Här kommer en kortare länksammanfattning om det som vi twittrat om på sistone:

McAfee släpper topp 10 säkerhetstips för iPhone. Ladda hem PDF här.

Säkerhetsföretaget Immunity med före detta NSA-anställde Dave Aitel som grundare släpper ett verktyg som underlättar angrepp via WiFi med hjälp av WEP. Video hittar du här.

Tor berättar på sin blogg hur du kan använda Amazon EC2 för att köra din egen Tor-bridge i ”molnet”. Se även Tor Cloud sidan.

Google börjar att använda elliptiska kurvor för att skydda trafik via HTTPS. Mer specifikt så använder de ECDHE och RC4 vilket också möjliggör PFS eller (perfect) forward secrecy. Google har även bidragit till att OpenSSL-biblioteket stöder detta, se här.

Bruce Schneier som talade på konferensen Internetdagarna i veckan tipsar även om en gratis kryptokurs på Stanford.

Slashdot tipsar om att OpenPGP nu finns implementerat i JavaScript vilket gör det möjligt att köra i webbläsaren på godtycklig webbsida. Ett bra exempel är att använda tillsammans med webbmail såsom Google Mail. Implementationen går under namnet GPG4Browsers. Även så har SecWorks skrivit utförligare om detta.

Följ oss på Twitter: http://twitter.com/kryptera

Den populära mikroblogg-tjänsten Twitter börjar successivt med att slå på https för samtliga avändare. Vi rapporterade i Mars att Twitter slagit på https och valet att nu gå över helt till https beror troligtvis på attacker såsom Firesheep.

Källa:

Du kan även titta på supportsidan: support.twitter.com/articles/481955-how-to-enable-https

Följ oss på Twitter: http://twitter.com/kryptera

Webbläsarverktyget HTTPS Everywhere finns nu ute i version 1.0. HTTPS Everywhere är ett verktyg som gör att många av de vanligaste webbsajterna vi surfar till dagligen använder den krypterade versionen av webbsurf dvs https. I dagsläget så ligger runt 1000 sajter inlagda i verktyget att automatiskt gå över till https istället för http.

Tyvärr så fungerar HTTPS Everywhere enbart till Firefox i dagsläget. Begränsningar i API:t hos Safari och Chrome gör att det ej är möjligt att göra ett verktyg som HTTPS Everywhere. Vi hoppas så klart att både Apple och Google kommer att införa förändringar i dess webbläsare  som gör det möjligt att tvinga fram https.

HTTPS Everywhere kommer från frihetskämparorganisationen EFF som även står bakom verktyg såsom Tor.

Här kan du ladda hem verktyget: https://www.eff.org/https-everywhere

Följ oss på Twitter: http://twitter.com/kryptera

Vi kan nu erbjuda 200 kr rabatt vid beställning av SSL-certifikat från https.se. Https.se säljer Geotrust-certifikat och har svensk support. Använd följande rabattkod:

KRYPT9

Eller följande länk: http://https.se/coupon.php?kod=KRYPT9

Följ oss på Twitter: http://twitter.com/kryptera

Skatteverket har missat att kryptera all kommunikation mellan dess iPhone/Android-app och servrar vilket resulterat i att en man-in-the-middle (MITM) attack varit möjlig. Appen är nu uppdaterad och säkerhetsbuggen är åtgärdad.

Läs mer på Utvbloggen: utvbloggen.se/sakerhetsbrist-i-skatteverkets-appar

Följ oss på Twitter: http://twitter.com/kryptera

SSL-leverantören Comodos återfösäljare RA blev hackade och någon lyckades att utfärda giltiga SSL-certifikat för webbsidor såsom:

• mail.google.com (GMail)
• login.live.com (Hotmail etc)
• www.google.com
• login.yahoo.com (tre certifikat)
• login.skype.com
• addons.mozilla.org (Firefox extensions)
• ”Global Trustee”

Den som var först att uppmärksamma detta var Jacob Appelbaum som skrev om detta på Tor-bloggen. Sedan dess så har Comodo gått ut med ett uttalande och berättar att attacken bl.a. spårats till Iran.

Huruvida Svenska banker exempelvis kan motstå en attack där angriparen har möjlighet att skapa giltiga certifikat är något som vissa hanterar bra och andra troligtvis mindre bra.

Historien har fått namnet ”Comodogate”. Comodo lovar även att återkomma med mer tekniska detaljer på dess blogg.

