Satt och skulle bygga lite verktyg för att hålla reda på lösenord och inloggningar internt för Centrum för Effektivt IT, och så tittade jag på en serie om AES kryptering som fans på youtube för att fräscha up mina kunskaper. Kan rekommendera dessa Townsend Intro to AES, det fanns avancerade också från samma person/företag.

I vilket fall så nämnde han något jag inte tänkt på förut och det var: Hur vet man att ingen ändrat på den krypterade datan?

Jag menar de behöver kanske inte alltid ha knäckt krypteringen för att ställa till stora problem för programmet som skall använda denna krypterade data. Det kan ju räcka att lite i den krypterade strängen för att en mjukvara inte skall finna vad den förvänta sig och därmed flippa ut och skapa säkerhetsproblem eller bara vara till besvär. Det han nämnde var att använda hash för att verifiera sin data.

Så jag byggde två funktioner i Pascal

Pascal: Jo jag vet, folk tycker det är utdött, och jag programmerar till vardags i nästan alla språk men jag älskar pascal och jag var så oerhört glad att se att free-pascal och Lazarus har kommit så långt i sin utveckling att det är riktigt användbart. Jag har inte haft några problem att kompilera om mina gamla utils sedan förr (Delphi) i både Windows och Linux vilket är hur coolt som helst och betydligt mindre overhead än att använda java.

Tillbaks till den egentliga diskussionen.

Funktionen nedan tar en sträng som den lägger till en sha256 hash i slutet på och krypterar.

   1: function EncryptString(source: String): String;

   2: begin

   3:    Cipher:= TDCP_rijndael.Create(nil);

   4:    Cipher.InitStr(sha256hash(key),TDCP_sha256);

   5:    //    Notera att jag nedan lägger till en hash av 

   6:    //    source till strängen innan krypteringen

   7:    source := source +'#'+sha256hash(source);

   8:    Result:=Cipher.EncryptString(source);

   9:    Cipher.Burn;

  10:    Cipher.Free;

  11: end;

Denna motsatta funktion tar en krypterad sträng och avkrypterar den upp den, sedan delar den på hash och värde, gör en ny hash av värdet och jämför de två hasharna. Om dessa är lika då godkänner den resultatet annars returneras “ERROR (Data integrity)”.

   1: function DecryptString(source: String): String;

   2: var

   3:  i, i2:Integer;

   4:  tmpStr,tmpHash:String;

   5: begin

   6:    Cipher:= TDCP_rijndael.Create(nil);

   7:    Cipher.InitStr(sha256hash(key),TDCP_sha256);

   8:    tmpStr:=Cipher.DecryptString(source);

   9:    tmpHash:=copy(tmpStr,Rpos('#',tmpStr)+1,UTF8Length(tmpStr)-Rpos('#',tmpStr));

  10:    tmpStr:=copy(tmpStr,0,Rpos('#',tmpStr)-1);

  11:    if (tmpHash = sha256hash(tmpStr)) then Result:=tmpStr else Result := 'ERROR (Data integrity)';

  12:    Cipher.Burn;

  13:    Cipher.Free;

  14: end;         

Eventuellt skulle man skapa en riktig error, men för mitt behov är detta bättre och jag kollar efter ERROR när jag använder funktionen.

I vilket fall så genom att göra så här så ökar man säkerheten och blir medveten om ifall någon ändrat på den krypterade data man lagrat.

Jag som tänkt att detta skulle vara en levande blogg om säkerhet. Som det ofta är med mig så blir jag dock fångad i det vanliga livet och projekt som vi håller på med på Centrum för Effektiv IT. Jag önskar jag hade bättre disciplin angående detta, men jag antar att det hör till min personlighet att gräva ner mig i programmering eller systemering på ett eller annat sätt.

Detta är ingen ursäkt “jag trivs med vem jag är” men det är en förklaring. Om ni saknar mig eller om ni vill att jag skriver om något så är ni välkomna att  skicka mig ett e-post.

En intressant nyhet som varit sedan jag sist skrev var att Amerikanska skatteverket tydligen lyckades bli hackade och p.g.a. detta installerade malware hos sina besökare när det var dags för den årliga deklarationen. Jag hörde detta i ett avsnitt av Security Now-Steve Gibson. Jag måste säga att det var lite roligt i sin förfärlighet.

