Bli säker-podden

I veckan lämnade en internationell grupp in en stämningsansökan mot Meta. Gruppen hävdar att Meta ljuger om totalsträckskrypteringen i meddelandeappen Whatsapp. Enligt påstådda visselblåsare kan medarbetare hos Meta läsa alla meddelanden som skickas. De påstådda visselblåsarna hävdar till och med att Meta-medarbetare kan återställa raderade meddelanden.

Meta avfärdar alla dessa påståenden som helt grundlösa. I en kommentar till New York Post förklarar Whatsapps chef att stämningen drivs av samma advokatbyrå som försvarar NSO Group.

NSO Group är företaget bakom den ökända spiontrojanen Pegasus som har använts för att spionera på politiker, journalister och människorättsaktivister. Pegasus har bland annat utnyttjat Whatsapp för att få fotfäste på offrens mobiler, vilket har lett till en mångårig tvist mellan Meta och NSO Group. Whatsapps chef hävdar att den påstådda visselblåsarläckan är en ren distraktion från NSO Groups advokaters sida.

Elon Musk (X:s ägare) och Pavel Durov (Telegrams grundare) har snabbt dragit nytta av situationen. Musk hävdar att Whatsapp är osäkert och att även Signal är tveksamt. Han uppmanar sina följare att byta till X Chat. Pavel Durov går ett steg längre och säger att alla som tror att Whatsapp är säkert måste vara hjärndöda.

I veckans poddavsnitt pratar Peter och Nikka om pajkastningen mellan företagen bakom meddelandeapparna. Nikka poängterar att Metas historiska kontroverser ligger företaget till last. Eftersom Whatsapp saknar öppen källkod kan Meta inte bevisa att Whatsapp är fri från bakdörrar. Det blir upp till Whatsapp-användarna att välja om de litar på Metas ord. Faktumet att Whatsapp baseras på det öppna Signal-protokollet gör varken till eller från i det här fallet.

Nikka poängterar samtidigt att de som anklagar Meta saknar bevis och dras med egna trovärdighetsproblem. Musks X Chat har dessutom så allvarliga sårbarheter att X:s anlitade tredjepartsgranskare rekommenderar X att pausa funktionen. Durovs Telegram använder inte totalsträckskryptering som standard och kan därför inte ens jämföras med säkra meddelandeappar.

Podduons rekommendation blir den vanliga: välj Signal-appen. Signal använder inte bara det öppna Signal-protokollet. Hela appen har öppen källkod. Signal-användarna behöver inte lita på utfästelser om att appen är bakdörrsfri. Världens säkerhetsforskare kan kontrollera att den faktiskt är det.

Se fullständiga shownotes på https://go.nikkasystems.com/podd337.

Förra veckan tillkännagavs en ny sårbarhet i Bluetooth-hörlurar från flera stora tillverkare, däribland Sony, JBL, Jabra och Marshall. De berörda hörlursmodellerna har alla stöd för Googles Fast Pair-teknik, och tillverkarna har implementerat tekniken på ett felaktigt vis. Det rör sig alltså inte om någon sårbarhet i själva Bluetooth-protokollet.

Sårbarheten har fått namnet Whisperpair. Namnet anspelar på konsekvenserna. En angripare som befinner sig inom Bluetooth-räckvidd kan i tysthet koppla ihop ovetande användares hörlurar med sin egen dator. Därigenom kan angriparen avlyssna vad som sägs.

Whisperpair-sårbarheten förvärras av att flera berörda hörlursmodeller har stöd för Googles Find Hub-nätverk (används för att hitta borttappade produkter). Sådana hörlurar måste kopplas till en Android-mobil för att registreras på mobilägarens Google-konto. Det är ett problem för Iphone-ägare som har köpt sårbara och Find Hub-kompatibla hörlurar. Deras hörlurar lämnas kvar i registrerbart läge.

Whisperpair-sårbarheten gör att en angripare (inom Bluetooth-avstånd) kan koppla oregistrerade hörlurar till sitt eget Google-konto och framgent spåra var ägarna befinner sig.

