Kaprifol

Instabilt och sakta vankar mitt lilla system efter användaren från webbsida till webbsida, samlar in inloggningsdata och lägger den i formulär. När den väl har fått smak för att spara data blir den lite som Kakmonstret i Sesam (ni minns väl "Sesam", med mupparna och allt?). "Kaka? Kaka! Kaka-kaka-kaka! Mums Glufs!". Den löper inte amok som igår, men den tittar inte om något redan finns lagrat utan lagrar det igen och skriver över sånt som är viktigt. Det går iaf framåt just nu (även om det förstås kunde gå fortare - både mina framsteg och själva dataöverföringen). Jag firade framstegen med att äta jordgubbar. Är det sommar så är det sommar. :) Nu tror jag förövrigt att det håller på att bli oväder. Om inte annat så hoppas jag det. Om man nu måste slita under helgen så får det gärna vara mysigt ruskväder utanför.

När jag surfar till ett tomt inloggningsformulär tänker mitt osmarta kort:
"Tomt formulär, jag ska se om jag har några inloggningsuppgifter. Där ja, jag lägger in dem." *lägger in*
"Nej, men titta, det finns data i formuläret! Det måste jag lagra på kortet." *lagrar*
"Data i formuläret, det var nåt nytt! Jag minns inte om jag lagrade det innan, bäst att lagra igen" *lagrar många gånger*
"Oops, felmeddelande! Blev kortet fullt med data? Hur gick det till? Vad gör jag med felmeddelandet? Lägger det i den här utdatafilen." *lägger*
"Utdata i filen! Vart ska det? Säkert till formuläret." ...och sådär fortsätter det.

Jag har för tillfället en enda soppa av filer som det läses och skrives till av tre små program som inte har så stor koll på vad de gjorde nyss eller vad de andra har för sig. Vad som behövs är lite mer koll på vad som just har gjorts. Sen skulle jag nog behöva göra appleten ännu lite flexiblare. Den har två webbsidors namn och lösen lagrade från början samt att den i den nya versionen nu även kan lägga till namn och lösen till en sida som användaren väljer själv. Bäst vore om man kunde lägga till flera, förstås. Det mest akuta är dock att se till att inget krockar. Att köra läsning och skrivning av data samtidigt från samma fil känns sådär. :)

Hursomhelst, det positiva är att jag har lyckats bli av med en hel del buggar och nu bara behöver stoppa in lite felhantering. (Det lär också ta en hel del tid, men sånt har jag iaf gjort förut.) Rapporten är det inga problem med, den tänkte jag att kortet skulle få skriva. "ÌÌÌÌÌÌÌÌÌÌÌÌÌÌ...", skriver kortet i en utdatafil. Jomen, det låter väl bra. Vi tar det till diskussionsdelen på slutet. ;)

Jag satt till sent igår och trixade med APDU:er. Nya versionen av systemet skickar mycket data hit och dit, ofta flera olika datasjok i samma paket (APDU) och då gäller det allt plocka ut dem rätt så att man inte... bryter av en bit av det man plockar ut, eller plockar ut fel. För att det ska gå lätt skickar jag med längd på allt som läggs med i paketet. (T.ex. de 42 första byten är en URL, sedan kommer 5 byte användarnamn o.s.v.) Problemet är att min agent ljuger om längderna. Ska försöka fixa det idag och sen måste jag skriva rapport så att jag blir klar nån gång och kanske får fira midsommar som vanliga människor.

Dagens...
Låt: "Ballad of a teenage queen" - Johnny Cash
Dryck: Beskt kaffe.
Outfit: Svart och grönt och varmt. Bara för det kommer väl värmen tillbaka. :)
Plan: Få agenten att sätta rätt längder och skicka vettiga APDU:er, lagra dessa på ett bättre sätt än nu i det smarta kortet, processa de APDU:er som kortet skickar tillbaka (det funkar, men felhanteringen är obefintlig).
Smarta drag: Jag tänker skippa vitlådetestningen i min rapport. Den är något jag själv ville ha med för att kunna visa på bra kodkvalitet, men... Vi hoppar över det, tycker jag. :)