De ligger tydligen hostade hos Network Solutions som tydligen varit i blåsväder för samma sak flera gånger under en tid. Jag tycker synd om dem, samtidigt är det så att jag brukar säga att man kan inte vara 100% säker på att inte bli hackad, kanske inte ens nära 100%. Det man kan göra är som vanligt att enligt bästa förmåga skydda sig och sina kunder. Det som däremot visar hur duktig man är, är hur man hanterar problemen när man råkat ut för ett intrång. Network Solutions har uppenbarligen inte lagt de resurser de behöver för att få rätt på sina system efter tidigare attacker. Kanske beroende på att de saknar resurser för detta vilket man kan anta, men då borde de ha fört en diskussion med sina kunder så att dessa kollade igenom sin egen kod. Antingen har man gjort detta och det amerikanska skatteverket har nonchalerat dessa diskussioner vilket vore riktigt illa eller så har Network Solutions försökt gömma sina problem.

Anledningen att jag skriver detta är för att visa på hur kommersiella beslut, nonchalans, hemlighetsmakeri och övermod kan smyga sig in och ibland vara en större fiende och säkerhetsproblem än vad den egentliga attacken kanske är från början. Detta gäller både kunder och leverantörer säkerhet bygger mycket mer på öppenhet även med besvärliga och pinsamma problem än vad man vanligtvis tänker på.

Jaha, det var ett filosofiskt inlägg idag, som jag hoppas i alla fall jag lärt mig något av :)

Jag skulle vilja uppmärksamma er på 2 stycken gratis antivirus lösningar utan att gå in på djupet då jag inte testat dem hårt ännu själv.

Dels Microsoft Security Essentials (http://www.microsoft.com/security_essentials/), jag måste säga att detta känns riktigt imponerande, efter bara en minimal stund med det. Och det är inget minus att den finns på Svenska.

Sedan har vi ClamAV som äntligen har en Windows version att ladda ner. http://www.clamav.net/lang/en/ 
Denna är intressant av en helt annan anledning, då det är en “cloud” applikation som samarbetar med andra användare över nätet för att bekämpa antivirus i realtid som jag förstår det. Samtidigt som den medför en väldigt begränsad belastning på systemet.

Jag rekommenderar fortfarande Avast till mina kunder men ovan är intressanta alternativ.

Två enkla inställningar som kan göra din Adobe Reader betydligt säkrare.

Öppna Adobe Reader, gå via menyn Redigera->Inställningar.

Först avaktiverar vi roten till allt ont JavaScript :)

Det finns faktiskt väldigt lite anledning till att den skall ha JavaScript igång, det används så sällan. Dessutom så har jag svårt att se att det finns dokument jag skulle vilja riskera köra JavaScript för att se, men man skall väl aldrig säga aldrig :)

Nästa är att vi skall tala om för Adobe Reader att vi inte litar på den att öppna andra program i vår dator. Detta gör vi under Pålitlighetshanteraren.

Detta hindrar inte Adobe från att öppna externa dokument men den skall fråga om det först, vilket man kan tycka skulle vara default. Jag vill dock varna för en bugg som finns nu som gör att man kan ändra text i dialogrutan. Så p.g.a. detta skall ni vara försiktiga med att lita på dialogrutor från Adobe Acrobat i nuläget.

Mer information här: http://blog.didierstevens.com/2010/03/29/escape-from-pdf/

En rolig sak är att Avast antivirus som jag använder direkt varnade för test pdf som visar problemet.

Jaha nu har jag tittat färdigt på tv :)

Har ni testat surfa? I sådant fall har ni märkt att sidor inte visas som de skall och det är mycket som inte fungerar.

Det är faktiskt poängen, inga script körs längre utan att du tillåter dem och inte heller sparas några cookies, eller tillåts några flash att visas.

Det jag rekommenderar nu är att ni endast tillåter sådant som ni vet att ni vill använda, eller det som absolut behövs för att se sidan ni besöker.

