Combitechbloggen
Här trendspanar våra experter inom Cyber Security och digitalisering på nutid och framtid. De delar med sig av sina erfarenheter från den tekniska framkanten. Vad tar du med dig?
-
Hackaway day – vi hackar smarta högtalare
Härom veckan arrangerade vi Hackaway day, en dag då vi ger oss på att hacka något för att lära oss mer, denna dag var det smarta högtalare vi undersökte. Men vad innebär det egentligen att hacka något?
Det beror på vem du frågar. I vårt fall letar vi efter sätt att använda en produkt eller tjänst på, så att obehöriga kan tillförskansa sig information eller befogenheter de inte ska ha. Vi kallar detta för penetrationstestning. Under dagen testade vi inte bara högtalarnas inbygga säkerhet genom så kallade penetrationstester, utan vi tittade också närmare på hur användare och tillverkare kan reducera säkerhetsrisker genom exempelvis rätt inställningar. Det visade sig bli en lärorik övning, då vi hittade möjligheter att tillskansa sig information och befogenheter.
Informationen i högtalaren
Dagen började med att vi undersökte vilken information som går att komma åt i högtalarna via gränssnitt och appar. Vi konstaterade ganska snabbt att det går att komma åt i princip all information i högtalaren om man är ansluten till samma WiFi-nät. Tack och lov innehåller en högtalare inte så mycket känslig information, men även WiFi-lösenordet och en och annan PIN-kod gick också att tillskansa sig. Det kanske inte låter så dramatiskt, men kommer denna information på villovägar öppnar det upp för ytterligare säkerhetshot på enheter på samma WiFi-nät och om man återanvänt sina PIN-koder på känsliga tjänster.
Nästa steg var att titta på om vi kunde får högtalarna att starta om, det vill säga återgå till sin allra första uppstart, vi kallar det ”första gången”-processen. Går detta att göra är det ofta möjligt att styra högtalaren precis som man vill, vilket inte är möjligt om man har en enkel inloggning på det webgränssnitt som ofta används för detta.
Om högtalarna har möjlighet att använda WPS så undvik gärna detta, eftersom det gör din högtalare mer sårbar för attacker av någon som befinner sig i närheten.
Uppdateringar, hoten och måsten
Ett annat område vi tittade på var uppdateringsprocesser. Det är jätteviktigt att högtalare uppdateras när nya uppdateringar blir tillgängliga. Uppdateras inte mjukvaran blir högtalaren förr eller senare alltid sårbar.
Uppdateringar kan också vara en risk. Om en obehörig skickar en egenutvecklad uppdatering till din smarta högtalare så kan personen ta över den helt. Med en externt kontrollerad enhet i ditt nätverk går det att angripa andra enheter i nätverket eller skapa ett botnet bestående av flera högtalare som kan angripa andra i stora attacker (se tex https://krebsonsecurity.com/2018/05/study-attack-on-krebsonsecurity-cost-iot-device-owners-323k/). Uppdateringen måste alltså alltid komma från en verifierad leverantör.
Som användare ska man också ifrågasätta rättigheterna som vissa appar som styr högtalarna kan ha. Är det verkligen nödvändigt att appen behöver tillgång till SMS, samtal, GPS, kamera eller mikrofon?
Tips och råd
En dag går fort och vi hittade flera saker att gräva vidare i och fördjupa sig i, men som en första summering vill jag dela med mig av några allmänna råd som reducerar riskerna med smarta högtalare:
- Var uppmärksam på ”första gången”-processen så att den inte utnyttjas, använd gärna kabel om det är möjligt.
- Var medveten om att personer på samma nätverk ofta kan komma åt WiFi-lösenordet och andra koder.
- Var medveten om att personer på samma nätverk ofta kan styra dina högtalare som de vill.
- Glöm inte att om ingen uppdatering sker så kommer mjukvaran med stor sannolikhet innehålla sårbarheter efter en tid.
- Var också medveten om att det ska gå att verifiera var uppdateringen kommer ifrån.
- Se till att ha ett bra uppsatt nätverk, gärna med flera separerade nät (till exempel ett gästnätverk), bra kryptering och inga default eller svaga lösenord som skydd.
- Fundera på om du verkligen behöver en uppkopplad pryl – vad är fördelarna och uppväger de nackdelarna?
- Kräv att de produkter du köper har signering/kryptering även inom interna nätverk.
- Trådbundna nätverk är svårare att avlyssna och komma åt än trådlösa nätverk för en utomstående då de oftast kräver fysisk tillgång till det lokala nätverket.
- Kräv att de appar du använder inte har onödiga rättigheter som kan utnyttjas av obehöriga.
