Danske Bank och säkerhet

Danske Bank har för en del av sina nätbetalningstjänster ett ActiveX-baserat system. Secunia Research har upptäckt ett allvarligt säkerhetshål i en av ActiveX-komponenterna som gör att kundens dator kan tas över av en angripare.

Okej, sånt händer.

Men när jag läste Secunias advisory om saken reagerade jag på en sak - Danske Bank informerades om saken 16 april. Lite oschysst av Secunia, tyckte jag. (Man brukar ge leverantören en månad på sig att fixa säkerhetshål innan man publicerar dem.) Sen såg jag årtalet - 2008.

Danske Bank har alltså på ett år inte lyckats täppa till hålet de öppnat i sina kunders datorer. Jisses.

Så här ser tidslinjen ut enligt Secunia:

16/04/2008 - Vendor notified.
16/04/2008 - Vendor response.
25/06/2008 - Status update requested.
27/06/2008 - Vendor response (responsible person is on holiday, but
           will provide status update ASAP).
24/07/2008 - Status update requested.
13/08/2008 - Status update requested.
13/08/2008 - Vendor response.
25/08/2008 - Status update requested.
18/09/2008 - Vendor informed that advisory is going out today.
18/09/2008 - Vendor calls asking for extension.
05/11/2008 - Status update requested.
05/11/2008 - Vendor response (currently no progress).
10/11/2008 - Vendor informed about Secunia Reserach disclosure policy
           and informed that a new status update will be requested
           in a couple of months.
02/03/2009 - Status update requested.
11/03/2009 - Status update requested again.
17/03/2009 - Vendor provides status update (working on a fix).
20/03/2009 - Vendor reminded of Secunia Research disclosure policy.
           Advisory will not be coordinated for more than 1 year.
16/04/2009 - Public disclosure.

Mannen i Volvon: Förlåt!

Jag har en stark pedagogisk ådra, såtillvida att jag alltid är beredd att bryta in och förklara hur saker egentligen hänger ihop och att rätta den som säger fel. När jag kör bil upplyser jag gärna mina medtrafikanter om att de kör fel genom att tuta hjälpsamt på dem.

Uppriktigt sagt så försöker jag faktiskt låta bli. Men när en Volvo körde ut framför mig i den tillfälliga Bergsrondellen trots att jag hade företräde tutade jag länge och ihärdigt på honom, trött och irriterad som jag var. Han blev skitsur.

Fast sen tänkte jag efter; vad var det där bra för? Vi körde så långsamt att det aldrig var någon fara, och rondellen är så stökig just nu att det inte är så himla konstigt att han körde fel. Nu blev vi två irriterade förare istället för en. Dumt.

Du, Volvomannen, om du läser det här: Förlåt!

Kabelinkopplingen senareläggs

Försvarsutskottet vill att startdatumet för FRA:s tillgång till kabelbunden kommunikation ska flyttas från 1 oktober till 1 december.

Jag har aldrig riktigt förstått var datumet 1 oktober för inkopplingen kommer från, men visst, vi verkar få ytterligare två månaders frist.

Klart att folk ska kunna stängas av från Internet

Henrik Alexandersson domderar och Rick Falkvinge tar till lätt hysteriska tongångar. Henrik Hansson på näringsdepartementet möter kritiken i något mer avmätta formuleringar. Det handlar om tillägg 138 till EU:s telekompaket.

Jag är inte jurist och har varken kunskaper eller tid att sätta mig in i hela telekomförslaget, men om jag tar samma lösryckta brottstycke som HAX citerar:

no restriction may be imposed on the fundamental rights and freedoms of end-users, without a prior ruling by the judicial authorities, notably in accordance with Article 11 of the Charter of Fundamental Rights of the European Union on freedom of expression and information, save when public security is threatened where the ruling may be subsequent.

det vill säga den text som Henrik och Rick tycker är en bra sak, så är jag inte alls säker att jag håller med. Operatörerna måste kunna sparka ut kunder.