Mitt kort lagrade just lite data och behöll det efter cardtear. Det är alltså något väldigt bra. Jag hade fått förslag på två utökningar som jag skulle göra i appleten. Det ena var att den skulle kunna ta emot strängar. I originalversionen kunde agenten skicka en etta till appleten för att tala om "Jag vill ha namn och lösenord nummer ett". Nu kan man istället skicka en sträng som innehåller en webbadress: "Ge mig alla uppgifter som hör till den här webbsidan". Det var alltså den lätta utökningen. Medan jag höll på med den gjorde jag ett litet test som handlade om den mer hopplösa uppgiften att få appleten att spara data som den får skickat till sig och sedan behålla det datat i sitt lilla pytteminne... och det funkar. :) Jag har bestämt mig för att fixa klart rubbet med utökningar och allt idag. Jag har gått på möten, fikat och sunkat runt de senaste dagarna så nu får det vara stopp med det. Måste ju hinna fixa rapporten innan månadens slut också.

Såhär är det alltså nu:
1) Du har namn och lösen till dina favorittjänster lagrade på ett smart kort.
2) Du surfar till en av dessa sidor och ett webbläsarplugin skriver en "kodsiffra" i en fil. 1 för den en ena sidan, 2 för den andra o.s.v.
3) Ett agentprogram som körs i bakgrunden läser filen och beroende på siffran kör agenten en scriptfil som innehåller kommandon för att få namn och lösen som hör till rätt webbsida.
4) Det smarta kortet som fått kommandon från agenten svarar med att ge ifrån sig data som den skickar till agenten som i sin tur skriver in det i en fil där webbläsarplugin:et kan läsa det.
5) Plugin:et fyller i ditt namn och lösen på den sida du besöker.

Såhär ska det bli:
1) Du surfar till en webbsida och webbläsarplugin:et skriver sidans URL i en fil.
3) Agentprogrammet  läser filen och skapar en scriptfil som skickar URL:en till det smarta kortet. Om du skriver in namn och lösenord själv skickas det också till kortet.
4) Det smarta kortet ser efter om URL:en finns lagrad och skickar i sådana fall tillbaka de uppgifter du har lagrade. Om URL:en inte finns lagrad och du har skrivit in namn och lösen förhand lagrar kortet det åt dig.
5) Plugin:et fyller i ditt namn och lösenord på den sida du besöker.
6) När du lämnar ditt kontor tar en spion med sig ditt kort med alla dina lösenord lagrade på. Uppdraget slutfört! ;)

Demon igår gick bra på så vis att inget kraschade. Istället fick jag förslag på diverse utökningar av appleten, det lilla programmet inne i kortet. Hade jag gjort en kravspec från början hade jag vetat vad jag skulle ha med i systemet och inte, men jag är ingen specmänniska så jag bara kodade på efter eget huvud och nu blir det som sagt lite saker att lägga till för att få ökad flexibilitet. Det ska faktiskt bli kul att få fixa med appletprogrammering igen och jag skulle gärna börja på en gång, men under helgen tänker jag tentaplugga så får appleten vänta lite. Den ska, sådär lite i smyg, ta emot och lagra information du skriver in i webbformulär så att du har informationen lagrad tills nästa gång du ska logga in. Då behöver du bara sätta in kortet. Som det fungerar nu finns all din info på kortet från början, kortet snappar inte upp något nytt. (Hmm... Med den automatiska lagringen av info skulle jag kunna ta tag i sidoprojektet CardTrojan igen. ;)

En spännande utökning lär det bli och den lades fram som ett förslag, något som jag kanske borde göra, men inte måste och som möjligtvis skulle bli svår och kräva en del minneshantering. Ok, det där är det bästa sättet att få mig att göra nåt. Jag lever för utmaningarna. :)

Idag blir det som sagt sista-minuten-krypto-plugg samt en massa örtte. Jag har dragit på mig en oläglig sommarförkylning som jag igårkväll försökte bota med en långpromenad. Det är 31 grader i min lägenhet så att vara inomhus är inte det trevligaste om man nu inte gillar bastubad. Puh!

Här sitter jag och pluggar kryptoteknik, ivrigt påhejad av de jag exjobbar för som har full förståelse för att jag tar några dagar till tentaplugg. Det är ju trots allt ett nyttigt ämne. :) Anledningen till att jag befinner mig på exjobbet istället för att tentaplugga ute i solen är att jag ska dema prototypen idag och bara väntar på den Stora Kraschen som alltid inträffar alldeles innan en demo. *ryys* I vilket fall som helst är det fredag och fredagar tycker jag om.