-
Cybersäkerhetsexperter eniga: att bygga murar räcker inte längre
För elfte året i rad gick Nordens största cybersäkerhetskonferens Paranoia av stapeln i Oslo. Konferensen gav tillfälle att lyssna på några av de vassaste experterna på området, som säkerhetsgurun Bruce Schneier och den etiska hackaren FC. Som vanligt fungerade Paranoia också som en viktig mötesplats för att diskutera aktuella cybersäkerhetsfrågor. Från årets konferens tar jag med mig framförallt tre saker:
Räkna med intrång – vi kommer att bli hackade
Vi måste acceptera det faktum att vi inte enbart kan bygga murar och hoppas på att ingen ska lyckas ta sig in. Som Bruce Schneier sa under sin presentation – internet designades inte med säkerhet i åtanke. De stora nätverk vi har idag går inte att säkra från intrång och vi måste därför anta att vi kommer att bli, eller till och med redan har blivit hackade.
Cybersäkerhetsexperten Mikko Hypponen målade upp en liknelse av ett bankvalv utan rörelsedetektorer på insidan. Lyckas någon ta sig in i bankvalvet är det fritt fram att ta för sig och detsamma gäller våra IT-system. Vi måste därför ha en strategi för att upptäcka och svara på intrång. Rob Wainwright, före detta chef för Europol, pratade också om vikten av att samla in och analysera data för att maximera kunskapen om de hot vi står inför. Ju mer kunskap vi har, desto lättare blir det att agera effektivt i säkerhetsarbetet.
Det senaste året har vi sett flera exempel på attacker där organisationer som inte egentligen inte är mål för attacken har hamnat i skottlinjen och skadats ändå. Vi bör också ha i åtanke att det numera även förekommer att stater ligger bakom attacker, något som vi antagligen kommer att se mer av framöver. Därför krävs ett ökat samarbete mellan organisationer och länder men detta kräver förtroende – och frågan är vem vi egentligen kan lita på?
Fortsatt brist på resurser
Det råder brist på resurser inom cybersäkerhet – både vad gäller kompetens och effektiva verktyg. Det är inte något nytt, men under Paranoia fick vi ta del av diskussioner om denna fråga både ur ett EU- och USA-perspektiv. Flera talare, som Rob Wainwright och Bruce Schneier, pekade på att kompetensbristen uppgår till hundratusentals personer och i vissa fall miljontals personer, beroende på vilka delar av världen som omfattas.
En återkommande fråga under Paranoia var hur vi ska komma till rätta med denna brist. Å ena sidan behöver vi locka fler personer till branschen genom till exempel utbildning och gamification av rekryteringsprocessen. Å andra sidan behöver vi också börja använda oss av automation och AI i högre grad för att effektivisera och göra jobben lättare. Framöver tror jag att vi får bäst resultat om vi kombinerar människan med AI.
Cybersäkerhet för ett säkert samhälle
Cybersäkerhet handlar inte enbart om sekretess – cyberbrott kan fysiskt skada människor om vi inte ser till att skydda den kritiska infrastrukturen. Idag är cybersäkerhet ett måste för att ett samhälle ska vara säkert. Håkan Buskhe, VD på Saab, pratade om vikten av att företag är medvetna om att även de är en del av cybersäkerhetspusslet i ett land och att de genom sitt säkerhetsarbete stöttar samhällsviktiga funktioner.
Det händer mycket inom cybersäkerhetsområdet och årets Paranoia gav mig – och säkert alla andra deltagare – många intressanta insikter och tankeställare. Tack till alla inblandade för en strålande konferens, vi ses på Paranoia 2019!
I senaste avsnittet av Combitech-podden rapporterar jag och min kollega Johan Thulin direkt från Paranoia. Vi intervjuar Håkan Buskhe, VD på Saab, etiska hackaren FC och Dr. Jessica Barker, säkerhetsexpert med fokus på den mänskliga delen av cybersäkerhet. Lyssna på podden.
-
Säkra produkter är användarvänliga
Tina Lindgren, Cyber Security-expert och doktor inom informationssäkerhet, skriver om vikten av att behandla säkerheten som den viktiga del av produkten den är för användarna. Ett ämne som Tina nu senast föreläste om i samband med den stora Cyber Security-konferensen Paranoia.
När du ska köpa en ”smart” pryl, till exempel en smart träningsklocka så funderar du säkert på vilka funktioner som är viktiga för dig att den har. Du vill kanske att den ska kunna mäta dina löprundor, mäta din puls, ge dig bra statistik kring dina träningspass, kunna koppla upp sig mot en webtjänst i molnet och i en app och visa information där. När du sedan köpt din smarta klocka och den ger dig den funktionalitet du söker så känner du dig nöjd.
