Sprang på en film på Youtube som visar att allt inte är torrt och seriöst på konferenser som Eurocrypt. Här är The SHA-3 Song:
Archive for April, 2010
SHA-3 (sången, inte hashfunktionen)
April 27th, 2010Statisk kodanalys på libssh2
April 21st, 2010För några dagar sedan släpptes version 1.2.5 av SSH-biblioteket libssh2.
Eftersom jag använder en Steve Jobs-maskin tänkte jag att det kunde vara kul att testa att bygga libssh2 för att se hur väl det funkar. Det korta svaret visade sig vara alldeles utmärkt. Eftersom libssh2 använder autoconf var det bara att köra ./configure och sedan make och biblioteket byggde utan problem.
MacOSXs utvecklingsmiljö Xcode inkluderar förutom kompilatorn gcc även den LLVM-baserade kompilatorn clang, ett projekt Apple aktivt driver utvecklingen av.
Jag har använt clang och tycker att den är bättre på att hitta problem, ger bättre varningar samt genererar något bättre kod än gcc. Jag testade därför att bygga libssh2 med clang. Genom att helt enkelt deklarera CC=clang som parameter till configure gick det sedan att bygga libssh2. Återigen utan varningar och problem.
En funktion som clang inkluderar är statisk kodanalys. Detta innebär att verktyget går igenom alla logiska vägar i programmet och kan detektera felaktig användning av variabler, ex att variabler blir lästa innan de definierats. Clang utför kodanalysen som en del av kompileringen och genererar sedan ett antal rapporter (webbsidor) som visar de vägar genom koden som leder fram till problem den detekterat. Så här kan en rapport se ut:
För att köra kodanalysatorn fristående (i ett terminalfönster) och inte genom Xcode finns det ett litet program kallat scan-build. Installationen av scan-build är så svår som att tanka ner och packa upp katalogen verktyget ligger i. Sedan får man se till att köra configure med CC=scan-build som kompilator och dessutom slå på generering av debuginformation vid kompilering.
Kompilering med scan-build to klart längre än med clang eller gcc, men gick igenom utan problem på libssh2. Resultatet blev att den hittade 67 problem. De flesta av dessa var Dead assignment och relaterade problem, dvs ställen i koden där en variabel uppdateras, men sedan aldrig mer blir läst.
Mer intressant var dock att det upp ett antal logiska fel av typen Dereference of undefined pointer value och Uninitialized argument, dvs ställen där en pekare blir läst som inte blivit definierad samt argument som blir använda men som inte blivit initierade. Dessa problem är mer problematiska och skulle kunna öppna för säkerhetsproblem.
Daniel Stenberg, pappa till libssh2 har nu satt upp ett cronjobb som kör clangs statiska analysator pÃ¥ kodbasen en gÃ¥ng per dygn och genererar rapporter. Här finns exempelvis Rapporterna för för dagens körning (2010-04-21) – och libssh2 är nu nere pÃ¥ 28 problem.
För den som vill se hur scan-build rapporterar olika fel är här en rapport för en död tilldelning och här är en rapport för en derefererad, men icke definierad pekare.
Jag tycker att clang och dess statiska kodanalysator är enkla och smidiga att arbeta med och ger bra återmatning vid kodutveckling. clang är BSD-licensierad och finns till ett flertal plattformar. Håller du på att knacka kod tycker jag att du skall testa clang.
Köp datorspel – sälj din själ
April 18th, 2010Fox News rapporterar att en brittisk återförsäljare lagt beslag på 7500 kunders själar.
Enligt artikeln hade återförsäljaren GameStation lagt in en klausul i sitt avtal om att kunderna vid köp av ett spel även skrev bort sin juridiska rätt till sin själ. Stycket i avtalet löd:
“By placing an order via this Web site on the first day of the fourth month of the year 2010 Anno Domini, you agree to grant Us a non transferable option to claim, for now and for ever more, your immortal soul. Should We wish to exercise this option, you agree to surrender your immortal soul, and any claim you may have on it, within 5 (five) working days of receiving written notification from gamesation.co.uk or one of its duly authorised minions.”
