Du måste aktivera javascript för att sverigesradio.se ska fungera korrekt och för att kunna lyssna på ljud. Har du problem med vår sajt så finns hjälp på http://kundo.se/org/sverigesradio/
Berättar vad som händer i Sverige och världen med extra koll på det som berör unga människor. I radion,..

Chatt med säkerhetsexpert Per Hellqvist

Publicerat tisdag 26 oktober 2010 kl 13.39
Säkerhetsexperten Per Hellqvist Foto: Pressbild
Säkerhetsexperten Per Hellqvist på Symantec svarade på frågor om säkerhet i trådlösa nätverk.
moderator:Nu startar chatten med säkerhetsexperten Per Hellqvist på Symantec. Välkommen med din fråga! /Ellen
Elin:Vad gäller om man surfar med mobilt bredband. Är det säkert eller kan någon "hacka sig in" även där? Och vad ska man göra för att skydda sig när man surfar trådlöst?
Per Hellqvist:Om du surfar via 3G eller liknande så är du säker från denna attack. Allt skickas krypterat. Attacken fungerar bara mot öppna (okrypterade) trådlösa nätverk (WiFi). I allmänhet finns det inte så mycket du kan göra annat än att undvika att logga in på sajter när du kör via trådlösa nätverk. Har du ett VPN-program via din arbetsgivare så ska man använda den. Det finns visserligen ett par insticksprogram till Firefox (t ex TLS-always och HTTPS Everywhere), men det är inte säkert att de fungerar överallt
Cesar Peña:Om man surfar i ett oskyddat trådlöst nätverk, men använder sig till exempel av iCloud-tjänsten, är man då fortfarande lika oskyddad? h/ Cesar
Per Hellqvist:Har inte sett att just Firesheep kan sniffa iCloud-inloggningar, men det är inte omöjligt. Det enda sättet att undgå detta är om hela sessionen (surfningen) sker krypterat, t ex om det står HTTPS i länken hela tiden.
Link:Detta är inget nytt, självklart är ett öppet trådlöst nätverk fritt fram för den som kan att sno allas uppgifter. Varför ta upp detta nu? Är det bara för Facebook?
Per Hellqvist:Japp. Attackmöjligheten har funnits under lång tid. Anledningen till att detta kommer upp nu är att Eric Butler släppte ett verktyg på en konferens i helgen som gör attacken till "point-click-and-hack", dvs lättillgängligt och superenkelt för alla att använda. Nej, det är absolut inte bara Facebook. En längre lista finns på min blogg: http://blog.perhellqvist.se
Luringen:Med smartphone med wifi på öppet nät på stan, kan man köra vpn till den stationära där hemma som har fast bredband?
Per Hellqvist:Det låter bra det. Om du har VPNn uppkopplad innan du loggar in och har VPNn på hela tiden. I vissa fall skickas session cookies lite då och då under tiden du är inloggad.
Michael:Hur säkert är det om man zipar och krypterar känsliga filer och lägger på ett bra lösenord? Använder mig av zip som följer med macen och kör via terminalen.
Per Hellqvist:Det låter bra.
Var är chattrum:Hej! Jag ställde en fråga om användning av till exempel iCloud-tjänsten förut. Är det då säkrare att använda sig av ett öppet trådlöst nätverk om man använder en sån tjänst?
Per Hellqvist:Det beror på. Om inte hela överföringen sker krypterat kan man sniffa inloggningsuppgifter och andra överföringar.
Rasmus:En konsument-VPN-lösning såsom Ipredator torde också hjälpa mot denna attack.
Per Hellqvist:Om du har kopplat upp den innan du loggar in på olika sajter och är inkopplad under hela sessionen så borde det fungera.
Ellen, P3 Nyheter:Kan du reda ut begreppen jailbreaka, kapa och hacka? Själva tekniken och skillnaderna? Tror det ibland blir en begreppsförvirring?
Per Hellqvist:Att "jailbreaka" en telefon innebär att man tar bort den låsning som Apple lagt in. Syftet med den är att undvika att användaren installerar vilka program som helst. De som kan installeras har kontrollerats av Apple. Nu vill ju inte alla låsas in på det sättet och väljer att "öppna" sin telefon. I och med det tar man bort den säkerhet som inlåsningen gav och öppnar sin telefon för allehanda hyss och elak kod. När det gäller Firesheep så säger man att den "kapar" inloggningsuppgifter. Det handlar helt enkelt om att "sniffa" eller fånga upp saker som sänds via luften. Det kan också handla om att man tar över någons dator via t ex en trojan, eller på annat sätt kommer över inloggningsuppgifter och "kapar" någons konto. Att hacka är ett svårt begrepp att definiera. Ursprungligen handlade det om att "hacka kod", dvs programmera. Med åren har det kommit att beteckna något man gör i elakt syfte, t ex att komma in i någons dator eller en programvara.