Men om sedan klockan visar sig;
- Inte kunna skydda dina personliga uppgifter som till exempel positionen för vanliga löprundor, tider när du i princip alltid är hemifrån för att träna, din vikt eller vad du nu har i din klocka - utan vem som helst kan komma åt dessa uppgifter om de försöker.
- Inte kunna skydda de WiFi-lösenord som finns i klockan utan hackers kan få tag i dem och därmed vara ett steg närmare att attackera det som finns på WiFi-nätverken i övrigt, kanske din jobbdator eller hemlarm.
- Inte kunna skydda sig mot att bli en del av ett botnet som används för att angripa till exempel ett sjukhus.
- Inte kunna garantera riktighet i den information den visar.
Känner du då att du köpt en användarvänlig klocka?
Säkerheten - en viktig del av produkten
Som informationssäkerhetsexpert så stöter man ofta på inställningen att säkerhet krånglar till produkter och gör den oanvändarvänliga, det suckas och stönas när man försöker se till att produkten också innehåller de säkerhetsfunktioner som behövs för att skydda användaren.
Men förmågorna att;
- Skydda användarnas personliga information från obehöriga.
- Skydda från möjligheten att obehöriga kan styra produkten.
- Skydda mot möjligheten att använda produkten som ett steg i en annan illegal attack, till exempel som spridare av skadlig kod, som en väg in i ett WiFi-nätverk eller som en del i ett botnet.
- Skydda riktigheten och tillgängligheten av informationen i produkten, som finns där för att se till att användaren kan känna sig trygg och är i hög grad till för att produkten ska vara vänlig mot användaren.
Vi måste börja behandla säkerheten som den viktiga del av produkten den är för användarna, lyft upp förmågorna till samma nivå som övriga funktionella förmågor. Detta blir förstås ännu viktigare när produkterna hanterar kritiska funktioner som till exempel medicinska produkter, produkter i den kritiska infrastrukturen eller fordon. Om hackers kan styra de uppkopplade medicinska produkter vi använder, eller kan uppdatera hur delar av den kritiska infrastrukturens produkter ska fungera, eller ta över kontrollen av en bil du kör, så kan man få sätta livet till för att produkten inte är säker. Det känns inte användarvänligt, så när suckarna kring säkerhet kommer ställ de som suckar till svars om de vill ha osäkra produkter som man inte kan känna sig trygg med!
För att skapa säkra produkter krävs att säkerhet är en integrerad del av utvecklingsarbete där säkerhetsförmågorna får samma status som funktionella förmågor. Det krävs också att utvecklingen sker i en säker miljö så att hackers eller insiders inte kan manipulera produkten under utveckling, notera att i miljön ingår även personerna som jobbar i miljön. De måste ha en säkerhetsmedvetenhet för att inte underlätta dessa manipulationer från hackers eller insiders. Sedan krävs också en säker leverans av produkten och uppdateringar av produkten så ingen manipulation kan ske vid dessa tillfällen.
Det finns inom informationssäkerhetsområdet idag bra metoder, processer och verktyg för att skapa så bra förutsättningar som möjligt för säkra produkter, se till att använda dem så skapar vi en tryggare värld för produkternas användare!
-
Koppla upp din produkt
Oskar Myrberg, teknikledare inom Connectivity på Combitech, skriver om Internet of Things (IoT) och hur åren av ökat intresse blev ett välkommet fokus på trådlös uppkoppling och dess egenskaper. Han resonerar kring uppkoppling av olika användarfall.
Internet of Things (IoT), det vill säga att koppla upp saker och dra slutsatser av den stora massan, har det talats om i många år nu även om den största hypen tycks ha lagt sig. För mig som varit verksam inom telekom en längre tid blev åren av ökat IoT-intresse ett välkommet fokus på trådlös uppkoppling och dess egenskaper, även om IoT är så mycket mer än bara uppkopplingen. Jag tänker i detta blogg-inlägg resonera lite kring uppkoppling (connectivity) av olika användarfall och hur en verksamhet bör resonera när de väljer teknik för sitt specifika användarfall.
För de flesta företag med en befintlig produkt är det naturligt att försöka ta sig uppåt i värdekedjan för att skapa mer lönsamma affärer. Oavsett om det är en cykelhjälm, diskmaskin, bil eller motorsåg, finns det förmodligen ett värde i att utveckla den. Genom att koppla upp sin produkt kan man dra slutsatser som tidigare inte var möjligt och kanske skapa helt nya affärsmodeller. Cykelhjälmen kan användas för att identifiera farliga trafiksituationer, motorsågen får möjlighet att servas innan den går sönder och diskmaskinen kan sälja diskning som en tjänst.
Teknik för användarfall
- Till att börja med kan man titta på ett antal olika attribut för tekniker som tillhandahåller trådlös uppkoppling:
- Kostnad/Komplexitet för enhet: Är radiomodulen dyr att tillverka/köpa?
