Grundlaget for denne og de efterfølgende artikler er baseret på Kaspersky Security bulletin 2014 skrevet af David Emm, og her på Tech-Test er vi rigtig glade over, at vi har fået lov til at kigge den igennem som det første medie i Danmark.
De to helt store samtaleemner
I sikkerhedskredse er der ikke tvivl om, hvad der fyldt rigtig meget i 2014. Det var nemlig sårbarhederne i to meget udbredte open source-protokoller, også kendt som ’Heartbleed’ og ’Shellshock’. Heartbleed var en fejl i OpenSSL-krypteringsprotokollen, som gør det muligt for angribere at læse indholdet af hukommelsen, og derved opfange personlig data, naturligvis på systemer der bruger den sårbare version af protokollen.
OpenSSL bliver typisk brugt til at sikre internet-baseret kommunikation, herunder web, e-mail, messenger-tjenester og Virtual Private Networks (VPN), så den potentielle katastrofe var enorm.
Der var også en meget reel risiko for, at personlige data ville blive afsløret, og der var kø ved de forskellige tjenester for at komme til at skifte kodeord.
Of course, this would only be effective once an online provider had taken steps to patch OpenSSL and thereby secure their systems – otherwise any new password would be just as much at risk from attackers trying to exploit the vulnerability.
Kaspersky Security Bulletin 2014
I september blev det røde flag endnu en gang rejst, da sårbarheden Shellshock , der også blev kendt som ’Bash’, blev opdaget.
Denne sårbarhed betød, at en angriber kunne vedhæfte en ondsindet fil til en variabel, som så ville blive afviklet når Bash-kommandofortolkeren blev startet. Da Bash er standard shell på Linux og Mac OS X-systemer, var det rigtig mange potentielle systemer, der pludselig var sårbare.
Igen var der en potentiel kæmpestor katastrofe, og da sårbarheden samtidig var let at udnytte, vakte den stor bekymring i sikkerhedskredse. Mange sammenlignede den med Heartbleed, men i modsætning til Heartbleed, så gav Shellshock fuld systemkontrol, ikke bare muligheden for at stjæle data fra hukommelsen.
Ifølge Kaspersky Lab gik der ikke længe, inden de cyberkriminelle udnyttede denne sårbarhed, og i de fleste tilfælde var angrebene rettede mod servere, der kørte med CGI-scripts skrevet i Bash.
Det er dog, ifølge Kaspersky Lab, ikke umuligt at sårbarheden også kunne have en påvirkning på Windows-baserede systemer, og desværre var problemet ikke begrænset til web-servere.
Bash bliver i høj grad brugt i firmwaren i enheder, som vi betragter som en integreret del af vores hverdag, blandt andet routere og trådløse access points.
Some of these devices can be difficult or impossible to patch
Kaspersky Security Bulletin 2014
Vores farlige hjem
Men 2014 var også året, hvor sårbarhederne for alvor trådte ind i vores hjem. Internettet er nemlig blevet en integreret del af vores daglige liv. Vi ser forbundne enheder i snart sagt alle dagligdags objekter.
This trend, known as the ’Internet of Things’, has attracted more and more attention. It can seem very futuristic, but the Internet of Things is actually closer than you may think.
Kaspersky Security Bulletin 2014
I rapporten fortæller Kaspersky Lab, at det moderne hjem højst sandsynlig har en håndfuld af enheder, der er koblet op til det lokale netværk, og at de ikke er traditionelle computere. Det kan være enheder som smart-tv, printere, spillekonsoller, harddiske på netværket eller medieafspillere eller satellit/kabel-modtagere.
En af Kaspersky Labs egne sikkerhedsforskere undersøgte hans eget hjem, for at finde ud af om det rent faktisk var sikkert mod cyberangreb. Han kiggede blandt andet på NAS’er, smart-tv, routere og satellit-modtager.
The results were striking. He found 14 vulnerabilities in the network-attached storage devices, one in the smart-tv and several potentially hidden remote control functions in the router.
Kaspersky Security Bulletin 2014
Kaspersky Labs fortæller, at det er vigtigt, at vi alle forstår de potentielle risici, vi løber, når vi bruger netværksenheder, og det gælder både private og virksomheder. Vi har også brug for at forstå, at vores information ikke er sikker, bare fordi vi bruger stærke kodeord eller kører software, der beskytter mod ondsindet kode.
There are many things over which we have no control, and to some degree we are in the hands of software and hardware vendors. For example, not all devices include automated update checks – sometimes consumers are required to download and install new firmware.
Kaspersky Security Bulletin 2014
Det er ikke altid let, og hvad værre er, det er ikke altid muligt at opdatere en enhed. De kan være låst fra fabrikanten eller de kan være udgået af produktion.
Herfra redaktionen skal der lyde en stor opfordring til at tjekke jeres hjem igennem, og få opdateret alle de enheder, der kan opdateres.
I næste artikel kigger vi nærmere på væksten i den mobile malware.