Dagens mås är utan tvivel duktiga Måsa-Lisa som blivit mor till två duniga måsungar. Vi lunchmänniskor ägnade en stund åt att iaktta dunbollarnas förehavanden och försöka hitta lämpliga namn. Lina och Linné kanske? :)

Dagens uppdrag är att kommentera och indentera den röra till kod jag har skapat. Den ser genast lite bättre ut. Jag funderar på att ge agenten en översätare för krypterade APDU:er också. Som det är nu får jag skicka dem i klartext och eftersom de ändå mellanlagras i klartext (det är en nödlösning, i ett färdigt system skulle det inte tillåtas) så gör det inte så mycket. Speciellt inte då de skickas genom en krypterad tunnel från kortet till datorn. Tunneln borde göra att kryptering av APDU:erna i sig inte behövs. Att jag lyckats knäcka och sniffa tunneln är en annan historia... Ska bli kul att dema systemet/prototypen imorgon. Sen anses det vara färdigt och jag kan fokusera på rapporten och på att överleva i värmen. Puh!

Förövrigt: Jag kan skvallra om Fiskens jobbresa och meddela att han delar rum med en ödla. Det finner jag väldigt exotiskt. Hans glasögon immar igen när han går ut också. Snacka om hög luftfuktighet! :)

Jag hade en del idéer imorse och tillbringade förmiddagen med att snabba upp min prototyp så att jag inte behöver skämmas för dess långsamhet. Min handledare hade bett mig kolla upp skrivning/läsning till fil för att se om det var något sådant som gjorde agenten långsam. Själv trodde jag mer på att det var autenticeringen som tog tid och gjordes fler gånger än vad som behövdes. I själva verket var det tidsödande momentet uppladdandet av en stor Java Card Applet vid varje sidladdning (en applet som användaren själv kan välja, ja, usch). Detta trots att jag satt upp en lapp på min anslagstavla där det står "Låt inte användaren ladda upp applets".

Efter lunch cyklade jag ner på stan för att se vad folk gjorde denna soliga dag. De verkade cykla runt planlöst och kolla vad andra gjorde. Inte särskilt spännande. ;) Sen blev det sill och den goda boken. Lite småhelg behövde jag allt, speciellt när det är för varmt för att göra nåt vettigt alls.

Här kommer en liten systemskiss för er som är nyfikna. Inte en optimal lösning, men en möjlig. Röran av språk och mellanlagring känns sådär, men jag skulle hellre köra det här än att sätta mig och knappa på ett tangentbord nånstans där det finns keyloggers. Hmm... Tror jag måste skaffa kortläsare här hemma. :)

Vad det något jag lärde mig på den där entreprenörskursen så var det vikten av att ha ett hisstal, alltså en presentation av vad du jobbar med, så kort och koncist att du hinner berätta det under den tid det tar att åka hiss tillsammans med en blivande affärskontakt. Mitt exjobb lämpar sig inte alls för ett hisstal har jag kommit fram till, men jag gör ett försök att berätta vad jag egentligen sysslar med, mest för att jag själv ska förstå. :)

Jag sysslar med smartcards. Ett smartcard ser ut som ett vanligt plastkort, men det finns ett microchip i det så det blir säkrare och det ryms mer på det. På de häftigare smartcarden kan man inte bara lagra data utan även köra program. Det som diskuteras mycket just nu är om man kan använda ett smartcard som kombinerat bankkort och ID-kort, det ultimata kortet med allt på. Naturligtvis är det inte riskfritt och vad jag gör är att jag förklarar för den oinvigde hur smartcards fungerar och vad man behöver tänka på om de ska användas till identitetshantering.

Den praktiska delen av mitt exjobb går ut på att bygga en prototyp till ett identitetshanteringssystem för smarta kort. Det består av ett program som körs på kortet och ett som ska finnas i användarens dator. Meningen är att man ska kunna ha alla sina användarnamn och lösenord lagrade på kortet istället för att lagra dem på datorn eller skriva in dem på tangentbordet. När systemet är klart ska jag analysera och testa det på alla tänkbara sätt och vis och försöka upptäcka säkerhetsproblem som kan finnas i ID-lösningar för smartcards. Egentligen borde jag granska något annat system än mitt eget, men det finns inget. (Inget som vänder sig till privatpersoner och som jag får rota runt i, vill säga. ;)

Så, det är alltså vad jag gör: jag skriver om smartcards och "det ultimata ID-kortet", bygger ett litet system som hanterar personlig data fast på en enklare nivå för hemmabruk samt analyserar den här typen av lösningar för att se om de är något att ha och hur man ska göra för att undvika alla de vanliga säkerhetsproblemen. Det är vad jag gör. :)

Tänk om man kunde koda Java i C++, då skulle det blir så mycket lättare att göra grafik... och titta, det kan man med jlib. Försöker att få det att fungera med VC++ just nu och bara jag kommer på var .h-filerna ska ligga så ska det nog gå bra.