Tvärtom mot vad många tror är Internet nämligen redan reglerat. Det är reglerat genom grupptryck och genom bilaterala avtal. Om - för att ta ett närliggande exempel - Telia är för dåliga på att hindra spam från sitt nät, kan de stora epost-leverantörerna bli sura och vägra ta mot mail från Telias nät. Om Telia har kunder som medvetet skickar spam och därigenom bryter mot sitt användningsavtal, måste Telia kunna stänga av dem. Personerna på ROKSO-listan ska inte ha nåt nät. Operatörer som inte håller efter sina kunder ska kopplas bort från nätet.

Så här har Internet fungerat i många, många år. Jämför gärna med Usenet Death Penalty, till exempel.

Den här regleringen fungerar kanske inte så bra, men den fungerar ändå mycket bättre än de valhänta försök som gjorts med lagstiftning.

Jag tror inte att tillägg 138 är någon bra idé. Lagstiftarna ska hålla sig borta från sånt.

Gratis och gratis...

DN skriver om bankernas avgifter:

"Vi har valt en prismodell där vi är billigare på vissa tjänster. Det kostar inget att använda vår internetbank, dock tar vi betalt av kunder som vill nyttja vår betalningstjänst och aktietjänsten", säger Ragnar Roos, pressekreterare på Nordea.

Nä, det är ju sant att de inte har någon årsavgift för den enklaste formen av internetbanken. Men Roos nämner av någon anledning inte att man för att få tillgång till internetbanken måste ha ett lönekonto hos Nordea. Närmare bestämt ett lönekonto utan ränta!

Att ha inlåningskonton utan någon som helst ränta är mer än lite magstarkt, tycker jag.

(s) talar ur skägget. Kanske.

Socialdemokraterna har inte lyckats sådär jättebra med sin kommunikation kring FRA-frågan, tycker jag. Man ska komma ihåg att Thomas Bodström själv lyckades skjuta ner FRA-förslaget när han var justitieminister, att socialdemokraterna konsekvent röstat mot det i riksdagen, att de fick till en minoritetsbordläggning 2007 och att Mona Sahlin lovat att lagen ska rivas upp om hon kommer till makten.

Men mellan de här stunderna av klarhet mumlas det mest från (s)-håll, och de lyckas inte berätta vad de egentligen vill.

Nu upprepar Thomas Bodström på sin blogg löftet att FRA-lagen ska rivas upp om socialdemokraterna vinner nästa val, och det låter ju bra. Men vad vill de istället då? Visst, de vill ha en ordentlig utredning, och det är klart att resultatet av utredningen inte ska föregripas. Men någon liten åsikt måste (s) väl ändå ha?

Set "thwip, crinkle, sploit" to No.

Hela universitetet har fått nya kopiatorer (och skrivare) i ett stort konsolideringsprojekt.

Vår nya kopiator har en stor användarvänlig pekskärm och en uppsjö (hårdvaru-)knappar med mer eller mindre kryptiska symboler. När jag ska kopiera nånting får jag logga in på kopiatorn genom att vifta med mitt passerkort framför en beröringsfri avläsare. Då visar pekskärmen två stora knappar märkta "Follow-print" och "Kopiera". De ska man inte trycka på. Istället ska man trycka på hårdvaruknappen som är märkt med en dymo-remsa som det står "Kopiering" på. Sen fungerar kopiatorn faktiskt ungefär som en helt normal kopiator. När man är klar trycker man på hårdvaruknappen som är märkt med en dymo-remsa som det står "Logga ut" på.

Fast idag var det inte riktigt så. När jag viftat med mitt kort och tryckt på rätt hårdvaruknapp visades istället den här dialogrutan på pekskärmen:


Upplysande, eller hur? När jag fajtats en stund med kopiatorn kom en kollega förbi och sa "Ja, jag brukar trycka på den här knappen" och pekade på en knapp med en kryptisk symbol (men utan dymo-remsa). Jag tryckte på den, och hamnade i det vanliga kopieringsläget.

Det här är mycket bättre än hur det var förut. Institutionerna får nämligen betala mellan två och tre gånger så mycket per kopierad sida som tidigare så det måste vara mycket bättre.