Tillåt script:
Det lättaste sättet att göra detta på är följande när ni besöker en sida som innehåller script eller inte visas ordentligt, högerklicka då på noscript ikonen längst ned till höger på FF och välj ”Tillåt webbnamn.doman.se” i det fall att ni besöker den ofta, im ni inte är återkommande besökare så välj ”Tillåt tillfälligt webbnamn.doman.se”

Tillåt Cookies:
Samma logik gäller cookies, högerclicka på Permit Cookies ikonen längst ned till höger (©) och tillåt Session (tillfälligt) om ni inte är återkommande besökare och ”Tillåt” om ni ofta använder siten.

Övrigt:
Ni kommer också att märka att bredvid adress fältet så finns nu en ring som på nedan bild visar grönt. Detta är Web of Trust (WOT) som visar hur säker deras användare bedömt webbplatsen.

Dessa ikoner kommer även att visas när ni söker t.ex. med hjälp av Google som också går att se nedan.

Färgen på dessa ikoner skall betraktas som riktlinjer, ju mer avancerad du är som användare desto mer kan du göra dina egna val. Grund idén är dock att grön är säker och röd är farlig. Ni kan också själva bli medlemmar på WOT och hjälpa till att bedöma webbar ni besöker t.ex. min blogg hint, hint :).

Till slut:
Jag tycker själv inte om när någon försöker spara information om mina förehållanden, sökningar etc. på nätet. Inte för att jag gör något dumt utan för att jag inte litar på andras hantering av sådana uppgifter. Utav denna anledning förespråkar jag att inte godkänna sådana script källor som google-analythics.com och doubleclick.com. Vill du gå ett steg längre bör du använda https://www.startpage.com/ (notera https) som sökmotor istället för Google.

Jag vet att det är krångligt och tar ett tag att vänja sig vid att använda denna typ av låsning av sina system men ni kommer lära er mycket om vilka som försöker hålla koll på er och om säkerhet med dessa nya inställningar.

Jag tänkte beskriva hur man säkrar upp sitt system och tar större kontroll över surfning och vad som körs på sin egen maskin när man besöker hemsidor runt om i världen.

För enkelhetens skull kommer jag använda förkortningarna FF och IE nedan för Firefox och Internet Explorer.

Innan vi börjar vill jag ge en VARNING säkrare innebär inte enklare.

Att öka säkerheten på detta viset innebär att du får större kontroll men det innebär även att du måste ta beslut om vad som får köras vid nästan varje ny sida du besöker. Detta innebär en hel del besvär, jag resonerar dock så att jag får en större medvetenhet om t.ex. script. Säkerhets mässigt är det också bättre tänkt att ta bort alla rättigheter och sedan bara slå igång det du verkligen behöver.

Du kan göra detta i två steg, ladda först ned FF och tilläggen till denna, gör mina inställningar använd detta ett tag och när det inte fungerar på en sida ta IE. När ni känner er hemma med er säkra FF så kan ni gå vidare med att låsa upp IE.

Jag vill också uppmärksamma er på att för mig och med mitt sätt att se på säkerhet så är även allt som är utformat för att kartlägga mig eller mina förehavanden också en säkerhetsrisk. Både för mig och mina vänner, kontakter.

1. Installera FF genom att gå till http://www.mozilla.com/sv-SE/ och ladda senaste ner den därifrån. (Det kan debatteras huruvida man skall ha senaste eller näst senaste men det är utanför ramen av denna guide.)
2. Lägg till tilläggen
   • Adblock Plus
     https://addons.mozilla.org/en-US/firefox/addon/1865
   • Noscript
     https://addons.mozilla.org/en-US/firefox/addon/722
   • WOT (Web of trust)
     https://addons.mozilla.org/en-US/firefox/addon/3456
   • Permit Cookies
     http://gorgias.de/mfe/
     (Den finns på FF addonsite med, men då jag laddade ner den sist så fans inte till senaste FF på den officiella siten så jag laddade ner från författaren ovan.)´
3. Konfigurera FF
   Öppna FF och gå till menyn ”Verktyg->Inställningar”
   • Jag brukar ändra filnedladdningen under ”Allmänt” men det är mer för att jag inte gillar hur FF sköter det.
     
   • Under fliken ”Sekretess” ställ in ”Använd anpassade inställningar för historiken” och kryssa ur allt.
     
