Sofia (00:00)
så sitter du där med naken David Hasselhoff på tunnelbanan och jobbar utav skärmskydd. Vilket vi inte heller ditar på att du kommer använda.

Du lyssnar på Developers, podden där du får följa med oss, Sofia och Madde, på allt inom mjukföreutveckling.

Madde (00:24)
Vi träffar spännande gäster, testar nya teknologier, söker inspiration och tar upp aktuella ämnen. Kan jag säga att du har köpt hus?

Det är väl någonting att vara glad över. Det är stort steg i hela Volvo, Villa, OV. Då har du ju typ allt.

Sofia (00:48)
Mm, ja men just det. Min partner ville ju ha Volvo med och sa nej.

Madde (00:53)
Ja, du har ju någon slags förutfattad mening om att man är rasist när man har Volvo.

Sofia (00:57)
Nej, sluta,

Madde (00:59)
Jag talar

om Volvo, nu kommer ett litet sidospår här. Jag såg att de har tagit fram ett eget typsnitt. Eller de har ju flera egna, men de har tagit fram ett nytt typsnitt som bara är för att visas på deras skärmar i bilarna. Så är som... Hela Volvos grej är ju att de ska vara säkra. Det är ju safety first i typ all deras kommunikation. Så nu säger de att det här är det mest säkra typsnittet att ha. att det ska vara så lättlöst som möjligt. Exakt. Du ska inte bli distraherad när du läser på bilarnas skärmar. Jag ändå att var lite coolt.

–Alle.

Sofia (01:29)
Det är så för svenskt för mig. Men jag ska flytta ut i världens svenigaste område också. du fattar, jag kan inte köra allt hela för

Madde (01:49)
Jag ska berätta om en intressant grej som har hänt. nytt cyberattack. Så det lite redaterat vad vi ska prata om idag.

Sofia (01:58)
Ja, du hade bara skrivit någon mening och jag var såhär, men jag har inte hört om det här ens.

Madde (02:03)
Nej, och det här är superaktuellt. Jag läste om det igår och det hände typ nu i veckan. Du pratar ju för några, ja det är ganska länge sedan nu, många avsnitt sedan om de här nordkoreanska hackergrupperna som typ infiltrerar olika bolag genom att fejka sina intervjuer. Alltså att man typ deepfakar att man är på arbetsintervju och liknande.

Sofia (02:26)
Så att de kan bli anställda av Google och tjäna massa pengar. Infiltrerade.

Madde (02:32)
Precis. Som en typ del av kampanjen Contagious Interview så har kommit en ny metod nu. I stället för att man försöker infiltrera företag och liknande så riktar den sig här mot utvecklare genom att den här hackergruppen skapar falska jobbintervjuer och falska jobbanonser som vill att en vanlig utvecklare ska söka det här jobbet och så får man en koduppgift helt normalt flöde.

här klonar det här repot och öppnar det. Det är bara det att du klonar ett repot och sen när öppnar VS Code så vet du då får man ju den här den här har kommit från en annan källa typ så här lite du på den här utvecklaren. Det får man ju när man klonar ett repot som inte är typ en segert. Så klickar man. Problemet är att då körs liksom ett skript i bakgrunden någon config-fil som har manipulerats som då

gör att det körs ett backdoor-program och då plötsligt kan de här hackarna få tillgång till typ allt. kan samla på sig massa information om systemet, nätverksdetaljer. Man kan kommunicera med servern, alltså de hackarnas server. Och de kan till och med köra vissa kommandon och sånt på din dator. Och det sjuka är att användaren märker ingenting.

Man har liksom tryckt på trust.

Sofia (04:01)
Ja men vänta, är det det här man tillåter när man trycker på att man litar på personen? Jag tror det var mer typ så här, för jag har alltid tänkt att det är så dumt. är så här, okej men vad spelar det för roll om de har skrivit svordomar i koden eller vad är det man försöker skydda mig mot? jag kanske har tänkt så här, när jag väl kör den här Java-skriften, då kanske något händer. Men det inte att någonting händer när jag bara trycker på knappen. Jag måste kolla.

