Jag har själv inte testat, men skall göra det den kommande veckan.

No related posts.

Related posts brought to you by Yet Another Related Posts Plugin.

Sam med sin älskade iPhone

Texten är en spännande och tankeväckande berättelse som visar hur lätt det är att med Internettjänster går att spåra och få tag på information. Bland annat stängde Sam av mobilen och skickade meddelanden till tjyven.

No related posts.

Related posts brought to you by Yet Another Related Posts Plugin.

Men igår 2009-12-07 släpptes version 0.3 av KisMAC och nu fungerar KisMAC igen. Och den har dessutom en del nya funktioner. Har du tidigare kört KisMAC och saknat den efter Snow Leopard finns det nu en version som går att använda. Mer information om KisMAC finns på dess Trac-sida. (Trac är för övrigt ett kanonbra verktyg. Bra projekt kör Trac.)

(Webbplatsen för KisMAC-ng är tyvärr väldigt seg.)

No related posts.

Related posts brought to you by Yet Another Related Posts Plugin.

No related posts.

Related posts brought to you by Yet Another Related Posts Plugin.

Den nu släppta patchen täcker både funktioner långt ner i OS:et som kernel, filsysten, CoreGraphics, directory service såväl som tredjepartsprogram som CUPS, Apache och Subversion. Tyvärr är flera av säkerhetsproblemen som nu patchas riktigt gamla – Subversionproblemet är exempelvis från Augusti.

En som inte tycker om hur Apple hanterar säkerheten är Per Hellqvist som bloggat om den senaste stora patchbollen och säkerhet på Mac.

Pelle skriver bland annat:

Jag vet inte vad du känner, men jag är rätt trött på att Mac-användare invaggar varandra i en falsk känsla av säkerhet. Förstärkningseffekten av att hela tiden utsättas för villfarelsen att Mac är så säkert blir till slut enorm och blir till fakta.

Jag såg senast imorse en kompis på Facebook som för en gångs skull råkat ut för virus. Och lika säkert som amen i kyrkan klippte en Mac-användare in de bevingade orden: “Byt till Mac så slipper du sånt”. Det är helt enkelt inte sant. Risken är mycket mindre, men man slipper det inte!

Men faktum är att MacOS är som alla andra mjukvaror. Det finns säkerhetshål där med. Anledningen är enkel:

Mjukvaror skrivs av människor. Människor är inte perfekta. Alltså blir inte mjukvara perfekt.

Visst, elak kod kan sägas vara ett Windows-problem. Skillnaden är dessutom enorm. Det finns uppemot 3 miljoner elakingar till Windows och ett hundratal till Mac (plus alla gamla macrovirus). Kom då ihåg att inte alla Windows-virus är aktiva, eller ens har varit det någon gång. För Mac handlar det mest om trojaner, och trojaner är som verktygslådor. Joakim von Braun sade en gång att virus kommer och går, men trojaner består. Det har han rätt i. Trojaner används för ett visst uppdrag. De dör egentligen inte ut.

Jag är Macanvändare men kan bara hålla med. Jag blir också trött på att folk tror att Mac är helt fri från problem. Men samtidigt blir jag trött på på Windowsanvändare som hävdar att Macens jämförelsevis lilla mängd med elak kod bara beror på den mindre användarbasen.

Samma argument användes av Nordea under en tid när de och deras kunder utsattes för flera nätbedrägerier. Att de hade en mindre säker teknisk lösning hade inte med saken att göra – fast ändå så bytte dom.

Användarbas är en parameter. Hur enkelt det är att utföra en attack och vad man kan komma åt är andra. Detta gäller inbrott såväl som nätbedrägerier och elak kod.

Jag vill inte starta ett Windows vs Mac-krig (vägrar använda “Mac vs PC” då PC för mig är hårdvaran, vilken kan köra många olika OS på.) men min åsikt är att det för SW-system finns olika tekniska lösningar som leder till olika tekniska egenskaper – precis som för alla andra tekniska system.

