”Bli säker” är podden som gör dig lite säkrare för varje vecka som går. Karl Emil Nikka och Peter Esse diskuterar dagens IT-säkerhetsutmaningar varvat med de senaste säkerhetsnyheterna och lyssnarnas frågor. Podden produceras av Nikka Systems. Avsnitten publiceras under CC BY 4.0-licens.
Reading the feed…
Sedan många år kämpar en skara politiker för att införa bakdörrar i totalsträckskrypterade meddelandeappar, till exempel Apples meddelandeapp. Genom massövervakningsförslaget Chat Control 2.0 vill EU-kommissionen kräva bakdörrar som kan utnyttjas för att skanna efter barnövergreppsmaterial. Det svenska förslaget om så kallad anpassningsskyldighet för leverantörer av totalsträckskrypterade meddelandetjänster kräver liknande bakdörrar men av andra skäl. Än så länge har ingen sådan bakdörrslag gått igenom i den demokratiska delen av världen. Det betyder inte att totalsträckskrypteringen står ohot
Den andra augusti trädde en ny del av EU:s ai-akt i kraft. Nu måste ai-verktyg som genererar bilder, videofilmer, ljudklipp och texter infoga en maskinläsbar ai-märkning. Utöver den redan etablerade Content Crendentials-taggningen (podd #343) har många ai-tjänster börjat väva in en osynlig vattenstämpel som inte kan plockas bort på något enkelt vis. Ett exempel på sådan vattenstämpel är Synth ID, vilken används av bland annat Google, Open AI, Anthropic och Elevenlabs. För människor lämnar Synth ID-vattenstämpeln inga spår. Den gör bara att dedikerade skanningsverktyg kan identifiera vattenstäm
Ai-modellerna som genererar videoklipp har blivit riktigt bra. Kanske rent av lite för bra. Nu för tiden är det svårt att avgöra om ett videoklipp är äkta. Världens bedragare passar självfallet på att utnyttja situationen. Tiktok har en policy som kräver att kreatörerna ai-märker ”syntetisk eller manipulerad media som visar realistiska scener”. Under sommaren har DN och Nikka undersökt om den policyn faktiskt efterlevs. Granskningen visar att Tiktok varken har tillräcklig förhandsskanning eller fungerande rapporteringsfunktioner. Av 164 rapporterade ai-klipp utan ai-märkning valde Tiktoks mode
Mitt i sommaren blev det stora rubriker när webbtjänsten Hugging Face avslöjade att de hade blivit attackerade av autonoma ai-agenter. Det visade sig senare vara Open AI som låg bakom attacken. På grund av en sårbarhet hade ai-agenter lyckats smita ut från testmiljön där Open AI utvärderade sina ai-modeller. När Open AI:s konkurrent Anthropic såg rubrikerna ställde de sig frågan: månntro om vi har råkat göra samma misstag? Svaret var ja. Förra veckan publicerade Anthropic ett blogginlägg där de erkände att de hade orsakat tre liknande incidenter. Den första dokumenterade incidenten hade inträf
Det pågår en intensiv kapprustning mellan de amerikanska och de kinesiska ai-företagen. I USA har Open AI och Anthropic satsat på stängda ai-modeller som de driftar i egen regi. De ledande kinesiska företagen har tvärtemot satsat på så kallade öppenviktsmodeller, det vill säga ai-modeller som även kan driftas av andra tjänsteleverantörer. Hittills har de amerikanska företagen burit ledartröjan. Nu börjar de kinesiska konkurrenterna komma i kapp. Kimi K3, den senaste öppenviktsmodellen från Moonshot, ligger bara en generation efter de amerikanska toppmodellerna, åtminstone när det handlar om pr
Hugging Face har utkristalliserats som ai-världens motsvarighet till Github. Webbtjänsten har blivit den naturliga samlingsplatsen för öppna ai-modeller. Torsdagen 16 juli meddelade Hugging Face att de hade drabbats av ett intrång. De skrev att intrånget skilde sig från alla tidigare cyberattacker som de hade varit med om. Den här gången kom attacken från en okänd och till synes helt autonom ai-agent. En vecka tidigare riktades världens ögon mot Open AI:s senaste ai-modell GPT 5.6 Sol. Utifrån en snillrikt skriven prompt, och ett förbud mot att ge upp, hade modellen lyckats bevisa ett av matem