Madde (04:29)
Nej men det någon själv exekverande skript som körs helt obakt. Absolut att jag fattat att du ska vara skyddad från skadlig kod. Men så här har jag inte tänkt. I det här scenariet har gått igenom en jobbprocess. Förmågan har du haft den första intervju för det inte så att du får en koduppgift det första du gör. Du är liksom så nu ska jag få det här jobbet. Du har byggt upp lite tillit och vill ha det. Det klart att du bara accepterar det här. När du klonar repot.

Sofia (04:59)
Men

det måste ju vara när man kör programmet. kan ju inte vara när du bara klickar.

Madde (05:07)
Jag kan länka av snittsbeskrivningen till artikeln läst, men där står det verkligen att direkt när du markerar som trusted så kommer det att köras en konfigurationsfila automatiskt.

Sofia (05:19)
En

otrolig miss av PS Code teamet. Det låter så absurt. Jag får gå in och läsa.

Madde (05:26)
Ja, läskigt i alla fall. Och hemskt att man utnyttjar människor på det sättet.

Sofia (05:34)
Ja,

men det passar ju till ämnet vi ska prata om idag. Bra början. Ska vi tacka våra Patreons innan vi kör igång då?

Madde (05:42)
Ja, det kan vi göra.

Sofia (05:43)
Så stort tack till... Nu måste jag skrolla ner för... Till Alicia, Anders Nylund, Björn Jonsson, brother, Dag Rönnell, Fyra Tre Johan Larsson, EZ, Kajetan Kazimierczak, Lars Nyström, Martin Haagen, Molly Haglund, Oskari, Per Nåtby, Selim Hjorthall, Snel Hest och Tomas Nilsson.

Madde (06:05)
Tack till er och till alla andra som stöttar oss på alla möjliga olika sätt.

Sofia (06:11)
Det är verkligen okej, så nu när du var inne på det här, så klart att du visste att vi skulle prata om det här. nej. Jag såg ett ämne dök upp i min mailkorg och så slogs jag av så här, det här är något vi måste prata om för att det här är en av sakerna som ofta stör mig i mitt jobb. det är den här, du vet när man sitter där

och du är inne i ditt flow. För mig händer det ofta så här, man sätter upp någonting i någon målplattform och det är ganska krångligt. Man följer ofta ganska strikt, kanske guide och steg för du måste, du sätter upp en resurs och sen måste du skapa en identitet och sen måste du allowa identiteten att prata med den här key-vaulten här. Alltså det så här, när man kommer in i flowet så känner man sig rätt.

baddest i alla fall. Jag vet inte, att jag får upp resurser. känns det? Jo, men så har du det här flowet och när du är två rader ifrån att bli klar så får du bara såhär. Vi saknar rättigheter att alla har access från den här resursen till den här. Och jag kan bli helt tokig för att det är mina saker. Det är min typ databas. är min, vad heter det?

valt för nycklar. Det är mina saker och jag får inte ge sakerna access. Är du med? Så då står man där, blir helt avbruten. Du måste regera en ticket till typ IT och sitta och vänta hur länge som helst. Även om du bara tar en timme så kan du bli helt tokig på det här. Typ så här. Så ska du också motivera affärsbehovet. så här. Du måste ju säga varför vill du kunna göra det här.

Det kan göra med tokig. Allt det här är ju del av det som heter Zero Trust.

Madde (08:18)
har ingen tillit i dig alls.

Sofia (08:21)
Nej!

Hur kan de inte lita på mig? Jag som gör allting, all tid rätt!

Jag nyligen där.

Madde (08:31)
Jo, men absolut. Zero trust, är ju precis vad det låter som. Man ska inte ha tillit till någonting egentligen. Man ska alltid förutsätta att det är något ont uppsått bakom. Du måste alltid be om tillåtelse snarare än att bara implicit få det. Absolut att man ibland blir sjukt frustrerad. Vi har på jobbet en password manager som har single sign-on och multifactor och allting.

Och varje gång man ska ha ett lösenord så måste man gå in och single sign on. Det är för att man behöver multifactor men man måste öppna er en ny fleek och grejer och så här. Skitstött. Jag kan leva med det. Det jag inte kan leva med är att man loggas ut ganska snabbt från det. Och det kan komma helt random att den bara då öppnar min fleek med single sign on för det är typ så Azure, ähm, Entra.

