Taggat med: android

Alphabet (Google) släpper säkerhets-app till Android

Känner du till Alphabet? Företaget som äger Google? Jag skrev om Alphabet i Januari detta år. Alphabet har nu via deras inkubator Jigsaw släppt en app vid namn Intra.

Intra fungerar till Android-baserade mobiltelefoner och ser till att DNS-frågor går via en krypterad anslutning. Nämligen mer specifikt protokollet DoH (DNS over HTTPS) vilket även Firefox stödjer.

Givetvis finns även Intra tillgängligt som öppen källkod på Github för den som vill medverka till utvecklingen eller granska koden.

Intra fungerar från och med Android version 4.0 och kan laddas hem här:

Bra att tillägga är även att Android 9.0 ”Pie” stödjer DoH utan denna app, och för att citera Alphabet:

If you have Android 9.0 or later, we recommend enabling the Private DNS setting instead of installing Intra

Vidare läsning

Ny trådlös attack som använder Bluetooth: BlueBorne

BlueBorne är samlingsnamnet på en ny uppsjö av säkerhetsbuggar som identifierats i den trådlösa standarden Bluetooth och kan potentiellt drabba 5.3 miljarder enheter världen över.

Säkerhetsbuggarna har identifierats av företaget Armis som jobbar just med IoT-säkerhet. Att säkerhetsbuggarna kan drabba så pass många enheter beror på att flertalet sårbarheter har identifierats i många av de mjukvaror som implementerar Bluetooth-standarden.

Följande sårbarheter har identifierats i plattformarna Android, Windows, Linux och iOS:

  • Linux kernel RCE vulnerability – CVE-2017-1000251
  • Linux Bluetooth stack (BlueZ) information leak vulnerability – CVE-2017-1000250
  • Android information leak vulnerability – CVE-2017-0785
  • Android RCE vulnerabilities CVE-2017-0781 & CVE-2017-0782
  • The Bluetooth Pineapple in Android – Logical Flaw CVE-2017-0783
  • The Bluetooth Pineapple in Windows – Logical Flaw CVE-2017-8628
  • Apple Low Energy Audio Protocol RCE vulnerability – CVE-2017-14315

Den enhet som attackeras behöver inte ställas i synligt-läge och några behörigheter behöver inte användas för att nyttja någon av ovan attacker enligt Armis.

Demonstration av attacken finner du här:

Här kan du ladda hem ett tekniskt papper i PDF-format:

Användningen av Tor har fördubblats

Nyligen så påpekade Roger Dingledine som är projektledare för anonymiseringstjänsten Tor att användningen har fördubblats på kort tid:

Tor användare

 

Och vad detta kan bero på diskuteras flitigt, några teser som lagts fram är följande:

  • The Pirate Bays webbläsare Pirate Browser som använder Tor
  • Människor är rädda för underrättelsetjänster såsom NSA i samband med läckor från Snowden
  • Google Play öppnade nyligen för användare från Syrien. Dessa kan då använda Tor-klienter i Android-telefoner
  • En av de länder som ökat mest är Vietnam (se statistik här)
  • Skadlig kod (botnet) som nyttjar Tor

Google glömmer att kryptera i Android

Google har tabbat sig och skickar ut såkallade authTokens okrypterat på nätverket från mobitelefoner med operativsystemet Android. Denna authToken kan sedan snappas upp och kan användas för åtkomst till tjänster hos Google. Detta förfarande är en del av Google ClientLogin.

authToken kan användas i 14 dagar och kan snappas upp med hjälp av det trådlösa nätverk som finnes i telefonen (wifi).

Källa: University of Ulm

Windows Phone 7 saknar kryptering

KrypteringMicrosoft medger att dess nya operativsystem för mobiltelefoner vid namn Windows Phone 7 saknar kryptering. Till skillnad från Android, iPhone och BlackBerry som krypterar informationen på telefonen.

Microsoft meddelar att de kommer att stödja kryptering i nästa version av WindowsPhone 7 samt stöd för HTML5 och Flash.

Många företag använder EAS (Exchange ActiveSync) för mobila enheter och Windows Phone 7 enheter som försöker att ansluta kommer då att misslyckas med felmeddelandet error code 85010013.

Google inför tvåfaktorsautentisering

Om du har en mobiltelefon som stödjer Android eller är av typen iPhone eller BlackBerry samt är betalande kund hos Google, dvs använder Google Apps så kan du nu införa tvåfaktorsautentisering. Det är med hjälp av programvaran Google Authenticator som detta möjliggörs.

Här är en skärmdump på den tidsbegränsade engångskoden som genereras:

För mer information se Googles hjälpavsnitt eller dess blogg.

Krypterade mobilsamtal med Android

Mobiltelefoner som stödjer operativsystemet Android kan nu nyttja en ny programvara som gör det möjligt att göra end-to-end kryptering över mobilnätet.

Programmvaran heter RedPhone och är utvecklad av Whisper Systems med hjälp av Moxie Marlinspike i spetsen. Moxie är känd sedan tidigare för sitt arbete med att bl.a. hitta sårbarheter i SSL-protokollet samt Googlesharing.

RedPhone använder kryptot ZRTP som är utvecklat av PGP-skaparen Phil Zimmerman.

Se Whisper Systems hemsida: https://whispersystems.org/

Uppdatering: Ändrade länken till whisper systems