Uppdatering: Observera att detta är giltiga SSL-certifikat som utfärdats av en angripare. Titeln på detta blogginlägg kan således vara missvisande.

Följ oss på Twitter: http://twitter.com/kryptera

Precis som Facebook så inför nu även den sociala tjänsten Twitter en inställning för att forcera https. Detta har enbart varit möjligt tidigare genom exempelvis webbläsarplugins som Use HTTPS (chrome) och HTTPS Everywhere (firefox).

Tyvärr så rapporterar Twitter att https-inställningen ej fungerar för den mobila versionen mobile.twitter.com. Dock är det möjligt att manuellt skriva in https://mobile.twitter.com

Skärmdump från inställning:

Uppdatering: Nu har även IDG skrivit om denna nyhet.

Följ oss på Twitter: http://twitter.com/kryptera

Facebook gör det nu möjligt att via inställningar välja att tvinga den krypterade versionen av http, dvs https. Än så länge verkar denna inställning enbart gälla amerikanska användare.

Att använda https på Facebook har tidigare varit möjligt om man manuellt skriver in https://facebook.com eller använder något plugin till sin webbläsare som tvingar https mot Facebook.

Denna åtgärd från Facebooks sida tros vara för att försvåra för så kallade Firesheep-attacker som vi skrivit om tidigare. Se även Facebooks blogg eller feber.se.

Följ oss på Twitter: http://twitter.com/kryptera

Organisationen EFF har nu uppdaterat det webbläsarplugin som de utvecklat till Firefox vid namn HTTPS-Everywhere. Vi har tidigare skrivit om detta plugin och det som är nytt nu är att fler sajter stöds i standardversionen. Man kan som tidigare lägga till egna sajter där https:// versionen alltid skall användas istället för den okrypterade http://-versionen.

Detta plugin skyddar mot exempelvis Firesheep-attacker där Cookies avlyssnas på trådlösa nätverk.

Följ oss på Twitter: http://twitter.com/kryptera

Ingen kan ju ha undgått de senaste attacker med hjälp av verktyget Firesheep som underlättar för den enskilde att utföra såkallade sessions-attacker för att kopiera den sessions-cookie som alla webbsajter använder sig av efter en inloggning.

Attacken kan med fördel utföras på ett trådlöst nätverk där Cookies går att ”sniffa upp” vilket är typiskt vid Internet-caféer eller konferenser, företagsnätverk. Även så måste sajten där Cookien sniffas upp ej använda https vilket är fallet för exempelvis Twitter, Facebook, LinkedIn och liknande som inte använder https som standard.

Bästa sättet att skydda sig är att använda en VPN-uppkoppling över trådlösa nätverk. Detta kan sättas upp med hjälp av en tjänst såsom Anonine eller IPRedator. Vi får även hoppas att allt fler går över till att enbart använda https, dock är detta inte  helt trivialt eftersom detta kräver mer datorresurser exempelvis. Ett annat tips är att använda något av de plugins till webbläsaren som tvingar fram https.

Firesheep är ett Firefox-plugin och hittas på adress codebutler.com/firesheep. Även så rekommenderas Anders Thoressons förslag att använda din hemmarouter som VPN.

Fler bloggare som skrivit om detta:

• TKJ
• Jardenberg

Följ oss på Twitter: http://twitter.com/kryptera

Organisationen EFF har utvecklat ett nytt Firefox-plugin som ser till att du besöker https-versionen av den webbsida du surfar till, om sådan finns. Exempelvis så går Facebook och PayPal att använda via https samt en hel del andra webbsajter. Att tvinga https framför http återfinns även i en ny förslagen standard vid namn Strict Transport Security (STS).

Testa pluginet här: https://www.eff.org/https-everywhere

Följ oss på Twitter: http://twitter.com/kryptera

Nu har Google slagit på SSL så det är möjligt att använda dess primära söktjänst över https. Adressen som gäller är följande:

https://www.google.com

Följ oss på Twitter: http://twitter.com/kryptera

En ny lag i den amerikanska delstaten Massachusetts tvingar alla som hanterar personinformation att kryptera denna. Om du misslyckas att använda HTTPS istället för HTTP eller lagrar information okrypterat i en SQL-databas så åker du på en bötessumma på $5000 per informationsmängd (person).

Källa: Slashdot

Följ oss på Twitter: http://twitter.com/kryptera

Om någon kan avlyssna din förbindelse och se hur stora paket som skickas samt om den som avlyssnar även kan besöka https-sidan så är det möjligt för den som avlyssnar att lista ut vilka sidor du besöker.

