Biostar 2

en databas med biometriska data tillhörande det sydkoreanska företaget Suprema (supremainc.com). Suprema hanterar biometriska uppgifter åt många kunder i hela världen. – I augusti 2019 avslöjades att stora mängder data från Biostar 2 hade läckt. Uppgifterna – fingeravtryck och data för ansiktsigenkänning gällande över en miljon människor – hade lagrats okrypterade i en databas av typ Elasticsearch. Informationen används av många företag för inpasseringskontroll och identifiering. Bristen på kryptering innebär att angripare kan ta bort, lägga till, kopiera och ändra uppgifter. – Intrånget, som avslöjades av de israeliska forskarna Noam Rotem och Ran Locar (se denna rapport), publicerades först i den brittiska tidningen The Guardian (länk).

[biometri] [dataläckor] [skandaler] [16 augusti 2019]

engångskod

(one-time code, OTC)lösenord som ska användas bara en gång. Ofta en sifferserie. Syftet är att göra uppsnappade lösenord oanvändbara. Det finns två slags engångskoder:

  • – koder som står i en lista: användaren har ett exemplar av listan och mottagaren ett annat. När användaren har använt en av koderna kan den inte användas igen. Processen kan vara automatiserad. Läs också om engångskrypto;
  • – koder som genereras när de ska användas. Detta kan göras hos användare och mottagare oberoende av varandra eller i en session. Om koden genereras av användaren och mottagaren var för sig används algoritmer, som kan vara lagrade i särskilda hårdvarunycklar, och som gör sina beräkningar utifrån en lagrad gemensam hemlighet eller, till exempel, klockslaget. Parterna gör samma beräkning samtidigt och jämför resultaten. Koden kan också genereras i en session där användare och mottagare utväxlar data som behandlas enligt principerna för utväxling av nycklar för asymmetrisk kryptering.

[lösenord] [ändrad 5 augusti 2019]

decentraliserad identifiering

identifiering vid transaktioner över internet eller med annan elektronisk kommunikation. Parterna är alltså inte i samma rum, och oftast är den ena parten en dator. Det kan därför vara lättare för bedragare att lyckas med identitetsstöld. Utmaningen är att säkerställa att den som använder en viss identifieringsmetod (lösenord, e-legitimation) verkligen är den rätta innehavaren av den angivna identiteten. Man måste också skydda mot bedrägerier där den rätta innehavaren av en identitet luras att logga in på en tjänst, vanligtvis en bank, med e‑legitimation och därmed släpper in bedragaren på tjänsten. – På engelska: decentralized identification, förkortat DID.

[identifiering] [5 augusti 2019]

impersonation

  1. – en mekanism i vissa IT-system där en process får disponera användarnamn och lösenord från en användare eller en annan process för att kunna utföra en viss uppgift. Kallas på svenska för impersonering. Den svenska ordformen förekommer bara i just den betydelsen;
  2. – engelska för: imitation av någon annan; det att man utger sig för att vara någon annan. Det kan göras som underhållning eller som led i bedrägeri – se impostering.

[identitet] [programmering] [15 maj 2019]

nolltillit

(zero trust) – i it-säkerhet: principen att inte lita på något som inte är identifierat och autentiserat vid varje interaktion. All åtkomst till organisationens it‑resurser ska kräva identifiering och autentisering, inte bara vid inloggning i nätverket, utan under hela sessionen. Användares och enheters (datorer, mobiltelefoner, surfplattor) tillgång till it‑resurser ska begränsas till vad som är nödvändigt. Behörigheter ska begränsas till lägsta möjliga. Kommunikation som e‑post och filöverföring utifrån ska bara tillåtas från avsändare som är godkända och autentiserade vid varje tillfälle. – Principen om nolltillit formulerades 2010 av den amerikanska säkerhetsforskaren John Kindervag (länk). Det är en reaktion på insikten att många it‑säkerhetssystem, som brandväggar, bevakar ingångarna till it‑systemet, men inte bevakar vad som händer efter att en användare eller ett meddelande har tagits emot.

[it-säkerhet] [15 mars 2019]