Nokia del 2 Uppföljning – Proxyservar, hackers och man-in-the-middle-attacker

Nokia har avslöjats med att dekryptera https förbindelser som deras telefoner re-directar genom sina egna servrar, vilket jag skrev om här. Här är en uppföljning.

Jag har förstått från Ricks inlägg och blogg att folk inte riktigt förstår komplikationerna. Två invändningar kommer upp, varav den ena är riktigt allvarlig.

1. Den allvarliga luckan – Nokia gör inget ondsint med datat.

Även om så är fallet så har Nokia öppnat en lucka i varje https-baserad säkerhetslösning hos varenda företag, myndighet och privatperson. Säkerheten i https bygger på att trafiken går krypterad från A till B. Företag och myndigheter satsar miljoner på att säkerställa att punkt A och B är så säkra som de behöver göra dessa för den typ av meddelanden de skickar.

När Nokia nu introducerar en punkt C, så faller alla dessa säkerhetslösningar platt till marken om punkt C kan hackas. En enkelt googling på ”proxy” och ”bugs”, gav direkt några länkar som visar att mjukvaran i proxyservrar faktiskt innehåller buggar som eventuellt skulle kunna utnyttjas för att ta kontroll över en sån maskin.

Låter det teoretiskt? Minns då att Nokia har blivit hackat förut.

Så, vilket blir anonymous och illvilliga hackers nästa mål? A, B eller Nokias C? och hur ska ett företag, myndighet eller privatperson kunna skydda sig när de saknar information om C.

2. Avtalstrams – Du har gått med på ett avtal med Nokia så det är bara att svälja.

Så fungerar inte svensk avtalsrätt. Oskäliga villkor kan däremot helt stjälpa ett avtal. Avtalsvillkor måste vara skäliga. Vanligaste exemplet är att arbetsgivaren skriver in att en arbetstagare inte får jobba hos en konkurrent förrän efter något år när han slutar. För att en sådan skrivning ska vara skälig måste arbetsgivaren betala lön under karenstiden. Länk.

Detsamma gäller troligen för shrink-wrap licenser och andra klickthrough-licenser, enligt en dom i EU där Oracle inte kan hindra begagnatförsäljning av mjukvara. Vissa avtalsvillkor är helt enkelt inte giltiga inom Europa och Sverige.

Etiketter: Teknik