Abstract. With software-as-a-service becoming mainstream, more and more applications are delivered to the client through the Web. Unlike a desktop application, a web application is split into browser-side and server-side components. A subset of the application’s internal information flows are inevitably exposed on the network. We show that despite encryption, such a side-channel information leak is a realistic and serious threat to user privacy. Specifically, we found that surprisingly detailed sensitive information is being leaked out from a number of high-profile, top-of-the-line web applications in healthcare, taxation, investment and web search: an eavesdropper can infer the illnesses/medications/surgeries of the user, her family income and investment secrets, despite HTTPS protection; a stranger on the street can glean enterprise employees’ web search queries, despite WPA/WPA2 Wi-Fi encryption. More importantly, the root causes of the problem are some fundamental characteristics of web applications: stateful communication, low entropy input for better interaction, and significant traffic distinctions. As a result, the scope of the problem seems industry-wide. We further present a concrete analysis to demonstrate the challenges of mitigating such a threat, which points to the necessity of a disciplined engineering practice for side-channel mitigations in future web application developments.

Dokumentet hittas här: informatics.indiana.edu/xw7/WebAppSideChannel-final.pdf

Via Bruce Schnier.

Följ oss på Twitter: http://twitter.com/kryptera

En ny version av det populära krypteringsbiblioteket OpenSSL finns nu ute. Denna version åtgärdar ett säkerhetsproblem som identifierats:

”Record of death” vulnerability in OpenSSL 0.9.8f through 0.9.8m
================================================================

In TLS connections, certain incorrectly formatted records can cause an OpenSSL client or server to crash  due to a read attempt at NULL.

Affected versions depend on the C compiler used with OpenSSL:

- If ‘short’ is a 16-bit integer, this issue applies only to OpenSSL 0.9.8m.
- Otherwise, this issue applies to OpenSSL 0.9.8f through 0.9.8m.

Users of OpenSSL should update to the OpenSSL 0.9.8n release, which contains a patch to correct this issue. If upgrading is not immediately possible, the source code patch provided in this advisory should be  applied.

Bodo Moeller and Adam Langley (Google) have identified the vulnerability and prepared the fix.

OpenSSL finns som vanligt att ladda ner på openssl.org

Följ oss på Twitter: http://twitter.com/kryptera

En sårbarhet har identifierats i det förfarande som MD5 används tillsammans med signering av SSL certifikat. Genom att kombinera två äldre publika attacker:

• MD5 kollisioner
• X509 och MD5-kollisioner i dessa

Så har säkerhetsforskarna Alexander Sotirov, Jacob Appelbaum lyckats att skapa egna SSL-certifikat för godtycklig domän. De skulle exempelvis vara möjligt att skapa ett giltigt certifikat för swedbank.se med hjälp av denna attack. Dock så måste denna attack kombineras med någon annan attack mot exempelvis DNS.

We have identified a vulnerability in the Internet Public Key Infrastructure (PKI) used to issue digital certificates for secure websites. As a proof of concept we executed a practical attack scenario and successfully created a rogue Certification Authority (CA) certificate trusted by all common web browsers. This certificate allows us to impersonate any website on the Internet, including banking and e-commerce sites secured using the HTTPS protocol.

Our attack takes advantage of a weakness in the MD5 cryptographic hash function that allows the construction of different messages with the same MD5 hash. This is known as an MD5 ”collision”. Previous work on MD5 collisions between 2004 and 2007 showed that the use of this hash function in digital signatures can lead to theoretical attack scenarios. Our current work proves that at least one attack scenario can be exploited in practice, thus exposing the security infrastructure of the web to realistic threats.

HD Moore på BreakingPoint Labs har skrivit en lång och utförligt inlägg om detta: breakingpointsystems.com/community/blog/Attacking-Critical-Internet-Infrastructure.

Läs även:

MD5 considered harmful today

Creating a rogue CA certificate

Följ oss på Twitter: http://twitter.com/kryptera

En allvarlig brist har upptäckts i Debian och Debianbaserade distributioner som innebär att det är möjligt att förutspå vilka nycklar som genereras. Felet ligger i paketet OpenSSL och används exempelvis när nycklar skapas för SSH och SSL/HTTP.

Läs mer: http://wiki.debian.org/SSLkeys

Följ oss på Twitter: http://twitter.com/kryptera