Vet ni, jag har lyckats kompilera GPshell! Meningen är att min agent ska vara ett GUI (samt lite extrafunktioner) till det redan existerande GPshell. Man kan tycka att det är simpelt att bygga något om man har källkoden och en kompilator, men icke. Till slut gick det dock. Trial and error är en väldigt bra metod. :) Här kommer en liten manual för er som är nyfikna:

1) Ta hem VC++ Express (lättversionen av Visual Studio). GPshell är skrivet för Visual Studio och ville inte kompilera i exempelvis DevC++. (Det går säkert, men då får man nog skriva om en del saker.)
2) Blir förbryllad över att windows.h och liknande inte ingår i VC++Express. Det är mycket märkligt. :)
3) Ta hem Microsoft Platform SDK och plocka ut katalogerna Bin, Include och Lib
4) Skapa katalogen PlatformSDK i C:\Program Files\Microsoft Visual Studio 8\VC\ och lägg ovanstående där.
5) Öppna GPshells projektfil i VC++ och se till att lägga till filerna som finns i pcsclite-includes (följer med GPshells källkod), men döp om winscard.h för den finns redan i Platform SDK.
6) Lägg även till GlobalPlatform.h och unicode.h De ska ligga i katalogen GlobalPlatform i GPshell-katalogen. Allt krafs som hör till GlobalPlatforms källkod ska ligga löst i GPshells katalog vad du nu kallar den (förmodligen gpshell-1.4.0).
7) Du behöver dll:erna GlobalPlatform.dll, libeay32.dll, ssleay32.dll och zlib1.dll De som inte följer med GPshell:s och GlobalPlatform:s källkod kan följa med de färdiga versionerna av dessa program, eller så får du jaga rätt på dem på nätet. Lägg dem i gpshell-1.4.0
8) Får du kompileringsfel kan du behöva ändra #include <stdafx.h> till #include "stdafx.h" och liknande.
9) Om du kompilerar som "release" får du en fin exe-fil av GPshell i release-katalogen, men du behöver kopiera dit dll:erna för att de ska hittas.
10) Ta-daaah! Nu har du kompilerat ditt alldeles egna GPshell som du kan skriva söta tilläggsprogram till! Grattis! :)

Jag förstår inte var det kommer ifrån, fluffet! Minsta lilla inlämning eller flödesschema jag ska rita blir alldeles fullt av det. I en begreppskarta i entreprenörskapskursen som jag just skickade in fanns det rosa stjärnor runt de viktigaste orden och så dök den här lilla entreprenörskan upp i ett hörn. Jag kan helt enkelt inte hjälpa det. :) Dock står jag fast vid att de där små detaljerna inte ska få vara med i exjobbsrapporten. Däremot ville min exjobbshandledare se en bild av ett smartkort som skrämmer en bugg istället för tvärtom, så det ska han få. Antar att det är meningen att det ska ge en moralhöjande effekt. :)

Dagens...
Kommentar: "Du hade sånt där otäckt i din blogg idag" (syftande på matteböckerna).
Plötsligaste: Att under redovisningen i användbarhetskursen få förklara hur en DoS-attack av mobiltelefoner skulle kunna tänkas gå till.
Synthpop: "You didn't want me" - Mesh, eller för den delen "Step by step" som är lite gladare. Oh, så fint det låter. :)
Slogan: "CarTex - The solution for the future!" Så ska det låta på torsdag då jag ska marknadsföra billack i entreprenörskursen. Kärnfullt, eller hur? *fniss, fniss*