Vad är egentligen poängen med en captcha-ruta? Varför måste webbplatsen veta att besökaren är en människa? De är två frågor som internetjätten Cloudflare började fundera över tillsammans med tre av de stora webbläsartillverkarna. Captcha-rutor ska framför allt skydda mot automatiserade attacker. Vem eller vad som gör besöken är i själva verket ganska ointressant. Det avgörande är huruvida besöken kommer från webbläsare som beter sig bra. Den kommande tekniken Pact (Private Access Control Tokens) ska minska behovet av captcha-rutor. Webbläsare ska i stället kunna använda anonyma tokens för att
Så kallade captcha-rutor ska skilja människor från botar. Webbplatser ber besökarna att klicka på rätt bilder eller att tyda förvridna bokstäver. Sådana captcha-rutor har fungerat någorlunda acceptabelt under flera år, men dagens ai-modeller gör dem mindre effektiva. Förr eller senare kommer botarna att bli bättre än människorna på att lösa klassiska captcha-utmaningar. Google börjar nu att testa två nya captcha-metoder. Den ena metoden ber besökaren att skanna en qr-kod med sin mobil. Tyvärr förutsätter det att besökaren har en Android-mobil med Google Play eller en Iphone med Recaptcha-appen
Fram till 2018 innehöll Googles interna uppförandekod en simpel uppmaning: ”don’t be evil”. Även om riktlinjen togs bort tycktes den leva kvar under de närmsta åren. 2019 publicerade Google ett blogginlägg om hur de ville bygga en mer privat webb. It-jätten tog ett tydligt ställningstagande mot annonsrelaterad spårning via webbläsarens fingeravtryck och skrev att sådan spårning ”subverts user choice and is wrong”. Året därpå meddelade Google att de dessutom skulle fasa ut tredjepartskakorna som än idag utnyttjas för spårning på webben. Sedan hände något. I fjol meddelade Google att förbudet mo
Frågan om digital suveränitet debatterades flitigt under årets upplaga av politikerveckan i Almedalen. Sveriges offentliga verksamhet är kraftigt beroende av utomeuropeiska tjänsteleverantörer. Det är riskfyllt i en föränderlig värld med geopolitiska spänningar. Veckans avsnitt av Bli säker-podden är ett specialavsnitt som gästas av Daniel Melin från statliga Teracom. Han arbetar med affärsutveckling av digitala tjänster som ska fungera även vid kris och krig. Melin förklarar varför suveränitetsfrågan har blivit högaktuell och ger förslag på hur offentlig verksamhet kan minska sina beroenden a
Internetstiftelsen gör mycket mer än att ansvara för den svenska toppdomänen. Bland annat genomför de en årlig undersökning som kartlägger svenska folkets internetvanor. I år har de gjort en extra undersökning om svenska folkets syn på åldersbegränsningar på sociala medier. Den här veckan gästas Bli säker-podden av Måns Jonasson, internetexpert på Internetstiftelsen. Han berättar om resultatet från den nämnda undersökningen. Internetstiftelsen kunde konstatera att nästan sex av tio föräldrar främst ser fördelar med en 15-årsgräns på sociala medier. Ungdomarna själva är mindre positivt inställd
Den här veckan anordnade Apple sin årliga utvecklarkonferens. I år fokuserade Apple framför allt på den nya versionen av AI-assistenten Siri. Med Googles Gemini-modell bakom kulisserna ska Siri äntligen bli konkurrenskraftig. Nya Siri kommer att skicka frågor till Googles moln. Apple försäkrar att detta görs utan att äventyra säkerheten eller den personliga integriteten. Även om frågorna går till Googles moln kommer datan att skyddas på samma sätt som tidigare med Apples PCC-teknik (Private Cloud Compute). PCC-tekniken gör att varken Apple eller Google får tillgång till användarnas AI-konversa