För att lösa problemet måste hörlurstillverkarna släppa firmware-uppgraderingar till de berörda modellerna. Hörlursägarna måste därefter också installera firmware-uppgraderingarna, vilket i sin tur förutsätter att ägarna har laddat ned de tillhörande apparna. Detta innebär att många hörlurar kommer att förbli sårbara.

I veckans poddavsnitt pratar Peter och Nikka om problemet med Whisperpair-sårbarheten. Den danska polisen ansåg att sårbarheten var så allvarlig att de rekommenderade alla anställda att stänga av Bluetooth på sina mobiler. Nikka förklarar varför det, i hans mening, är helt fel rekommendation och varför det ändå inte löser problemet.

Bli säker-podden instiftar däremot en annan rekommendation: välj Bluetooth-hörlurar som har en app för din mobils operativsystem.

Se fullständiga shownotes på https://go.nikkasystems.com/podd336.

(Veckans avsnitt av Bli säker-podden innehåller ett inslag som handlar om självmord. Hjälp till dig som har självmordstankar finns på 1177.se. Vid akuta situationer: ring 112.)

Förra veckan meddelade OpenAI att ChatGPT ska få nya hälsofunktioner. Enligt ett officiellt blogginlägg ska AI-boten stödja, inte ersätta, vård från kliniker. OpenAI förklarar att det innebär att AI-boten kan hjälpa till med förberedelser inför läkarbesök, tolka testresultat, jämföra hälsorelaterade försäkringsalternativ samt ge kost- och träningsråd.

Enligt OpenAI:s egna siffror är det varje vecka över 230 miljoner människor som ställer hälsorelaterade frågor till ChatGPT. AI-botens nya hälsoläge ska skydda dessa konversationer genom att isolera dem från övriga konversationer och tillämpa något som OpenAI kallar ”specialbyggd kryptering”. Den exakta innebörden är ännu oklar, men OpenAI skriver inte att datan är vare sig totalsträckskrypterad eller krypterad på klientsidan.

Kryptering av chatthistorik på klientsidan är något som OpenAI överväger att implementera på sikt. I samband rättstvisten mot New York Times (OpenAI kan tvingas lämna ut 20 miljoner privata chattar) skrev OpenAI att kryptering på klientsidan låg med i deras långsiktiga roadmap. Konkurrenter såsom Proton Lumo har redan implementerat sådan kryptering som säkerställer att Proton (tjänsteleverantören) inte kan komma åt användarnas chatthistorik.

Den nya ChatGPT Health-tjänsten lanseras först i USA. Där föreslår nu OpenAI att användarna ska ladda upp sina journaler och länka samman diverse hälsoappar med sina ChatGPT-konton. I veckans podd resonerar Peter och Nikka kring hur klokt det verkar.

Podduon lyfter både dataskyddsaspekten och risken för att ChatGPT hallucinerar ihop felaktiga hälsoråd. Den sistnämnda risken är värd att ta på allvar. I början av året avslöjade The Guardian hur Googles AI-sammanfattningar gav direkt farliga råd till personer med bukspottkörtelcancer och leversjukdomar. Högen med rättsärenden där ChatGPT anklagas för att ha drivit människor till självmord växer också för varje månad som går.

Se fullständiga shownotes på https://go.nikkasystems.com/podd335.

2015 inträffade den så kallade dieselgate-skandalen som fick ringar på vattnet i hela bilindustrin. Bilkoncernen Volkswagen hade manipulerat mjukvaran i sina dieselbilar så att mjukvaran skulle känna igen testmiljöer och anpassa avgasutsläppen därefter. Det gjorde att bilarna klarade miljökraven vid testtillfällena trots att de inte gjorde det i praktiken.

Under den senaste månaden har två techjättar ertappats med att agera på samma vis. Deras tjänster beter sig på ett sätt när de granskas och ett annat sätt för vanliga användare.

