Taggat med: facebook

Facebook stödjer nu inloggning med säkerhetsnyckel (U2F)

Facebook meddelade precis att de nu stödjer tvåfaktorsautentisering med hjälp av en hårdvarunyckel. Det är nycklar som stödjer standarden FIDO U2F som är utvecklad av Google samt svenska företaget Yubico.

En Yubikey U2F från Yubico kostar 160kr och går att beställas från Yubicos hemsida (tillkommer frakt på cirka 50kr). Förutom Facebook så stödjer även populära tjänster såsom Dropbox, Salesforce, och Google U2F-enheter sedan tidigare.

Har du en mobiltelefon med Android och NFC stöd så finns det dock ett antal möjligheter för inloggning eftersom dessa enheter oftast inte har USB.

Bild på en Yubikey U2F från Yubico:

 

En miljon använder nu Facebook över Tor

Facebook över TorAlec Muffett på Facebook rapporterade nyligen att en miljon använder Facebook över Tor. Och så här skriver Alec på Facebook-sidan Facebook over Tor:

Over this period the number of people who access Facebook over Tor has increased. In June 2015, over a typical 30 day period, about 525,000 people would access Facebook over Tor e.g.: by using Tor Browser to access www.facebook.com or the Facebook Onion site, or by using Orbot on Android. This number has grown – roughly linearly – and this month, for the first time, we saw this “30 day” figure exceed 1 million people.

Ökningen beror dels på att Tor blir mer och mer populärt eftersom fler stater väljer att filtrera eller på andra sätt kontrollera Internet. Följande statistik visar på antalet anslutna klienter som kommer via ”gömda bryggor” sedan Januari 2015:

Tor bridge users

För dig som vill surfa till Facebook över Tor behöver först ansluta mot Tor-nätverket med exempelvis Tor Browser. Surfa sedan till följande URL:

https://facebookcorewwwi.onion/

Två nya kryptoattacker mot Telegram

Telegram

Telegram är en app för att skicka krypterade meddelanden mellan telefoner eller till dator. Appen är skapad av grundaren till ryska motsvarigheten till Facebook, VK. Men på grund av ryska myndigheter så valde Pavel Durov att lämna landet i exil.

Även så har Telegram fått stor uppmärksamhet på sistone då det framkommer att ISIS använder en funktionalitet i Telegram som gör det möjligt att skapa krypterade chatt-kanaler.

Ny forskning från Århus Universitet visar dock på att appen innehåller ett antal svagheter. Men grundproblemet med appen är att man har valt att implementera ett eget kryptoprotokoll.

Dessa två sårbarheter som uppdagats är relaterad till padding i dess eget protokoll vid namn MTProto. Klienten är i dagsläget öppen källkod, men ej serverdelen.

Intressant att notera är även att varje nyckel används för 100 stycken chatt-meddelanden eller max 1 vecka.

Så om en nyckel röjs så går det att återskapa max 100 meddelanden:

This means that if an adversary gets hold of an old auth_key he will be able to derive AES keys and read 100 encrypted messages, but he will not be able to construct the next key from the public DH values.

En av attackerna går ut på att lägga på extra padding, enligt följande:

Telegram padding-attack

Denna attack kan motverkas lätt genom att kontrollera längden på padding, vilket även föreslås i uppsatsen som är länkad nedan.

Sen ifrågasätts även användningen av SHA1 i Telegram. Och skulle exempelvis all kraft som finnes i Bitcoin mining-nätverket användas för att hitta en kollisionsattack i SHA1 så skulle det ta 4 sekunder.

Beskrivning av MTProto-protokollet:
MTProto

Här kan du ladda hem hela uppsatsen från Århus universitet:

Facebook + PGP = ❤️

Facebook PGP

Facebook stödjer nu att du kan ladda upp din publika nyckel till din Facebook-profil. Då kommer Facebook att använda denna nyckel när de skickar ut meddelanden via E-post.

Och som ovan bild visar så förhindrar detta även om ditt E-postkonto skulle bli kapat (men du använder väl tvåfaktorsautentisering också?).

