#340 - Forced browsing: gömt är inte skyddat

För ett par veckor sedan uppmärksammades ett par kritiska sårbarheter i PHP. Det blev snabbt en världsnyhet och inte bara på grund av sårbarhetens allvarlighetsgrad. Det visade sig nämligen att angripare väldigt snabbt kunde nyttja sårbarheten och göra intrångsförsök på väldigt bred front. Vad skiljer sig denna sårbarhet mot alla andra tusen och åter tusen tidigare? Vad är egentligen PHP och hur har säkerhetsarbetet historiskt sett ut? Vad var det PHP löste som ingen annan kunde "back in the days" ? Erik Zalitis och Mattias Jadesköld förklarar den senaste händelsen genom att gå tillbaka till internets begynnelse.

Säkerhet blir en mycket större utmaning när man inte kan veta exakt var angriparen är och denne fortfarande kan avlyssna datatrafiken. Och det gör att radio är en svår utmaning för IT-branshen att skydda. Mattias Jadesköld och Erik Zalitis förklarar hur SDR (Software Defined Radio) har ritat om spelplanen och gett angriparen stora förmågor att med små investeringar bli ett enormt hot mot företag och organisationer. Radio är överallt och vi pratar om betydligt värre attacker än att bara avlyssna någons WIFI. Vad innehär blockering, pejling och hur vet en mottagare vem meddelandet kom från? Från drönare i fientligt teritorium till frågan om hur man kan veta vad skydda trafiken och garantera korrektheten i kommunikationen som går i luften.

Bortom det du kan inte kan se på hemsidan du surfar till ligger gömda funktioner och filer som man kan hitta bara man vet namnet. Och det är precis vad angriparen letar efter. I det här avsnittet av IT-säkerhetspodden pratar Erik och Mattias om forced browsing och vad det innebär, hur det fungerar och hur det kan påverka oss som användare.  Utanför den tydligt utstakade vägen finns sårbarheterna som ger tillgång till hemliga delar och okända funktioner. Hur nyttjar angriparna Forced Browsing och hur kan man försvara sig? Lyssna och få en djupare förståelse för fenomenet, varför det är viktigt att uppmärksamma detta angreppssätt som varit populärt i över tjugo år.

I juli 2026 gick Chat Control 1 igenom i EU och i närtid kommer sannolikt Chat Control 2.0 att göra detsamma. Förslagen ses som mycket kontroversiella och det finns en stark oenighet om dessa lagar är värda de inskränkningar av rätten till vårt privatliv som de innebär. Lås oss reda ut begreppen och vad det är som håller på att hända. Mattias Jadesköld och Erik Zalitis har varsin infallsvinkel. En är positiv och den andra negativ till förslagen. Detta är en monumentalt viktig händelse i Europas historia och vägen dit har kantats av tveksamheter. Vi pratar också om det senaste vad det gäller Privacy shields och om Max Schrems kanske har anledning att ladda om nu när det åter kan anses säkert att lagra data i USA. En felaktighet som behöver nämnas: vi har blandat ihop övervakning av namngivna personer med leverantörernas nya rättigheter. Det riktiga är att frivilligheten ligger i att leverantörerna själva får skanna. Jag har listat detta längst ner i diskussionen på hemsidan. Men det betyder att vi faktiskt lyckats få det att låta mindre allvarligt än det faktiskt är. Och det är intressant i sig.  

Nyligen lanserades en svensk AI-plattform som ger företag och offentlig sektor tillgång till ledande AI-modeller i en gemensam, säker och kontrollerad miljö.  Mannen bakom den är Errol Norlum, Chief Data & AI Officer (Advania) så IT-säkerhetspodden tog en titt på det hela.   Det finns en uppsjö olika AI-modeller - stora komersiella, små nischade och vissa open source. Till detta en nyfiken organisation som "vill ha AI" och samtidigt oroar man sig för EU:s olika regelverk. Hur ska man ta sig igenom den här djungeln? Kan man behålla informationen i Sverige? Kan man få AI-suvuränitet?   Mattias Jadesköld och Erik Zalitis tar AI-diskussionen på en ny nivå tillsammans med Errol. Här finns nämligen möjlighet att göra riktigt smarta steg att ta i sin AI-resa. Och samtidigt efterfölja regelverken, erbjuda moderna saker till sina medarbetare och skapa nyttja på riktigt. Detta avsnitt av IT-säkerhetspodden görs i samarbete med Advania.

