IT-säkerhetspodden 154g2h

I detta avsnitt utforskar IT-säkerhetspoddens Mattias Jadesköld och Erik Zalitis begreppet Security by Obscurity. Vad innebär det egentligen? Vad är skillnaden på gömma istället för att skydda?  I avsnittet diskuteras tre intressanta historier från verkligheten där (kanske?) Security by Obscurity varit en del i pusslet. Attackerna mot Deutsche Telekoms, Londons Oyester-kort och Sony Pictures. Men kan Security by Obscurity vara till nytta ibland? Men lösenord är ju hemliga ... är inte de obskyra då?

Samarbetet med SIG Security innebär att IT-säkerhetspodden gör avsnitt av föreningens olika föredrag. Dagens avsnitt bygger på en FOKUS-kväll om faran med tredjepartsleverantörer som Willem Stolk talade kring. Tredjepartsleverantörer, secure supply chain och riskhantering i praktiken - vad ska man tänkta om? Varför är det inte en IT-fråga?   Ofta får Willem höra att informationssäkerhet är en policy. Men så är det inte menar Willem. Lyssna och hör hur han resonerar.

Samarbetet med SIG Security innebär att IT-säkerhetspodden gör avsnitt av föreningens olika föredrag. Dagens avsnitt bygger på en FOKUS-kväll om det systematiska arbetet med informationssäkerhet med Tobias Ander från Secure By Me. Vad är egentligen ett ledningssystem? Vad innebär ett riskbaserat arbetssätt och hur fungerar det i praktiken? Var ska man börja? Och varför behöver olika företag med olika kulturer tackla informationssäkerhet på olika vis? Tobias Ander beskriver även hur man ska undvika så informationssäkerhetsarbetet inte blir en pappersprodukt. Alltså bara något man gör för att uppfylla en certifiering eller efterleva ett regelverk. TÄVLING Vi lottar ut två exemplar av hans bok. Allt du behöver göra för att delta är att dela denna post på Facebook, X eller LinkedIn. Tävlingen pågår fram tills 1 juni 2025.

Försvarsmakten satar på ett nytt cyberförband med förmågan att stoppa angrepp mot kritisk infrastruktur. Det ska stå redo redan i maj 2025. Vad betyder detta för Sverige? Hur påverkar de som arbetar med cybersäkerheten idag? Varför sker detta just nu och vilka anledningar finns det? Gör andra länder likande satsningar? Mattias Jadesköld och Erik Zalitis tar tempen på det nya cyberförbadet och även dess tilltänkta geografiska placering. Är duon enbart positiv eller finns det några farhågor ...?

IT-säkerhetspoddens samarbete med SIG Security innebär avsnitt baserat på föreningens olika föredrag. Dagens avsnitt bygger på en FOKUS-kväll om den allt snabbare mjukvaruutvecklingen. Till vår hjälp har vi Hannes Ullman med oss i studion.   Dagens mjukvaruutveckling går allt snabbare – från kodrader på den lokala datorn till produktion via CI/CD, mikrotjänstarkitekturer och öppen källkod. Men med en alltmer komplex leveranskedja växer också attackytan. Traditionella sårbarhetsskannrar och kodanalysverktyg saknar ofta insikt i hur mjukvaran faktiskt används, vilket resulterar i falsklarm och missade hot. Vill du lära dig mer om beteendeprofilering av mjukvara med hjälp av kärnmoduler och hur du kan använda det för att skydda din egenutvecklade mjukvara? Lyssna på avsnittet eller prova Bifrost plattform som man kan testa gratis: https://bifrostsec.com/-for-free-trial 

I dagens avsnitt handlar det om de äkta makarna Heather "Razzlekhan" Morgan och Ilya Lichtenstein som hackade Bitfinex och kom över 120 000 Bitcoins. Eftersom de är ett par som sysslar med brott förs tankarna till Bonnie och Clyde. Men vad finns för likhetern egentligen? IT-säkerhetspoddens Mattias Jadesköld och Erik Zaltiis tar sig friheten och jämför paren. Vad finns för olikheter? Hur skiljer som samtiden dem åt? Attacken är kanske inte så intressant rent tekniskt, men mer intressant är efterspelet och själva pengatvätten.  

Mattias Jadesköld och Erik Zalitis tar upp den senaste sårbarheten i CLFS som täpptes till i en uppdatering under april 2025. Systemet CLFS finns i Windows och introducerades för flera generationer sedan av operativsystem. Men vad är det? Och varför har det drabbats så ofta genom åren? Och vad innebär denna zero day sårbarhet? Och hur kan angriparen utnyttja den? Erik har dessutom en intressant tanke kring en modern attack och varför inte en angripare skulle nyttja en sådan attack där man kan lyckats anskaffa sig höga behörigheter. 