Och bara såhär, stör mig när jag bara sitter och surfar på någonting annat. Så bara öppnas den här fliken och bara, du har loggats ut. Man bara, okej.

Sofia (09:31)
Det är störigt att den promtar den och vill att man loggar in igen nästan.

Madde (09:35)
Ja, men i alla fall, ja, jag känner igen det. Och det är störigt, men jag förstår också varför man har det.

Sofia (09:43)
Ja, absolut. Det är kanske därför vi ska prata om det. Att packa upp vad Zero Trust är. jag vet inte hur det med dig, men typ så här. Ju mer man förstår om det så har det blivit i takt med att man också ansvarar för att designa system. Så börjar man använda de här principerna. Alltså att det är bra. Så fort man förstår någonting. Det är oftast så.

Madde (10:10)
Om man tittar på hur det har varit traditionellt så det alltid varit så mycket fokus på det lokala nätverket. Din dator är pålitlig för att du är på vårt nätverk. Du är inom vår brandvägg eller du använder VPN eller någonting.

Sofia (10:31)
När man är på kontoret på plats och är ansluten till kontorets wifi- då kommer man till exempel åt resurser om prem. Men hemma måste du ha någon sån

Madde (10:45)
Det

bara är VPN eller någonting. Det har funkat när allting låg på samma ställe och i samma datacenter. Framförallt när alla var på kontoret fem dagar i veckan. Världen ser ju annorlunda ut idag. Vi använder cloud, använder olika SaaS-applikationer. Folk sitter remote. Allting varierar ju.

Din data pratar med någon tredje part och så vidare och du kanske har någon kund som är inblandad eller någonting. Och liksom den här gränsen eller typ så perimetern eller vad man ska kalla det. Den är inte lika tydlig som den har varit innan. Och jag vet, ja du pratar ju om att man satt liksom på kontoret och att det var säkert. Och det är ju inte riktigt så länge att det behöver inte betyra att du är en betrodd användare. Och det sjuka är som du säger att...

För att se till komma åt om Prem och allting. Vilket är man tänker på det ganska skrämmande. Att bara för du har kommit åt det lokala nätverket på kontoret ska du komma åt allting. Jag vet inte.

Sofia (11:58)
Det

är lite likt krigsföring på något sätt. Förut kanske det var enklare att hålla koll på gränsen. Men absolut, någon fiende kunde ta sig in ändå om det var en ensam person som sprang.

Madde (12:12)
Det

gör jäkligt mycket skada när man väl kommer in.

Sofia (12:14)
Men är liksom mer som typ så här, modern krigsföring kan ju ske mer än bara på marken. Det kan vara cyberattacker, kan vara drönare som kommer in. Det är mycket svårare att hålla koll på. Då måste du komma på ett nytt sätt att skydda dig.

Madde (12:29)
Ja, verkligen. Och just det här med frustrationen att du ska sätta upp nån ny resurs och ge access till allting. Man har ju ibland, och jag själv också, varit lat och gett så här. Man bara ger access till allting för det är dess video. Särskilt under utveckling. Sen kan vi fixa det när vi ska gå live.

Sofia (12:50)
Ja, eller när det är så här... Men liksom, man delar igen det är så himla krångligt för mig. Du vet att jag går in och liksom behöver fixa det här två gånger i veckan liksom. Och så behöver jag be dig en maxxas varje gång. Kan inte du bara ge mig det? Okej, jo. För det är så jävla jobbigt när du tjatar med mig igång. Det blir liksom... Eller någon får det en gång när någon annan var på semester och sen revoker man aldrig.

Madde (13:13)
Precis.

Och jag menar, jag ska själv inte säga någonting för att vissa, alltså vissa, typ om du ska göra en ny token, så att du ska ha en access token till GitHub eller någonting så kan du välja hur länge den ska vara giltig. Ja men dels det kanske att man väljer för mycket scope eller att bara så här, okej jag måste sätta ett giltighetsdatum. Men jag sätter år 2228 eller så.

Sofia (13:25)
Jag vill klicka i allt.

Det går, jag vet, jag vet samma här. Och det är precis därför man behöver, alltså någon som tvingar en att du kan inte sätta så här tio år framåt eller om du vill ha alla scopes så borde du, det typ bara så här, men då får du förklara varför du skulle behöva, jag vet inte, det finns ju helt absurda scopes, jag vet inte ens vad de betyder.