En Toyota pickup har helt andra köregenskaper än en BMW M5. Båda är ypperliga bilar, var och en på sitt sätt. Toyotan är en allt annat än lyxig, men i den närmaste oförstörbar (se Top Gears lilla test för några år sedan) lastmaskin som står sina ägare bi jorden runt oavsett om det finns vägar eller ej.

BMWn å sin sida är höjden av teknisk finess, en fantastisk milätare för Autobahn-hastighet. Helt olika konstruktioner för att målgrupp och krav är helt annorlunda – men fortfarande är de både exempel på ett tekniskt system vi kallar bil.

Säkerhet är något som behöver systemeras in från början (oavsett om det är ett OS, en SW-applikation eller en bil) och olika tekniska val påverkar vilka säkerhetsegenskaper du får. Detta gäller hur filer skyddas i filsystemet, hur användaren kopplas in i beslutskedjan etc.

Vidare handlar säkerhet mycket om utvecklingsmetodik och den kultur som råder. Bryr man sig inte om att göra säkra, genomtänkta implementationer spelar det ingen roll om systemeringen såg bra ut på ritbordet. Enligt min åsikt är det faktiskt skillnad i säkerhet mellan olika OS. Vista är säkrare än XP, Win7 är säkrare än Vista. Snow Leopard är säkrare än såväl Leopard som Tiger.

Vissa utvecklare tar detta på mindre eller större allvar. Gänget bakom OpenBSD är ett exempel på ett öppen kod-projekt där kulturen genomsyras av ett väldigt (väldigt, väldigt) högt säkerhetsmedvetande.

Vad har nu detta att göra med Apple? Jo, jag vet inte hur Apples säkerhetskultur ser ut. Jag vet att det jobbar duktiga människor där (FreeBSDs Jordan K Hubbard exempelvis). Vidare tycker jag att Apple lyckats bra i sitt sätt att hitta en modell för hur användaren kopplas in i säkerhetskedjan.

Men hur man släpper sina säkerhetspatchar tycker jag tyder på en säkerhetskultur som lämnar utrymme till förbättringar. Min blygsamma åsikt är att antingen släpper man en patch för ett givet säkerhetsproblem så fort den finns framme.

Alternativt släpper man buntar med patchar vid regelbundna tillfällen. Detta alternativ gör det möjligt för stora organisationer att planera för kommande uppdateringsarbeten. Den stora frågan är hur ofta man skall släppa uppdateringar. Jag kan tycka att Microsoft han en aning för låg frekvens.

Men att släppa en fet patchbomb oregelbundet innebär att säkerhetshål kan vara öppna väldigt länge. Och när patchbomben kommer är kunderna oförberedda, vilket förvärras av att bomben som i fallet med den senaste uppdateringen är så stor. En stor, fet patchbomb som kommer som en överraskning är helt enkelt fetfel.

Peller kommer med några bra rekommendationer som gäller såväl för Macanvändare som Windowsanvändare (och GNU/Linux, BeOS och kanske tom användare av OpenBSD):

* Uppdatera operativsystemet och de programvaror du använder.

* Klicka inte på allt som kommer din väg. Precis som du inte skulle plocka upp och äta godis från marken ska du heller inte klicka på allt som kommer i e-posten och via tjatten/sociala nätverket.

* Använd säkerhetsmjukvara.

* Ta backup. Ofta.

(Till skillnad från Pelle lyssnade jag inte på Mozarts pianokonsert No 24 i C minor när jag skrev detta. 50,000 unstoppable Watts med Clutch funkar också bra.)

No related posts.

Related posts brought to you by Yet Another Related Posts Plugin.

När jag försöker slå på FileVault för min användare i System Preferences dyker det upp en dialogruta som säger:

You can’t turn on FileVault to protect the home folder of this user account.

The home folder is located on a volume that isn’t in Mac OS Extended format.

Men om jag använder verktyget Disk Utility rapporterar den att volymen är av typen:
Mac OS Extended (Case-sensitive, Journaled)

Lite sökning ger att FileVault inte stöds för volymer som stödjer stora och små bokstäver(!). Jag anser att det här finns ett antal problem:

1. Det uppenbara – att FileVault inte går att använda på ett av de standardformat Apple låter dig som användare välja när du formatterar din volym.


