Hacklore: Cybersäkerhetens moderna folktro

Inom cybersäkerhet finns det ett fenomen som vi sällan pratar om men som nästan alla har stött på. Det kallas hacklore.

Begreppet kommer från en kombination av hacking och folklore. Det beskriver säkerhetsråd som har upprepats så många gånger att de uppfattas som sanningar, även om de inte nödvändigtvis återspeglar hur hotbilden faktiskt ser ut i dag.

Projektet Hacklore.org har samlat många sådana exempel och försöker reda ut gamla säkerhetsmyter. Poängen är inte att råden alltid är fel, utan att många av dem är överdrivna, föråldrade eller helt enkelt missförstådda.

Många av dessa råd uppstod för 10–20 år sedan. Tekniken såg annorlunda ut. Nätverken var annorlunda. Angreppen var annorlunda. Ändå lever råden vidare i säkerhetskurser, interna IT-riktlinjer, medieartiklar, onboarding-presentationer och LinkedIn-inlägg med "varningar".

Resultatet blir att vi ofta lägger mycket tid på scenarier som nästan aldrig inträffar, medan de vanligaste attackerna får mindre uppmärksamhet.

Klassiska exempel på hacklore

De flesta har hört dessa råd:

• Använd inte offentligt wifi eftersom hackare kan stjäla dina lösenord
  (telefonileverantörer har använt detta som argument för att få folk att köpa och använda mer mobildata) Detta var en mer verklig risk tidigare. I dag använder nästan alla tjänster HTTPS, och webbläsare och appar varnar om något inte stämmer. Risken finns fortfarande, men är betydligt mindre än många tror.
• Ladda inte telefonen i en offentlig USB‑port eftersom en angripare kan stjäla allt på din telefon
  Så kallad juice jacking är tekniskt möjlig men mycket sällsynt i praktiken. Moderna telefoner ber också om tillåtelse innan dataöverföring sker. Risken är därför låg, men det är fortfarande en enkel försiktighetsåtgärd att använda egen laddare eller vanligt eluttag.

• Stäng av Bluetooth när du inte använder det
  Bluetooth-sårbarheter har förekommit, men moderna implementationer är betydligt säkrare än tidigare. För de flesta användare är detta idag en relativt låg risk.
  

• Du måste byta lösenord ofta
  Detta är ett bra exempel på ett råd som faktiskt har övergetts av många säkerhetsmyndigheter. Täta lösenordsbyten leder ofta till svagare lösenord och återanvändning. I dag rekommenderas i stället långa, unika lösenord och MFA.

Detta är råd som fortfarande dyker upp i många säkerhetsprogram. Problemet är inte att angreppen är omöjliga. Problemet är att de ofta är lite orealistiska i praktiken. Det handlar ofta om teoretiska angrepp som fungerar om "alla planeter står på linje och det är köttbullar till middag osv". Det krävs väldigt mycket för att utnyttja dem. Modern teknik har förändrat mycket sedan dessa angrepp var mer realistiska:

• HTTPS (krypterad trafik) används nästan överallt

• operativsystem är säkrare

• appar körs i sandbox

• webbläsare har bättre säkerhetsmekanismer

Därmed är många av de klassiska scenarierna betydligt mindre relevanta än de en gång var.

Vad angripare faktiskt gör

I praktiken är de flesta angrepp mycket enklare. Angripare använder sällan komplicerade tekniska metoder om de kan uppnå samma resultat på ett enklare sätt. När vi är ute på uppdrag hos kunder ser vi sällan avancerade angrepp mot publika nätverk. Det vi däremot ser om och om igen är phishing, återanvändning av lösenord och avsaknad av MFA.

Typiska angreppsvägar vi ser om och om igen är:

• phishing

• stulna eller återanvända lösenord

• saknad MFA

• sårbar programvara

• felkonfigurerade tjänster

För en angripare är det nästan alltid lättare att:

• skicka ett trovärdigt nätfiske-mejl

• lura någon att logga in på en falsk sida

• använda läckta lösenord

än att genomföra avancerade angrepp mot slumpmässiga användare på ett flygplatsnätverk.

När säkerhetsråd blir stötande

Ett annat problem med hacklore är att det skapar säkerhetsbrus.

Användare får ofta långa listor med regler:
  •  använd inte detta nätverk
  •  ladda inte telefonen här
  •  klicka inte där
  •  installera inte detta

När listan blir tillräckligt lång är det svårt att veta vad som faktiskt är viktigt. Resultatet blir ofta att användare ignorerar råden helt.

Åtgärder som faktiskt ger effekt

Om målet är att minska risk finns det vissa åtgärder som ger mycket större effekt än de flesta andra.

För de flesta användare är dessa bland de viktigaste:

• använd långa lösenord och spara dem i en lösenordshanterare.

• använd starka och unika lösenord eller passkeys. Längd är viktigare än komplexitet. "Jegerutroliggladikattenemine" är ett mycket bättre lösenord än "kj%#|€12"

• aktivera MFA där det är möjligt

• håll programvara och appar uppdaterade.

• var uppmärksam på phishing, vishing och andra former av "social engineering".

Detta är åtgärder som direkt adresserar de vanligaste angreppsmetoderna. Det är kanske inte lika dramatiskt som historier om hackare på flygplats-wifi, men det är här de flesta angrepp faktiskt sker.

Lite mindre folktro

Poängen är inte att gamla säkerhetsråd alltid är fel. Poängen är att cybersäkerhet ständigt förändras. Råd som var bra för många år sedan är inte nödvändigtvis lika relevanta i dag.

Kanske den viktigaste frågan vi borde ställa oss oftare är:
Vilka säkerhetsåtgärder minskar faktiskt risken mest just nu?

Kanske borde vi lägga lite mindre tid på hacklore och lite mer tid på de angrepp som faktiskt sker.