Category Archives: computer

Jeg vil lige dele en idé, i håb om andre kan bruge og gerne forbedre den. Kort fortalt er jeg kommet op med en relativt dynamisk metode til at blokere kommunikation med alverdens hackeres foretrukne netværk, nemlig Tor.

Løsningen skal i nuværende form betragtes som et “proof of concept”, baseret på et Windows PowerShell script, der styrer et Active Directory »Group Policy Object« (GPO), som igen styrer »Windows Firewall with Advanced Security« (WFAS) konfigurationen på linkede Windows servere og klienter (Windows Vista og op).

Hvem er denne Tor?

Tor-netværket er en bekvem måde at gemme sig på for en angriber, da man herfra kan optræde stort set anonymt. Jeg skal ikke her gå i detaljer med teknologien bag Tor. Det vigtigste er at vide, at »Exit Nodes« er de servere, hvor Tor-klienterne routes ud anonymt.

Jeg er ganske klar over, at Tor kan anvendes til helt legitime forhold, og at det kan have sin berettigelse i mange sammenhænge, men desværre er det overvejende brugsmønster af mistænkelig karakter. En sikkerhedsbevidst virksomhed kan derfor forsvare et strategisk valg om helt at fravælge kommunikation med Tor-brugere.

Gammel vin på nye flasker?

For nogle år siden skrev jeg et VBScript, som downloadede en liste over Tor »Exit Nodes« og oprettede eksplicitte Deny-regler for hver af disse IP-adresser i regelsættet på Microsoft ISA og TMG firewalls.

Formålet med mit script var dengang at sikre, at der ikke kunne oprettes forbindelse til eller fra Tor »Exit Nodes« for interne klienter og servere på det firewall-beskyttede lokalnetværk.

I disse tider, hvor mobilitet er i højsædet i de fleste virksomheder, så er perimeter-tankegangen ikke længere tilstrækkelig. Det er ikke nok at blokere adgang i den centrale firewall, selvom det selvfølgelig stadig kan være gavnligt. Med WAN-tilsluttede laptops, split-tunneling VPN, DirectAccess og lignende teknologier, så er det i høj grad op til klienterne selv (typisk Windows) at gardere sig mod angreb.

Formålet med det nye script var derfor først og fremmest at få funktionaliteten ud på klienterne. Som en lille bonus blev det med central administration og mulighed for jævnlige opdateringer, da Tor netværket jo er relativt dynamisk.

Det kan gøres på mange måder

Jeg har gjort mig nogle forskellige overvejelser omkring hvordan funktionaliteten skulle implementeres.

Hvilken blokeringsmekanisme?

Først er der selve blokeringsmekanismen. Der er flere måder at sikre, at en Windows klient ikke kan kontakte (initiere forbindelse til) – eller kontaktes af – en given IPv4-adresse.

Først overvejede jeg faktisk at oprette »null routes« på klienten. Det findes dog ikke rigtig under Windows, men funktionaliteten kan dog emuleres med »Route Add« kommandoen. Med denne kommando kan man sikre, at en klient benytter en bestemt IP som gateway til en given destination (host eller subnet). Det kunne så være en »dummy« gateway adresse, hvilket svarer lidt til en »null route«.

Som alternativ kunne den lokale host firewall anvendes. Den indbyggede firewall i Windows (WFAS) er en oplagt kandidat, da det rent faktisk en rigtig fornuftig lokal firewall – hvis den altså er konfigureret korrekt. Dertil er den (forhåbentlig) aktiveret på alle Windows klienter og servere i forvejen (hvis ikke der anvendes 3. parts host firewalls).

Da route-tilgangen syntes lidt skrøbelig, og længst fra “best practice”, gik jeg efter en løsning baseret på WFAS.

Hvordan styrer vi så firewallreglerne?

Dernæst måtte jeg finde ud af hvordan disse firewallregler skulle oprettes og opdateres.

