Taggat med: facebook

Facebook nu på anonymitetsnätverket Tor

Facebook har nu satt upp en egen anslutning direkt till Tor via en såkallad gömd tjänst (hidden services) som gör att du som ansluter via Tor aldrig behöver gå ut via en extern anslutning (exitnod) vilket kan kompromettera din anslutning mot Facebook.

För Facebook var det inte helt trivialt att implementera detta eftersom tjänstens inbyggda säkerhetslösningar larmar om en användare ansluter från olika världsdelar inom kort intervall vilket kan indiktera ett bot-nät.

Tor återfinnes enligt nedan URL med ett giltigt SSL-Certifikat. Den trevliga .onion-adressen är troligtvis framtagen med ett beräkningsverktyg såsom Scallion eller liknande:

https://facebookcorewwwi.onion/

OBS, ovan länk fungerar enbart om du ansluter via Tor. Exempelvis via Tor Browser som vi rekommenderar.

För den som är intresserad kan vi rekommenderar följande läsning om hur Tor fungerar:

Krypterad E-post med STARTTLS ökar

Enligt färsk statistik från Google och Facebook visar på att STARTTLS blir mer och mer populärt. Statistiken från Google visar att 69% av alla utgående mail blir krypterade samt Facebook meddelar att 76% av alla utgående mail krypteras varav 58% av alla utgående notifieringar blir krypterade.

STARTTLS används för kryptering av E-post mellan servrar och finns definerat i rfc3207. Några av andra protokoll som stödjer STARTTLS är bl.a. POP3, IMAP och NNTP. Som det låter på namnet så är det alltså TLS som läggs ovanpå ett klartextprotokoll.

 

Google STARTTLS Statistik

Även så uppger Facebook följande:

Additionally, certificate validation passes for about half of the encrypted email, and the other half is opportunistically encrypted. 74% of hosts that support STARTTLS also provide Perfect Forward Secrecy

Samt att den vanligaste algoritmen som används är DHE-RSA-AES128-SHA och på andra plats kommer AES128-SHA.

Facebook STARTTLS

Källa: FB, Google

Apple börjar med tvåfaktorsautentisering

Sent som sider så börjar även Apple med tvåfaktorsautentisering. Facebook, Google och Dropbox erbjuder tvåfaktorsautentisering sedan en tid tillbaka och nu tar även Apple steget ut att erbjuda sina kunder säkrare inloggning.

Apple använder sig av engångskoder som skickas ut via SMS men fungerar enbart i USA, England, Australiem, Irland eller New Zeeland i dagsläget.

Apple_tvåfaktor

Läs här hur du går tillväga för att slå på tvåfaktorsautentisering på ditt AppleID:

Vikten av stark autentisering

Via CERT-SE hittar vi följande bra inlägg om vikten av att skydda sina kontouppgifter.

Graham Cluley skriver att det är viktigt att skydda kontouppgifter och använda stark autentisering (om möjligt) till sociala mediewebbplatser, som till exempel Facebook och Twitter.

Just a username/password combination isn’t enough when a social media account is an important part of your business or public image.

Det gäller i allra högsta grad myndigheter och företag som använder sig av sociala medier för att kommunicera med medborgare. Man bör noga utvärdera eventuella risker med att använda kommunikationsplattformar som saknar möjlighet till stark autentisering och där man kan få problem med att mitigera effekterna om inloggningsuppgifter skulle hamna på avvägar.

Artikeln som CERT-SE rekommenderar finns att läsa här: http://nakedsecurity.sophos.com/2012/04/16/hyatt-acai-berry/ och vi har även skrivit om Facebook och dess tvåfaktorsautentisering här.

Facebook inför tvåfaktorsautentisering

För en tid sedan så införde Facebook stöd för att tvinga fram https och nu höjer man säkerheten ännu mer genom att erbjuda tvåfaktorsautentisering för användare.

Så här går du till väga för att aktivera tvåfaktorsautentisering på ditt Facebook-konto:

  • Klicka på Konto -> Kontoinställningar -> Kontosäkerhet

Där bör du se något liknande:

Där kryssar du i rutan och trycker på spara så får du sedan ett SMS innehållandes en engångskod (bekräftelsekod) till det mobilnummer som du troligtvis angett tidigare:

Och sedan är allt klart:

Glöm inte även att läsa hur du ställer in https på Facebook här.

Twitter inför HTTPS

Precis som Facebook så inför nu även den sociala tjänsten Twitter en inställning för att forcera https. Detta har enbart varit möjligt tidigare genom exempelvis webbläsarplugins som Use HTTPS (chrome) och HTTPS Everywhere (firefox).

Tyvärr så rapporterar Twitter att https-inställningen ej fungerar för den mobila versionen mobile.twitter.com. Dock är det möjligt att manuellt skriva in https://mobile.twitter.com

Skärmdump från inställning:

Facebook inför https

Facebook gör det nu möjligt att via inställningar välja att tvinga den krypterade versionen av http, dvs https. Än så länge verkar denna inställning enbart gälla amerikanska användare.

Att använda https på Facebook har tidigare varit möjligt om man manuellt skriver in https://facebook.com eller använder något plugin till sin webbläsare som tvingar https mot Facebook.

Denna åtgärd från Facebooks sida tros vara för att försvåra för så kallade Firesheep-attacker som vi skrivit om tidigare. Se även Facebooks blogg eller feber.se.

Firesheep-attack mot Facebook etc.

Ingen kan ju ha undgått de senaste attacker med hjälp av verktyget Firesheep som underlättar för den enskilde att utföra såkallade sessions-attacker för att kopiera den sessions-cookie som alla webbsajter använder sig av efter en inloggning.

Attacken kan med fördel utföras på ett trådlöst nätverk där Cookies går att ”sniffa upp” vilket är typiskt vid Internet-caféer eller konferenser, företagsnätverk. Även så måste sajten där Cookien sniffas upp ej använda https vilket är fallet för exempelvis Twitter, Facebook, LinkedIn och liknande som inte använder https som standard.

Bästa sättet att skydda sig är att använda en VPN-uppkoppling över trådlösa nätverk. Detta kan sättas upp med hjälp av en tjänst såsom Anonine eller IPRedator. Vi får även hoppas att allt fler går över till att enbart använda https, dock är detta inte  helt trivialt eftersom detta kräver mer datorresurser exempelvis. Ett annat tips är att använda något av de plugins till webbläsaren som tvingar fram https.

Firesheep är ett Firefox-plugin och hittas på adress codebutler.com/firesheep. Även så rekommenderas Anders Thoressons förslag att använda din hemmarouter som VPN.

Fler bloggare som skrivit om detta: