Kriminalvården

svensk myndighet med ansvar för fängelser, häkten och frivård (kriminalvarden.se); i maj 2020 ertappad med ansvarslös hantering av it⇢säkerheten. Tv‑programmet TV4 Nyheterna (tv4.se/nyheterna) hade skickat mejl till myndighetens nio högsta chefer med texten att deras lösenord hade gått ut och måste förnyas. En länk för förnyelse av lösenord fanns i mejlet, men gick till en webbsida som nyhetsprogrammets undersökande reportrar bara använde för att registrera anrop. Trots att avsändaren av mejlet uppenbarligen inte fanns på Kriminalvården var det sex av nio höga chefer, inklusive kriminalvårdens säkerhetschef Kenneth Holm, som klickade på mejlet. När TV4 Nyheterna bad Kriminalvården att kommentera avslöjandet anmälde Kriminalvården tv-programmet för dataintrång. – Se TV4 Nyheternas webbsidor: länk.

– In English: The Swedish prison and probation service was in May, 2020, exposed with irresponsible handling of IT security at the agency’s top level. The news program TV4 Nyheterna had sent emails to the agency’s top executives, requesting them to renew their passwords. Although the mail obviously did not come from the agency’s IT department, six out of nine executives, including the head of security, still clicked on the link, which did nothing but register the call. When confronted by the reporters, the prison and probation service reported TV4 Nyheterna to the police for unauthorized access to its IT system. – For more summaries in English, please click on this link.

[it-säkerhet] [myndigheter] [rättsfall och skandaler] [19 maj 2020]

dataskingring

(data dispersion) – det att företagsintern information sprids till utomstående, oavsiktligt eller genom tanklöshet. Det är ofta en bieffekt av användning av personlig utrustning (smarta mobiler, bärbara datorer) som kan anslutas till organisationens nätverk utan tillräcklig säkerhet. En annan orsak är att anställda utan att tänka sig för vidarebefordrar intern information till utomstående, till exempel genom att skicka mejl och mejlbilagor vidare till dem.

[data] [it-säkerhet] [6 maj 2020]

kunskapsfaktor

i autentisering: något som en användare vet och som används vid inloggning. Kallas ibland för ”något man vet”. Det vanligaste är lösenord, men det kan därtill vara förberedda individuella svar på frågor som någon som försöker begå intrång troligen inte kan svara på, som ”var är din mamma född?”, ”vad hette ditt första husdjur?”. Det förutsätts att användaren har lösenord och andra svar i huvudet, eller uppskrivna på ett säkert ställe. – Kunskapsfaktor används i tvåfaktorsautentisering och flerfaktorsautentisering tillsammans med en besittningsfaktor (”något man har”).

[inloggning] [24 april 2020]

besittningsfaktor

i autentisering: materiellt föremål som måste användas vid inloggning. Kallas ibland för ”något man har”. Det kan vara ett kort, en bricka, en personlig smart mobil med en viss app eller något annat som bara finns i ett exemplar och som på något sätt kan styrka användarens uppgivna identitet. (Se också token.) Besittningsfaktorn används tillsammans med en kunskapsfaktor (”något man vet”), vanligtvis ett lösenord. – Se också tvåfaktorsautentisering och flerfaktorsautentisering.

[inloggning] [24 april 2020]

passiv biometri

biometrisk identifiering utan aktiv medverkan av den som identifieras. Det kan till exempel vara ansiktsigenkänning som görs genom ständig kameraövervakning. Den som identifieras behöver inte vara medveten om vad som sker. Hon behöver inte lägga handen på en sensorplatta eller titta in i ett kameraöga. – På engelska: passive biometrics.

[biometri] [14 mars 2020]

Clearview

  1. – Clearview AI – ett amerikanskt företag som tillhandahåller en tjänst för ansiktsigenkänning i stor skala för brottsutredningar. Tjänsten heter Clearview. – Clearview AI, som grundades 2017, har en databas med, enligt uppgift, över tre miljarder ansikten i bilder som har hämtats från sociala medier på internet. Företaget hävdar att insamlingen av bilder är laglig, eftersom bilderna redan är publicerade. Clearview AI fotograferar inte människor, men företaget har ett dotterbolag, Insight Camera, som säljer en tjänst med övervakningskameror. Tjänsten Clearview marknadsförs, enligt företaget, till polis och andra rättsvårdande myndigheter, men enligt avslöjande i Buzzfeed (se denna länk) säljs tjänsten också till många kommersiella företag. – I början av 2020 begärde Twitter, YouTube och Facebook att Clearview AI skulle ta bort alla bilder som samlats in från deras respektive tjänster och sluta samla in bilder från dem. – I februari 2020 blev det känt att en förteckning över Clearview AI:s kunder kommit på avvägar genom ett dataintrång. – I mars 2020 blev det känt att svensk polis har använt Clearview utan att det först hade gjorts en konsekvensbedömning. Enligt en EU-bestämmelse (se länk) är det inte tillåtet att använda ansiktsigenkänning för att identifiera en person. – Clearview AI hette först Smartcheckr. – Se clearview.ai;
  2. ClearView – ett program som kan rätta fel i datorprogram utan att ha tillgång till källkoden. Det utvecklades 2009 av professor Martin Rinard (länk)MIT. ClearView ska också kunna rätta fel i program medan de körs. – Se artikel i MIT Technology Review.

[biometri] [driftsäkerhet] [företag] [kriminalteknik] [övervakning] [11 mars 2020]

display name deception

avsändarförfalskning – angivande i bedrägligt syfte av en existerande och för mottagaren relevant person som avsändare av e‑post. Som avsändare kan det till exempel stå namnet på en hög chef i mottagarens organisation. Syftet kan vara att begå något slags bedrägeri, till exempel att lura avsändarens underordnade att betala ut pengar, eller att komma åt information – se vd‑bedrägeri och business email compromise. – Avsändarförfalskning bygger numera ofta på det faktum att många e‑postprogram bara visar namnet på avsändaren, inte domänen – alltså bara det som står före snabel‑a:et (@). Förfalskaren kan alltså sätta chefens.namn@bedragare.se som avsändare och räkna med att mottagaren bara ser chefens.namn. Detta är lätt att upptäcka om mottagaren tittar på adressinformationen, men de flesta gör inte det. Fördelen för förfalskaren är att om mottagaren svarar går svaret direkt till förfalskaren. Alternativet är att ange chefens korrekta e‑postadress som avsändare, vilket gör det svårare att fullfölja bedrägeriet. – På Ciscos webbsidor kan du läsa om olika metoder för att upptäcka avsändarförfalskning.

[bluff och båg] [e-post] [it-säkerhet] [28 december 2019]

zerofont

teckenstorlek noll – ett sätt att vilseleda spamfilter och program som upptäcker falska avsändaradresser i e‑post genom att blanda in bokstäver med teckenstorlek noll i texten. – Bokstäver med teckenstorlek noll visas inte alls och tar inget utrymme på bildskärmen, men de ingår i meddelandets källkod, vilket är vad spamfilter läser. Spamfiltret ser därför bara en textmassa som inte innehåller ord som filtret är programmerat att reagera på, men mottagaren ser ett läsbart och begripligt meddelande som innehåller de orden. – Exempel: i stället för viagra kan det stå vi gick uti hagen för att tralla. De överstrukna bokstäverna (inklusive ordmellanrum) kodas med teckenstorlek noll och visas alltså inte för mottagaren, men spamfiltret ser texten som helhet. (Mottagaren kan också se hela texten om hon visar meddelandets källkod.) – Förutom att lura spamfilter kan teckenstorlek noll användas för att lura program som upptäcker falska avsändaradresser. Det kan till exempel se ut som om Apple står som avsändare, men i själva verket står det kanske Alla hoppas och ler i avsändarfältet. Det finns då ingen anledning för programmet att dra slutsatsen att avsändaradressen är förfalskad. – Teckenstorlek noll är ett gammalt knep, men det används fortfarande. – Se också font.

[bluff och båg] [e-post] [it-säkerhet] [28 december 2019]

Real ID

amerikansk lag för hur körkort och andra id‑kort ska vara utformade för att godtas för identifiering på flyg och i andra sammanhang. – Lagen, the Real ID Act, antogs av USA:s kongress 2005. Genomförandet påbörjades 2013, och 2020 ska lagen tillämpas i hela USA. Ingen är tvungen att skaffa körkort eller id‑kort som uppfyller Real ID:s krav, men det krävs Real ID för att man ska få borda inrikesflyg, besöka kärnkraftverk eller besöka statliga myndigheter eller anläggningar där det krävs id‑kort.

[identifiering] [lagar] [19 november 2019]