I slutet av december släppte Youtube-journalisten Megalag sitt efterlängtade uppföljningsavsnitt om Paypals webbläsartillägg Honey. Webbläsartillägget marknadsförs som en automatisk lösning för att hitta de bästa rabattkoderna till butiker på nätet. 2024 avslöjade Megalag att tillägget gjorde mer än så. Honey stal också ersättningen som skulle ha gått till butikernas samarbetspartners. I decembers uppföljningsavsnitt visade Megalag hur Paypal dessutom hade programmerat tillägget för att minimera risken att bli ertappade.

Dagen före årsskiftet släppte nyhetsbyrån Reuters ytterligare ett avslöjande baserat på dokumenten som läckte från inifrån Meta. Enligt dessa dokument manipulerar Meta sitt eget annonsbibliotek, det vill säga transparensverktyget som tillsynsmyndigheter, utredare och journalister drar nytta av för att granska Metas annonsmoderering.

I veckan poddavsnitt pratar Peter och Nikka om hur Paypal och Meta gjorde som Volkswagen och nu har ertappats i sina egna dieselgate-skandaler. Nikka berättar också om sin ändrade syn på Metas annonsbibliotek. Tidigare trodde han att annonser försvann spårlöst på grund av buggar i annonsbiblioteket, men dokumenten som Reuters har tagit del av indikerar annorlunda. Meta har medvetet gjort sitt transparensverktyg otillförlitligt.

Se fullständiga shownotes på https://go.nikkasystems.com/podd334.

Ytterligare ett år är slut. Ett nytt år är kommet. Det är dags för Bli säker-poddens traditionsenliga nyårsspecialavsnitt.

Inför varje nytt år spanar Peter och Nikka in i framtiden. De presenterar fem händelser som de tror (eller är rädda för) att inträffar. 2025 spådde de att Proton Pass skulle utmana Bitwarden, att det transatlantiska dataöverföringsavtalet skulle falla, att Apple skulle lansera en egen sökmotor, att användandet av nycklar skulle fördubblas samt att Microsoft skulle fortsätta hålla Windows 10-datorer säkra. Tre av profetiorna inföll.

I veckans poddavsnitt presenterar podduon fem nya spaningar för 2026.

Användandet av den säkerhets- och integritetsfokuserade webbläsaren Brave fortsätter att växa medan tillväxten har stagnerat för konkurrenten Firefox. Under 2026 finns det därför chans att Brave blir större än Firefox i popularitetsmätningar.

Det världspolitiska läget och den bevisade skalbarheten talar för att den öppna samarbetsplattformen Nextcloud fortsätter vinna mark bland europeiska organisationer. Peter och Nikka spår att flera större svenska företag eller myndigheter byter från Microsoft 365 till Nextcloud under året.

Podduon varnar därefter för två risker. För det första oroar de sig för att främmande makt kommer att utnyttja AI-videoklipp för att påverka det svenska valet. Under julen rapporterade nyhetsbyrån Reuters om en sådan desinformationskampanj på Tiktok som vände sig till den polska befolkningen. Vackra AI-genererade tjejer spred EU-kritisk propaganda.

För det andra oroar podduon sig för att något svenskt parti föreslår förbud mot VPN-tjänster för privatpersoner. I den pågående debatten kring åldersverifiering och legitimeringskrav på sociala medier utgår partierna från att svenska folket fortsätter ansluta till plattformarna från Sverige. Men vad blir nästa steg om svenskarna gör som britterna och tunnlar ut sin trafik från landet i stället för att acceptera åldersverifieringen och ID-kraven?

Avslutningsvis tror både Peter och Nikka att Microsoft behöver upprepa sitt fjolårsbeslut om ytterligare ett år av kostnadsfria säkerhetsuppdateringar för Windows 10. Det är fortfarande bara hälften av världens Windows-datorer som har uppgraderats till Windows 11.

Se fullständiga shownotes på https://go.nikkasystems.com/podd333.