Sep 7 2009

Sikkerhetshull i WordPress! Oppgrader!

Postet kl.: 16:52 - med følgende tema: blogging,IT,teknologi

 

Etter å ha lest på Digi om en ny orm som driver og sprer seg på WordPress-installasjoner, så bestemte jeg meg for å oppgradere så fort som mulig. Siden jeg tidligere har gjort enkelte endringer i core-filene til WordPress, så har jeg alltid vært litt treg på slikt. Denne gangen har jeg dog gjort et seriøst forsøk på å flytte disse endringene ut i egne filer, og deretter bare overskrive/erstatte innebygde WordPress-funksjoner. Ser foreløpig ut til å fungere uten problemer.

Dersom noen ønsker å lese mer om problemene denne ormen forårsaker, så kan dere lese enten denne bloggen her, eller Matt Mullenwegs egen blog på WordPress.org.

Oppgraderingen gikk som sagt uten større problemer for meg, selv om jeg har en litt sær installasjon, og kjører mitt eget theme. Så det virker ikke som om det er noen store ulemper ved å oppdatere, og instruksjonene på WordPress’ egne sider er fremdeles glimrende lesestoff for de som skal gjøre dette.

Share/Bookmark

Ingen kommentarer   Blogglisten Add to Technorati Favorites

 

Lignende poster:

Nov 24 2008

Gmail åpen for hackere?

Postet kl.: 17:52 - med følgende tema: IT,teknologi

 

Vel, det er visstnok konklusjonen etter at et “proof-of-concept” ble lagt ut, med oppskrift på hvordan websider med ondsinnet kode kan ta over sesjonsnøkkelen din, og bruke dette for å sette opp filtre på din Gmail-konto, som bl.a. kan gjøre det mulig å videresende epost fra gitte avsendere til en annen konto, uten at eieren av Gmail-kontoen ser noe til denne eposten noensinne.

Hele denne historien er basert på tyveriet av MakeUseOf.com’s domene, som man kan finne beskrevet her, her og her.

Er det grunn til å være bekymret? Kanskje. Dersom du bruker Gmail til all epost, og benytter webapplikasjonen, så kan du være åpen for slike angrep. Det er dog en del antagelser og ganske mange ting som må klaffe før dette skal være noe som skal ramme deg.

  1. Du må ha en Gmail-konto, som du benytter via web
  2. Du må besøke en side som inneholder den ondsinnede koden – selv om det kan være særdeles vanskelig å vite om en side inneholder slikt, så er sannsynligheten veldig lav, særlig om du i hovedsak bruker sider som ikke er i den tvilsomme kategorien.
  3. Du bør, dersom du bruker Gmail via http:// slutte med dette øyeblikkelig. Det vil dog ikke hjelpe nevneverdig om du skriver https://gmail.com – du må gå inn på innstillingene i Gmail og velge å alltid bruke sikker tilkobling – altså https/SSL.

Selvsagt er dette kjipt for de som har blitt rammet. Det er vel heller ingen tvil om at Gmail / Google trenger å fikse dette problemet en gang for alle, men i hovedsak er det snakk om litt slapp sikkerhetstenking hos brukerne (og hos Google, som setter Gmail til å bruke http:// som standard). Som det sies i en av artiklene ovenfor, mye av grunnen til at Gmail ble nevnt i overskriften var for å skape mer interesse – tittelen på sakene har alt å si for om den blir besøkt eller ikke.

Så, dermed blir Digis artikkel og tittel forståelig, selv om de etter min mening krisemaksimerer her. Gmail er ikke verre enn andre tilbydere, og det har lite eller ingenting å si om man benytter gratistjenester eller betalingstjenester – sikkerhetshull og potensielle fallgruver kan finnes hos alle.

Jeg kommer nok til å fortsette å benytte Gmail, dog med SSL (https://), for å unngå nettopp slike ting som dette.

8 kommentarer   Blogglisten Add to Technorati Favorites

 

Lignende poster:

Sep 11 2008

Sikkerhet på nett (og hjemme) – Brannmur

Postet kl.: 06:11 - med følgende tema: IT,teknologi

 

Marcus Ranums Ultimate FirewallMarcus Ranums Ultimate FirewallEn brannmur. Dette mantraet som man har blitt pådyttet de siste par årene som noe man bare må ha!. Spørsmålet blir altså: trenger man en brannmur? Det korte svaret blir: NEI!.

