Kategori: it-säkerhet

Common vulnerabilities and exposures

(CVE) – standardiserade namn på sår­bar­heter och exponeringar i it‑system. Namnen kallas för CVE identifiers eller CVE‑id. – Syftet med CVE är att under­­lätta sam­arbete och informations­­utbyte mellan säkerhetsansvariga genom att ge hoten en­hetliga namn med beskrivningar. Namngivningen samordnas inom företaget Mitre. – Se cve.mitre.org. – Se också MAEC (Malware attribute enumeration and characterization).

[skadeprogram] [skydd] [ändrad 7 november 2017]

transport layer security

(TLS) – ett protokoll för säker dataöverföring på webben, avsett att vara ersättare för SSL. Det ingår i HTTPS. – TLS krypterar den datamängd som ska överföras och kontrollerar motpartens identitet. TLS är rätt likt SSL, men de två protokollen är inte utbytbara. – TLS har varit i bruk sedan början av 2000‑talet jämsides med SSL. Många nyare tillämpningar av SSL hanterar både SSL och TLS. – I augusti 2014 meddelade Google att företaget kommer att ge webbsidor som skyddas med TLS högre rankning än sidor som inte använder TLS (se denna länk). – Läs mer om TLS på internets tekniska ledningsgrupp IETF:s webbsidor i RFC 5246 – se  här.

[it-säkerhet] [rfc] [webben] [ändrad 24 december 2020]

olaga identitetsanvändning

användning av en annan persons identitets­upp­gifter på ett sätt som medför skada eller olägen­het för den drabbade. – Detta är förbjudet i svensk lag sedan den 1 juli 2016. – Den statliga Egendomsskyddsutredningen före­slog 2013 att det skulle kriminaliseras (SOU 2013:85), se denna länk, där det kallas för identitetsintrång. Regeringen lade sedan fram ett förslag till Lagrådet (lagradet.se) i februari 2016, då med benämningen olaga identitetsanvändning. Förslaget röstades igenom i riksdagen och blev lag den 1 juli 2016, se denna länk, (kapitel 4, paragraf 6b). – Brottsliga handlingar som görs med stulen identitet var givetvis brottsliga redan tidigare, men nu är alltså identitetsintrånget som sådant också ett brott. Det kallas också för id‑stöld, id‑kapning, identitets­stöld och identitetskapning, på engelska: identity theft, identity fraud eller identity usurpation. Lagen gäller däremot inte när en person skaffar sig flera identiteter som inte är stulna, utan knutna till hennes egen fysiska person. – Förslaget i Egendomsskyddsutredningen blev kritiserat för att det bara tog upp bedrägerier, men inte när identitetsintrång används för nätmobb­ning, förföljel­ser och andra trakasserier. I regering­ens förslag till Lagrådet räknades därför olaga identitetsanvändning som en form av olaga förföljelse. – Myndigheten för samhällsskydd och beredskap (MSB) har ett test för risken att råka ut för id‑kapning på idkapning.msb.se. – Se också impostering och läs om Samverkan mot id‑intrång (SMID).

– Amerikanska Identity theft resource center (länk) skiljer mellan fem typer av identitetsstöld:

  1. – Criminal identity theft – det att någon som grips för ett brott upp­ger någon annans identitet;
  2. – Financial identity theft – identitets­intrång i syfte att komma över pengar eller varor;
  3. – Identity cloning – det att man tar över någon annans identitet och lever som den personen i det dagliga livet;
  4. – Medical identity theft – användande av någon annans identitet för att få till­gång till sjuk­vård, läkemedel eller falska läkarintyg;
  5. – Child identity theft – an­vändande av ett barns identitetsuppgifter i bedrägligt syfte.

[identifiering] [it-relaterad brottslighet] [lagar] [personlig integritet] [ändrad 21 november 2018]

förlitande tjänst

tjänst eller nätverk som en användare har tillgång till utan att hon behöver logga in, förutsatt att hon redan är inloggad på en annan tjänst som samarbetar med den andra. – Den tjänst som användaren redan är inloggad på skickar ett intyg (en biljett) till den tjänst som hon önskar logga in på. Om biljetten är giltig loggas hon in utan att behöva ange användar­namn och lösenord eller annan form av autenti­se­ring. Observera att biljetten inte inne­håller lösenord eller annan informa­tion som används vid vanlig autentisering. På engelska: relying party, förkortat RP. – Se också gemensam inloggning, identitetsfederation, identitetsintygare och samordnad identitetshantering.

