig. Detta är tyvärr något som också kan missbrukas av bedragare som vill handla på nätet i någon annans namn.

I veckans podd gästas vi av Richard Skoog, chef för bedrägeriprevention hos Klarna. Han berättar att Klarna har hundra personer som arbetar med att på olika vis stoppa bedrägeriförsök. Han förklarar också hur Klarna analyserar alla köp för att detektera bedrägliga transaktioner och förhindra att sådana sker.

Se fullständiga shownotes på https://go.nikkasystems.com/podd167.

Efter över tre år och närmare bestämt 166 avsnitt är det dags för en större förändring i Bli säker-podden. Tess Hamark lämnar både podden och branschen för att i stället ge sig i kast med hållbarhetsfrågor. I veckans avsnitt knyter Tess ihop säcken genom att lista de fem viktigaste lärdomarna som hon tar med sig från de gångna åren.

Se fullständiga shownotes på https://go.nikkasystems.com/podd166.

Det talas ofta om kakor (cookies) i negativ bemärkelse, exempelvis när det gäller integritetskränkande spårning på nätet. Kakor fyller dock även en fundamental roll på webben. Det är tack vare kakor som webbutiker kommer ihåg vad vi har lagt i våra varukorgar. Det är också kakor som gör att vi kan hålla oss inloggade på sociala medier och andra webbplatser som kräver inloggning.

Kakorna som vi använder för att hålla oss inloggade får inte under några som helst omständigheter hamna i orätta händer. Om en angripare lyckas stjäla vår webbläsares kakor kan angriparen komma in på alla webbplatser där vi är inloggade. Då skyddar inte ens tvåfaktorsautentisering.

I onsdags publicerade DN:s stjärnjournalister Linus Larsson och Kristoffer Örstadius ett reportage vid namn ?Genesis ? Såld identitet?. Linus och Kristoffer hade blivit inbjudna till den kriminella marknadsplatsen Genesis Market där åtkomsten till nästan 6000 svenska datorers konton låg ute till försäljning. I veckans avsnitt av Bli säker-podden ger vi bakgrundsförklaringen till varför detta är mycket allvarligare än 6000 vanliga lösenordsläckor.

Se fullständiga shownotes på https://go.nikkasystems.com/podd165.

E-postalias är praktiska av flera skäl. Med en aliastjänst kan du skapa unika e-postadresser för varje webbplats som du registrerar dig på. Aliastjänsten tar alla mejl som anländer till dina aliasadresser och vidarebefordrar dem till din riktiga e-postadress. På så sätt behöver du aldrig lämna ut din faktiska e-postadress, vilket har två stora fördelar. För det första minskar risken för spam. Ifall du plötsligt får skräppost till en av dina aliasadresser kan du helt enkelt inaktivera den. För det andra ökar integriteten på nätet. När du registrerar dig med webbplatsunika aliasadresser kan inte din riktiga e-postadress användas för att spåra dig mellan webbplatser.

I ett av höstavsnitten av Bli säker-podden jämförde vi tre aliastjänster: Icloud Plus, Firefox Relay och Duck Duck Go. Alla dessa tjänster fungerade tillförlitligt, men de drogs också med flera nackdelar. I jämförelsen utelämnade mindre kända tjänster som Simplelogin och Anonaddy, i huvudsak på grund av att de inte hade några väletablerade organisationer bakom sig. Det blev det förändring på förra veckan. Då tillkännagav Protonmail att de både har förvärvat Simplelogin och granskat deras kod. I veckans poddavsnitt berättar vi varför det bidrar till att Simplelogin nu tar över platsen som vår rekommenderade aliastjänst.

Se fullständiga shownotes på https://go.nikkasystems.com/podd164.

Genom åren har vi rekommenderat många applikationer och tjänster. I veckans poddavsnitt förklarar vi resonemanget bakom dessa rekommendationer och vilka parametrar som är värda att väga in vid val av säkerhetskritiska appar och tjänster.

Se fullständiga shownotes på https://go.nikkasystems.com/podd163.

För att en webbläsare ska kunna lita på en webbplats äkthet behöver webbplatsen ha ett giltigt certifikat. Det certifikatet måste vara signerat i ett eller flera led med något av de så kallade rotcertifikaten som operativsystemet eller webbläsaren har förinstallerade. Nu vill EU uppfinna en ny typ av certifikat, så kallade Qwac-certifikat, som styrks av EU:s medlemsländer i stället för dagens betrodda certifikatutfärdare. Detta kan medföra stora risker. EFF och Mozilla har därför publicerat ett öppet brev, signerat av 38 cybersäkerhetsexperter, i hopp om att stoppa förslaget som hotar webbsäkerheten.