Det litt lengre svaret skal vi forsøke å komme med i denne artikkelen. En brannmur har sin misjon, for all del, men den vanlige bruker har ingen forkunnskaper som gjør personen egnet til å konfigurere en brannmur. Ofte skaper en brannmur flere problemer enn den løser, rett og slett fordi de som bruker den ikke vet hvordan den skal settes opp, bare lar alt gli igjennom uten kritisk vurdering, og ofte også fordi de blir satt ut av spill av virus og annen malware som er godt kodet – og tro meg, det finnes en mengde virus og malware der ute som kommer seg forbi din installerte brannmur i løpet av sekunder.

En vanlig norsk hjemmePC har liten bruk for brannmur. For det første står den som regel ikke åpent ut mot Internet, men “gjemmer seg” bak en NATende bredbåndsruter. Dette gjør at man i utgangspunktet må åpne opp for tjenester på innsiden i ruteren, ellers vil ikke noen på utsiden nå disse uansett. Altså har man ikke bruk for en brannmur til å stoppe innkommende trusler.

Hva da med utgående? Her kan en brannmur ha litt mer for seg. Men igjen – om den skadelige programvaren er godt nok skrevet, og man kjører software-brannmur på maskinen, så skal det ikke mye til for å omgå sikringen. Dermed er man like langt. En brannmur blir gjerne en sovepute, og innbyr til en holdning som “jeg har jo brannmur, ingenting kommer inn her”.

Men, hvorfor skal man ikke bare ha en brannmur da? Den gjør jo ingen skade, og gir i alle fall litt bedre sikkerhet! Vel, fordi, igjen, folk ikke kan sette opp brannmuren korrekt. Den skaper ofte mer problemer enn den (potensielt kan) løse. Flere ganger har jeg måttet hjelpe kunder som plutselig mister tilgangen til web (de er på Internet, alt annet fungerer, men Internet Explorer får plutselig ikke tilgang til websider), eller som ikke lenger får inn epost. Ofte skyldes dette feilkonfigurert software, og som regel ligger ikke feilen i selve Internet Explorer eller Outlook (eller andre epostprogrammer), men i sikkerhetsprogramvare som antivirus eller brannmurer (i verste fall har man jo installert en av programpakkene der alt dette er integrert, og man omtrent sier fra seg all kontroll over hvordan maskinen oppfører seg ut mot nett).

Den innebygde brannmuren i Windows er egentlig mer enn god nok til hjemme-bruk. Den er lite plagsom, den har innebygde regler for de “vanlige” Windowsprogrammene, og gjør svært lite av seg. Problemene kan oppstå når man installerer andre brannmurløsninger, gjerne går igjennom den automatiske (wizard) konfigurasjonen, og glemmer at den er der. Innimellom kommer det kanskje små pop-up bokser, som ber deg godkjenne ditt, eller avvise datt, og som de gode klikkerne mesteparten av brukerne er, så klikker de på det de får beskjed om. Ofte fører dette til problemer, evt. så oppstår det videre problemer når en hjemmePC plutselig skal tillate trafikk ut – f.eks. om noen ønsker å laste ned en torrent-fil, eller sette opp en liten FTP-server, eller kjøre en spill-server hjemmefra. Da er det plutselig ikke bare ruterens krav om portåpning man må forholde seg til, men også det å ha et fungerende oppsett på sin brannmur.

Mitt tips – styr unna. Har du så spesielle behov at du faktisk trenger en brannmur, så bør du også vite hvordan den skal/bør settes opp, og du har den kjørende på en dedikert maskin – har du ikke den kunnskapen, og har et lite nettverk med PCer hjemme, med noen få maskiner, så trenger du ikke brannmuren i utgangspunktet.

Ta gjerne og trykk på bildet øverst for å lese mer om The Ultimate Firewall (eller kllikk her), og ta gjerne også en titt på denne siden.

