X-Git-Url: https://pere.pagekite.me/gitweb/homepage.git/blobdiff_plain/6fa95111312d71fd33bf74a16a0ab3b9d4fcdf5c..a06b8c3e32cdfaf1a49f59c0c47e69d2b04cb404:/blog/index.rss diff --git a/blog/index.rss b/blog/index.rss index 8f72c54c46..17ec41a7de 100644 --- a/blog/index.rss +++ b/blog/index.rss @@ -6,6 +6,51 @@ http://people.skolelinux.org/pere/blog/ + + Dårlig med sikkerhetsoppdateringer for Ruters billettautomater i Oslo? + http://people.skolelinux.org/pere/blog/D_rlig_med_sikkerhetsoppdateringer_for_Ruters_billettautomater_i_Oslo_.html + http://people.skolelinux.org/pere/blog/D_rlig_med_sikkerhetsoppdateringer_for_Ruters_billettautomater_i_Oslo_.html + Wed, 13 Feb 2019 10:45:00 +0100 + <p><a href="http://people.skolelinux.org/pere/blog/Er_billettautomatene_til_kollektivtrafikken_i_Oslo_uten_sikkerhetsoppdateringer_.html">For +syv år siden</a> oppdaget jeg at billettautomater for +kollektivtrafikken i Oslo kjørte +<a href="http://en.wikipedia.org/wiki/Windows_2000">Windows 2000 +Professional</a>. Operativsystemet har ikke fått sikkerhetsfikser fra +Microsoft siden 2010-07-13 i følge dem selv. Den samme versjonen av +operativsystemet var i bruk +<a href="http://people.skolelinux.org/pere/blog/Fortsatt_ingen_sikkerhetsoppdateringer_for_billettautomatene_til_kollektivtrafikken_i_Oslo_.html">for +to og et halvt år siden</a>, og jammen er det ikke også i bruk den dag +i dag:</p> + +<p align="center"><a href="http://people.skolelinux.org/pere/blog/images/2019-02-13-ruter-win2000pro.jpeg"><img width="40%" src="http://people.skolelinux.org/pere/blog/images/2019-02-13-ruter-win2000pro.jpeg" alt="[Bilde av Ruters billettautomat med Windows 2000-feilmelding]"></a></p> + +<p>Bildet er tatt i dag av Kirill Miazine og tilgjengelig for bruk med +bruksvilkårene til +<a href="http://creativecommons.org/licenses/by/4.0/">Creative +Commons Attribution 4.0 International (CC BY 4.0)</a>.</p> + +<p>Kanskje det hadde vært +<a href="https://www.aftenposten.no/osloby/i/awqgO/Her-kjorer-du-gratis-trikk-og-buss">bedre +med gratis kollektivtrafikk</A>, slik at vi slapp å stole på +datakompetansen til Ruter for å verne våre privatliv samt holde +personopplysninger og betalingsinformasjon unna uvedkommende. Eneste +måten å sikre at hvor en befinner seg ikke kan hentes ut fra Ruters +systemer er å betale enkeltbilletter med kontanter. Jeg vet at Ruter +har en god historie om hvor personvernvennlige mobil-app og +RFID-kortene er, men den historien er ikke mulig å uavhengig +kontrollere uten priviligert tilgang til interne system og blir dermed +bare nok en god historie basert på tillit til de som forteller +historien. Det er ikke slik en sikrer privatsfæren. Det gjør en ved +å sikre at det ikke (kan) registreres informasjon om ens person.</p> + +<p>Som vanlig, hvis du bruker Bitcoin og ønsker å vise din støtte til +det jeg driver med, setter jeg pris på om du sender Bitcoin-donasjoner +til min adresse +<b><a href="bitcoin:15oWEoG9dUPovwmUL9KWAnYRtNJEkP1u1b">15oWEoG9dUPovwmUL9KWAnYRtNJEkP1u1b</a></b>. +Merk, betaling med bitcoin er ikke anonymt. :)</p> + + + Stortinget vedtar maskinlesbart register over 20% av selskapseierne i Norge http://people.skolelinux.org/pere/blog/Stortinget_vedtar_maskinlesbart_register_over_20__av_selskapseierne_i_Norge.html @@ -798,45 +843,5 @@ Merk, betaling med bitcoin er ikke anonymt. :)</p> - - Why is your site not using Content Security Policy / CSP? - http://people.skolelinux.org/pere/blog/Why_is_your_site_not_using_Content_Security_Policy___CSP_.html - http://people.skolelinux.org/pere/blog/Why_is_your_site_not_using_Content_Security_Policy___CSP_.html - Sun, 9 Dec 2018 15:00:00 +0100 - <p>Yesterday, I had the pleasure of watching on Frikanalen the OWASP -talk by Scott Helme titled -"<a href="https://frikanalen.no/video/626080/">What We’ve Learned From -Billions of Security Reports</a>". I had not heard of the -<a href="https://en.wikipedia.org/wiki/Content_Security_Policy">Content -Security Policy standard</a> nor its ability to "call home" when a -browser detect a policy breach (I do not follow web page design -development much these days), and found the talk very illuminating.</p> - -<p>The mechanism allow a web site owner to use HTTP headers to tell -visitors web browser which sources (internal and external) are allowed to -be used on the web site. Thus it become possible to enforce a "only -local content" policy despite web designers urge to fetch programs -from random sites on the Internet, like the one -<a href="https://securityaffairs.co/wordpress/68966/hacking/browsealoud-plugin-hack.html">enabling -the attack</a> reported by Scott Helme earlier this year.</p> - -<p>Using CSP seem like an obvious thing for a site admin to implement -to take some control over the information leak that occur when -external sources are used to render web pages, it is a mystery more -sites are not using CSP? It is being -<a href="https://www.w3.org/TR/CSP/">standardized under W3C</a> these -days, and is supposed by most web browsers</p> - -<p>I managed to find <a href="https://github.com/mozilla/django-csp">a -Django middleware for implementing CSP</a> and was happy to discover -it was already in Debian. I plan to use it to add CSP support to the -Frikanalen web site soon.</p> - -<p>As usual, if you use Bitcoin and want to show your support of my -activities, please send Bitcoin donations to my address -<b><a href="bitcoin:15oWEoG9dUPovwmUL9KWAnYRtNJEkP1u1b">15oWEoG9dUPovwmUL9KWAnYRtNJEkP1u1b</a></b>.</p> - - -