I veckans podd förklarar Tess och Nikka riskerna med Qwac-konceptet, vilket dessutom påminner om en lösning som redan har misslyckats en gång tidigare.

Se fullständiga shownotes på https://go.nikkasystems.com/podd162.

I veckans podd pratar Tess och Nikka om Nextcloud ? det kostnadsfria och öppna alternativet till Microsoft 365 och Google Workspace. Med Nextcloud kan privatpersoner med lätthet få en egen molntjänst för att hantera bilder och synkronisera filer. Organisationer kan sätta upp sina egna samarbetslösningar och drifta sina egna alternativ till Microsoft Teams eller Slack. På sikt kommer Nextcloud till och med att erbjuda end-to-end-krypterad synkronisering av organisationens filer, något varken Microsoft 365 eller Google Workspace erbjuder.

Nextcloud har dock vissa begränsningar. Nikka säger därför att namnet Nextcloud är synnerligen passande. I hans mening kan Nextcloud bli ?nästa moln för alla?, men det har en liten bit kvar innan det blir ?dagens moln för alla?.

Obs! I avsnittet säger Nikka felaktigt att det var Check Point som upptäckte botnätattackerna mot Asus-routrarna. Det är i själva verket Trend Micro som ska ha beröm för detta.

Se fullständiga shownotes på https://go.nikkasystems.com/podd161.

Det har gått över 20 år sedan Microsoft lanserade Windows XP. Under Windows XP-eran blev världen varse om riskerna som konstant bredbandsuppkoppling förde med sig. Det var på den här tiden som Microsoft började utrusta Windows med fler säkerhetsfunktioner och erbjuda fler säkerhetstillägg.

I veckans podd pratar Tess och Nikka om hur säkerheten i Windows har stärkts genom åren. De förklarar också skillnaderna mellan de tre Microsoft-produkterna som har burit namnet Defender.

Se fullständiga shownotes på https://go.nikkasystems.com/podd160.

Parallellt med kriget i Ukraina pågår ett informationskrig. Putinregimen vill att deras propaganda och uppdiktade beskrivning av världsläget ska stå oemotsagd bland ryska medborgare. De ryska internetoperatörerna blockerar inte längre bara webbplatser utan även möjligheten att använda Tor på vanligt vis. I Östeuropa sprids samtidigt rykten om att meddelandeappen Signal skulle vara hackad, i hopp om att få användarna att byta till mindre säkra alternativ.

Till Putinregimens förtret har de internet mot sig. Protonmail, Signal, Tor och Twitter jobbar för att sanningen ska nå fram och för att regimkritikerna ska kunna prata om den på ett säkert vis, utan att riskera sina liv.

Se fullständiga shownotes på https://go.nikkasystems.com/podd159.

För tre år sedan pratade vi i Bli säker-podden om problemet med dåligt underhåll av ?smarta hem-produkter?. Då rekommenderade vi bland annat att bygga smarta hem med Z-wave eller Zigbee runt en utbytbar controller (hubb). Nu har nätverksjätten D-link bestämt sig för att sälla sig till skaran av smarta hem-produkttillverkare som slutar underhålla sina produkter. Deras wifi-prylar i ?Mydlink Home-serien? blir rent av oanvändbara vid årsskiftet. Deras Z-wave-prylar kan däremot gå att rädda.

Se fullständiga shownotes på https://go.nikkasystems.com/podd158.

Med anledning av kriget i Ukraina utgår veckans ordinarie avsnitt av Bli säker-podden. Den här veckan diskuterar vi i stället vilka åtgärder som privatpersoner och organisationer bör vidta på grund av världsläget. Vi varnar också för att ?informationskriget? redan är igång.

Se fullständiga shownotes på https://go.nikkasystems.com/podd157.

För drygt tio år sedan lanserade Google operativsystemet Chrome OS. Det är en avskalad och nedlåst Linux-distribution vars syfte är att kunna köra en enda app, nämligen Google Chrome. Tack vare enkelheten har Chrome OS visat sig vara lätt att hålla säkert. Risken för skadeprogram är mycket låg eftersom ?apparna? som körs på Chrome OS bara är vanliga webbsidor.

Se fullständiga shownotes på https://go.nikkasystems.com/podd156.

