I veckans avsnitt pratar vi att NIST förkastat sina gamla rekommendationer med komplicerade lösenord som som regelbundet behöver bytas till någonting helt annat.
Det är längden på lösenordet som är avgörandet och inte hur många gånger man byter a mot @.

Lösenord i all ära men är det inte lite omodernt att logga in överallt för lösenord kommer ju alltid kunna hackas.

Vad ska man ha istället då?

Vidare tar vi upp ersättare såsom biologiska inloggningar och multifaktorautentisering.

• 0 comments

Jag har märkt en intressant sak: många företag och organisationer blandar ihop säkerhetsskanningar med pentest. Ett pentest är när man på ett kontrollerat sätt försöker bryta sig in i ett system, medan en sårbarhetsskanning bara försöker hitta möjliga sårbarheter. Detta är mycket märkligt, men jag har sett det många gånger. Felet verkar även finnas bland de som jobbar inom området. För ett antal månader sedan hjälpte jag till att intervjua en arbetssökande till en tjänst som pentestare. Han berättade att han sökte tjänsten eftersom han var intresserad av säkerhet. Jag frågade vad han hade gjort för typer av säkerhetarbeten. Han sa att han kört programmet Nessus ett par gånger och lämnat över resultaten till någon annan att tolka. Nessus är ett program som hittar vanliga miskonfigurationer och säkerhetshål i tjänster. Ganska uppenbart kanske, men han fick inte jobbet.

Jag läste på ett forum för pentestare där en del personer beklagade av säkerhetsföretag säljer sårbarhetsskanningar som pentester. De betalar ett företag för att skanna av deras tjänster och komma med en automatgenererad rapport över ”allvarliga säkerhetshål”. Detta är knappt ett halvt pentest om ens det.

Betänk att pentest är en förkortning av penetrationstest, vilket innebär som ovan skrivet är att en inhyrd konsult eller flera försöker ta sig in i systemet. Lyckas de, lämnar de över en rapport som förklarar hur de tog sig in. Om ett försök att faktiskt hacka systemet inte görs, är det inte ett pentest. När jag gör pentester brukar jag faktiskt lämna in även hittade sårbarheter och miskonfigurationer, för att jag hittade dem på vägen när jag analyserade systemet för sårbarheter. Det tycker jag ingår i ett bra test även om det inte är huvudsyftet med det.

Så varför är inte en sårbarhetsskanning tillräcklig? Jo, för att den inte hittar problem med systemlogiken. Den kan se att en programvara har sårbarheter som potentiellt skulle kunna användas för att ta sig in. Men den kan inte hitta felaktigheter i hur t.ex. en webbapplikation hanterar inloggningen, som möjliggör att man tar över sessionen.

Sen är sårbarhetsskanningar dåliga på att hitta alla fel. Jag gjorde en gång ett pentest mot en webbapp och min programvara, Burp suite hittade ingenting. När jag klistrade in lite javaskriptkod direkt i ett inmatningsfält, hittade jag en möjlighet att köra javaskriptkod hos andra användare och läcka ut information den vägen. På så sätt kunde jag få ut data från andra användares ärenden (det var ett ärendehanteringssystem). Ett automatiserat program hade aldrig kunnat förstå vidden av problemet.

En annan attack jag gjorde mot en kund var att ladda upp ett dokument som i själva verket var ett litet program. Men detta kunde jag på under fem minuter ta över servern som körde webbapplikationen och även hela nätverket. Alla dessa attacker är värda oändligt mycket mer än att bara lämna in en rapport där det står att HTTP-protokollet stöder version 3.0 av SSL vilket inte är bra.

Om du anlitar någon att göra ett pentest på din miljö, se då till att du verkligen får vad du betalar för. Som jag skrev förut finns det många som säljer dåliga tjänster därute.

• 0 comments

Det är många olika ord i omlopp inom IT-säkerhetsområdet och därför tänkte jag beskriva några av dem:

– Vulnerability / Sårbarhet
En sårbarhet är ett fel i ett program som kan utnyttjas för att ta över programmet, hindra det från att fungera eller ändra i dessa funktion.

– Exploit / Som substantiv: kod som utnyttjar sårbarhet, som verb: att utnyttja en sårbarhet
Kod som utnyttjar en sårbarhet för att attackera ett program eller en maskin. Virus, masker och annan farlig kod använder exploits för att ta kontroll över system. Jag har inte hittat något riktigt bra Svenskt ord för exploit.

– Payload
Koden som ska köras på ett system som just tagits över. Automatiserade programvaror som MetaSploit framework består normalt av exploitkod för att ta sig in i systemet och en payload som utför önskade attacker. En vanlig payload är ett reverse-shell, som är en kommandoprompt med fulla rättigheter som upprättas mellan ditt system och det du just tagit över. Exploitkoden är som en missil med payloaden som sin stridsspets.

– Malware / Farliga program
Program som egentligen inte är virus, utan men har oönskad effekt. Malware kan ofta spela in tangentbordstryckningar(keyloggers), skicka iväg kontokortsuppgifter från din maskin eller visa oönskad reklam.

– Threat / hot
Ett hot är något som kan skada, skapa oönskade förändringar eller förstöra. Exempel på hot: inbrott, stulna datorer eller stöld av hemlig information.

– Threatagent / hotagent Någon som genomför ett hot. Om hotet är inbrott, är en inbrottstjuv en hotagent.

– Risk Ett vanligt sätt att se en risk är att se den som något som uppstår när sårbarhet och en hotagent existerar samtidigt. En dåligt låst dörr är en sårbarhet medan en inbrottstjuv är en hotagent. Tillsammans uppstår en risk!

– CIA-triaden
Confidentiality, Integrity, Availability. Detta är en enkel men effektiv metod för att analysera IT-säkerhetsrelaterade hot. Confidentiality (konfidentialitet) handlar om att hantera hot om informationsläckage. Det kan handla om allt från att hindra attackerarna från att läsa hemliga dokument till att undvika läckage av kontokortsuppgifter. Integrity (Integritet) handlar om hot mot informationens pålitlighet. Det handlar ofta om att skydda dokument eller information från obehörig förändring. Ett exempel finns i filmen Wargames där huvudpersonen attackerar sin skolas datorsystem för att ändra och förbättra sina betyg. Tillgänglighet (Availability) handlar om hot mot systemets nåbarhet. Om man tänker stänga ner databaser eller skicka miljontals anrop till ett system för att lasta ner det, faller attacken inom denna kategori.

Detta är inte en komplett lista på något sätt. Definitionerna kan säkert också debatteras, men denna lista är menad för att klargöra de olika begreppen som ofta används i t.ex. säkerhetsbulletiner. Området kan fördjupas nästan hur mycket som helst. Och ja, det blir lätt mycket svengelska, det erkänner jag.

• 0 comments