Firesheep och tillit


Jag ser med nöje hur Firesheep skapar sund paranoia över internäten. Som Rasmus skriver i Metro skapades ingen moralpanik, utan började folk reflektera över krypton och att det är en dålig idé att lita på att företag garanterar vår säkerhet. Mönstret är klassiskt. Mobiloperatörerna vägrar uppgradera tills man visar hur osäkert deras nät är, kreditkorten görs inte säkrare trots alla brister, och Facebook vill inte ta kostnaden för att göra det enda rätta – att installera ordentlig https för hela sajten.

Facebook är en oerhört osäker sida. Inte ens olika sätt att tvinga fram SSL (alltså HTTPS i det här fallet) hjälper eftersom javascript läcker okrypterad information. Min skepsis inför plugins som HTTPS everywhere inslaget i Radio Metropol besannades alltså. Det är inte pluginens fel, utan Facebooks.

För att i folkbildningssyfte späda på paranoian ännu mer, är det värt att även ta upp hur osäkert https är. Kryptografiskt sett är det både ganska starkt, och väl beprövat. Problemet handlar istället om hur de så kallade certifikaten delas ut och distribueras. Som det är nu köper man dem av en certificate authority, och det hela fungerar ”osynligt” för användaren, eftersom dessa rotcertifikat är validierade i de vanligaste webbläsarna. När man surfar till en känd https-sida, så märker man inte att webbläsaren automatiskt verifierar att sajten är korrekt. Mycket smidigt, men återigen kanaliserars förtroende och tillit via ett företag.

Mer eller mindre verifierade uppgifter visar på att dessa certifikat både kan köpas och stjälas av diverse mindre nogräknade aktörer. Exemplet är operatören Etisalat i Förenade Arabemiraten som ska ha köpt certifikat och sedan gjort så kallade man in the middleattacker i övervakningssyfte.

Om jag är en internetoperatör kan jag köpa på mig några godkända certifikat, och sedan i mitt nät skicka vidare https://gmail.com till en sida där jag tunnlar vidare till den riktiga Gmail-sajten, med skillnaden att jag kan avlyssna alla mejl. The average user märker ingenting, utan man måste granska certifikatet i detalj för att veta att det inte är det äkta som Google har utfärdat.

En lösning som Telecomix just nu testar är Monkeysphere. Det är en mjukvara som hanterar egenproducerade certifikat, bland annat för https. Istället för att lita på ett företag litar man på ett web of trust, ett tillitsnät, där man utväxlar de korrekta kryptonycklarna mellan vänner. Lösningen är väldigt smart för communitydrivna tjänster, och förhoppningsvis kommer den att snart vara redo hos Telecomix Microblogging och Werebuild-wikin.

Som sagt. Kryptografi kokar ibland ned till väldigt konkreta former av tillit. Ska vi lita på myndigheter, företag eller vänner? Well, det beror på vilka typer av samhällen vi vill bygga!

3 svar på “Firesheep och tillit”

  1. Hej, intressanta synpunkter!

    Relaterat, mest för att visa att ”for teh lulz” (som man antar är det vanligaste skälet för att stjäla någons facebook-session är) goes both ways så måste jag bara peka på FireShepherd som någon byggde ihop bara för att valla fåren så att säga och slå ihjäl FireSheep i närheten på ett öppet nätverk.

    Så klart inte rätt väg att gå, men det finns viss humor i det.

Kommentera

E-postadressen publiceras inte. Obligatoriska fält är märkta *

Time limit is exhausted. Please reload CAPTCHA.