Grejerna är tillbaka! Vad kan jag säga? För några dagar sedan ringde polisen i Solna och förklarade att man hittat väskan med vår utrustning och jag åkte sedan över till stationen och hämtade väskan. Grejerna fanns kvar och allting fungerade, så detta är goda nyheter.

Siteflytt och kamp med CSP-headers

Jag ruttnade tillsist på Godaddy, där vi haft siten och flyttade det hela till en annan maskin i väntan på en bättre lösning. Men detta gjorde att jag faktiskt bestämde mig för att titta på säkerheten.

Upprinnelsen till detta är en kommentar på Linkedin, där en användare meddelade att vår sida fick dåligt betyg på test-tjänsten ipv6.cool. Denna tjänst sätter betyg enligt fyra kriterier och vi som inte ens hade DNSSec fick därför inga särskilt bra poäng.

DNSSec visade sig knepigt att fixa, då vår domänregistrator inte stödde det. Så jag flyttade domänen till en annan med fullt stöd. Sedan var jag tvungen att flytta domänen från DNS-servern som inte heller stödde DNSSec. När det var gjort, signerade jag zonen och lade upp DS-nyckeln i zonen hos registratorn.

HTTPS har vi ju haft länge, men nu har även det härdats. Jag lade till HSTS och bråkade med Qualys testrapporter tills vi nådde betyget A+.

Har ni gamla mögbrowsers eller tio år gamla mobiltelefoner, kommer inte sidan se så bra ut. Huvudsakligen för att den inte ens kommer gå att ladda. Men vad gör man inte för konsten?

Jag har ju pratat om DANE också och då går det ju bara inte för sig att inte stöda det! Så nu har jag lagt in TLSA-poster och fixat så att certifikaten uppdateras dynamiskt. Och sedan knäppte jag på OCSP-stapling som också hjälper till.

Till sist var det dags att kolla genom alla HTTP-headers som vi skickar tillbaka och detta visade sig var svårast. Testa, testa, testa och slita av sitt hår i förtvivlan när inget fungerar har varit mina senaste tre-fyra dagar.

CSP (Content Security Policies), som deklarerar för webbläsaren vad vår site förväntas göra och varifrån den hämtar data, tog längst tid att få ordning på. Jag har suttit och ändrat och skruvat på den i timmar, men nu är den fullt kompatibel och ser till att om någon skulle kunna få skadlig kod att laddas ner via till exempel en IFRAME som de lyckats få in på vår sida, kommer inte denna kod kunna hämtas.

Till sist satte jag mig och bankade mig igenom Googles performance rating som nu ger acceptabla poäng på sidans snabbhet. Att få de högsta poängen är svårt då WordPress i sig själv är trög som en rysk tank.

I stort är jobbet klart, men det finns massiva mängder saker att göra med våra andra webbsidor och så.

Nu är det dags för en kaffebreak och en lugn söndagseftermiddag… Nästa vecka kommer vi tillbaka. Då blir det vårt försenade loggningsavsnitt – del 2 som dånar ut i den icke-existerande etern.

• 0 comments

Skrivet i vanlig oordning av Erik Zalitis

Jag hade en galen idé, varför inte spela in avsnitt två i vår serie om loggning utomhus? Så jag packade ner en del av poddgrejerna i min väska och satte dem på pakethållaren. Dock spände jag i all hast inte fast dem ordentligt, så väskan ramlade av. Även om jag upptäckte felet snabbt, var någon annan snabbare att roffa åt sig grejerna. Så där rök utrustning för 10 000 kronor.

Jag har grejer kvar för att spela in poddar, men just då kändes det inte särskilt lockande, så nu är det tyst i vår eter fram till augusti, då allting vaknar upp igen.

Det är dock redan nu dags att prata om hur hösten kommer att bli på IT-säkerhetspodden. Visserligen en tidig plan som kan komma att ändras, men ändå…

Kommande avsnitt…

När vi återkommer blir det för att avsluta vår serie om loggar och loggning. Denna kör jag själv och vi får se om de andra två avsnitten kommer att göras som webinars. Inget löfte, men ljud blir det garanterat.

Därefter har jag och Mattias händerna fulla med att testa en känd leverantörs bärbara PC med ett inbyggt skydd som ska göra dem extremt säkra. Det kommer vi bli två om! Ingen pardon utlovas, men likväl ett ärligt test som kommer avslöja om det bär eller brister.