2 kommentarer   Blogglisten Add to Technorati Favorites

 

Lignende poster:

Sep 10 2008

Sikkerhet på nett (og hjemme) – Antivirus

Postet kl.: 08:35 - med følgende tema: IT,teknologi

 

I posten Sikkerhet på nett – En begynnelse, skrev jeg litt generelt om hva som gjelder for å ha sikkerheten i høysetet mens man ferdes på nett. Bruk hjernen! er egentlig første, og siste regel.

Men det kan så klart være greit å gi hjernen litt hjelp innimellom. Et antivirus-program er “kjekt å ha”, og trenger ikke være en ressurshungrig mastodont som tar alt av maskinkraft – selv om disse også finnes der ute.

Før jeg kommer med et par anbefalinger til hvilke antivirusprogrammer du bør benytte, så vil jeg gjerne komme med et par tips om programmer du ikke bør benytte. De store (største) leverandørene av antivirusløsninger er Symantec og Norman. Hhv. leverandører av Norton-pakker og Norman Antivirus. Jeg vil ikke anbefale noen av disse. Norton Antivirus / Internet Security er bloatware, og gjør gjerne maskinen din ekstremt saktegående – eller stenger deg ute fra Internet og mailtilgang helt og holdent – litt mer sikkerhet enn man egentlig ville ha, kanskje.

Problemet med disse programmene, og mange andre programmer på markedet, er at de forsøker å gjøre alt – de skal beskytte deg mot virus, de skal gi deg en god brannmur, de skal beskytte deg mot uhumskheter som kan dukke opp via MSN / Windows Live eller andre IM-tjenester/klienter, og de skal beskytte deg mot skumle eposter og mye mer. Det de ender opp som er kronglete program som forsøker å gjøre ting enklest mulig for ukyndige brukere, men som gjerne kommer med 30-40 pop-up bokser første gangen, og de aller aller fleste brukerne trykker til slutt bare på “ok” ukritisk, selv om de egentlig ikke skjønner hva de driver med, eller hvorfor det plagsomme programmet maser sånn. Disse gir egentlig ikke så god sikkerhet når alt kommer til alt, men de kan selvsagt gjøre en god del ting bra. Det verste er når man gjerne skal forsøke å fjerne programmene etter at de er installert. Norton har til slutt innsett at de trenger en bedre løsning på dette, og det har vel blitt bedre de siste årene, men fremdeles er det mulig å hente ned egne Norton-uninstallere fra websiden til Symantec. Norman har en haug med forskjellige filer som alle kan være med på å enten avinstallere eller gjenopprette programmet til standard, men for å vite hva som er hva må du enten ha litt peil på data, eller ringe til Normans supporttelefon.

Jeg bruker selv AVG. Dette er et rent antivirusprogram, egentlig, selv om det har et par tillegg som for så vidt kan hjelpe litt i hverdagen. Det har en antispyware-modul, som skal finne og uskadeliggjøre spyware, og selvsagt også hindre nye trusler å komme til. Det har en linkskanner – det denne gjør er å skanne linker på Internet, og vise hvilke som er tvilsomme og hvilke som er godkjente. Alt etter hvilken nettleser man benytter, så har AVG forskjellige former for varsling i nettleseren dersom man nærmer seg farlige sider. Ellers har programmet standardfunksjoner for manuell og automatisk skanning, og evt. skanning av epost.

Dette er et greit produkt, som gjør lite av seg, som gjør jobben uten at man trenger å tenke så mye på det. Dessuten er det enkelt å konfigurere, og uproblematisk å fjerne om man skulle ønske å avinstallere det. Og, så klart, det er gratis.

Et annet produkt som har fått mye skryt er NOD32. Jeg har ikke testet det selv, men mange skryter av dette produktet. Det koster riktignok penger, og har blitt tatt over av ESET, som har enkelte andre produkter jeg ikke er så begeistret for, men prisen er bare på 323 kroner i året, og programmet har vært på markedet en god stund, omtrent med bare gode kritikker.

Det finnes også et par andre løsninger, f.eks. online-skanning av PCen. Dette er ikke alltid praktisk, men kan være et greit alternativ om man mistenker at det er noe som ikke stemmer, og man ikke har tilgang til antivirusprogram. Man kan så klart laste ned, men som sagt – en online-skanner kan til tider gjøre jobben godt nok. Man har f.eks. TrendMicro Housecall. Denne fungerer fint, og kan brukes i de fleste nyere nettlesere.

