När vi tänker webbapplikationstester så förs tankarna ofta till OWASP Top 10 och dess kategorier av tester. Men vad vi ofta går miste om är de många andra kategorier av sårbarheter som existerar för webbapplikationer. I detta blogginlägg tänkte jag diskutera en mindre diskuterad sårbarhet som kan ha stora konsekvenser. CORS står för Cross-Origin Resource […]
I början av 2018 deklarerade Wifi Alliance att WPA3 ska efterträda WPA2 [1], vilket skulle medföra ett antal nya säkerhetsfunktioner för trådlösa nätverk. Det var emellertid sparsamt med information om den bakomliggande teknikern vid det tillfället, men det ordinarie pressmeddelandet har kompletterats med officiella krav [2]. Det ska förtydligas att WPA3 är ett certifieringsprogram, alltså en […]
I den här bloggen tänkte jag diskutera de senaste veckornas gäckande samt fascinerade rapporteringen om kinesiska hacknings-attacker. Dessa ska bland annat ha tillämpat väldigt små inbyggda spion-chip i servrar. Bakgrund Grunden till påståendet om hacknings-attacker är tre stycken publicerade artiklar av Bloomberg. Den 4 oktober 2018 publicerades den första artikel om hur kinesiska underrättelseagenter har […]
I den här bloggposten tänkte jag kort diskutera tre funktioner i iOS för att motverka att någon med fysisk tillgång till en iPhone kan dumpa data från den; USB Restricted Mode, SOS-läge samt parningscertifikat. Detta är relevant vi forensiska utredningen, men även för den som funderar över sin telefons säkerhet rent allmänt. USB Restricted Mode […]
I det här blogginlägget ska vi ta en närmare titt på en typ av attacker som kallas side-channel attacker eller sidoattack om vi ska försvenska ordet. Dessa typer av attack sker mot själva implementationen av datorer eller inbyggda system och inte direkt mot en applikation eller lösning. För att förenkla detta låt oss ta ett […]
I den här bloggen tänkte jag översiktligt diskutera ett gemensamt ramverk som många populära skrivbordsapplikationer har börjat använda de senaste åren, och varför vi borde vara lite skeptiska till dess förekomst från en säkerhetssynpunkt. Viljan att köra JavaScript överallt: Vad är Node.js och Electron? Under de senaste åren har användandet av JavaScript exploderat. Framförallt har […]
Tidigare under året publicerades en sårbarhet under namnet EFAIL. Sårbarheten kan utnyttjas för att dekryptera e-postmeddelanden som skickats krypterade med OpenPGP och S/MIME. EFAIL består i grund och botten av två varianter av samma sårbarhet varav den variant som refereras till under namnet ”Direct Exfiltration” syftar på en sårbarhet i vissa e-postklienter som tillåter meddelanden […]
Den 1:a Maj 2018 infördes omfattande ändringar i Lagen om betaltjänster [1] och Lagen om elektroniska pengar [2], samt att Finansinspektionen publiserade FFFS 2018:4 [3]. I och med att dessa trädde i kraft, så infördes det nya betaltjänstdirektivet PSD2 (Payment Service Directive 2). Syftet med PSD2 är att modernisera och harmonisera regleringen av betaltjänster inom […]
Tidigare i veckan publicerades en artikel i Dagens Industri att införandet av GDPR kostat företag och organisationer i EU motsvarande 2000 miljarder kronor. GDPR behövs, det är många eniga om, och har krävt stora investeringar av företag och myndigheter. Vissa har jobbat med GDPR-införandet i över ett år. Den stora utmaningen för lagstiftaren är dock […]
Då man arbetar med säkerhet finns flera tillfällen då det är viktigt att kunna analysera exakt vilka filer som öppnas i ett system. Detta kan exempelvis vara: Reverse engineering av malware Triage i en Incidenthanteringsrutin Verktyg för Data leakage prevention/detection Vanligen finns redan färdiga verktyg för detta, exempelvis Sysinternals gamla vanliga verktyg. Windows har sedan […]