Kategori: it-säkerhet

totalsträckskryptering

(end-to-end encryption, E2EE, även: ändpunktskryptering, helvägskryptering) – kryptering där bara sändare och mottagare kan läsa meddelandena i klartext. – Totalsträckskryptering innebär att routrar, switchar eller annan nätverksutrustning som meddelandet passerar på väg mellan avsändare och mottagare vidarebefordrar meddelandet utan att dekryptera det. Ingen som har möjlighet att avläsa meddel­an­den på väg från sändare till mottagare (nätoperatörer, hackare, eventuellt polis eller säkerhetstjänst) antas ha tillgång till nyckeln, så de kan därför bara läsa den för dem obegripliga kryptotexten. – I kryptosystem som användarna själva installerar, som PGP, är totalsträckskryptering en självklarhet – nätoperatören förmedlar ju innehållet i befintligt skick utan att bry sig om ifall det är krypterat eller inte. System där krypterade meddelanden först sänds till en server, som dekrypterar dem och sedan skickar dem vidare, eventuellt efter att ha krypterat dem på nytt, är däremot inte totalsträckskrypter­ing. Det kallas för delsträckskryp­te­ring. – Förutsättningen för att totalsträckskryptering ska vara möjlig är att kryptosystemets mjukvara och de nycklar som behövs finns hos sändare och mottag­are. Det måste också finnas ett säkert sätt för parterna att utväxla nycklar utan att blanda in någon tredje part – se asymmetrisk kryptering.

[kryptering] [ändrad 30 januari 2023]

tillitsnivå

(level of assurance, LOA) – i tillitsramverk: värdering av hur tillförlitlig en organisations hantering av identiteter är. Målet är att man ska kunna veta vilken person som faktiskt sitter vid datorn vid inloggning på ett konto, och att det är en betrodd person med aktuell behörighet. Till­för­lit­lig­heten hänger på flera faktorer:

  • – vet organisationen som delar ut ett konto vem som faktiskt ska ha kontot? Exempel: vem som helst kan skaffa ett Gmail-konto utan att Google får veta vem kontohavaren faktiskt är. En Gmailadress är alltså värdelös för identifiering;
  • – kontrollerar organisationen att det är rätt person som använder kontot? Är det risk för att den rätta användaren lånar ut kontot till andra, läcker sitt lösenord eller slarvar på andra sätt?
  • – hur skyddad är identitetshanteringen mot dataintrång och skadeprogram, och hur ser organisationen till att alla uppgifter är aktuella?
  • – räcker det med lösenord för autentisering eller används tvåfaktorsautentise­ring eller biometrisk autentisering?

– Den internationella standarden (ISO/IEC 29115, länk) har definierat fyra nivåer som används av den svenska e‑legitimationsnämnden (numera del av myndigheten DIGG). De fyra nivåerna är:

  1. – ingen styrkt identitet. Personen styrker sig uppgivna identitet med till exempel ett e‑postkonto som hon själv har skaffat eller med sitt telefonnummer;
  2. – identiteten styrks med användarnamn och lösenord, engångslösenord eller liknande;
  3. – identiteten styrks med godkänd identitetshandling eller till exempel mobilt bank-id. Identitetshandlingen behöver inte ha lämnats ut vid personligt besök. Tvåfaktorsautentisering krävs;
  4. – identiteten styrks med godkänd identitetshandling eller med e‑legitimation som har lämnats ut till användaren vid personligt besök. Tvåfaktorsautentisering krävs.

– Läs mer på DIGG:s webbsidor och på Skolfederations webbsidor.

[identifiering] [ändrad 28 augusti 2020]

user account control

(UAC) – funktion i Windows med syftet att få användarna att inte vara inlogg­ade som administratörer i onödan. – De ska kunna sköta huvuddelen av sina arbetsuppgifter som vanliga användare. (Detta är främst relevant för användare i organisationer.) – Problemet som behöver lösas uppstår därför att vanliga användare i Windows brukar kunna arbeta både som vanliga användare och som administra­törer av sitt eget konto. För att göra vissa ändringar, till exempel installera program, måste de logga in som administratörer, men när de väl har gjort det brukar de inte logga ur som administratörer. Det innebär att administratörskontot är öppet, trots att det inte behövs, och det skapar en sårbarhet. Skadepro­gram kan då laddas ner utan att användaren märker det, och de kan sedan spridas i nätverket. Om man å andra sidan hindrar användaren från att logga in som administratör över huvud taget blir det omöjligt för henne att göra många saker. – User account control minskar problemet genom att låta användaren göra en tillfällig inloggning när hon behöver göra något som administratör. När det är klart loggas hon automatiskt ut från sitt administratörskonto. Exakt hur det ska tillämpas kan ställas in av it‑systemets administratör. Man kan också välja att inte använda user account control alls. – User account control infördes 2006 i Windows med Windows Vista†, och ingår fortfarande i Windows i om­ar­betad form. – Läs mer på Microsofts webbsidor.

[it-system] [it-säkerhet] [windows] [ändrad 18 mars 2018]