Sånn. Da har jeg gitt i alle fall noen få tips om hva som kan brukes av programvare, både for å bli kvitt eksisterende virus, eller forhindre at de kommer inn til å begynne med. Men igjen. Hjernen er det viktigste “våpenet” mot virus på nett.

For det første: bruker du fremdeles Internet Explorer? Du vet, den blå e’en på skrivebordet, som du trykker på for å få opp Startsiden? Slutt med det. Den er ustabil, tungrodd, har ingen gode funksjoner å snakke om, og den er uten tvil den nettleseren som opp gjennom tiden har blitt utnyttet gjennom flest sikkerhetshull. Bytt nettleser i dag!. Det er ikke spesielt vanskelig, og for å gjøre det enklere har jeg valgt å liste opp noen alternativer:

  • Firefox – min personlige favoritt
  • Opera – et norskutviklet alternativ, og også en veldig god nettleser

Jeg skriver i utgangspunktet disse innleggene for Windows-brukere, derfor har jeg ikke tatt med alternative nettlesere for Linux og Mac – begge over kan selvsagt også benyttes på disse operativsystemene.

Dertil – selv om man har byttet nettleser, og har installert et antivirus-program, så betyr ikke det at man skal slutte å tenke. Ikke vær godtroende, ikke ta alt for god fisk. Dersom din beste venn plutselig begynner å sende deg engelskspråklige eposter med titler som “Britney Spears nekkid” og “Big Boobs” eller “You have won” – ta gjerne og sjekk med avsender før du trykker på linkene som helt sikkert finnes i eposten.

Lær å lese, pass på passord, og ikke gå i feller som er så åpenbare at en 5åring burde sett det. Ikke for det, man skal ikke lenger enn til en av utdanningenes høyborger, UiB, for å se at ikke alt alltid går like greit for seg i hodene til de som jobber der heller.

13 kommentarer   Blogglisten Add to Technorati Favorites

 

Lignende poster:

Sep 10 2008

Sikkerhet på nett – En begynnelse

Postet kl.: 02:31 - med følgende tema: IT,teknologi

 

Den sikreste måten å unngå dataproblemer på!Den sikreste måten å unngå dataproblemer på!Den siste tiden har jeg lest mange blogposter, nyhetsartikler og vært borti mange spørsmål, både privat og på jobb, der hovedpoenget hele tiden har vært “hvordan gjør vi det sikkert å bruke internett”. Jeg forstår hvorfor folk blir bekymret, når media hele tiden slår opp mindre sikkerhetsbrister som internettets undergang.

Og jeg ser folk blir like skeptiske og ser rart på meg når jeg, etter at de har spurt meg hvilke programmer jeg selv bruker, sier “ingenting”. Da kommer de med spøker, og sier “du kjører vel sånn Linux, du da” (om de vet hva det er), eller så ser de bare rart på meg og sier “men du burde jo vite bedre!”

Vel, jeg vet bedre. Jeg vet at så lenge jeg kan det jeg kan om verktøyene jeg benytter, holder meg oppdatert (både softwaremessig og kunnskapsmessig) og ikke gjør ting uten å tenke, så er jeg ganske så trygg. Så trygg at jeg ikke gidder å bytte ut muligheten til å gjøre hva jeg vil på nett, med “falsk” sikkerhet.

Når det er sagt – jeg har et antivirusprogram installert. Jeg kjører det ikke, men det ligger der slik at jeg kan scanne ting manuelt uten problemer, og uten å være koblet til Internet. Jeg har også andre verktøy tilgjengelig, dersom uhellet skulle være ute. Så klart har jeg en viss fordel – jeg jobber med dette, og har jobbet med dette i mange år, og vet hva som må gjøres dersom en maskin har fått virus eller andre typer skadelig programvare. vanlige brukere har som regel ikke kunnskap nok til å fikse slike ting. For all del, det er en del av det jeg tjener penger på, så greit nok.