- Kostnad/Komplexitet för nätverk: Är nätverket enkelt att bygga upp och krävs licensierade frekvenser?
- Batterikonsumtion: Kan enheten sända och ta emot energieffektivt?
- Täckning: Tillåter tekniken att signalen kan tolkas under svåra radioförhållanden?
- Tillgänglighet: Har tekniken funktioner för att alltid upprätta kommunikation eller bara vid vissa tillfällen?
- Prestanda: Prestanda kan förstås räknas på olika sätt men här avses hög digital bandbredd samt snabb åtkomsttid.
- Mobilitet: Finns det inbyggda funktioner för att upprätthålla funktionalitet när enheten rör på sig? Kan man koppla upp sig på olika ställen i världen?
- Positionering: Finns det möjligheter att positionera sig med hjälp av nätverket?
- Säkerhet: Är lösningen säker med avseende på integritet och sekretess?
Gradering av teknik
Detta behöver inte vara alla attribut, och kanske skulle man kunna gruppera en del, men det är några som jag tycker identifierar och särskiljer många olika tekniker. Dessa attribut kan sedan användas för att gradera olika tekniker, till exempel så här (0-10, högre siffra är bättre). Se bilden/illustrationen nedan.
Se inte dessa graderingar som en absolut sanning, snarare som en vägledning. Det blir dock tydligt att olika tekniker har olika egenskaper. Om du ska skapa en produkt som kommunicerar trådlöst behöver du tänka på vilken teknik som uppfyller de krav man har enligt exempelvis dessa attribut. Det blir då tydligare vilka tekniker som är ett alternativ för den lösning som utvecklas.
Nyfiken och vill ta en kontakt?
Vill du veta mer om ämnet eller få stöd kring är du välkommen att kontakta mig och Combitech (se kontaktkort till höger).I ett senare blogg-inlägg planerar jag att berätta mer om connectivity som en förutsättning för digitalisering inom industrin.
-
Kör en virtuell Ferrari och behåll din kompetens
Den 25 april samlade Combitech kunder och samarbetspartners för en heldag om Digital transformation. Johan Gunnarsson, CTO på Combitech, reflekterar kring den inspiration och tankar som han fick under TechXperience Day.
Att äntra Combitech TechXperience Day är som att komma till en annan värld. Första utmaningen är parkeringen och att hitta platsen för detta event. Men på samma sätt som det är svårt att hitta till de finaste krogarna, är det svårt att inse att vi i detta fall inte pratar om en klassisk konferensanläggning utan om en hangar inom skyddat område där man får komma nära och sitta i en Gripen. Men också få ta del av en flyguppvisning och se exempel på vad Combitech arbetar med inom Digitalisering och Cyber Security. Med andra ord en mycket smakfull meny och väl värt mödan!
En digitaliseringsresa med människan i centrum
Innovation är ju att förena två kända koncept till något nytt och på årets TechXperience Day fick man chansen att göra just det - hitta nya kombinationer med fokus på hur människan påverkas i den digitala världen.
Det är ju tydligt att människan behöver nya metoder för sin utbildning, vilket Claudia Olsson berättade om. Samtidigt menade Daniel Akenine att en människa som endast övervakar när AI tar över styrningen av system gör människan mindre kompetent och därmed tappar kompetensen att ingripa när problem uppstår. Lösningen borde därför vara att låta AI underhålla människan genom att blanda de repetitiva övervakningsuppgifterna som människan utför med utbildning. Då borde AI hjälpa människan att ligga på den optimala toppen som innebär att människan förblir inspirerad av lagom mängd kontroll och detalj men samtidigt har god överblick tack vara träning och utbildning. Ett konkret exempel: Om vi installerar ett datorspel i den autonoma bilen som gör att föraren tror att den styr bilen fast det egentligen är en träning för att göra föraren redo att ta kontroll. Det autonoma blir därför en tillgång som inte passiviserar människan.
Den sista poängen som Daniel Akenin nämnde var att människan i många fall tycker om att på sin fritid köra just bil. Alltså kan detta bli något av en paradox i en autonom värld. Därför kommer det bli viktigt att föra in inspiration och underhållning. Så varför inte, det skulle vara kul att min autonoma bil också har en inbyggd simulator som gör att jag som förare tror att jag kör en Ferrari fast att autopiloten inkopplad. De finns förstås uppenbara fysikaliska begränsningar. Men likväl så kanske tävlingen som förr handlade om vem som hade snabbast bil med mest kromade lister, i framtiden blir en tävling om vem som har den häftigaste simulatorn i den autonoma bilen. Nyttan med detta? Jo, att hålla hjärnan välmotionerad.