Én metode er at gå efter en lokal processtyring via »Task Scheduler«, hvor klienten selv henter en liste over Tor »Exit Nodes« jævnligt og ud fra denne opdaterer sin lokale WFAS konfiguration, f.eks. med »Netsh Advfirewall« kommandoen.

I stedet for »Nesh«, så kan der under Windows 8.1 og Windows Server 2012 R2 benyttes en ny PowerShell cmdlet kaldet »New-NetFirewallRule«. Hermed ville alle andre Windows klienter dog blive udelukket, hvilket er lidt synd når så mange stadig er på Windows 7 – og forhåbentlig ikke Windows XP, vel

En absolut fordel ved den lokale tilgang er, at computere som ikke er medlem af et Active Directory domæne (hovedparten af private computere er standalone klienter), også ville have mulighed for at anvende scriptet. Dog vil det for virksomheden resultere i en alt for dynamisk og ukontrolleret tilgang til netværkssikkerheden.

Jeg valgte at fokusere på en typisk virksomheds behov, men det vil være relativt enkelt at skrive scriptet om til at virke for standalone klienter.

Synergien mellem Group Policy og PowerShell

Selve konfigurationen af WFAS kan snildt foregå fra en central Group Policy under Active Directory. Langt de fleste virksomheder er familiære med denne administrationsmetode.

En anden fordel med Group Policy er, at man ikke behøver at opdatere firewallpolitikkerne manuelt via Group Policy Management Editor. Mange policy-settings kan opdateres vha. et PowerShell script, som eksempelvis kan eksekveres fra en »scheduled task«, i kontekst af en brugerkonto som har skriveadgang til den pågældende GPO (og ikke så meget andet).

Det kræver blot, at der én gang oprettes en GPO til formålet, linker den til rette containere og/eller Organizational Units for Windows computerobjekter, og til sidst sætter korrekte filtre og rettigheder på.

Hvad har vi og hvad mangler der?

Mit script er som sagt alene udarbejdet som en inspiration til andre. Det medfører bl.a., at der formentlig er masser af ting som kan gøres mere elegant, smartere og hurtigere. Jeg har prioriteret en vis læsevenlighed, således at andre nemt kan modificere, hvor der måtte være specielle forhold, ønsker eller krav.

Scriptet har i nuværende form følgende funktioner:

• downloader en opdateret liste over »Exit Nodes« fra Tor-projektet
• udtrækker relevante IPv4-adresser fra listen
• validerer disse og konfirmere at de er offentlige (“IPv4AddressIsPublicHost”-funktionen kan pudses gevaldigt)
• opdaterer et nærmere specificeret Group Policy Object med de udtrukne IPv4-adresser (tilføje nye og slette gamle)
• skriver en logfil over processen

Der foretages minimal error handling, langt fra nok af til et professionelt driftsmiljø.

Jeg håber, at andre vil forbedre koden – og dele med os andre her på siden!

Ansvarsfraskrivelse

Enhver anvendelse af scriptet foregår på eget ansvar. Til gengæld kan det anvendes og redigeres uden omkostninger.

Funktionaliteten er testet på en Windows Server 2008 R2 Domain Controller, en Windows Server 2012 R2 Domain Controller og en Windows 7 klient med RSAT.

Download scriptet

Du kan hente scriptet i seneste version her!

Relevante links og artikler

• How to add a Null route in Windows
• Windows Firewall with Advanced Security Administration with Windows PowerShell
• How can I define null route on Windows Server 2008 R2 Standard
• Powershell: Use GPO to configure firewall settings
• Set-GPRegistryValue
• Max 1000 IPs in a WFAS rule

Skærmbilleder

GPO Unique ID (Guid) findes under Group Policy Management Console > Details fanebladet:

Under Group Policy Management Console > Settings kan man se de automatisk oprettede regler:

Her ses de oprettede inbound-regler under Group Policy Management Editor:

På de klienter og/eller servere, som rammes af GPO’en, vil de oprettede regler kunne ses under »Windows Firewall with Advanced Security«:

Scriptet opretter som standard en samlet log-fil og filer med de downloadede Tor-lister (én for hver kørsel):

Update: 31-03-2014 kl. 11:49, rettet slåfejl “Windows Server 2010″ til 2012.