Madde (14:01)
Ja men exakt.

Sofia (14:02)
Om!

Madde (14:05)
Problemet är ju om man tittar på just det här med hur det ser ut idag. är det liksom så här... Det vanliga är ju inte att man angriper någonting och brute forcea sig in. Utan det vanligaste sättet att ta sig in idag är typ så här... Du skäl någons inloggning. Lösendord. Sen om det är lösendord eller att du fångar upp en token eller någonting. Men liksom du kommer in på ett legit sätt och då syns...

Då är det ju ingenting som ser misstänksamt ut. Det inte oerhört. Nej exakt, och när man väl är inne, det kan bli väldigt stor skada. Det kan vara så kallt lateral movement. När man väl kommer in och sedan kan röra sig runt i systemet när man väl är inne.

Sofia (14:35)
Nej, hur ska du märka

Ja, men just det här rörelse i sidlighet, eller hur? Du kanske inte kommer ner djupare, men du kommer åt allting som användaren kommer åt på dens nivå.

Madde (15:03)
Exakt, och det det som blir problemet. Om man nu har varit för frikostig med att ge access till olika saker.

Sedan igår fick jag ett mejl på min jobb-mel som var klockren phishing från Microsoft, där det stod att ditt lässnord håller på att gå ut klicka här för att behålla det gamla. Du har skrivit på sina dåliga engelska. Du var jättetydligt phishing. Klockan var typ strax innan fem på fredag. Man vill bara rappa upp. Jag kan förstå att folk ändå sa att jag måste fixa detta så att jag blir utkastad på måndag morgon.

Supervanligt sätt för folk att komma åt. Sen finns det någonting som heter credential stuffing. Jag känner faktiskt inte till det begreppet men jag vet ju vad det är. Det handlar ju om när angripare använder lösenord. Någon sida har blivit hackad och sedan har folk läckt upp det i en lista med alla dina användarna med lösenord. Risken då är ju att du kanske använder det på något.

Det är väldigt vanligt att folk återanvänder sina lösnord. Då testar man. Den här användaren har det här lösnordet. Vi testar det på olika ställen också. Tyvärr är det ofta väldigt vanligt. Så det är lätt att komma in.

Sofia (16:30)
Ja, och till och med... Många tjänster har multifactor authentication. är helt otroligt att det fortfarande finns ganska stora som inte har det. Men många har det och även det räcker inte. För att det är ganska lätt att få tag på någons telefon. Jag antar att många blir hackade på det sättet att det är nån nära dig. att det kan vara en sambo eller nåt som vill komma åt dina saker.

Madde (16:59)
Men fy vad hemskt.

Sofia (17:00)
Jag lovar det i nära relationer. Vem kommer åt dina saker mest? Det är antagligen någon svartsjuk partner.

Madde (17:09)
Han

ska förstöra ens jobb

Sofia (17:12)
Men

man tror att det är viktigt.

Madde (17:15)
Problemet

är också om man får tag på någons token för då spelar det ingen roll om du har MFA eller inte. då är man ju redan i flödet.

Sofia (17:23)
Där tokens är ju bra i alla fall för det här är liksom tidsbegränsning. Om det inte är så att, du måste ju såklart fortsätta att verifiera tokenen överallt.

Madde (17:27)
Ex-

Ja, men visst. Och det så många sett man kan blöva med sin token utan att man ens tänker på det. så här, du råkar logga den i dina loggar eller typ du ska dela en screenshot där man råkar se. så här, skitlätt då inte tänka på det.

Sofia (17:49)
Men den... Nu ska vi inte prata om... Vi har redan pratat om tokens och så, men de är ju gjorda för att du ska tänka att det här kan bli av med hur förhindrar jag att någon liksom själv saker. Ja.

Madde (18:06)
Alla de här problemen är ju egentligen det som Zero Trust försöker lösa.

Sofia (18:11)
Så ska vi prata faktiskt om vad det är, också vad det inte är. För jag tror att det finns mycket begreppsförvirring att folk, jag vet inte, det är inte så många utvecklare som kanske slänger sig med såhär, ja det här är zero trust. Men ändå bland it-folk kan jag tänka mig, folk som jobbar med nätverk, slänger sig säkert runt med det här.

