CSS

  1. – cascading stylesheets, kaskadmallar – flera stilmallar knutna till samma webbsida – vilket innebär att samma text och bild och annat material kan presenteras i flera olika former. Man kan till exempel ha samma webbsida med en vanlig mall, en mall för besökare med syn­svårig­heter och en tredje mall som passar för handhållna apparater med små bildskärmar. Detta är relativt enkelt därför att mallarna är separata filer som inte ingår i webbsidans HTML-kod. Därför kan en webbsurfare ha egna stilmallar som CSS-anpassade webbsidor kan följa. Om webb­läsaren klarar kaskadmallar kan den välja mellan mallarna enligt användarens anvisningar. – En uppvisning av CSS finns på denna webbsida: klicka på de olika alternativen under ”Choose style sheet”. Det är samma webbsida (samma text och bild, förutom dekorationsbilder) i olika skepnader. En ändring på sidan slår igenom i alla versionerna. – Webbens tekniska ledningsgrupp W3C förklarar kaskadmallar här. – Läs också i Wikipedia;
  2. – content scramble system eller content scrambling systemkopieringsskydd som används på DVD‑skivor med upphovsrättsligt skyddat material, främst långfilmer. Det infördes 1996 och var lätt att knäcka redan 1999. Det används fortfarande, men har till stor del ersatts av andra kopieringsskydd. – För att en CSS-krypterad inspelning ska kunna dekrypteras krävs att samma krypteringsnyckel finns både på spelaren och på skivan. Det finns ungefär 400 nycklar i systemet. Varje tillverkare av DVD-spelare tilldelas en sådan nyckel, men varje DVD-skiva innehåller alla nycklar. Först efter att skivan och spelaren har utväxlat nycklar kan materialet dekrypteras och spelas upp. Om en tillverkare av spelare missköter sig har utgivaren av det skyddade materialet, alltså filmbolaget, möjlighet att utesluta den tillverkarens nyckel från kommande skivor. (Men det finns alltså inget sätt att blockera material som redan är utgivet.) – Se dcdcca.org. – CSS kan bland annat kringgås med programmet DECSS;
  3. – oftare: XSS – förkortning för cross-site scripting, se webbkodinjektion.

[attacker] [förkortningar på C] [upphovsrätt] [webbpublicering] [ändrad 21 maj 2019]

whack

  1. – hackarjargong för sned­streck (/), på mer formell engelska slash;
  2. – dataintrång på ett tråd­löst dator­nät. Ordet är en samman­­­dragning av wire­­­­less och hack. Ordet kan vara både sub­­stan­tiv och verb.

– I vanlig engelska betyder to whack ’att klappa till’.

Mactans

en falsk laddare som installerar en trojansk hästiPhone. Den konstruera­des för att demonstrera en sårbarhet i iOS, och är alltså inte en produkt. – Normalt kan man bara installera pro­gram som är god­kända av Apple på en iPhone, men kon­struk­tören av Mactans fann ett sätt att kringgå skyddet: skadeprogram installeras från en miniatyr­dator, Beaglebone, som har byggts in i en laddare. – Mac­tans utveck­lades av forskare på Georgia Tech information security center i Atlanta för att demons­trera svag­heter i Apples kontroll av program, se detta pressmeddelande. Mac­tans visades upp i augusti 2013 på säker­hets­konfe­rensen Black hat. Såvitt man vet hade något liknande då inte förekommit i andra sam­man­­hang. Apple svarade med att förse version 7 av iOS med en funktion som varnar när ett till­behör för­söker inleda data­kommu­nika­tion. – Namnet: Taget från gift­spindeln svarta änkan, på latin Latrodectus mactans. – Läs också om Jekyll.

[sårbarheter] [ändrad 16 maj 2018]

advanced persistent threat

(APT) – i it-säkerhet: avancerat långvarigt hot – försök att komma åt information från en organisations it-system genom långvarigt dataintrång. Målet kan också vara sabotage. Angriparen installerar i smyg program som samlar in olika slags information från värdsystemet och vidare­be­ford­rar den till angrip­aren. Angreppet görs på ett sådant sätt att det inte märks (annars blir det inte långvarigt), eller så att konsekvenserna, som sabotage, blir svåra att förklara. – Uttrycket används främst när angriparen tros vara en stat eller knuten till en stat.

[attacker] [10 mars 2018]

DNS-amplifiering

(DNS amplification, DNS reflection) – en typ av överbelastningsattack som utnyttjar namnservrar i DNS-systemet. Namnservern används som ovetande mellanhand i angreppet. – Angriparen skickar för­fråg­ningar om upp­slag­ning (att hitta den IP‑adress som motsvarar en viss webbadress, url) till en namnserver. En enkel förfrågan kan generera stora datamängder. För­frågan är försedd med falsk avsändaradress (se spoofing), så svaren skickas till en annan server. Den servern är det egentliga målet för attacken. Genom att sätta igång ett antal sådana förfrågningar kan man bombardera en server med mycket större datamängder än vid ett direkt angrepp. En förutsättning är att namnservern som används som mellan­hand är en öppen rekursiv resolver, något som bör undvikas.