För att en router ska få säljas i EU måste den vara CE-märkt. Genom CE-märkningen garanterar tillverkaren att produkten uppfyller krav inom bland annat elsäkerhet och kemikaliesäkerhet. Nästa år kommer även krav på cybersäkerhet att bli en av CE-märkningen. Kraven införs som en del av CRA-förordningen (Cyber Resilience Act). En av de största förändringarna berör routertillverkarens underhållsåtagande. Tillverkaren kan inte längre sälja en router och strunta i att hålla den säker. För det första måste tillverkaren veta vilka komponenter som mjukvaran består av så att routern släpps utan några k
Under merparten av 2000-talet har Googles sökruta varit folkets väg in på webben. Genom åren har Google gjort mindre förändringar, lagt till fler funktioner och ökat mängden reklam. Sökmotorns grundfunktionalitet har ändå förblivit densamma. Det blir det förändring på nu. Tidigare i maj gick Googles årliga utvecklarkonferens av stapeln. Då meddelade Google att de nu rullar ut den ”största uppdateringen av den ikoniska sökrutan sedan dess lansering för 25 år sedan”. Google flyttar fokus från listor med länkar till AI-genererade svar. I veckans podd pratar Peter och Nikka om den stora förändring
I veckan gick Googles årliga utvecklarkonferens av stapeln. IT-jätten presenterade bland annat en mängd nyheter som kommer i årets version av Android. Peter och Nikka passar traditionsenligt på att gå igenom fem av de största förbättringarna på säkerhets- och integritetsfronten. Android 17 bjuder bland annat på bättre behörighetshantering, AI-baserad detektion av skadeprogram, automatisk blockering av föråldrade 2G-nät samt systeminbyggt stöd för uppdelade VPN-tunnlar. Google lanserar också ett skydd mot spoofade samtal som ser ut att komma från medverkande banker och finansinstitut. Den skydd
I slutet av april drabbades lärplattformen Canvas av ett intrång. Den ökända utpressargruppen Shinyhunters stal studenternas kontaktuppgifter och direktmeddelanden. I Sverige används Canvas vid drygt 30 högskolor och universitet. Inledningsvis försökte Shinyhunters få Instructure, företaget bakom Canvas, att betala en lösensumma för att slippa få den stulna datan publicerad på darknet. Den sjunde maj bytte Shinyhunters taktik och erbjöd i stället de berörda lärosätena att köpa sig fria. Cybersäkerhetsföretag brukar råda offren att inte betala lösensummorna. Så länge några offer betalar lösensu
En våg av åldersverifieringshysteri sveper över världen. Länder runt hela jorden vill att medborgare ska åldersverifiera sig på nätet. Vissa verifieringslösningar är mer ogenomtänkta än andra. Gemensamt för samtliga lösningar är att de kan kringgås. Personer som vill slippa åldersverifieringen skickar sin trafik via VPN-tunnlar till friare länder. Nu talas det därför alltmer om att också begränsa VPN-tjänsterna. I veckan införde den amerikanska delstaten Utah sådana begränsningar. Webbplatser som tillhandahåller material som är skadligt för barn måste nu åldersverifiera alla Utah-besökare. Det
De stora annonsnätverken spårar användare som surfar runt på internet. För att göra detta förlitar sig annonsnätverken på bland annat tredjepartskakor. Under flera år lovade Google att de skulle blockera tredjepartskakor i sin webbläsare Chrome, men i fjol gjorde Google en 180-gradersvändning och meddelade att de skrotade planerna. Brave är en av webbläsarna som blockerar tredjepartskakor som standard. Bland webbläsarna som är utvecklade för allmänt bruk har Brave dessutom det effektivaste skyddet mot så kallad fingerprinting (en annan metod för spårning på nätet). Brave har samtidigt kritiser
Skolplattformen, Nationella provplattformen och Millennium-journalsystemet. Listan över havererade IT-projekt inom svensk offentlig verksamhet kan göras lång. Millennium är kanske det värsta exemplet. Inte nog med att Västra Götalandsregionen lade åratal av jobb och 3,8 miljarder av skattebetalarnas pengar på ett projekt som fick skrotas. Journalsystemet var dessutom patientfarligt. Millennium driftsattes den tolfte november 2024 på Södra Älvsborgs sjukhus i Borås. Oron var överhängande. Vårdpersonalen ifrågasatte om systemet var patientsäkert. Journalister ifrågasatte om systemet ens var lagl