Madde (18:33)
är

säkerhets- och stora enterprises som ska implementera det.

Sofia (18:37)
Ja, och säkert någon chef som bara inte vet vad de pratar om så länge, så i G-filmen. Men Zero Trust är arkitekturprinciper, så det här är en del av vad vi som utvecklare också borde kunna. Och det första man behöver lära sig, som du sa, att du inte litar på någon. Alltså, det är liksom verkligen livet. Du tänker så här, du ber din partner köpa finkrossade tomater när henne är och handlar.

Och du bara antar alltid att henne kommer komma hem med inte finkrossade utan vanliga krossade. är bara liksom, lita inte på att det blir rätt. Och ring när det henne är på ICA och säg, tog du verkligen de finkrossade ståren? Ja, du fattar. Men det är ju så här, samma är det på jobbet. Du ger en utvecklare admin access. Ja, du säger, ja men ta det här tillfälligt då så att du kan gå in och fixa det. Men ta bort din egen access när du är klar. Aha, okej.

Madde (19:36)
Det gör man ju inte.

Sofia (19:38)
Man försöker, det är man kan glömma. Alltså det behöver inte vara att man är ond och vill ha access. Eller så I it-avdelningen själva, de som implementerar det här. No way. Alltså de ska man inte heller lita på. För det är ju också de som också sitter på mest adminaccesser. Och de är likadana. De vill göra sitt jobb smidigt. Så det är så no way. Du tar in en penntestare och testar dem i första hand antagligen.

Madde (20:06)
Ja, man vet.

Sofia (20:08)
Så det är som egentligen med allt, som tester och så. Det är ett sätt att designa ditt system från början och inte skydda dig själv efterhand av vad det är aktivt. Det här påverkar sen sin tur hur tjänster pratar med varandra, hur man ger access och hur man tar bort access, hur du begränsar incidenter. det sitter i arkitektur med också här processer och beteenden.

Och det kräver väldigt mycket samspel mellan olika... Vad heter det? Departments avdelningar. Ja, utvecklare, plattformsteam, säkerhet. Och det viktiga, det som man ofta inte pratar om tycker jag, och därför vi tar upp det en utvecklarpodd, är att det börjar på applikationsnivå. Det är väldigt mycket snack om att det handlar om nätverk, nätverk och det är IT och det IT. Men som du sa, Eri, är inne i nätverket?

Då kan du röra runt och här är jag fritt.

Madde (21:08)
Det där jag tror att det skavet. Det känns som något besvärligt som de gör mot oss. Alltså att vi och dem i Tjaurderingen gör det här mot oss.

Sofia (21:22)
Som när de tvingar en ha en viss bakgrund. Vi kanske hade en random påtvingade bakgrunden på datorerna. Zero trust.

Madde (21:26)
Vart är hon?

Exakt. ju till en...

Nej, man kan ju ha en tecknad snopp eller någonting som bakom stillen man väljer.

Sofia (21:43)
Var inte det din kollega som hade typ så här, frankat någon och haft någon naken? Vem var det?

Madde (21:50)
Jag

var på mitt gamla jobb, så jag var en bild med David Hasselhoff och hundvalpar typ.

Sofia (21:57)
Det kanske är seertrust, sitter du där med naken David Hasselhoff på tunnelbanan och jobbar utan skärmskydd. Vi inte heller ditar på att det kommer använda. Men vi kan ändå prata om pelarna som finns. Det finns lite olika pelare eller principer beroende på vem som säljer in seertrust architecture, CTA kan man säga. Det är olika företag som såklart säljer in det här, men vi har i valt tre stycken

guiding principles som Microsoft brukar beskriva i sin zero trust modell. Det är explicit verification, risk privilege och assume breach. Så om vi kör explicit verification, vad är det? Det handlar om att inte lita på att någon är inne i nätet. Du är inne på skolnatverket, euroron, då får du göra vad du vill. Det handlar om att varje request måste förtjäna sin access. Ingen har liksom implicit...