Martin:Har jag förstått rätt att om man använder wpa2 så wifi-nätet krypterat och inte känsligt för denna typ av attack?
Per Hellqvist:Det stämmer. Kryptera mera ;-)
BlackSmp:Hur allvarligt (dvs: hur paranoid ska jag vara) är den säkerhetsläcka som Bitsec visade i Rapport för Iphone? Är det bara genom en MITM-attack som den kan inledas eller kan de göra något över 3G-nätet?
Per Hellqvist:Det är allvarligt såtillvida att det inte finns någon fellagning. Vet inte hela omfattningen av attacken, men det som visats upp räcker rätt långt. Sen får man se till hur stor risken är att du ska råka illa ut. Idag är den minimal, men om någon skriver ett rootkit (attackverktyg) och gör det publikt tillgängligt så blir det riktigt allvarligt.
moderator:Tio minuter kvar av chatten med Per Hellqvist. Ta chansen att ställa din fråga om säkerhet!
Birger:Finns det någon anledning att stora siter som facebook, twitter etc tillåter osäkra anslutningar? Varför är inte https default?
Per Hellqvist:Mycket bra fråga :-) Det handlar om tillgänglighet och prestanda. En https-förbindelse misstänks ofta dra mer kräm från servrarna och kan sakta ned sessionen, men det stämmer för det mesta inte. Man har nog helt enkelt antingen tagit den enkla vägen och bara skyddat själva inloggningen eller också har inte inte insett hur viktigt vi anser våra konton vara. Man går ofta efter parollen att "Kostnaden för skyddet får inte överstiga priset för skyddet". Uppmärksamheten genom Firesheep kanske i bästa fall kan leda till att sajtägarna anser att kostnaden för en högre skydsnivå kan motiveras.
Trådlöst:Vad är skillnaden mellan stängda trådlösa nät och öppna? När det gäller säkerheten?
Per Hellqvist:Det öppna nätverket är helt okrypterat och allt du gör skickas i klartext. I princip vem som helst kan "sniffa" trafiken och avlyssna det du gör. Slår du på krypteringen (helst WPA2, annars WPA) så krypteras allt och den som sniffar ser bara "skräptecken".
Steffo:Hur säker är jag om jag använder mobilnätet när jag går in på FB? Är det säkrare än trådlösa nät, och varför i så fall?
Per Hellqvist:Det är säkert mot just denna attack. All information som skickas via mobilen krypteras automatiskt och signalen skickas via många olika frekvenser (mobilen hoppar automatiskt mellan dem, inget du märker). Firesheep sniffar bara helt vanlig http-trafik som sänds via okrypterade trådlösa nätverk (WiFi)
Martin:ang svaret till : så det går inte att "tvinga" browsern att använda https istället för http pga att servranana inte accepterar det?
Per Hellqvist:Precis. Webbservern har sista ordet. Men man kan till exempel lägga sitt bokmärke till Facebook på "https://www.facebook.com" istället för "http..." så blir det säkrare. Men kom ihåg att det är långt ifrån bara Facebook-uppifterna som kan sniffas.
Trådlöst:Men vad är det för typ av nätverk om man går till ett kafé och får en kod till det trådlösa nätet? Är man säkrare då?
Per Hellqvist:Nej, det är bara för inloggningen. Det säger inget om ifall överföringen är krypterad. Det är bara för att inte vem som helst ska kunna använda deras nätverk. Får du ingen specifik krypteringsnyckel så får du räkna med att nätverket är okrypterat.
moderator:Nu är chatten med Per Hellqvist slut. Vi tackar för alla frågor och Per för alla svar! /Ellen, publikredaktör
Grunden i vår journalistik är trovärdighet och opartiskhet. Sveriges Radio är oberoende i förhållande till politiska, religiösa, ekonomiska, offentliga och privata särintressen.
Har du frågor eller förslag gällande våra webbtjänster?

Kontakta gärna Sveriges Radios supportforum där vi besvarar dina frågor vardagar kl. 9-17.

Du hittar dina sparade avsnitt i menyn under "Min lista".