2. Att Apples formatteringsverktyg vid formattering inte varnar att det valda formatet gör att FileVault inte går att använda.


3. Att felmeddelandet som dyker upp när man försöker slå på FileVault är felaktigt och förvirrande.

I dag kom ett svar från Apple:

Thank you for filing this issue via Apple’s bug reporting system. Apple takes every report of a potential security problem very seriously.

After examining your report we do not see any actual security implications. However, we do feel that it should be addressed.

Att en viktig säkerhetsfunktion inte går att använda, att jag som användare inte får en varning när jag gör ett val som slår ut säkerhetsfunktionen och att felmeddelandet är förvirrande och felaktigt har alltså inga säkerhetsimplikationer?

Till Apples försvar är det väl så att de ser security som en fråga om säkerhetshål. Förhoppningsvis kommer Apple att till en ny version av sitt OS (ett okänt antal releaser framåt i tiden) stödja FileVault även för denna typ av volym. Men gissningsvis fixar dom till felmeddelanden. Sedan är det frågan om inte det här problemet är överspelat den dag Apple äntligen erbjuder fullt utbyggt stöd för filsystemet ZFS. Jag hade hoppats på att kunna börja använda ZFS, men tyvärr försvann stödet för filsystemet strax innan OS:et släpptes.

Så vad göra istället? Tyvärr fungerar inte PGPs diskkryptering på Snow Leopard. JakobS tipsade om att Patrik Karlsson på cqure.net, skaparen av ett otal säkerhetsverktyg byggt en snygg lösning baserad på TrueCrypt. Enligt ett blogginlägg av Patrik har han lyckats koppla in TrueCrypt till systemets nyckelring och LoginHooks och det går nu att skydda en hemkatalog med TrueCrypt. Snyggt!

No related posts.

Related posts brought to you by Yet Another Related Posts Plugin.

Inside Snow Leopard’s hidden malware protection ger en mer detaljerad beskrivning av det nya skydd mot elak kod som Apple byggt in i Snow Leopard. Enligt artikeln lagrar SL en lista med signaturer över kända elakingar i filen:
/System/Library/CoreServices/CoreTypes.bundle/Contents/Resources/XProtect.plist

Just nu innehåller den bara referenser till OSX.RSPlug.A Trojan Horse och OSX.iService men gissningsvis kommer Apple att trycka ut uppdateringar med fler definitioner via Software Update.

För övrigt finns det om jag räknar rätt inte mindre än fem olika python-wrappers för libpcap, alla med usel dokumentation. Just nu får jag inte en enda av dom att bygga eller installera i SL. Wrappern py-pylibpcap finns exempelvis i Macports, men den tokbombar på ncurses… samt Perl och Ruby?! Beroende-h-lvetet när det är som värst…

No related posts.

Related posts brought to you by Yet Another Related Posts Plugin.

En sak artikeln tar upp är hur filsystemet HFS+ ännu en gång har utökats och modifierats. Och för att visa vad som skettanvänder författaren till artikeln verktyget hfsdebug. hfsdebug är ett verktyg utvecklat av Amit Singh för att undersöka HFS+-volymer och jösses vad mycket information man kan gräva ut med det verktyget. Vill du testa hfsdebug finns det en färdig binär att tanka hem och köra i ett shell.

No related posts.

Related posts brought to you by Yet Another Related Posts Plugin.

Advisory:

PGP Corporation does not recommend using PGP® Desktop with Mac OS X 10.6 at this time, neither the 32 bit nor 64 bit versions of Snow Leopard are currently supported by PGP Corporation. This includes PGP® Whole Disk Encryption, PGP® Desktop Professional, PGP® Desktop Home and PGP® Desktop Email.

This email is to advise you that if you are running PGP® Whole Disk Encryption, PGP® Desktop Professional, PGP® Desktop Home or PGP® Desktop Email, you should NOT upgrade to Mac OS X 10.6 (Snow Leopard).