Förra veckan presenterade AI-företaget Anthropic sin senaste AI-modell ”Mythos”. Anthropic valde att inte släppa den direkt till allmänheten. De meddelade i stället att enbart en utvald skara företag får förhandsåtkomst till modellen. Det hade nämligen visat sig att Mythos var oroväckande bra på att hitta sårbarheter. Tilltaget hade kunnat avvisas som en marknadsföringsinsats. Anthropic gör sig redo för en börsnotering och Mythos-lanseringen har gett företaget enorm publicitet. Tyvärr visar Anthropics egna upptäckter att påståendena är mer än bara hype. KTH-professorn Pontus Johnson säger rent
Förra veckan avslöjade Plånboken i P1 hur falska recensionssajter köper annonser på Google. När någon söker efter populära teknikprodukter visas först sökresultatsliknande annonser för webbplatser som påstås ha testat många produkter ur produktkategorin. I själva verket är recensionssajterna bara reklampelare för utvalda produkter. Jämförelserna är påhittade och recensenterna likaså. Under mars månad kartlade Bli säker-podden samma falska recensionssajter och några därtill. I veckans avsnitt pratar Peter och Nikka om problemet med dessa falska sajter och hur långt sajtägarna går för att vilsel
Många nationsunderstödda hotaktörer och underrättelsetjänster köper in externt utvecklade spionprogram för att kunna infektera sina måltavlors mobiler. Verktyget som kallas Coruna misstänks ha utvecklats för sådana ändamål. I början av mars avslöjade Google och Iverify att Corunas ursprungliga utvecklare hade förlorat kontrollen över verktyget. En ekonomiskt motiverad hotaktör från Kina hade lagt vantarna på verktyget och börjat utnyttja det för att infektera ouppdaterade mobiler bland allmänheten. Senare samma månad kom nyheten om Darksword. Det är ett verktyg som, likt Coruna, inledningsvis
Förra veckan riktades världens blickar mot Sverige. En utpressargrupp eller ensam hacker vid namn Bytetobreach påstod sig ha stulit källkoden till hela Sveriges ”e-gov platform”. De publicerade källkoden på ett nätforum, så att andra hackare skulle kunna leta efter sårbarheter i koden. Källkoden stals från tjänsteleverantören CGI. De levererar bland annat inloggningslösningen som flera myndigheter använder till sina publika webbtjänster. När medborgare ska logga in på exempelvis Skatteverket eller 1177 skickas de till en inloggningssida på domänen funktionstjanster.se, vilken drivs av CGI. CGI
Tiden då AI-genererade bilder innehöll flagranta misstag är förbi. Dagens bildgeneratorer kan skapa bilder som ser helt autentiska ut. Videogeneratorerna blir också allt bättre. Till och med SVT har råkat publicera ett AI-genererat videoklipp i tron om att det visade en dokumenterad händelse. Förra veckan twittrade Carl Bildt en bild på resterna av ett attackerat radarsystem. I gruppanmärkningarna och kommentarerna hävdade hans följare att bilden var AI-genererad. När SVT Verifiera granskade bilden visade det sig att anklagelserna var felaktiga. Bilden var faktiskt äkta. De två exemplen visar
I mitten av februari blockerade Europaparlamentet AI-funktionerna på lagstiftarnas enheter. Enligt ett internt mejl som har delats med Politico infördes blockeringen på grund av risken för obehörig åtkomst till datan. Merparten av dagens AI-tjänster är molnbaserade. De är byggda så att tjänsteleverantören har teknisk åtkomst till användarnas promptar och till svaren som skickas tillbaka. Huruvida tjänsteleverantörerna får använda sin åtkomst för att exempelvis förbättra sina AI-modeller regleras av juridik, inte av teknik. I Google Geminis integritetspolicy står det rent av: ”ange inte konfide