...
“we reserve the right to serve such notice in 6 (six) foot high letters of fire, however we can accept no liability for any loss or damage caused by such an act. If you a) do not believe you have an immortal soul, b) have already given it to another party, or c) do not wish to grant Us such a license, please click the link below to nullify this sub-clause and proceed with your transaction.”
Avtaltstexten lades in som ett första april-skämt, men GameStation vill även visa pÃ¥ en viktig poäng – folk läser inte avtalen de godkänner. GameStation kommer att skicka ut brev till sina kunder där sektionen i avtalet tas bort.
Det stora bekymret med den här typen av avtal är att det är så långa och krångliga att det som vanlig dödlig, icke-jurist knappast klarar av att läsa och begripa implikationerna (även om man nog fattat GameStations avtalstext). När Apple uppdaterade avtalet för iTunes för iPhone fick jag upp ett dokument på telefonen på 75(!) sidor att läsa igenom. I stort sett en DoS-attack på sina kunder att skicka ut en sådan text. Även Facebook, Google m.fl. har fått kritik för sina långa avtal.
I sammanhanget tycker jag att det arbete Alan Siegel gjort och som han presenterade på TED är helt rätt:
Askmoln stoppar flyg
April 15th, 2010Just nu är det problem med flygtrafiken i Sverige på grund av ett askmoln från Island:
Askmoln begränsar flygning i svenskt luftrum
Det är just nu inte möjligt att flyga i delar av svenskt luftrum på grund av askmolnet från vulkanutbrottet på Island. Askmolnet rör sig i sydostlig riktning. Just nu är det inte möjligt att flyga norr om linjen norra Dalarna-Umeå. Prognosen visar att askmolnet kommer att påverka fler delar av det svenska luftrummet.
lfv.se kommer att uppdateras löpande med information om tillgängligheten i luftrummet.
Enligt prognosen kommer luftrummet från Umeå och norrut att beröras från kl 11 samt Karlstad-Borlänge från kl 13.
Askmolnet påverkar stora delar av det nordeuropeiska luftrummet. Bland annat har Norge och Storbritannien infört restriktioner. LFV samarbetar med Eurocontrol, SMHI samt övriga europeiska flygtrafiktjänster för att kontinuerligt vidta de åtgärder som krävs för att upprätthålla flygsäkerheten i svenskt luftrum.
Bakgrund:
Natten till onsdagen inträffade ett nytt vulkanutbrott nära glaciären Eyjafjallajökull på Island. På onsdagskvällen nådde askmolnet även norra Sverige. Askan kan skada flygplanens turbinmotorer. Motorerna förlorar effekt och kan i värsta fall sluta fungera.
Här är en (stor) bild som visar utbredningen av molnet (länk till bild):
Norrbottens Kuriren är på Kallax och rapporterar om inställda plan.
Beslut om förstärkt IT-incidentberedskap
April 15th, 2010Enligt ett pressmeddelande från igår 2010-04-14 har Regeringen fattat beslut om förstärkt IT-incidentberedskap:
För att stärka samhällets informationssäkerhet och förmåga att förebygga och hantera IT-incidenter har regeringen idag beslutat om följande uppdrag till Myndigheten för samhällsskydd och beredskap (MSB) samt Försvarets radioanstalt (FRA).
