Fire uafhængige sikkerhedshistorier kom frem i løbet af de seneste par uger. En forsker opdagede, at en eftermonteret bilalarm kaldet KARR — installeret i anslået over 2 millioner køretøjer — lydløst kan låses op, deaktiveres eller slås fra af enhver inden for Bluetooth-rækkevidde. En sikkerhedsforsker hos Bitsight opdagede, at en populær billig streamingstick, H96, i årevis ubemærket har udlejet ejernes internetforbindelser og klikket på svindelannoncer, mens den udgav sig for at være en mobiltelefon. En hacker erklærede sig skyldig i brud, der var knyttet til data om over 100 millioner mennesker, og fik ikke adgang gennem et smart exploit, men gennem kundeadgangskoder, der havde ligget der siden en infostealer-infektion flere år tidligere, på konti hvor multifaktorgodkendelse aldrig havde været slået til. Og forskere demonstrerede, at malware under de rette betingelser kan udtrække passkeys, der er synkroniseret gennem Google Password Manager — netop det system, mange af os tog i brug specifikt for at slippe væk fra risikoen ved adgangskoder.
Læst hver for sig er dette fire forskellige problemkategorier: en hardwarefejl, et svindelnummer i forsyningskæden, et virksomhedssikkerhedsbrud og et problem i kryptografisk implementering. Men de deler en grundlæggende årsag, som intet har med den involverede teknologi at gøre. I hvert tilfælde blev det sårbare installeret, aktiveret eller oprettet én gang — og derefter kiggede ingen på det igen.
Mønstret under overskrifterne
Sikkerhedsgæld ophobes præcis de steder, man holder op med at være opmærksom. En bilalarm bliver monteret som del af en ekstraudstyrspakke hos forhandleren og strejfer aldrig dine tanker igen, før den er grunden til, at din bil ender i andres hænder. En streamingstick bliver sluttet til tv'et, fungerer fint i årevis og giver aldrig anledning til mistanke, fordi den stadig afspiller det, du beder den om at afspille — trafikken med annoncesvindel og delingen af båndbredde foregår usynligt ved siden af. En login-legitimation bliver oprettet, virker ved en loginprompt og ligger derefter i en database i årevis, efter at den enhed, der lækkede den, for længst er glemt, fordi det ikke er en opgave, nogen sætter i kalenderen at skifte en adgangskode, man ikke skænker en tanke. En passkey bliver oprettet specifikt for at være »mere sikker end en adgangskode«, og det ry bliver en grund til at holde op med at tænke over, hvad der beskytter den enhed, den ligger på.
Ingen af disse tilfælde krævede en sofistikeret angriber, der skulle finde en ny fejl, som ingen havde forudset. Bilalarmen og tyveriet af passkeys involverede ganske vist reel teknisk research. Men det, der faktisk gjorde skaden mulig i stor skala, var kløften mellem »sat op én gang« og »aldrig gennemgået igen«.
Et 20-minutters eftersyn af ting, du allerede ejer
Du behøver ikke købe noget eller blive en anden slags person for at lukke det meste af denne kløft. Du skal én gang gennemgå kategorierne ovenfor og behandle det som en tilbagevendende opgave i stedet for en engangsopsætning.
1. Eftermonterede enheder og ekstraudstyr
Gå alt igennem, der blev installeret af en tredjepart i stedet for at være indbygget — bilalarmer, dashcams, smartlåse og eftermonterede trackere. Tjek producentens app eller websted for en funktion til firmwareopdatering, og kør faktisk opdateringen. For KARR-alarmen bemærkede forskerne specifikt, at et let synligt tegn er et »KARR«-klistermærke på sideruden i førersiden; hvis du har et, så spørg installatøren eller producenten om en rettelse, før du antager, at alt er i orden. Den bredere vane, der er værd at opbygge: Alt med en radioforbindelse og en producentapp er en enhed, der har brug for lejlighedsvis vedligeholdelse, ligesom din telefon eller bærbare computer.
2. Hvad der end er sluttet til dit tv
Generiske streamingbokse, der sælges på markedspladser under navne som H96 og ofte markedsføres til en engangspris for »ubegrænset« indhold, er værd at se nærmere på. Hvis du ejer en, skal du forstå, at risikoen ikke kun handler om piratkopieret indhold — det handler om, at selve enheden måske opfører sig som en ekstra computer på dit netværk med sin egen dagsorden. Hvis du ikke kan bekræfte, hvad en enhed foretager sig på dit netværk, og den kommer fra et ukendt mærke, der lover noget, der er for godt til prisen, er det grund nok til at isolere den på et gæstenetværk eller udskifte den med en almindelig streaming-enhed fra en virksomhed, der har et omdømme at beskytte.
3. Gamle adgangskoder, især genbrugte eller inaktive
Sikkerhedsbruddet, der var knyttet til den Snowflake-forbundne hackers tilståelse, skyldtes ikke en fejl i platformen. Det skyldtes legitimationsoplysninger, som malware havde indsamlet flere år tidligere på en persons computer, og som ingen havde skiftet, på konti hvor multifaktorgodkendelse var slået fra. Det er en helt undgåelig fejltype, og den er almindelig: Enhver konto, du har oprettet én gang og sjældent logger ind på, er præcis den slags konto, der lige nu kan være beskyttet af en lækket, åre-gammel adgangskode. Hvis din adgangskodeadministrator tilbyder et tjek for sikkerhedsbrud eller genbrug, så kør det. Hvis en konto tillader MFA, og det er slået fra, så slå det til — denne ene kontrol ville have stoppet det indbrud, der afslørede oplysninger om over 100 millioner mennesker.
4. Kontoen, der beskytter dine passkeys
Passkeys er en reel forbedring i forhold til adgangskoder, når det gælder de specifikke problemer phishing og genbrug. Men den nyere forskning i tyveri af synkroniserede passkeys gennem Google Password Manager er en nyttig påmindelse om, at en passkey ikke er magisk — den arver sikkerheden fra den konto og enhed, den synkroniseres gennem. Det betyder, at den konto, der indeholder din adgangskodeadministrator eller passkey-synkronisering, fortjener den stærkeste beskyttelse, du har: en stærk, unik adgangskode på selve enheden, MFA på den konto, der står for synkroniseringen, og opmærksomhed på, hvad du installerer på enheden, eftersom forskningen bygger på malware, der allerede kører på maskinen, ikke på en fejl, du kan »patche« i selve passkeys.
Hvorfor det er værd at gøre nu i stedet for senere
Ingen af disse fire historier beskriver en trussel, du behøver at gå i panik over i dag. Men alle fire beskriver trusler, der voksede i måneder eller år, netop fordi ingen vendte tilbage og fulgte op. Løsningen er ikke et nyt værktøj eller et abonnement — det er at vælge et tilbagevendende tidspunkt, måske sammen med en vane, du allerede har, som at tjekke din kontoudskrift, for at stille et kedeligt spørgsmål om de ting, du allerede ejer og allerede har tillid til: Hvornår tjekkede jeg sidst dette, og er der stadig nogen, der har en grund til at holde øje med det ud over mig?