Sen blir det en långkörare. Vårt första avsnitt på en timme kommer att vara en diskussion mellan mig och Fredrik Eriksson på Förvarshögskolan där vi börjar med kalla kriget och landar i nutiden där underrättelserna flödar på Internet och mannen i trenchcoat har blivit digital och gett upp kikaren för att istället ladda ner ditt data som du lägger upp publikt och köra det genom maskininlärningssystem.

Vi har även två avsnitt som är redo att rulla ut så snart vi är tillbaka. Det ena är en humoristisk syn på de få gånger Hollywood verkligen förstått hur hackare fungerar och i det andra går vi på djupet med hur Twitters VD skrev nazistiska budskap i sitt Twitter-flöde.

Ljudteknikerns guide…

Ok, sorry, men jag bara måste. Det blir ju självklart förbättringar i ljudet i och med förlusten av vår utrustning leder till att ny är på väg. Det svider i plånboken, men det kommer inte göra ont i era hörlurar.

Neuman TLM 103 är en mycket välljudande mikrofon som enligt utsago kan jämföras med deras legendariska U87 som kanske kan tros vara en ubåt, men i själva verket är ljudets Rolls-Royce. (Jag kommer aldrig få slut på metaforer) Riktigt så bra är kanske inte 103an, men bra nära säger förståsigpåarna, och de borde ju veta och ljudproven på YouTube lovar fantastiska resultat. Mina öron håller med.

Sen har jag köpt in ljudskärmar som kommer göra att akustiken blir bättre, vilket är ett stor kamp för oss som inte har en egen studio.

Till sist byts vår hederliga och nu stulna Zoom H6 ut mot deras nya Zoom F6. Förutom fler mikrofoningångar har den ett poddläge som stänger av mickar som för närvarande inte pratas i. Detta måste jag nu göra manuellt, så funkar detta, halveras mitt redigeringsarbete.

Sen spelar den in i 32-bitars läge, vilket snillrikt nyttjas för att ge ett antal extra dB av ”head room”. Effekten blir att överstyrning blir mycket mindre sannolikt. Detta gör att jag slipper fokusera på att hålla efter ljudnivåerna på petimeternivå.

Så det är ju bara lovande just nu. Dessutom labbar vi med att ta fram metoder för videoinspelning, vilket gör att det kan bli mer sådana avsnitt, även om vi till syvendes och sist är en äkta podd.

Är framtiden ljus, ja, men solglasen är fortfarande frivilligt.

• 0 comments

Vårt första avsnitt av IT-säkerhetspodden lades upp utan för mycket fanfar söndagen den 25 november 2018. Det är nu drygt ett år sedan i dessa dagar.

Själva idén till podden verkar ha olika förklaringar beroende på när du frågar oss. Exakt vad som ledde fram till att vi kom på detta är jag inte helt klar på. Men jag hade gjort ett videoklipp där jag förklarade hur man metodiskt felsöker som jag mest minns för mitt stolpiga talande efter manus och min oförmåga att uttala ”Google Chrome” korrekt. Denna gav både mig och Mattias lite blodad tand, eftersom det var han som hade föreslagit att jag skulle spela in inslaget som började som en föredragning av mig inför mina kollegor. Sen hade en annan kollega på vårt gemensamma jobb tidigare drivit en podd. Så det låg liksom i luften på något sätt.

En kväll satt vi på en restaurang och bestämde oss för att hålla en podd live. Den spelades inte in, men vi låtsades att det var på riktigt. Vårt första avsnitt är baserat på vad vi pratade om den kvällen och handlar om virus. Jag börjar med att skämta om att jag hoppas vi plockas upp för sändning, precis som pilotavsnitt av TV-serier används för att övertyga TV-nätverken att köpa en säsong av serien.

Så var vi alltså igång och vi pratade om filterbubblor, DMARC, Zero trust network. Mattias tyckte att vi borde gör intervjuer, vilket vi rätt snabbt insåg var en bra grej. Det både drog nya lyssnare och dessutom fick vi möjligheten att låta andra berätta spännande historier. Intervjuerna, visade det sig snart, blev populära och vi fortsatte.

Det var ganska klart rätt snabbt att vi inte kände att vi var tvungna att hålla oss strikt till ett område och med avsnittet om prepping gick vi till och med utanför vad som traditionellt menas med IT-säkerhet.

Mattias och jag har några gånger stått på scen och pratat om olika ämnen inom IT-säkerheten, vilket gått bra och dragit publik.

Under hösten tyckte vi att vi skulle slå ett slag för historieberättandet och började därför att försöka väva in intressanta berättelser i avsnitten.

Vi har hunnit med att starta ett mycket lyckat samarbete med SIG Security, göra totalt runt 60 avsnitt under denna tid.

• 0 comments