Säker digital informations- och kommunikationsinfrastruktur säkerställer samhällets incidenthanteringsarbete
– I samhället finns det behov av en administrativ och teknisk infrastruktur för informationsdelning och respons där samtliga aktörer av betydelse för informationsinfrastruktur bör finnas representerade. MSB ska därför lämna förslag pÃ¥ hur en säker digital informations- och kommunikationsinfrastruktur för myndigheter, kommuner och landsting kan skapas. Uppdraget handlar inte om att bygga helt ny infrastruktur. Systemet ska närmast bygga pÃ¥ samt nyttja befintlig infrastruktur. MSB ska genomföra uppdraget i samrÃ¥d med andra berörda aktörer bland andra de som ingÃ¥r i SAMFI (Försvarets radioanstalt, Försvarets materielverk, Post- och telestyrelsen, Försvarsmakten och Säkerhetspolisen), Totalförsvarets forskningsinstitut, Skatteverket samt Delegationen för e-förvaltning.
Nationell plan för att hantera IT-incidenter och klargöra ansvar och roller
– Det finns behov av att klargöra ansvar och roller pÃ¥ nationell nivÃ¥ samt att ange processer och rutiner för den nationella hanteringen av IT-incidenter. UtgÃ¥ngspunkten är ansvarsprincipen. MSB ska därför ta fram en nationell plan som klargör hur allvarliga IT-incidenter ska hanteras samt skapa tekniska kompetensnätverk av experter som kan stödja samhället vid allvarliga IT-incidenter för att skapa en ökad förmÃ¥ga till respons. Planen ska ocksÃ¥ ta hänsyn till den viktiga roll som näringslivet och andra organisationer har. MSB ska genomföra uppdraget i samrÃ¥d med andra berörda aktörer bl.a. de som ingÃ¥r i SAMFI (Försvarets radioanstalt, Försvarets materielverk, Post- och telestyrelsen, Försvarsmakten och Säkerhetspolisen), Totalförsvarets forskningsinstitut, Skatteverket samt Delegationen för e-förvaltning.
Obligatorisk incidentrapportering för statliga myndigheter
– Det finns ett behov av incidentrapportering hos statliga myndigheter för att löpande kunna bidra till en aktuell lägesbild av tillstÃ¥ndet vid samhällsviktig verksamhet och kritisk infrastruktur. MSB därför ska utreda hur ett system för obligatorisk IT-incidentrapportering för statliga myndigheter kan utformas. Övriga aktörer i samhället bör erbjudas att pÃ¥ frivillig basis delta i ett sÃ¥dant system.
Analysera och bedöma omvärldsutvecklingen avseende hot, sÃ¥rbarheter och risker inom informationssäkerhetsomrÃ¥det – bidrar till att prioritera skyddsÃ¥tgärder
– I arbetet med att prioritera skyddsÃ¥tgärder ingÃ¥r att analysera och bedöma omvärldsutvecklingen avseende hot, sÃ¥rbarheter och risker inom informationssäkerhetsomrÃ¥det. MSB ska därför kontinuerligt analysera och bedöma omvärldsutvecklingen avseende hot, sÃ¥rbarheter och risker inom informationssäkerhetsomrÃ¥det samt konsekvenser för viktiga funktioner i samhället. MSB:s rapportering ska beskriva hot, sÃ¥rbarheter och risker pÃ¥ informationssäkerhetsomrÃ¥det kopplat till de Ã¥tgärdsförslag som föreslÃ¥s i den nationella handlingsplanen för informationssäkerhet.
IT-säkerhetsanalyser – hjälp för att höja säkerheten hos myndigheter
– För att skapa en tydligare koppling av informationssäkerhet till samhällets krisberedskap och arbetet med samhällsviktig verksamhet och kritisk infrastruktur ska MSB ha möjlighet att föreslÃ¥ myndigheter att anlita Försvarets radioanstalt (FRA) för IT-säkerhetsanalyser. MSB ska ha möjlighet att utifrÃ¥n analyser av förmÃ¥gebedömningar, genomförda risk- och sÃ¥rbarhetsanalyser samt bedömningar av beroendeförhÃ¥llanden föreslÃ¥ enskilda myndigheter att anlita FRA för IT-säkerhetsanalyser. I dag genomför FRA IT-säkerhetsanalyser hos myndigheter som efterfrÃ¥gas stöd för detta.