If you intend to upgrade to Snow Leopard, you must decrypt all PGP® encrypted drives and uninstall PGP® Desktop before upgrading the system to Mac OS X 10.6.

After upgrading your system you should not attempt to re-encrypt any disks with PGP® Whole Disk Encryption as it is likely to lead to potential data loss or other system and data issues.

We expect support for Mac OS X 10.6 to be available in the next major release of PGP® Desktop (10.0). PGP Corporation recommends waiting until PGP® Desktop 10.0 is available before upgrading to Mac OS X 10.6. If you would like to be notified when the beta version becomes available, please register at http://www.pgp.com/developers/beta/request.html .

If you have questions about PGP® Desktop and Mac OS X 10.6, please visit our support site https://pgp.custhelp.com/app/

PGP Corporation announced PGP WDE for Mac OS X last year – a native Mac application that was designed from the ground up for the Mac. PGP Corporation is committed to providing Macintosh users the best possible encryption solutions and we’ve been building them since re- starting the company in 2003.

The overall experience of PGP WDE for Snow Leopard will be the same. You’ll notice PGP WDE for Mac OS X is controlled using PGP Desktop, which can be expanded to secure email and files as well.

Users of PGP WDE for Mac OS X will have a new pre-boot authentication screen that protects access to the machine before the operating system loads. To see some of the work so far we have posted screen shots to the PGP Perspectives blog.

http://blog.pgp.com/index.php/2009/08/sneak-peek-pgp-whole-disk-encryption-for-snow-leopard/

Sincerely,
PGP® Worldwide Support Team

Det finns även en hel del Mac-användare som använder GPGMail. Tyvärr verkar det även vara problem med GPGMail på Snow Leopard:

Posted By: davelopper
Date: 2009-08-26 08:31
Summary: GPGMail & Snow Leopard (10.6)

Dear Users,
Current version of GPGMail (1.2.0) is NOT compatible with coming Snow Leopard’s Mail.

New Mail’s internals changed a lot, like it did with all major revisions of Mac OS X, and as Apple doesn’t give any documentation nor any support for such an unsupported plugin, developers have to work by trials and errors. Based on my experience of previous compatibility work, I can estimate that the workload to make GPGMail compatible with Snow Leopard is at least 40 hours, for me.

Unfortunately I no longer have spare time to do that work (I’ve always been working on GPGMail during my spare time, not during my work time).

Some people proposed their help, but at this time no one has been able to find enough time to actually do the work. For unexperienced people it will take much more time to do it. In consequence, there will not be an update of GPGMail for Snow Leopard in the coming months, not even a beta version. If serious people want to do the work, I will gladly try to help them as much as I can; just contact me.

I’m sorry to leave you without GPGMail on Snow Leopard; until someone does the port, you’ll have to rely on Thunderbird and its Enigmail plugin.

Dessa problem kommer naturligtvis att lösa sig, men det är synd att viktiga säkerhetsapplikationer slås ut.

No related posts.

Related posts brought to you by Yet Another Related Posts Plugin.

Generatorn som är utvecklad av Verisign och här finns betan att testköra.

Jag tror på OTP-generatorer, och att ha en integrerad i mobilen är en ypperlig lösning – så länge som du kan lita på att den inte riskerar att läcka information och hackas. Fördelen med en enkel dosa från ex Vasco eller RSA är att de är så dumma och bla saknar kommunikationsmöjlgheter att det inte finns så många attackvektorer. Men att ha engångskoder genererade är bättre än att försöka komma ihåg komplicerade lösenord.

En sak gör mig dock riktigt ilsk. Det finns webbsidor och företag som använder engångskoder, men som ersätter siffrorna med stjärnor så att man inte kan se att man matar in korrekt kod. Om vi kan lita på att OTP-generatorn genererar en sekvens av koder som inte går att gissa även om man ser ett stort antal koder finns det inga säkerhetsmässiga skäl att inte låta användaren se koden. Däremot försvårar man för användaren och därmed användarens vilja att använda bra säkerhet.

No related posts.

Related posts brought to you by Yet Another Related Posts Plugin.