Podd #68: Thunderbolt-attacken Thunderspy

Veckans stora snackis har utan tvekan varit Thunderspy-sårbarheterna. De upptäcktes av Björn Ruytenberg vid Eindhoven University of Technology och offentliggjordes i söndags. Via dessa sårbarheter kan en motiverad angripare gå förbi låsskärmen på Windows- och Linux-datorer för att därigenom få full kontroll över maskinen. Det inkluderar även alla filer. Hårddiskkryptering skyddar ej. Alla Thunderbolt-datorer fram till 2019 är drabbade och Thunderspy går inte att åtgärda genom mjukvaruuppdateringar.

I veckans podd diskuterar Tess och Nikka hur pass allvarliga Thunderspy-sårbarheterna egentligen är. Nikka anser nämligen att de i praktiken inte är så farliga som rapporteringen har gett sken av.

Tidskoder i avsnittet

• 00.00 The Thunderspy Flaw (intro)
• 00.53 Inledning
• 01.36 Månadens säkerhetsuppdateringar
• 03.58 Swish-förfrågningar
• 07.55 Nya Google Authenticator
• 10.55 Thunderspy (veckans huvudämne)

Summerande rekommendation

Thunderspy är ett samlingsnamn för flera sårbarheter. De allvarliga av dem påverkar enbart Windows och Linux (ej Mac OS) på datorer som är utrustade med Thunderbolt-portar. Datorer som enbart har vanliga Mini-displayport- eller USB-C-portar är opåverkade. Datortillverkarna började implementera skydd mot attackerna under 2019 men än idag säljs datorer som är sårbara. Du kan testa om din dator är sårbar med verktyget som finns på Thunderspys webbplats.

Attackerna kräver fysisk åtkomst till datorn. Angriparen behöver både utrustning och kunskap, vilket begränsar de potentiella angriparna. Därför är attackerna, enligt vår bedömning, framförallt något som kommer att nyttjas av nationsunderstödda aktörer.

Om din dator är sårbar (och du behöver skydda dig) bör du aldrig lämna din dator obevakad i påslaget läge eller viloläge. Stäng alltid av datorn om du behöver lämna den obevakad.  

Omtalat i avsnittet

• Månadens Microsoft- och Adobe-säkerhetsuppdateringar
• Förfrågningsfunktionen i Swish
• Google Authenticator (Google Play)
• Authy för Android (Google Play)
• Authy för Iphone (App Store)
• Poddavsnittet om tvåstegsverifiering
• Thunderspys officiella webbplats
• Thunderspys sårbarhetsrapport
• Thunderspys testverktyg
• Seriestrippen Security av XKCD
• Bli säker-poddens recensionssida hos Apple

Avsnittet innehåller musik ur Hitman av Kevin MacLeod, licenserad under CC BY 3.0. Dessa shownotes finns också hos Bredband2 som podden produceras tillsammans med.

Detta poddavsnitt och tillhörande shownotes är publicerade under CC BY 4.0-licens med undantag för bilder där en annan fotograf är angiven.