4. Nu skall vi ställa in Adblock Plus för Svenska genom att gå till http://adblockrules.org/wiki.php?Wiki:Subscribe och tryck på ”Click to subscribe”
5. Längst ned till höger på skärmen har ni ett som ni kan högerklicka på för att få upp en meny. Välj “Alternativ” och gå till “Vitlista”, tag sedan bort alla domäner som visas i listan så att den är ren.
   

Bra, då kan vi gå vidare till att diskutera vad vi gjort och hur vi använder det vi installerat i nästa artikel. Just nu vill fru min att vi tittar på TV :)

Jag måste säga att jag är riktigt sugen på att köpa en Mac och har varit ett bra tag, jag tycker de ser riktigt trevliga ut när jag ser mina kompisar använda dem. Jag litar visserligen inte mycket på Apple och det känns som om man ger  bort en hel del valfrihet jämte en PC. Men samtidigt så upplever jag att de kompisar jag har som använder dem är mycket nöjda samtidigt som de upplever Mac som väldigt stabil och kraftfull.

En annan sak som lockar mig mycket med MAC är att jag skulle vilja kunna skapa mjukvara till IPhone och IPad (när jag får en). Dessutom har fi fler och fler kunder som använder mac hos Cefit AB och ett växande behov att ge support på dem.

Fick precis höra av en kompis att när de köpt sin iMac så hade försäljaren sagt att det inte behövs någon antivirus när man kör mac.

Jag måste säga att det var det dummaste jag hört på länge, frågan är om man ens skall rekommendera någon att köpa en dator av någon som uttalar sig på det viset.

Vist det är sant att det finns förre virus till Apple, till största delen pga. att de helt enkelt inte är lika populära som t.ex. PC+Windows, men det är inte så att det saknas virus och det är inte ens så att de är säkrare än Windows. Snarare är det så att de alldra flesta säkerhetsluckorna som upptäcks nu är gemensamma mellan systemen via fel i Java Script eller addon program som t.ex. Adobe Flash.

Det är skrämmande att personer som arbetar med datorer uttalar sig på det viset, de borde få rött kort och skickas direkt tillbaka till Arbetsförmedlingen utan att passera gå då de uppenbarligen inte har någon förståelse om datorer.

När jag hade säkrat upp zonerna i IE på min laptop kunde jag inte längre ladda ner exe filer från b.la. sourceforge utan sade bara Avbruten.

Detta berodde på en inställning i IE efter att man har satt Internet Zonen till Hög får man trycka på knappen “Anpassad nivå” och under “Övrigt” sätt “Starta program och filer som kanske inte är säkra” till fråga.

Nu skall nedladdningar fungera igen

Här är en lista över de tjänster jag tänkte använda jag använder för att Pinga min webblogg. Faktum är att det är nog mest Google som är riktigt aktuell för mig. Jag vill gärna informera om säkerhet samt vad som händer hos oss och jag hoppas det hjälper läsare. Men det är inte så att jag vill försöka bli någon stor bloggare eller framstå som en expert som man refererar till. Trots det så är det ju kul om någon läser vad man skriver :)

http://rpc.pingomatic.com/
http://rpc.aitellu.com
http://ping.bloggnytt.se
http://blogsearch.google.com/ping/RPC2
http://www.nyhetsfilter.se/ping/
http://nyligen.se/ping/
http://blogsearch.tailsweep.com/xmlrpc.do
http://rpc.technorati.com/rpc/ping
http://rpc.twingly.com/
http://nybloggat.se/ping/it
http://svensk.lemonad.org/ping/
http://ping.weblogs.se/
http://ping.feedburner.com
http://www.frisim.com/ping/
http://blogupdate.org/sverige/ping/
http://www.bloggupdate.se/post.php
http://www.bloggportalen.se/BlogPortal/view/Ping?do=ping
Kräver ett konto som ersätter ? nedan
http://ping.bloggportalen.aftonbladet.se/BlogPortalPing/ping/?????/???????

Jag använder Windows Live Writer när jag skriver (eller Word och sedan klistrar jag in i Live Writer så får jag bättre hjälp att stava). Live writer går att hämta gratis via http://download.live.com/

I Windows Live Writer så lägger du till ping tjänster via meny “Verktyg->Alternativ”