Under 2015 och 2016 skedde de mest genanta och förödmjukande läckorna ur användarnas synpunkter. Dels läckte miljontals kunders uppgifer från dejtingsidan Adult Friend Finder men även från "otrohetssidan" Ashley Madison. Kriminiella drogs till läckorna och pressade användarna och det ledde till mänskliga tragedier och till och med självmord. Mattias och Erik hör ofta att människor säger "jag har inget att dölja" när det handlar om övervakning och säkerhetskontroller. Men vill man verkligen ha alla sina personliga uppgifter på vift? Till exempel bilder, chatthistorik eller liknande? I avsnittet diskuteras även krypteringsalgoritm för lagring av lösenord vilket var en central del i Adult Friend Finder-läckan.

Nytt år och en ny "Svenskt Säkerhetsindex 2025"-rapport. Den här gången hjälper Nils Ågren till med fördjupningen av innehållet. Rapporten är unik i sitt slag eftersom den är så bred och tittar på säkerhetsläget långt utanför cybersäkerhetsområdet. hur kommer det sig att svenskar både har ökad, och minskad, tilltro till myndigheterna? Och varför har oron ökat inom organisationer och hos oss själva? Vi är positiva till NATO (i alla fall när rapporten gjordes) och samarbetet med totalförsvaret förbättras. Ja, en hel del annat disktuterar Nils, som till vardags arbetar med informations- och cybersäkerhetsfrågor på Omegapoint, med oss.  För den nyfikne finns rapporten gratis att ladda ner här: https://omegapoint.se/svensktsakerhetsindex 

Över 60% av dataläckagen idag beror på oaktsamma användare. Det kan bero på att det finns otydliga regelverk eller system som gör det lätt att göra misstag, men det kan också vara medvetet. Oavsett ger det konsekvenser.   Men det gäller alltså den mänskliga medarbetaren! Vad händer när den "digala människan" introduceeras i fler och fler organisationer?   Vad händer när vi använder oss mer av AI? Kan denna "digitala medarbetare" bete sig oaktsamt och rent av skada företaget den arbetar för. Kan ens AI läcka information?   Mattias jadesköld och Erik Zalitis går igenom de vanligaste anledningarna till mänskliga fel och funderar ifall det kan hända med ett AI? Utöver detta de senaste turerna kring ChatGPT (givetvis), DeepSeek och Mistral.

I början av 2000-talet (2003-2004) började amerikanska myndigheter märka av ett ökat antal intrångsförsök i sina mest känsliga system. Attackerna pågick i år och tycktes vara både sofistikerade och riktade. Attacken kallades Titan Rain. Händelserna blev en väckarklocka för hela världen. Kan en cyberattack vara statsunderstödd? Kan man anse att en cyberattack är lika allvarlig som en väpnad attack?   Mattias Jadesköld och Erik Zalitis går igenom händelseförloppet både med stora penseldrag och kring tekniska detaljer. Metoden verkar vara i stort sett lik moderna attacker, men vad skiljer? Hur gjorde man då, och hur gör man idag? Och hur skyddar man sig?

IT-säkerhetspoddens Mattias Jadesköld och Erik Zalitis tar sig en titt på den spektakulära kryptostölden av Bybit. Kryptobörsen hackades nämligen och förövarna kom över hisnande 1,5 miljarder dollar. Största summan någonsin, hittills, ever ... FBI var snabba att peka ut Lazarus. För att ta reda på mer om dem behöver IT-säkerhetspodden blicka österut mot Nordkorea. Hur nära samarbetar regeringen och Lazarus i Nordkorea? Vad för mer angrepp tros grupperingen ligga bakom? Vilka är de? Hur gick de till väga? Och kommer Bybit och tillhörande Etherium kunna resa sig efter denna uppmärksamma stöld?

Den lösenordsfria vardagen har aldrig varit närmare! Eller? Det börjar i alla fall närma sig på arbetsplatsen. Mattias Jadesköld och Erik Zalitis tar pulsen på Microsofts svar i form av Windows Hello for Business i detta avsnitt. Tekniken har funnit ett tag givetvis men var står vi 2025? Hur kan en PIN-kod vara säkrare inloggningsmetod än inloggning med autentiseringsapp? Det är den faktiskt! Det är sant! Svårt att övertyga folk, men tro mig, så är det! Håller du inte med? För att förstår utvecklingen av less, keys behöver duon gå tillbaka till böran av 2000-talet och se på utvecklingen med port, Windows 7 och även den enorma läckan i RockYou2024. Men hur ska man hantera systemkonton och konton då? Man kan ju inte logga in med fingret som en databastjänst. Duon har kanske lösning på även det när de resonerar.