På bara en vecka har tre vanliga säkerhetsproblem åtgärdats genom tre simpla åtgärder. I måndags meddelade Finansiell ID-teknik att Mobilt Bank-ID nu kan visa varningar för bedrägeriförsök. Samma dag meddelade Microsoft att de tar bort knappen för att aktivera makron i dokument och kalkylblad som har laddats ned från internet. Det minimerar risken för att någon råkar aktivera makron i skadeprogramspreparerade filer. Sist men inte minst lades det i onsdags fram ett förlag om skärpta ID-krav för att handla på nätet mot faktura. Klarna erbjuder redan sina kunder att aktivera krav på Bank-ID för att få handla, men samma funktion finns inte hos alla deras konkurrenter. Om förslaget går igenom blir det därför ett lagkrav från och med årsskiftet.

Se fullständiga shownotes på https://go.nikkasystems.com/podd155.

Under årens gång har vi gett många rekommendationer i Bli säker-podden. Vissa av rekommendationerna är viktigare än andra. I veckans avsnitt blickar vi därför tillbaka på några av alla dessa rekommendationer och försöker prioritera dem utifrån hur pass viktiga de är för en vanlig privatperson. Vi ger också konkreta tips på hur du som lyssnare kan höja din IT-säkerhet utan att det kostar skjortan.

Se fullständiga shownotes på https://go.nikkasystems.com/podd154.

Ett nytt förslag vid namn DNS4EU föreslår att EU ska driva en egen DNS-tjänst. DNS-tjänster fungerar som internets motsvarighet till telefonböcker och kontaktlistor. DNS-tjänster översätter mellan lättihågkomliga domännamn som vi skriver i webbläsaren och svårihågkomliga IP-adresser som våra webbläsare ansluter till. Tack vare DNS kan du skriva nikkasystems.com i webbläsarens adressfält i stället för ett krångligt nummer.

DNS4EU ska vara en integritetsvärnande DNS-tjänst som ligger i framkant när det gäller säkerhet. Den ska filtrera bort domäner som är kända för att sprida skadlig kod eller användas i nätfiskeattacker. Genom att göra sådan filtrering på DNS-nivå fungerar skyddet för samtliga internetanslutna produkter, oavsett vilket operativsystem som de kör. Men all filtrering innebär också risk för censur. Dessutom finns en tjänst vid namn Quad9: en europeisk DNS-tjänst som redan idag löser merparten av det som DNS4EU är tänkt att åstadkomma.

Se fullständiga shownotes på https://go.nikkasystems.com/podd153.

Spionprogrammet Pegasus har använts av stater runt hela jorden för att spionera på allt från regimkritiker till journalister och företagsledare. På grund av hemlighållna sårbarheter i IOS har Pegasus kunnat infektera mobiler utan att ägarna ens har märkt något. Spionerna har därefter haft nästintill full kontroll över de infekterade mobilerna, inklusive åtkomst till mobilernas meddelanden, mikrofoner och kameror.

I somras hamnade Pegasus i mediernas rampljus efter att Amnesty International hade kommit över en lista med 50 000 personer som utgjort potentiella Pegasus-måltavlor. I veckans podd pratar Tess och Nikka om Amnesty Internationals avslöjande. Nikka berättar också varför hans femte och sista 2022-spaning var tänkt att heta ?hästar flyger igen? ? en metafor för att fler Pegasus-offer skulle upptäckas. Så här tre veckor in på det nya året fick rubriken dock ändras. För hästarna har redan flugit igen.

Se fullständiga shownotes på https://go.nikkasystems.com/podd152.

Det är inte bara VPN-tjänster som kan användas för att öka sin integritet på nätet. Webbläsaren Tor (The Onion Router) är ännu effektivare på att stänga ute snokande ögon. Med Tor skickas all trafik via tre fristående noder, vilket gör att ingen part har koll på hela anslutningskedjan från webbläsare till webbserver. Tor används idag av allt från frihetskämpar till gravt kriminella. Det har fått statsunderstödda spioner att intressera sig för Tor-nätverket i förhoppning om att kunna avanonymisera trafiken, något som faktiskt är möjligt ifall ?för många lökar läggs i samma låda?.

Se fullständiga shownotes på https://go.nikkasystems.com/podd151.

För två år sedan spelade vi in ett poddavsnitt med Pontus Falk där vi förklarade hur krypterad e-post fungerar. Den här veckan återvänder Pontus till podden. Han och Nikka pratar först om varför krypterad e-post inte har slagit igenom ännu. Därefter förklarar de hur tekniken WKD (Web Key Directory) förenklar hanteringen för de enskilda användarna. Nikka berättar också varför han tror att WKD kan vara tekniken som behövs för att krypterad e-post slutligen ska slå igenom, framförallt för mejlande mellan organisationer.

Se fullständiga shownotes på https://go.nikkasystems.com/podd150.