Behöver ditt företag hjälp med IT-säkerhet eller kryptering? Kontakta Triop AB >

Detta är så klart ett bra uppsving för hela PGP och web of trust och detta märks tydligt då flertalet nyckelservrar såsom pgp.mit.edu svarar långsamt idag eller är helt nere. En tydlig koppling mellan din Facebook-profil och nyckel stärker förtroendet, lite åt det håll som tjänsten Keybase är tänkt.

För att bekräfta att din publika PGP-nyckel så skickar Facebook även ut ett krypterat verifieringsmail med en länk som du måste klicka på för att funktionen ska aktiveras.

Om du vill ladda hem någons publika PGP-nyckel så kan du göra det enligt följande exempel på URL:

https://www.facebook.com/facebookalias/publickey/download

Facebook PGP

Här laddar du upp din publika nyckel:

https://www.facebook.com/me/about?section=contact-info

Facebook själva använder en nyckel med följande fingerprint:

31A7 0953 D8D5 90BA 1FAB 3776 2F38 98CE DEE9 58CF

och denna subkey fingerprint:

D8B1 153C 9BE9 C7FD B62F 7861 DBF4 E8A2 96FD E3D7

Och Facebook kommer att stödja RSA och ElGamal men undersöker huruvida de även kan stödja elliptiska kurvor (ECC). Obligatorisk XKCD:

XKCD PGP

Tips! Gillade du att läsa detta? Kolla även in: Facebook finns nu på Tor

Så lagrar Facebook lösenord

På en konferens nyligen så avslöjade Facebook hur de lagrar sina lösenord. Eller rättare skrivet hur de hashar sina lösenord.

  1. $cur  = ‘plaintext’
  2. $cur  = md5($cur)
  3. $salt = randbytes(20)
  4. $cur  = hmac_sha1($cur, $salt)
  5. $cur  = cryptoservice::hmac($cur)
  6.         [= hmac_sha256($cur, $secret)]
  7. $cur  = scrypt($cur, $salt)
  8. $cur  = hmac_sha256($cur, $salt)

1. Det första steget är tämligen självförklarande.

2. Gör först en MD5 av lösenordet. Detta ligger troligtvis kvar pga historia då detta troligtvis enbart var det enda steget. Om en användare loggar in och enbart har en md5 så kommer lösenordet att uppdateras med det nya systemet enligt nedan.

3. En salt på 160 bitar är genererad slumpmässigt. För att förhindra kollisioner så bör den vara minst 64 bitar pga antalet användare och övriga bitar är troligtvis för att framtidssäkra.

4. En HMAC med sha1 skapas som sedan skickas in i nästa steg.

5. Detta steg är för att inneha en central kontrolldel och att förhindra offline eller online forceringsattacker mot lösenord.

7-8. scrypt för att försvåra forcering samt skapande av regnbågstabeller. Vi har många gånger tidigare skrivit om scrypt. Samt sista steget är för att göra databasen med lösenord mindre.

Facebook håller även koll på lösenordsdumpar som publiceras på internet och förekommer ditt lösenord i en sådan dump så kommer Facebook att varna dig.

Bedömt så har Facebook lagt mycket kraft bakom lösenordshashningen och det ser mycket bra ut.

Joachim Strömbergson
Joachim Strömbergson

Joachim Strömbergson som är säkerhetsexpert på företaget Assured som också har tittat på Facebooks sätt att lagra lösenord kommenterar enligt följande:

För att sammanfatta min känsla efter 5 sekunder är att man är duktig och använder seed, man har till och med vad som ser ut att vara ytterligare en hemlighet vilket gör det än svårare att försöka göra regnbågsattacker. Vidare använder man dessutom scrypt för att införa work factor som försvårar uttömmande sökning.

Källa på informationen är det som Facebook uppgav vid konferensen Real World Crypt 2015.

Uppdatering: Per Thorsehim tipsar även om att Alec Muffett från Facebook höll en presentation vid konferensen Passwords 2014 i Norge där han berättar mer i detalj:

Facebook lösenord

Facebook nu på anonymitetsnätverket Tor

Facebook har nu satt upp en egen anslutning direkt till Tor via en såkallad gömd tjänst (hidden services) som gör att du som ansluter via Tor aldrig behöver gå ut via en extern anslutning (exitnod) vilket kan kompromettera din anslutning mot Facebook.