Vad hände med filterbubblan? Begreppet har varit hett till och från och har en viss koppling till amerikanska valen!   För drygt sex år sedan, i IT-säkerhetspoddens andra avsnitt diskuterades begreppet filterbubblor och om detta existerade eller inte. Detta fenomen som sägs presentera olika information för olika användare har varit debatterat.   Då vfärdade forskare filterbubblan som en myt men hur är det egentligen idag när vi läser år 2025 i kalendern? Det råder faktiskt en del debatt om hur mycket filterbubblor verkligen påverkar oss. Vissa forskare menar att de är ett stort problem, medan andra hävdar att deras effekt är överdriven.   Mattias Jadesköld och Erik Zalitis diskuterar om vad en filterbubbla är. Finns den? Vilka tekniker är det som utgör dina svar och information på internet? Hur fungerar sociala medier? Historia om sökmotorer och AI-genererade bilder och en hel del annat!

IT-säkerhetspodden tog ett snack med Daniel Akenine och Sandra Elvin om AI, Microsofts stora satsning i Sverige och säkerheten kring AI. Vad det innebär för våra datacenter, utbildningsmöjligheter och även för miljön berättar Daniel och Sandra om. Vi har klassisk AI, Kognitiv AI, Generativ AI, Agentbaseratd AI och Fysisk AI - vad är skillnaden? Och vissa har funnits länge, men varför så hett nu? Teknikenn är het men även regleringen kring det och där är EU ledande, men finns det en risk att innovationen blir hämmad av regleringar? Vad är framtiden för GenAI och fysisk AI? Kommer vi få robotar som gör saker åt oss och tar egna beslut? Vilka attackmönster ser vi nu och vad tror vi kommer hända kring AI-attacker framöver? Dessa frågor, och en hel del annat, resonerar Daniel Akenine, nationell teknikchef för Microsoft, och Sandra Elvin, nationell säkerhetschef för Microsoft i detta asvnitt som bygger på en FOKUS-kväll hos Sig Security.  

Kan pentester automatiseras? Ja det finns faktiskt verktyg som kan genomföra sådana tester. Men vad tycker Mattias Jadesköld och Erik Zalitis om det? I dagens avsnitt diskuterar duon skillnanden mellan manuella och automatiska pentester. Men även arbetet med sårbarheter både ur ett tekniskt och processmässigt perspektiv.  

Tillgänghet. Den tredje delen och CIA-triaden tar sig duon Mattias och Erik an tillgänglighet.  Varför är det så tillgänglighet ibland inte anses vara säkerhet? Det reds ut bland en hel del andra grejer. Vad ska man göra för att höja tillgängligheten? Hur länge får ett system vara nere som har 99,999% tillgänglighetskrav? Hur ska man bygga sådana system och hur ska man inte bygga dem? Sidospår om webbappar i Azure, Cloudflares CDN-nätverk och change management dyper också upp. Och så har Erik funnit en fin liten upptidsräknare - https://uptime.is/99   

Det här är avsnittet om Riktighet, eller integritet, som är ett avsnitt i en serie om tre. Serien handlar om CIA-trianden. För vad kan man om säkerhet egentligen om man inte kan CIA-triaden? Duon Mattias Jadesköld och Erik Zalitis går igenom riktighetens område. Vad är egentligen riktighet? Vilka risker och attacker finns kopplat till riktighet? Och vad behöver man jobba med för att höja riktigheten? Och kan det verkligen beskrivas så eneklet som Mattias säger att "konfidentialitet handlar om vem som kan läsa informationen och Riktighet vem som kan skriva informationen"? 

Grunden inom cybersäkerhet och informationssäkerhet är den så kallade CIA-triaden. Vad innebär de olika benen egentligen? Vilka attacker kan nyttjas och hur skyddar man sig? Mattias Jadesköld och Erik Zalitis har gjort en tredelad serie om CIA och först ut är konfidentialitet. Vad innebär det? Att en fjärdedel av tidigare anställda fortfarande har åtkomst till delar på sin tidigare arbetsplats är ett konfidentialitetsproblem. Varför då? Vilka risker finns? Hur skyddar man sig? Det här är första delen om just Konfidentialitet som senare av Riktighet och Tillgänglighet.

I dagens avsnitt av IT-säkerhetspodden tas sig Mattias Jadesköld och Erik Zalitis igenom 2024 års tekniska innovationer. Och givietvis är det AI som toppar listan men kanske förvånat är att mycket inom grön teknologi och hållbarhet som gjort genombrott. Utöver detta analyserar duon CISA oro kring Trumps anra presidentperiod. CISA skapades som en myndighet inom cybersäkerhet under 2018 av just Trump. Men varför en oro nu? Vad kan hända om den nye presidenten gör som han tidigare sagt?  Det har även skett lite omkastningar i sociala medier under 2024 som förväntas fortsätta under 2025. Vad ska man satsa på för att nå ut till en viss målgrupp?