Men, det er ikke til å komme unna at den enkleste og billigste formen for sikkerhet på PCen er å bruke hjernen! Dersom man går inn for det, så er det ikke så altfor vanskelig å i alle fall få en overfladisk kunnskap om potensielle problemer, og lære seg hvilke ting man trygt kan si “jada” til, og hvilke man definitivt ikke bør røre på andre måter enn “avslutt prosess”.

PCen er vel det verktøyet flest bruker uten den nødvendige kunnskapen. I de aller fleste sammenhenger lærer man seg først å bruke redskapet, før man setter i gang med farlige aktiviteter. Som regel, dersom man har bare bittelitt vett, så leser man bruksanvisningen, og tar på seg beskyttelsesbriller, hansker og kanskje til og med verneklær før man bruker tungt maskinverktøy. Men når det kommer til det å bruke PC, så virker det som om de aller, aller fleste bare mener at “ting skal virke” uten at de trenger å gjøre noe for å holde verktøyet vedlike.

Dette er den farligste brukeren, og dessverre også den delen av den fulle brukermassen det finnes flest av. De som bare trykker “ok” på alt som popper opp, uten å gidde å lese det som står der, og om de leser det, så har de ingen forutsetninger for å vite hva de svarer “ok” på. Dette er den typiske brukeren som klager til sin bredbåndsleverandør når PCen ikke virker, og sender inn et kontaktskjema noe ala dette: “den fordømte maskinen funker ikke, etter at dere gjorde noen endringer. Nå kommer det bare opp en eller annen feilmelding, og så restarter PCen. Fiks det, fortere enn svint! Hilsen forbanna kunde”. Dette er tilnærmet ordrett (jeg har fjernet banneordene og utskjellingen) fra loggene hos min tidligere arbeidsgiver. Dette er kunden som har null kunnskap, men som forlanger at alt skal fungere likevel – og som når vedkommende lærer at det er han selv som har gjort feil, ikke tar tak i problemet (seg selv), men mumler megetsigende at det bare er unnskyldninger, betaler i dyre dommer for å få noen til å fikse problemet på hans egen maskin, og fortsetter i samme sporet. Slett ikke uvanlig at det kommer en ny henvendelse noen måneder etterpå, med omtrent samme ordlyden.

Derfor vil jeg gjerne slå et slag for et kunnskapsløft. Jeg har tenkt å komme med noen artikler fremover, med enkelte konkrete eksempler, og en del abstrakt “kunnskap” som man bør huske på når man er på nett. Det kommer til å være enkelte linker til programmer, men i hovedsak skal dette være en bevisstgjøring, ikke pushing av programmer. Uansett skal jeg forsøke å holde meg til programmer som er “gratis” – dvs. programmer som enten er freeware, har gratisutgaver med (noe) begrenset funksjonalitet, som er gratis for privat bruk e.l.

1 kommentar   Blogglisten Add to Technorati Favorites

 

Lignende poster:

May 20 2008

Ferris Bueller, anyone?

Postet kl.: 10:27 - med følgende tema: IT,observasjoner,underholdning

 

Ferris Bueller\'s Day Off - DVD CoverVG melder om at en elev på Ullern videregående skole mest sannsynlig har “hacket” (nei, han har fått tak i et passord fra en uforsiktig lærer) seg inn på Fronter, systemet som ligger i bunn for intranettet til over 150 skoler i Oslo.

Eleven har så endret på fraværsstatistikken sin. Min første tanke da jeg leste dette var “Noen har sett litt for mye på Ferris Bueller’s Day Off“.

Skolen har selvsagt gått ut og bedt alle lærerne skifte passord, og forhåpentligvis også bedt dem lære seg skikk og bruk når det gjelder sikkerhet.

Jeg kan selvsagt skjønne at skolen vil straffe eleven som evt. er skyldig her (og eleven har muligens gjort noe dumt ved å bare endre sin egen fraværsstatistikk – jeg ville fjernet alt fravær for alle elever – umulig å rette opp 100%, om de ikke har backup (jeg tviler) og umulig å spore til hvem som har gjort det), men samtidig mener jeg skolen burde være takknemlig for at de har blitt gjort oppmerksom på problemet.

Ingen kommentarer   Blogglisten Add to Technorati Favorites

 

Lignende poster:

Arkiv


Kategorier


Link it up!


PS! I Blog You!


WP-plugins