Tidig förvarning / upptäckt av IT-intrång möjliggör snabba motåtgärder
– I dag saknas det möjlighet att skapa en helhetsbild som omfattar detektering av verkliga och potentiella intrÃ¥ng i informationssystem. Som ett bidrag till att stärka lägesbilden samt för att skapa möjlighet till förvarning ska MSB lämna förslag pÃ¥ hos vilka aktörer ett tekniskt detekterings- och varningssystem för samhällsviktig verksamhet och kritisk infrastruktur kan införas. MSB ska särskilt beakta det uppdrag till FRA som regeringen beslutat om den 14 april 2010.
Utformning av detekterings- och varningssystem mot intrångsangrepp
– I dag saknas det möjlighet att skapa en helhetsbild som omfattar detektering av verkliga och potentiella intrÃ¥ng i informationssystem. Som ett bidrag till att stärka lägesbilden samt för att skapa möjlighet till förvarning ska FRA lämna ett förslag pÃ¥ hur ett tekniskt detekterings- och varningssystem för samhällsviktig verksamhet och kritisk infrastruktur kan utformas och införas. Detta system syftar till att stärka skyddet för samhällsviktig verksamhet och kritisk infrastruktur. FRA ska särskilt beakta det uppdrag till MSB som regeringen beslutat om den 14 april 2010.
Att myndigheterna och andra offentliga aktörer kan kommunicera på ett säkert sätt är en förutsättning för god nationell informationssäkerhet. I det svenska samhället behövs en administrativ och teknisk infrastruktur vid kriser och olyckor för informationsdelning och respons i vid mening, där samtliga aktörer av betydelse för samhällets kritiska informations¬infra¬struktur finns representerade. En sådan stödorganisation och infrastruktur behöver ha en hög informationssäkerhet för att inte slås ut vid allvarliga störningar. Regeringen anger i budgetpropositionen för 2010 (prop.2009/10:1, bet 2009/10:FöU1, rskr. 2009/10:104) att rapportering av IT-incidenter som utgör hot mot eller medför allvarliga konsekvenser för samhällsviktig verksamhet och kritisk infrastruktur behöver förbättras.
Storskaliga IT-incidenter blir snabbt tvärsektoriella frågor som kräver ett samfällt agerande från många olika aktörer. Vid angrepp som drabbar kritisk infrastruktur och samhällsviktig verksamhet saknas det för närvarande möjlig¬het att skapa en samlad lägesbild. En sådan lägesbild handlar dels om att detektera verkliga och potentiella intrång, dels om att studera avvikelser från normalbilden. I dag förfogar nätoperatörerna och andra aktörer var och en över sin del av lägesbilden, men ingen av dem kan i dag se helheten.
Uppdragen ska redovisas senast 1 mars 2011 till Regeringskansliet (Försvarsdepartementet).
MSB fick alltså huvudansvar och rollen som förare.
Informationssäkerhet.se
April 12th, 2010Myndigheten för Samhällsskydd och Beredskap (MSB) har startat en ny webbsida om informationssäkerhet kallad… Informationssäkerhet.se.
Just nu finns det inte så mycket information på webbsidan annat än beskrivning av syftet och vad som avses att komma:
Här ska du snart hitta stora delar av det stödmaterial du behöver för att arbeta med informationssäkerhet på ett systematiskt sätt. Informationsmängden på webbplatsen är i nuläget begränsad men kommer att växa efter hand.På webbplatsen publicerar vi inte bara färdiga produkter. Det är lika viktigt att ta tillvara kunskap och erfarenhet från praktiskt informationssäkerhetsarbete. Du kan följa och delta i arbetet med att ta fram stöd genom att lämna synpunkter på dokument under framställan. Målet är att skapa praktiskt användbara och konkreta resultat med en bred förankring.