Hvad der godt kunne kandidere til det værst tænkelige scenarie, ser ud til at være blevet en realitet i Yousees store wifi-sats, hvor hardware hos kunderne får åbnet et ekstra opkoblingspunkt, som andre Yousee-kunder kan bruge til at få internetforbindelse, når de er i nærheden.

Dørene mellem de to opkoblingspunkter, SSID’er, skulle – i sagens natur – være hermetisk lukkede, så de brugere, der kobler på det eksterne og åbne SSID ikke kan tilgå data på det private net hos kunden, hvor udstyret står. Men det har tilsyneladende ikke været tilfældet.

Pressechef hos TDC, der ejer Yousee, Ib Konrad Jensen oplyser til Version2, at det under bestemte omstændigheder har været muligt for brugere af det eksterne SSID at tilgå filer på det private net. Eksempelvis hvis der har været delte mapper eller en netværksharddisk på netværket.

»Der er en risiko for, at man kan få adgang til delte filer på tværs af nettene,« siger han og fortæller, at han ikke kan uddybe, hvori den præcise sårbarhed består, andet end det relaterer sig til ‘nogle bestemte omstændigheder’.

Yousee har som konskvens af sikkerhedsbristen lukket helt ned for det åbne wifi-hotspot i udstyret hos kunderne. Det er sket ved at opdatere en konfigurationsfil.

Ib Konrad Jensen oplyser, at Yousee ikke har kendskab til, at hullet er blevet udnyttet til at tilgå andres data.

En sådan uretmæssig adgang vil dog ikke nødvendigvis blive opdaget af den, det går ud over.

Yousees hotspot-produkt fungerer ved, at alle kunder i udgangspunktet, og hvis deres udstyr ellers understøtter det, har fået åbnet en ekstra trådløs forbindelse, som andre kan koble på. Det er altså ikke noget, folk har skullet tilvælge, men noget, de dog kan fravælge.

Det berørte udstyr er Netgear CG3000, CG3700 og Cisco EPC3925. Yousee er i kontakt med Netgear og Cisco for at få løst problemet. I den forbindelse vil Yousee også se på, hvad der kunne være et andet problem, og om det kan løses i forbindelse med en softwareopdatering.

»Vi har fået en tilbagemelding fra enkelte kunder, der har sagt, at deres bredbåndshastighed er gået ned i forbindelse med, at det her er blevet implementeret på deres router,« siger Ib Konrad Jensen og tilføjer, at Yousee endnu ikke kan sige, om bredbåndsproblemerne, kunderne melder om, er relateret til softwareopgraderingen og dermed også kan løses softwaremæssigt.

Ib Konrad Jensen fortæller, at Yousee har planer om at åbne op for wifi-hotspottene igen, når problemet er løst, han kan dog ikke sige, hvornår det er.

Hvad der godt kunne kandidere til det værst tænkelige scenarie, ser ud til at være blevet en realitet i Yousees store wifi-sats, hvor hardware hos kunderne får åbnet et ekstra opkoblingspunkt, som andre Yousee-kunder kan bruge til at få internetforbindelse, når de er i nærheden.

Dørene mellem de to opkoblingspunkter, SSID’er, skulle – i sagens natur – være hermetisk lukkede, så de brugere, der kobler på det eksterne og åbne SSID ikke kan tilgå data på det private net hos kunden, hvor udstyret står. Men det har tilsyneladende ikke været tilfældet.

Pressechef hos TDC, der ejer Yousee, Ib Konrad Jensen oplyser til Version2, at det under bestemte omstændigheder har været muligt for brugere af det eksterne SSID at tilgå filer på det private net. Eksempelvis hvis der har været delte mapper eller en netværksharddisk på netværket.

»Der er en risiko for, at man kan få adgang til delte filer på tværs af nettene,« siger han og fortæller, at han ikke kan uddybe, hvori den præcise sårbarhed består, andet end det relaterer sig til ‘nogle bestemte omstændigheder’.