Tillitbaserat på vilket nätverk du är på, vilken IP-adress det är, vilken typ intern status du har fått. Så det är inte såhär, okej, vad du är inloggad utan vem är du, vilken device är du på, är din device patchad, är du på rätt plats och ser ditt beteende, alltså det du gör, är det liksom märkligt. Och det här med rätt plats har vi ju faktiskt sett, vet, typ såhär.

Banker har ju använt det här länge, om det gör ett kontant uttag. Jag vet inte.

Madde (23:30)
Etiopien.

Sofia (23:31)
Och

igen så kanske banken ringer och säger du är du här redan?

Madde (23:36)
Ja, exakt. Nej men det är ju väldigt bra. Ibland kan det ju vara störigt eller inconvenient men om man ser på det stora hela så är man ändå tacksam för det.

Sofia (23:46)
Och jag tror att vi känner igen det här på högre nivå, så att it-inforcer det här. Men det går ju verkligen lätt att översätta till applikationsnivå. För det här gäller internt mellan system också. Att man inte säger som Jada, men det här är min egna microservice. Varför bråkar ni om vad jag ska göra med den? Så att säga nej igen. Varje access kräver identifiering, autentisering, autorisering. Du ska verifiera varje gång. Vem är det som försöker komma åt resursen?

också den här kontexten. Man behöver skicka med ofta vilket scope du behöver även när du pratar aptia. Och sen hade vi då least privilege i praktiken, som betyder att sluta ge folk admin-ish accesser för att det är smidigt. Jag vet inte varför jag säger det här. Jag går ju emot mig själv. Jag vill bara ha admin access till allt själv.

Madde (24:42)
Det

klart man vill det, men man får ju skilja också på vad man vet är typ det rätta och vettiga. Sen ibland så är det ju bara... Det lite jobbigt. Man får faktiskt ha två tankar i huvudet samtidigt.

Sofia (24:54)
Och det spelar ingen roll om det är så Kalle som är mest tillförlitlig i teamet. Han gör alltid rätt och han har alltid koll för att Kalle kan bli, som vi sa, Kalle kan bli hackad. Hans dator kan bli snodda som vad som helst. Så vad betyder Lease Privilege i praktiken? är att roller och rättigheter är smala och tydliga.

Madde (25:06)
Absolut.

Och här kan vi... Scope-String-token. Nej.

Sofia (25:22)
här tycker jag att man direkt ska översätta till till exempel API-access när en användare ska göra, tänk till exempel, get all campaigns, alla kampanjer. Det är skillnad på om du kan få alla som är aktuella eller om du även kan dra ut de som är framtida. För att de får reda på de som är framtiden fast de inte skulle.

Det är ju förödande för ett företag.

Madde (25:53)
Det

Sofia (25:54)
Till exempel där jag jobbar så är det ju helt viktigt med kommande saker, kommande priser för att stora bolag tävlar om det här och förbereder sig. Så det är jätteviktigt att vi varje API anrop att faktiskt verifiera om det. Och om man borde ens ha tillgång till det. Sen det här med just in time access när det behövs. Alltså tidsbegränsad access.

Och att man separerar läs och skriv. Till exempel på API'er, så här, du separerar miljöer, du separerar domäner. Och det här gäller liksom allt, till och med dina pipelines, dina tjänster, dina medarbetare. Och så har vi tredje då. Det är den här Assume Breach. Ja, men den är liksom, du ska föreställa dig att ni är...

Madde (26:48)
Det låter som dramatiskt.

Sofia (26:54)
Du är hackad just nu. Du är hackad hela tiden. Sitter du på tillräckligt stort företag så är det ju det. Alltså är du Google så är du konstant hackad. Så det är inte skrämsad taktik men det är väl. Men det är också en designregel. Tänk att någon är inne i nätet nu. Hur ser du till att de inte kan göra särskilt mycket. Så som det här med att har access. Hur ser du till att de inte kan dra fram

Framtida kampanjer för att det kräver nog väldigt strikt verifiering och det är bara vissa personer och så där. Så frågan är aldrig hur skyddar vi oss mot alla intrång? Hur begränsar vi när skadan redan är skydd? Att de inte kan hoppa vidare. Hur upptäcker vi det snabbt?

Madde (27:45)
Det är bara att tänka lite annorlunda. Man förbereder sig på att det kommer att hända. Vänta dig i det värsta och gör vad du kan utifrån det.