Mycket på webbsidan handlar om dokument och processer för att arbeta med Informationssäkerhet. Det finns bland annat en fin vattenfalls-figur på sidan om
Tyvärr verkar det inte gå att surfa säkert till Informationssäkerhet.se. Försöker man ta sig dit med HTTPS får man ingen kontakt.
DNs temasida om ACTA-avtalet
April 12th, 2010DN har skapat en temasida om ACTA-avtalet.
Piratkopierade väskor© DN.
På temasidorna finns ett flertal artiklar som beskriver vad avtalet handlar om, ACTA-förhandlingarna och mycket mer. Bra tjänst för den som är intresserad av att veta mer om ACTA.
Qubes – Ett nytt operativsystem
April 11th, 2010Joanna Rutkowska, känd för sin forskning om säkerhet och virtualisering (exempelvis Blue Pill) har utvecklat ett nytt operativsystem.
Det nya OSet kallas Qubes är baserat på den öppna hypervisorn Xen och målet är att genom att isolera applikationer från varandra skapa ett säkert OS för desktop-maskiner.
Förutom Xen använder/bygger Qubes på Linux och ser i stort sett ut som vilken modern Linux som helst. Här är en skärmbild:
Flera olika applikationer från olika virtuella maskiner.
En viktig fråga när det kommer till isolering (sanboxing) är hur delning av data skall ske. Qubes inkluderar funktioner för att säkert klipp & klistra mellan applikationer i olika maskiner och vem som har access till klibb-bufferten. Qubes har även stöd för att kopiera filer/data mellan olika virtuella maskiner.
Att köra ett flertal (stort antal) virtuella maskiner skulle man kunna tro vore prestandakrävande, men följande bild sägs visa att maskinerna tar väldigt lite resurser när de inte arbetar:
Qubes går just nu bara att installera på 64-bitprocessorer och inte att köra i en virtualiserare (den behöver access till den fysiska maskinen.)
Arkitekturen finns kortfattat beskriven på webben. Följande figur visar hur OSet skapar olika virtuella maskiner för varje applikation som körs av Xen.
Rutkowska & Co beskriver hur det fungerar så här:
Qubes implements Security by Isolation approach. To do this, Qubes utilizes virtualization technology, to be able to isolate various programs from each other, and even sandbox many system-level components, like networking or storage subsystem, so that their compromise don’t affect the integrity of the rest of the system.
Qubes lets the user define many security domains implemented as lightweight Virtual Machines (VMs), or “AppVMsâ€. E.g. user can have “personalâ€, “workâ€, “shoppingâ€, “bankâ€, and “random†AppVMs and can use the applications from within those VMs just like if they were executing on the local machine, but at the same time they are well isolated from each other. Qubes supports secure copy-and-paste and file sharing between the AppVMs, of course.
Arkitekturen är även närmare beskriven i ett dokument (PDF). Det finns en PDF att läsa för den som vill veta mer och det finns även en Qubes-Trac med Wiki. (Bra projekt kör Trac.)
Hur man öppnar resväskor utan att det syns
April 10th, 2010På Youtube finns en hemsk (och hemskt intressant) film om hur man kan öppna och sedan stänga en resväska utan att det syns. Det enda verktyg som krävs är en kulspetspenna:
Notera att väskan är låst med ett hänglås som låser ihop dragkedjans två dragmekanismer. Kommentaren på slutet är väl värd att lägga på minnet: Du är ansvarig för det som finns i din resväska. Det stora bekymret är egentligen inte att det går att öppna en resväska man tror är låst, utan att det går att återförsluta den så att det inte finns något som visar att ett intrång skett.
Lärdomen från denna film borde vara att inte använda resväskor med dragkedjor.
Todos köps av Gemalto
April 9th, 2010Svenska Todos som bland annat tillverkar olika kod-dosor för bank-inloggning har blivit uppköpta av franska Gemalto.
Gemato köper Todos från 6:e AP-fonden.