Yousee har som konskvens af sikkerhedsbristen lukket helt ned for det åbne wifi-hotspot i udstyret hos kunderne. Det er sket ved at opdatere en konfigurationsfil.

Ib Konrad Jensen oplyser, at Yousee ikke har kendskab til, at hullet er blevet udnyttet til at tilgå andres data.

En sådan uretmæssig adgang vil dog ikke nødvendigvis blive opdaget af den, det går ud over.

Yousees hotspot-produkt fungerer ved, at alle kunder i udgangspunktet, og hvis deres udstyr ellers understøtter det, har fået åbnet en ekstra trådløs forbindelse, som andre kan koble på. Det er altså ikke noget, folk har skullet tilvælge, men noget, de dog kan fravælge.

Det berørte udstyr er Netgear CG3000, CG3700 og Cisco EPC3925. Yousee er i kontakt med Netgear og Cisco for at få løst problemet. I den forbindelse vil Yousee også se på, hvad der kunne være et andet problem, og om det kan løses i forbindelse med en softwareopdatering.

»Vi har fået en tilbagemelding fra enkelte kunder, der har sagt, at deres bredbåndshastighed er gået ned i forbindelse med, at det her er blevet implementeret på deres router,« siger Ib Konrad Jensen og tilføjer, at Yousee endnu ikke kan sige, om bredbåndsproblemerne, kunderne melder om, er relateret til softwareopgraderingen og dermed også kan løses softwaremæssigt.

Ib Konrad Jensen fortæller, at Yousee har planer om at åbne op for wifi-hotspottene igen, når problemet er løst, han kan dog ikke sige, hvornår det er.

TDC-ejede YouSee har lukket for den hotspot-tjeneste, som selskabet for nylig lancerede, efter der er blevet konstateret et sikkerhedshul i softwaren på routerne. Det oplyser YouSee.

Sikkerhedshullet findes i den software, som YouSee har lagt ind på tre af selskabets routere og kabelmodems med wifi, som har gjort det muligt at bruge kundernes routere til en stor hotspot-tjeneste.

Ifølge YouSee har det været muligt via hotspottet at få adgang til delte mapper på computere eller netværksharddiske, som ikke har været beskyttet med en adgangskode. YouSee oplyser, at selskabet ikke er orienteret om konkrete tilfælde af misbrug.

Hotspot-tjenesten er nu lukket ned, indtil sikkerhedshullet er fundet og lukket. YouSee oplyser desuden, at selskabet undersøger, om der er en sammenhæng mellem sikkerhedshullet og de YouSee-kunder, som har klaget over hastighedsproblemer på deres netværk, efter hotspot-tjenesten blev lanceret.

TDC-ejede YouSee har lukket for den hotspot-tjeneste, som selskabet for nylig lancerede, efter der er blevet konstateret et sikkerhedshul i softwaren på routerne. Det oplyser YouSee.

Sikkerhedshullet findes i den software, som YouSee har lagt ind på tre af selskabets routere og kabelmodems med wifi, som har gjort det muligt at bruge kundernes routere til en stor hotspot-tjeneste.

Ifølge YouSee har det været muligt via hotspottet at få adgang til delte mapper på computere eller netværksharddiske, som ikke har været beskyttet med en adgangskode. YouSee oplyser, at selskabet ikke er orienteret om konkrete tilfælde af misbrug.

Hotspot-tjenesten er nu lukket ned, indtil sikkerhedshullet er fundet og lukket. YouSee oplyser desuden, at selskabet undersøger, om der er en sammenhæng mellem sikkerhedshullet og de YouSee-kunder, som har klaget over hastighedsproblemer på deres netværk, efter hotspot-tjenesten blev lanceret.

Microsoft vil fremover ringe til de officielle myndigheder, når virksomheden mener, der er god grund til at gennemgå kundernes Hotmail, eller andre private oplysninger i Microsoft-skyen. Det skriver Ars Technica.

