Tänker jag när jag läser Computer Swedens sammanfattning av MSB:s rapport om datohaveriet på Tieto. Vilket massa strul två trasiga hårddiskar kan ställa till med.

Det här visar hur sårbara it-system är, och hur svårt det är att förutse effekterna av ett haveri. Det dyker upp problem lite här och var som svampar ur jorden efter disk-krachen och många tusentals blev drabbade på ett eller annat vis. Då kan man ju tänka sig effekterna av en brand eller liknande i en serverhall där servrarna står staplade på varandra, rack efter rack, kanske tusentals servrar.

Samtidigt noterar jag att många verkar ha hittat sätt att hantera situationen som uppkommit. Det verkar i många fall ha funnits manuella alternativ att ta till hands som en tillfällig lösning, även om problemet med manuella lösningar istället är att de har en tendens att stapla arbete på hög tills systemen fungerar igen. Jag kan tänka mig att skadorna av ett stort datorhaveri skulle bli framförallt ekonomiska, när det gäller samhällsviktiga funktioner brukar folk ha tänkt innan hur saker ska hanteras eller så kan man göra ett snabb-fix. Fast det är fortfarande väldigt svårt att förutsäga vart och hur det drabbar och vad följderna blir av det, så i osannolika fall kan det fortfarande vara fara för liv och hälsa.

En grupp av forskare från Schweiz och USA har konstaterat att många implementationer av SSL har dålig slumplatsgenerering. Schenier skriver om det på sin blogg, mer kan även läsas här.

Vad de har gjort är ovanligt och helt oväntat, de har jämfört 7,1 miljoner asymmetriska publika nycklar som de samlat från SSL-certifikat (X.509) och PGP-nycklar, samt sökt efter gemensamma faktorer i nycklarna. Rent statistiskt sett är chansen försvinnande liten att det ska finnas gemensamma faktorer eftersom talen är så stora, ändå har de hittat gemensamma faktorer i 27 000 av krypteringsnycklarna, totalt 0.38% av nycklarna. Merparten verkar ha varit 1024bit modulus, vilket gör att man får anta att det i första hand rör sig om SSL-nycklar snarere än PGP-nycklar. Hittar man en gemensamma faktor är krypteringen i de flesta fall helt forcerad. Oftast används two-prime modulus varpå det är enkelt att dividera fram den andra faktorn av modulsvärdet, när man väl har båda faktorerna kan sedan den privata nyckeln beräknas.

Orsaken till att de lyckas är att slumplatsgenereringen varit dålig. Slumplatsgenerering är svårt, och det finns väldigt få riktlinjer för hur det ska göras eller vilka algoritmer som ska användas. Det är lätt att implementera slumplatsgenereringen fel och det är svårt att upptäcka felen, oftast handlar det antagligen om att det saknas en förståelse för entropi bland de som utvecklat/implementerat krypteringen. Vilken/vilka implementation av SSL som genererar dåliga nycklar har de inte avslöjat ännu.

Computer Sweden skriver om de allvarliga problem som upptäckts med Google Wallet.

Själva tanken att använda mobiler för att betala med låter som en dålig ide ur säkerhetssynpunkt. Jag betalar hellre med något separat som varken sitter fast i telefonen, datorn eller något annat.

TechWorld har också en bra lista med 10-tips för säker hantering av e-post. Till skillnad mot avlyssning av mobiltelefoner är avlyssning av e-post eller kapade konton något som man som privatperson mycket väl kan drabbas av. Många personer har redan deras lösenord på drift utan att de vet om det.

När det gäller e-post och säkerhet är det nästan hopplöst. E-post kan ha skickats av vem som helst (oavsett vad det står) och informationen kan läsas på så många sätt och på så många olika ställen. Mitt tips är oundvikligen att inte skicka något som kan vara jobbigt om andra läser via e-post. I så fall bör man åtminstone vara medveten om att det kan läsas av andra om man blir drabbad.

Till skillnad från mobiltelefoner måste du själv se till att använda kryptering, kryptering är inte inbyggt i standarden.

Det bästa sättet att kryptera e-post är att använda PGP/GnuPG. Jag har hackat ned på PGP/GnuPG förut, men faktum är att det är långt bättre än ingen kryptering alls även om skyddet inte är helt vattentät. Det finns en bra guide på www.kryptera.org om hur man använder GnuPG som jag skrev tillsammans med piratpartiet för ett par år sedan. På sidan finns även fler bra guider, exempelvis hur du krypterar din dator med TrueCrypt.

Nu vet jag att kryptera e-post är lite komplicerat och kanske inget för alla användare, även om alla borde kryptera sina e-post. Min förhoppning är att folk ska sluta använda e-post och gå över till något som är bättre och säkrare (som ex The Secure Channel), speciellt när det gäller viktigare information. Det finns så mycket brister och problem med e-post som ligger djupt rotade i gamla protokoll och standarder. Det har gjort en del försök att skapa säkrare standarder men det har gång på gång misslyckats (det enda undantaget ser ut att bli DNSSEC).

TeckWorld har en intressant artikel som handlar om hur man avlyssnar mobiltelefoner. Det visar sig att det inte allt är en omöjlighet att avlyssna mobiltelefoner, även om det inte heller är väldigt enkelt. Det går att sätta upp en egen basstation för ett par tusenlappar och sedan lura telefonerna i närheten att ansluta till basstationen. Krypteringen kan sedan nedgraderas eller stängas av. Det anmärkningsvärda är att telefoner kan avlyssnas utan att de används när den ligger i fickan.

Enklast att avlyssna är förstås GSM medan 3G som är nyare är svårare att avlyssna. Men många telefoner använder både GSM och 3G och då kan en attack fortfarande använda GSM.

Privatpersoner behöver inte oroa sig för att få sin telefon avlyssnad av andra än möjligtvis svenska myndigheter, men som större företag som hanterar känslig eller värdefull information kan det vara värt att ta med detta i hotbilden. Det man kan göra är att använda krypterade mobiltelefoner från Sectra istället för vanliga GSM/3G telefoner. Svenska Sectra är väl etablerade på marknaden och försvaret har använt deras produkter under många år. Jag tror att det är bra produkter.

Dyster statistik över antalet it-relaterade brott. Antalet brott har fyrdubblats under de senaste sex åren, skriver Computer Sweden.

En telefonkonferens där FBI diskuterar Anonymous med andra länders poliser har avlyssnats av just Anonymous och lagts ut på internet, skriver DN och SvD. Samtidigt har ett e-post läckt ut som skickades inför konferensen.

Det här är allvarligt. Vi kan inte ha ett samhälle där de med rätt kunskap kan gå som rätt genom väggar och hämta ut till synes vilken information de vill. Var det verkligen bara den här informationen hackarna har kommit över som handlade om just precis Anonymous, eller har de tillgång till mer? Det är frågan jag ställer mig när jag läser det här.