PQC eller postkvantkrypton står på dagens agenda och avsnittet gästas av Mikael Simovits som har en gedigen bakgrund kring bland annat kryptering.  Mattias Jadesköld och Erik Zalitis tar tempen på området som alltid tycks vara aktuellt och nära men samtidigt aldrig blir riktigt klart. Hur pass långt utvecklad är kvant-tekniken? I teorin uppkom tekniken i början av 80-talet men var står vi idag? Och hur orolig ska man vara att de krypton vi använder idag kan knäckas när som helst?  Vi tar en titt på RSA, dess nyckelutbyte och problem kopplat till PQC.  Mikael har minsann en intressant vinkel på området! Avsnittet bygger på en FOKUS-kväll hos SIG Security.

Året är 2026 och många är bekymrade över artificiell intelligens. Men inte Anders Sandberg på Institutet för Framtidsforskning. Han ser problemen och utmaningarna som lösbara och framtiden full av potential. Idag talar Erik Zalitis med Anders om var vi är nu och hur 2030 kommer se ut. IT-säkerhetspodden har diskuterat AI långt innan det blev populärt och nu är det dags att se framåt men också bakåt: vad hade vi fel om och när förstod vi vart vi var på väg? Det handlar om den kommande AI-kraschen, Kinas senaste utspel, hur AI hackar allt, om AI någonsin kommer hitta på en ny konstform, varför allting verkar skena just nu och även varför vi inte ska oroa oss över SkyNet och robotar som ser ut som Arnold. Dessutom finns dessutom mycket att lära om hur Sovjet-Ryssland såg på Ronald Reagan och dagens fruktan för framtiden.

Från en FOKUS-kväll hos SIG Security talade Ludwig Östlund om testdata och det vill ju givetvis IT-säkerhetspoddens Mattias Jadesköld och Erik Zalitis ta en närmare titt på. Är testdata en flaskhals? Kan man möjliggöra, förenkla och samtidigt säkra testdata? Informationssäkerhet handlar inte bara om att säkra information i drift, utan även att se till att information (data) kan säkras och hanteras INNAN drift. När nya system tas fram behöver man ofta ha testdata för att göra ett verklighetsbaserat test. Det är aldrig rekommenderat att använda riktig produktionsdata för tester av flera skäl. Vad kan man göra och hur gör man? Kvällen kommer visa och förklara hur man kan göra detta på ett säkert och effektivt sätt. Ludwig Östlund, Head of Test/QA, från Lemontree berättar om den resa som han varit med på och hur man dessutom har löst att få fungerande testdata end-to-end i integrerade testmiljöer med spårbarhet och kontroll på vem som kan ha behörighet och åtkomst till testdata.

I dagens avsnitt diskuterar Erik Zalitis och Mattias Jadesköld tillsammans med Patrick Schlapfer på HP. Patrick arbetar till vardags med Threat reseach och ligger bakom HP:s senaste rapport. Vad är det senaste metoderna som angripare använder? "vibe-hacking" - vad är det? Hur an de komma åt kryptovaluta genom en backupfil? Och hur kan angripare använda ljudfiler för att ta sig in i datorer? Det och en hel del annat i dagens avsnitt som är på engelska! Bara en sån sak liksom.

I sommar har några uppmärksammade nyheter kring AI figurerat. Vad är det senaste kring Mythos? Kan AI bli så bra på att hacka att man inte kan kontrollera den? Är AI så pass kompetent nu att vi uppnått generell intelligens (AGI)? Mattias Jadesköld och Erik Zalitis tar tempen på den senaste utvecklingen efter ett långt sommarlov.