Tidligere har virksomheden tilladt sig selv fri adgang til kundernes data, hvis der var noget, der tydede på at tjenester blev brugt til kriminalitet mod Microsoft. Men den praksis er slut nu. Fremover tager de rette myndigheder sig af efterforskningen, og det vil være op til myndighederne at forlange adgang til de rette informationer.

Den nye praksis kommer efter en afsløring, af at Microsoft havde gennemgået en række private mails til en blogger fra en tidligere utilfreds Microsoft-ansat. Den har ret har virksomheden nemlig givet sig selv i sine servicebetingelser. Det samme gør sig iøvrigt gældende for Apple, Yahoo og Google.

Men i en post-Snowden verden blev kunder og kritikere bekymret over at se sådan en praksis i brug. Derfor føler Microsoft sig nu nødsaget til at ændre sin politik og kræve nøjagtigt den samme retspraksis, som det gælder i hvilken som helst anden efterforskning ført af myndighederne.

I de kommende måneder vil Microsoft ændre sine servicebetingelser, så de passer med den nye praksis.

Microsoft vil fremover ringe til de officielle myndigheder, når virksomheden mener, der er god grund til at gennemgå kundernes Hotmail, eller andre private oplysninger i Microsoft-skyen. Det skriver Ars Technica.

Tidligere har virksomheden tilladt sig selv fri adgang til kundernes data, hvis der var noget, der tydede på at tjenester blev brugt til kriminalitet mod Microsoft. Men den praksis er slut nu. Fremover tager de rette myndigheder sig af efterforskningen, og det vil være op til myndighederne at forlange adgang til de rette informationer.

Den nye praksis kommer efter en afsløring, af at Microsoft havde gennemgået en række private mails til en blogger fra en tidligere utilfreds Microsoft-ansat. Den har ret har virksomheden nemlig givet sig selv i sine servicebetingelser. Det samme gør sig iøvrigt gældende for Apple, Yahoo og Google.

Men i en post-Snowden verden blev kunder og kritikere bekymret over at se sådan en praksis i brug. Derfor føler Microsoft sig nu nødsaget til at ændre sin politik og kræve nøjagtigt den samme retspraksis, som det gælder i hvilken som helst anden efterforskning ført af myndighederne.

I de kommende måneder vil Microsoft ændre sine servicebetingelser, så de passer med den nye praksis.

Flere og flere er så afhængige af alt fra smartphone til tv-skærme, at de risikerer alvorlige øjenskader. Det advarer en række optikere nu om, ifølge BBC.

Advarslen kommer i kølvandet på en undersøgelse af 2.000 personer under 25, som afslører at de fleste tjekker deres smartphone omkring 32 gange om dagen. Det kan have en skadelig virkning, fordi skærmen udsender et blåviolet lys.

»Blåviolet lys er potentielt sundhedsskadeligt for øjet. Over en længere tidsperiode kan det skade dine øjne,« siger optiker Andy Hepworth til BBC.

Ifølge Andy Hepworth har undersøgelser vist, at øjne der bliver udsat for blåviolet kan føre til øjenforkalkning (macula degeneration), hvilket er en hyppig årsag til blindhed.

Derudover viser andre undersøgelser, at lyset fra en smartphone kan forstyrre søvnmønstret og muligvis humøret.

Den gennemsnitlig voksne person bruger næsten syv timer om dagen på at kigge på en skærm, mens næsten halvdelen føler ubehag, når de er væk fra telefonen.

Flere og flere er så afhængige af alt fra smartphone til tv-skærme, at de risikerer alvorlige øjenskader. Det advarer en række optikere nu om, ifølge BBC.

Advarslen kommer i kølvandet på en undersøgelse af 2.000 personer under 25, som afslører at de fleste tjekker deres smartphone omkring 32 gange om dagen. Det kan have en skadelig virkning, fordi skærmen udsender et blåviolet lys.

»Blåviolet lys er potentielt sundhedsskadeligt for øjet. Over en længere tidsperiode kan det skade dine øjne,« siger optiker Andy Hepworth til BBC.