Sofia (27:54)
Ja, och du nämnde ju det här lateral movement, alltså rörelse i sidled. Det är därför vi vill gärna separera applikationer så att du kan liksom inte genom att du är inne i en bara direkt gå till databasen. det är det här så när vi skapar en arkitektur, det kan ju kännas typ så här onödigt att man stycker upp det för mycket, vilket det är ibland. det, du ska ändå tänka liksom segmentering, tydliga gränser.

Loggning är superviktigt. Så att man till exempel ställde sig frågan såhär, okej ska, varför ska liksom en klientdator kunna prata med databasen? Den ska ju inte kunna det. Så då bygger du att bara rätt komponenter får prata med varandra. Och att de kopplingarna alltid är liksom låsta och krypterade. Det är autentisering mellan berättigheter på minsta möjliga nivå. Och

Häls det med segmentering och så att du inte kan röra dig sidled i alla fall.

Madde (28:58)
Det är mycket att tänka på, om man tänker vad det skulle kosta att någon får åtkomst så är det värt till slut ända.

Sofia (29:11)
Ja, men det är jättemycket att tänka på absolut. Men jag tror att också många andra arkitekturprinciper, som inte är just zero trust, pratar ju om att man ska separera och så. Att det kommer lite på köpet, så man måste ha alla de tankarna i huvudet samtidigt när man bygger någonting. Därför är det också hjälpsamt att när man sätter upp ett nytt system att man tar in och får en liten, beroende på hur

hur allvarligt det här systemet är. ska säga att du får en check från säkerhetsteamet som kan se, okej, men er databas ligger ju här på samma server som er kod. Skulle ni kunna flytta i särden bara? Eller visa liksom, hörrni, vi tänkte använda tokens för det här. Vad tror ni är bra expiry, vet du, tid på det? Alltså bara för att man ska alltid bolla det med någon, för det är jättesvårt att fånga allting själv.

Madde (30:10)
Ja, men visst. Absolut. Du nämnde ju innan typ så att det finns massa olika implementationer eller folk som vill sälja på det här. Och det tycker jag är lite så... Alltså ibland blir man lite kräkfärdig när man ser något företag som bara... Vi har den här produkten för att implementera Zero Trust. Man bara så här... Det är liksom inte någonting du kan sälja på det sättet. Det är inte ett verktyg. Det finns ingenting som bara löser allt.

Sofia (30:39)
Ja men det är så bantningskur och sen är du jättebra för evigt. Ja exakt. är det. Man försöker ofta sälja er som en produkt och jag förstår att man måste paketera ihop det man försöker hjälpa med men det blir en misstolkning att folk säljer Zero Trust och egentligen menar att vi har en produkt som kan bli en del av din resa till Zero Trust eller inte till men för det är

Madde (31:11)
Det är ett sätt som behövs ändras. Du har inte self-trust om inte alla i din organisation förstår vad det innebär.

Sofia (31:18)
Exakt, för då kommer ju folk som du och jag klickar i alla privilegier ändå och säger, men kan jag få admin? det är ju inte ett verktyg. Vi har zero trust och det är 100 % för vi implementerade det i Q1 och nu är vi klara. Så som du säger, det är ett mindset. Det är inte ett projekt med ett slutdatum, utan det är mer som...

typ kodkvalitet, observability eller incidentberedskap. Du bygger det och du förbättrar det hela tiden. Du måste hela tiden hålla över liv och utbilda folk.

Madde (31:59)
Ja, precis. är som att du skulle säga att nu ska vi börja monitorera och så bygger du upp massa dashboards och grejer. Och sen när du är klar, nej så är det ju inte. När du bygger ny funktionalitet så måste det också in i monitoreringen. Nu har vi lagt till loggning. är ingenting du är klar med. Så det är precis samma med CEO Trust.

Sofia (32:18)
Precis, för verkligheten förändras ju hela tiden. Du har nya system, du nämnde, eller det finns nya sätt att jobba. Du kanske börjar jobba med remote. Du kanske tar in partners, konsulter. Och så finns det ju såklart nya attackset. Till exempel AI kommer in och dels hjälper till med loggning och incidenthantering hos dig, men det hjälper ju också att attackera den, att snabbare kunna infiltrera.

Madde (32:47)
visst.