[attacker] [internet] [ändrad 9 maj 2018]

webbkodinjektion

(cross-site scripting, förkortat XSS) – en metod för sabotage av webb­sidor utförd av besök­are på webb­sidan: be­sök­aren utnyttjar möjlig­heten att skicka data till webb­servern (till exempel genom att fylla i personuppgifter i ett formulär på en sida) för att överföra (injicera) program­kod (skript eller annan kod) som servern sedan exekverar. I stället för att bara fylla i sitt namn i ett fält matar sabotören alltså in HTML‑kod eller ett skript. Beroende på vilka sår­bar­heter som finns i serverns säker­hets­system kan detta leda till mer eller mindre allvar­liga problem. – Den engelska benämningen cross‑site scripting syftar på en av de tidigaste formerna av webbkodinjektion, men det finns varianter av webb­kod­injek­tion som varken är cross‑site eller skriptbaser­ade. Förkort­ningen XSS infördes för att man ville undvika förväxling med CSS i betyd­elsen cascading stylesheets. – Läs mer om cross‑site scripting i Wikipedia.

[attacker] [webben] [ändrad 10 november 2018]

ordlisteattack

(dictionary attack) – i it-säkerhet: försök att logga in på ett nät genom att testa en lång lista med sannolika lösen­­ord. Sådana listor (word­lists) brukar innehålla vanliga ord, för- och efter­­namn samt annat som brukar an­vändas som lösen­ord. Skydd mot ordliste­attacker är:

  • – välj långa lösenord. Angrip­arna måste ju sätta en övre gräns för hur långa ord de testar, så ju längre lösenord du väljer, desto lägre risk för att angrip­aren prövar med ett som är tillräckligt långt;
  • – sätt samman lösenordet av flera ord utan inbördes sammanhang (se dice­ware);
  • – blanda stora och små bok­stäver i lösenordet (lösen­ord är skift­käns­liga);
  • – stoppa in siffror och skiljetecken och byt ut bokstäver mot lämpliga siffror. Exempel: r3nHjord%svaGdr1cka&B0rne0.

– Om an­grip­aren i stället prövar alla tänk­­bara tecken­­kombina­tioner är det en ut­tömm­ande attack (brute force attack). De flesta webb­­sidor tillåter bara ett fåtal miss­­lyckade för­sök till in­logg­ning, sedan blockeras kontot till­fäll­igt eller perma­nent.

[attacker] [lösenord] [ändrad 13 januari 2018]

dagnollattack

dataintrång eller sabotage som utnyttjar en sår­­barhet som inte redan är känd (utom av angriparna). – Utvecklarna av pro­­grammet som har sårbarheten har alltså haft noll dagar på sig att korrigera sårbarheten. Det finns alltså ingen patch. – När det gäller sårbar­­heter i it‑system kan dag noll antingen vara den dag då en sår­­bar­­het blir allmänt känd eller den dag då program­­före­­taget släpper en patch. Här har termen dag noll fått en bredare be­ty­delse: det står för hela tiden innan pro­gram­före­taget in­griper mot sårbarheten. Under den tiden är det alltså fritt fram för sabotage och dataintrång för de som känner till sårbarheten. Man talar om zero-day exploits, se exploit, eller zero‑day attacks, ibland bara zero-days. – Uttrycket zero-day threat, dagnollhot, används ofta i samma betydelse som dagnollattack, även om det språkligt sett är skillnad mellan en attack och ett hot. – Se också forever-day.

[attacker] [ändrad 16 maj 2018]

man-i-mitten-attack

attack där angriparen i smyg upp­snappar och avläser meddelanden som sedan skickas vidare till den rätta mottagaren, even­tu­ellt med änd­ringar. – Avsändare och mot­tagare tror att de kommunicerar direkt med varandra, men allt passerar genom en tredje part som kan av­läsa och manipulera med­de­landena. Det är som om brevbäraren skulle fiffla med korrespondensen mellan två personer. – Man-i-mitten-attacker är ett klassiskt hot inom kryptering och it‑säkerhet. Ett försvar är att kryptera och / eller att förse alla med­de­landen med elektro­nisk signa­tur, men det går att fiffla även med sådana – se nyckelserver. – På engelska: man‑in‑the‑middle attack. – Det har föreslagits att man‑i‑mitten‑attacker på svenska ska kallas för Janusattacker efter den romerska guden Janus, som hade två ansikten, ett åt varje håll. – Se också domän‑i‑mitten‑attack, man‑in‑the‑browser attack, man‑on‑the‑side attack och reläattack samt schackstormästarproblemet.

[attacker] [ändrad 26 september 2018]