Ifølge Andy Hepworth har undersøgelser vist, at øjne der bliver udsat for blåviolet kan føre til øjenforkalkning (macula degeneration), hvilket er en hyppig årsag til blindhed.

Derudover viser andre undersøgelser, at lyset fra en smartphone kan forstyrre søvnmønstret og muligvis humøret.

Den gennemsnitlig voksne person bruger næsten syv timer om dagen på at kigge på en skærm, mens næsten halvdelen føler ubehag, når de er væk fra telefonen.

I løbet af 2015 lancerer TDC Volte eller Voice-over-LTE. Det vil sige taleopkald via telekoncernens 4G-net. Et net, der i øvrigt i år er under heftig udbygning, og som TDC forventer dækker 99 pct. af befolkningen til februar næste år.

På et pressemøde kunne koncerndirektør i TDC Peter Schleidt blandt andet fortælle om virksomhedens planer for Volte.

»I det nye er det pakkebaseret, som IP-trafik. Det betyder, at når man ringer til hinanden, så tager det ikke seks sekunder, som det tager i gennemsnit for mobiloperatørerne, før den ringer i den anden ende. Den ringer [nærmest] i samme millisekund, man trykker på knappen, så man kan ikke nå at fortryde mere,« sagde han.

Derudover bliver 4G-taleopkaldene i HD-kvalitet, altså forudsat, der er en 4G-forbindelse i begge ender af kaldet. Hvis HD-tale på mobilen lyder bekendt, så er det, fordi flere teleoperatører, inklusive TDC, tidligere har lanceret HD-voice på 3G-telefoni. Forudsat håndsættet understøtter det.

Men HD via 3G forudsætter i dag også, at begge telefoner har en 3G-forbindelse hos samme operatør – det virker altså ikke på tværs af de danske operatører. Sådan er det ikke med Volte. Hvis operatøren understøtter det, så fungerer det ifølge Peter Schleidt på tværs af netværkene.

TDC fortæller, at det ikke er alle 4G telefoner som understøtter Volte. Mange af de terminaler (telefoner, mm.), som er på markedet i dag, er dog forberedte til Volte, som kan aktiveres igennem software-opgradering af apparatet.

Desuden byder Volte, med den noget lavere latency (forsinkelse) og højere båndbredde sammenliget med gængs 3G, også på mulighed for videoopkald i ordentlig kvalitet, fortalte Peter Schleidt.

Endeligt skulle Volte, der er IP-baseret, også give større mulighed for integration med apps på telefonen, end tilfældet er i dag. Som et løst eksempel nævnte Peter Schleidt en LinkedIn-profil, der popper op i kontekst med den person, der ringer. Men lod også forstå, at mulighederne er mange i forhold til app-integration.

Ingen bud på præcist hvornår

Han kunne ikke sige nærmere, hvornår i 2015 TDC forventer at kunne tilbyde Volte – og ej heller, om det bliver en tilkøbsydelse.

»Vores plan er at komme først, nu må vi se, om vi kommer først,« siger han.

Umiddelbart er der ingen af de øvrige tre operatører, der går med konkrete Volte-planer. I hvert fald ikke nogen, de vil ud med.

Kommunikationschef hos 3 Tanja Krebsø oplyser i en mail, at virksomheden arbejder på at kunne implementere det så hurtigt som muligt, men:

»Vi kan dog ikke på nuværende tidspunkt give et bud på, hvornår det kommer.«

Telias kommunikationsafdeling oplyser, at VoLTE indtil videre ikke er noget, virksomheden har valgt at prioritere.

Hos Telenor fortæller seniorrådgiver Tom Lehn-Christiansen i virksomhedens kommunikationsafdeling i en mail:

»Volte er noget, vi kigger på. Hvornår vi kommer med det, afhænger blandt andet af, hvordan situationen udvikler sig på terminalsiden, altså hvornår der kommer en kritisk masse af Volte-parate 4G-telefoner.«