Sofia (32:47)
Sen nämnde vi lite så här VPN och MFA förut. Multi-factor authentication. Men de löser inte zero trust. Alltså de hjälper till men det kan ge lite överdriven tillit och förbereda rättigheter.

Madde (33:07)
Det är nog så lätt att tro att nu har vi MFA, så nu är allting löst. säkra. Ja, visst, det kanske minskar risken att få intrång från första början. Men återigen, assume breach.

Sofia (33:20)
Ja, tokens kan läcka. Lateral movement kan fortfarande vara superenkelt om trafiken är fri. Inga problem för attackeren. behöver inte vara... Du behöver vara hacker alls. Alls. Din farmor kan göra det lätt. Men ja, hur löser problemen då? Vi har ju pratat om det, men om vi samlar ihop det lite.

Madde (33:30)
Du som en jättehacker liksom.

Men jag tror att det viktigaste typ att ta med sig är att insätta att det här är inte ett sätt att hålla folk ute utan det är sätt att begränsa vad som händer när de väl kommer in. Lateral movement har vi ju nämnt flera gånger och det är ju precis det som Zero Trust försöker att undvika. Man antar att trafiken inte är trygg bara för att den är intern. Man verifierar, man begränsar och man ser till att det inte blir lika värdefullt.

med stulna inloggningar för att lära dig tillgängligt att du loggar in korrekt. Okej, du har redan kommit in på det lite hur det påverkar oss som utvecklare att detta inte bara är någonting som IS eller IT enforsar på oss. Men vissa saker tänker jag ändå att man ska ta med sig också som är bra att tänka på. Till exempel när du skriver ett nytta av Bi. Så det är ganska vanligt att man har allting publikt och sen så sätter du kanske något attribut på det så att den här ska vara för admins eller den här ska vara för det.

Is there a trust så är inte det en bra idé. Då vill man se till att allting är avstängt by default. Sen måste du explikit säga att den här endpointen är publik. Det är nog ganska klokt för ibland. Så det som är att glömma att sätta på något attribut någonstans. Jättebra idé. Man vill ha hela autentiseringen inbyggd i alla templates. Som du ska fulla upp något nytt så finns det det by default.

Och sen secrets. Du nämnde ju Key Vaults. är ett jättebra ställe att förvara sina secrets. Du vill absolut inte checka in i koden. Du vill inte ha dina contactfiler. Och det allra bästa är om du bara kan injicera dem i runtime. Så att du bara typ har en miljövariabel eller någonting. Rotera dem i vissa intervaller så att du inte har de här långa.

och ha en process kring det. Mycket av det är att man vill ha långa tokens och långa certifikat och sånt är nog bara för att man tycker det är bekvämt. Men om man nu har en tydlig process kring rotation kan det vara så enkelt som att bara lägga en kalender på minnesess och så blir det kanske lite mindre krångligt i alla fall.

Sofia (36:02)
Ja, och där kommer ju det här in att det finns ju produkter som hjälper med det. Så visst det kostar ju pengar, men det kan ju vara... kostar mindre än att man ska hålla på med kalender, påminnelser och sånt där och glömma bort det.

Madde (36:15)
Ja, när man visst.

Sofia (36:17)
Lita inte på att du kommer ihåg varför det finns i kalendern. Eller att en PO inte kommer prioritera ner det.

Madde (36:24)
Och som sagt, det är ju lite krångligt. Det ska man inte sticka under stolen med. som sagt, vad är alternativet? Man vill ju inte heller att hela ens företag ska gå under för att man har varit slarvig.

Sofia (36:41)
Nej.

Ja, men som vi säger så är det krångligt för att det är ett ständigt arbete som kodkvalitet. Du kan inte uppnå, nu har vi 100 procent kodkvalitet och så håller det, liksom det är aldrig 100 procent.

Madde (36:58)
Nej, Så det var väl lite skrappa på ytan om det i alla fall.

Sofia (37:06)
Ja, men bra. Då har vi jävla koll på det. Kom ihåg... Ja, så vad säger vi? Never trust.

Madde (37:11)
Aldrig någon blir hackad.

Always verify.

Sofia (37:18)
Yeah! Vi hörs nästa vecka! Hej då! Hej!

Madde (37:20)
Ja, men...