För Facebook var det inte helt trivialt att implementera detta eftersom tjänstens inbyggda säkerhetslösningar larmar om en användare ansluter från olika världsdelar inom kort intervall vilket kan indiktera ett bot-nät.

Tor återfinnes enligt nedan URL med ett giltigt SSL-Certifikat. Den trevliga .onion-adressen är troligtvis framtagen med ett beräkningsverktyg såsom Scallion eller liknande:

https://facebookcorewwwi.onion/

OBS, ovan länk fungerar enbart om du ansluter via Tor. Exempelvis via Tor Browser som vi rekommenderar.

För den som är intresserad kan vi rekommenderar följande läsning om hur Tor fungerar:

Krypterad E-post med STARTTLS ökar

Enligt färsk statistik från Google och Facebook visar på att STARTTLS blir mer och mer populärt. Statistiken från Google visar att 69% av alla utgående mail blir krypterade samt Facebook meddelar att 76% av alla utgående mail krypteras varav 58% av alla utgående notifieringar blir krypterade.

STARTTLS används för kryptering av E-post mellan servrar och finns definerat i rfc3207. Några av andra protokoll som stödjer STARTTLS är bl.a. POP3, IMAP och NNTP. Som det låter på namnet så är det alltså TLS som läggs ovanpå ett klartextprotokoll.

 

Google STARTTLS Statistik

Även så uppger Facebook följande:

Additionally, certificate validation passes for about half of the encrypted email, and the other half is opportunistically encrypted. 74% of hosts that support STARTTLS also provide Perfect Forward Secrecy

Samt att den vanligaste algoritmen som används är DHE-RSA-AES128-SHA och på andra plats kommer AES128-SHA.

Facebook STARTTLS

Källa: FB, Google

Apple börjar med tvåfaktorsautentisering

Sent som sider så börjar även Apple med tvåfaktorsautentisering. Facebook, Google och Dropbox erbjuder tvåfaktorsautentisering sedan en tid tillbaka och nu tar även Apple steget ut att erbjuda sina kunder säkrare inloggning.

Apple använder sig av engångskoder som skickas ut via SMS men fungerar enbart i USA, England, Australiem, Irland eller New Zeeland i dagsläget.

Apple_tvåfaktor

Läs här hur du går tillväga för att slå på tvåfaktorsautentisering på ditt AppleID:

Vikten av stark autentisering

Via CERT-SE hittar vi följande bra inlägg om vikten av att skydda sina kontouppgifter.

Graham Cluley skriver att det är viktigt att skydda kontouppgifter och använda stark autentisering (om möjligt) till sociala mediewebbplatser, som till exempel Facebook och Twitter.

Just a username/password combination isn’t enough when a social media account is an important part of your business or public image.

Det gäller i allra högsta grad myndigheter och företag som använder sig av sociala medier för att kommunicera med medborgare. Man bör noga utvärdera eventuella risker med att använda kommunikationsplattformar som saknar möjlighet till stark autentisering och där man kan få problem med att mitigera effekterna om inloggningsuppgifter skulle hamna på avvägar.

Artikeln som CERT-SE rekommenderar finns att läsa här: http://nakedsecurity.sophos.com/2012/04/16/hyatt-acai-berry/ och vi har även skrivit om Facebook och dess tvåfaktorsautentisering här.

Facebook inför tvåfaktorsautentisering

För en tid sedan så införde Facebook stöd för att tvinga fram https och nu höjer man säkerheten ännu mer genom att erbjuda tvåfaktorsautentisering för användare.

Så här går du till väga för att aktivera tvåfaktorsautentisering på ditt Facebook-konto:

  • Klicka på Konto -> Kontoinställningar -> Kontosäkerhet

Där bör du se något liknande:

Där kryssar du i rutan och trycker på spara så får du sedan ett SMS innehållandes en engångskod (bekräftelsekod) till det mobilnummer som du troligtvis angett tidigare:

Och sedan är allt klart:

Glöm inte även att läsa hur du ställer in https på Facebook här.