[lösenord] [ändrad 15 oktober 2018]

identitetsintygare

funktion som bekräftar att en användare av en tjänst eller ett nätverk med gemensam inloggning har rätt att logga in. Detta sker över nätet varje gång användaren loggar in. Det är identitets­intyg­aren som har katalogen över godkända användare och deras lösen­ord. Den tjänst som användaren vill logga in på behöver därför inte ha en sådan katalog. När an­vänd­aren loggar in och anger an­vändar­namn och lösenord skickar identi­tets­intyg­a­ren en instruk­tion till tjänsten om att an­vänd­a­ren ska få tillgång till tjänsten. Kallas också för identi­tets­intygs­utgiv­are eller identi­tets­leve­rantör. På engelska: identity provider, förkortat IdP.

[inloggning] [ändrad 15 oktober 2018]

homofon kryptering

kryptering där varje individuellt tecken i klartexten kan motsvaras av flera olika tecken i kryptotexten. Till exempel kan bokstaven S enligt ett slumpmässigt mönster kodas som flera olika tecken – fast alla de tecknen står för S. – Syftet med homofon kryp­te­ring är att försvåra forcering av krypterade meddelanden. Vissa bokstäver, som S, är nämligen vanligare än andra i text, medan till exempel W och Q är ovanliga på svenska. Det kan ge en ledtråd åt den som försöker forcera kryptotexten. Det är därför önskvärt att göra alla tecken ungefär lika vanliga. Det gör man i homofon kryptering genom att ersätta S och andra vanliga bokstäver med flera olika tecken. Då jämnar man ut skillna­derna mellan olika bokstävers före­komst. Det gör det svårare att forcera kryptotexten. – På engelska: homophonic encryption. Man talar också om homofont chiffer – homo­phonic cipher. – Se också homo­fon.

[kryptering] [ändrad 6 juli 2020]

BadUSB

en allvarlig sårbarhet i USB‑systemet. Den blev känd sommaren 2014. (Egent­ligen är BadUSB namnet på ett program som demonstre­rar hur sårbar­heten kan utnyttjas.) – Sår­bar­heten bygger på de fasta program (firmware) som ingår i varje USB‑minne, och som styr dess funk­tioner. Dessa program finns kvar i det fasta minnet även om man raderar allt som finns i det minne som är tillgäng­ligt för an­vändaren. Bland annat talar dessa program om för annan utrust­ning vad USB‑enheten har för funktion – är den en dator, en kamera, ett USB‑minne… Men det är möjligt, med rätt kunskaper, att programmera om det fasta minnet så att ett vanligt USB‑minne till exempel presenterar sig för en dator som ett tangent­bord, och matar in förprogrammerade instruktioner. Det kan då installera program, tjuvlyssna på internettrafik och göra allt annat som USB‑ansluten utrustning kan göra. Dock utan att vare sig USB‑minnets ägare eller den angripna datorns ägare behöver vara medvetna om det. Manipu­la­tionen av USB‑min­nets fasta minne upptäcks inte vid en vanlig säkerhetskontroll. För att sårbarheten ska elimi­neras krävs att programmen i fast minne på USB skrivs om och installeras om på all sammankopplad utrustning med USB. – Sårbarheten upptäcktes 2014 av säkerhetsforskarna Karsten Nohl (tyska Wikipedia) och Jakob Lell (blogg). De presenterade sina rön på säkerhetskonferen­sen Black hat i augusti 2014. (Video från presentationen finns på Youtube.) Nohl och Lell har också skrivit programmet BadUSB för att demon­strera sårbarheten. – Läs mer i Wired.

[sårbarheter] [usb] [ändrad 28 februari 2018]

hacka

– att hacka:

  1. – skaffa sig tillgång till filer och andra resurser i ett it-­system, trots att man inte har behörighet att använda dem. I princip att begå data­­intrång. Även: att göra ändringar i ett it-­system utan till­stånd. – Se också jailbreak;
  2. – att göra ett hack;
  3. – att experimentera med olika smarta sätt att lösa ett problem. Det behöver inte ha med it att göra, se till exempel growth hacking.

– På engelska: to hack. – Se också hackare.

[hackare] [it-säkerhet] [språktips] [ändrad 10 augusti 2019]