Jag måste säga att jag är ganska bra på att planera mina studier, faktum är att jag är bättre på det än på att studera. Jag borde bli syo eller arbetsförmedlare för att få nytta av denna egenskap, men det tänker jag inte bli. Jag kollade just på mina studieplaneringar för att se hur jag ligger till. Ja, jag har två för jag vet inte vad jag vill bli när jag blir stor. Det är så svårt att bestämma sig. Som det ser ut nu kan jag (om jag klarar det jag åtagit mig den här terminen vill säga) snart ta en lång semester och sedan är jag datalog. Detta bygger dock på att jag får räkna in kurser som "Mask, myt och rörelse genom dramakommunikation" i en datalogexamen, men det tyckte syon gick bra "om jag absolut ville". Jag tycker att om man har pantomimat Pallas Athena i en ljusblå betongmask förtjänar man att ha med det i sin examen. :)

Mitt andra alternativ är att under sommaren läsa in två valfria poäng samt en uschlig* mattekurs så är jag något ännu finare som har ordet teknologie i sig. Sen har jag fyra gamla datakurser där jag bara har något litet moment kvar (en åttondels labb, en pyttig tenta, sådana saker) som jag nu kan strunta i om jag vill, fast det känns dumt att ha halvfärdiga saker kvar (ifall de är rimliga att klara av, vill säga) så jag ska göra klart de kurserna också innan jag räknar mig som färdig. En liten bit in på hösten borde jag vara klar och då hittar jag säkert något nytt spännande som jag vill göra.

Imorgon är det seminarium. Jag tycker inte att jag gör annat än går på sådana, men det är allt rätt åt mig som valde tre projektkurser samtidigt av misstag... ;)

* Det finns iofs uschligare saker att studera så jag ska inte klaga. Matte är iaf vackert. Ekonomi däremot skulle jag vara direkt olämpad för. Uuhhh! :)

Det blev två ganska fina powerpointpresentationer till gruppredovisningarna. Dock behövs det lite grafik som jag ska göra i Illustrator, bara för att det är roligt att få använda ritplattan. Undrar om jag ska rita alla mina attackträd med den också, men då finns risken att det blir en massa rosa fluff i exjobbsrapporten och det vill jag inte riskera. :) Tror jag ska smita hem lite tidigare så att jag får tid att rita skisser i hemmets lugna vrå. Behöver sticka och handla lite också. Tror att pasta-med-pesto vore gott.

Förutom att skriva om smarta kort och sitta och förbereda gruppsaker har jag även hunnit fika med Vic samt plugga till duggan i entreprenörskap. Det är fullt med läskiga ekonomiord att lära sig. Likviditet, smaka på det ordet. Otäckt! :)

Oj, den lille rackaren till rapport har växt! :) Jag hade några goda dagar förra veckan och skrev ett antal kapitel. Min rapport behöver nu inte mer än 20 sidor för att storleksmässigt vara ok. Sen ska innehållet också vara bra, har jag hört. Nån ska läsa den. ;) Hursomhelst, jag har inte skrivit riskanalysen alls och ingenting om agenten och jag har heller inga figurer. När det läggs till blir det ju rena rama jätteboken. Iofs blir den nog lite mindre om jag ska skala bort alla "it's like a small computer, sortof" och "and then you, like, crack it, or something". *fniss*

Dagens lilla lärdom till er därute: Vad är skillnaden mellan A) ett magnetremsekort, B) ett minneskort och C) ett mikroprocessorkort? Jo, på ett magnetremsekort (du har säkert massor av såna) går det lätt att kopiera remsan med allt ditt kortdata på. Ett minneskort är ett kort där datat lagras i ett litet chip istället så att det blir svårare att stjäla information. Bankkort är både A och B, fast tyvärr används remsan mest. I bästa fall är de A och C istället. I C, ett mikroprocessorkort, sitter det en liten dator i chipet under den guldiga lilla plattan. Det är mycket säkrare och bättre för den kan köra program och är svårare att lura. Nu vet ni. :) (Jag försöker förgäves få besökare att våga låta testa sina bankkort med min APDU-scanner för jag vill se vad det är för sorts kort, men ingen törs. Fegisar! Bara för att jag själv aldrig skulle göra det behöver det inte vara farligt. *elak-forskare-skratt* ;)

Tre rum från mitt sitter en italiensk professor, men han har nog gått i pension för det är aldrig någon där. Jag brukar fundera över vilka det är som sitter i de olika rummen, för vissa jobbar hemifrån och syns sällan till. Det måste ha varit det som spökade, för den här natten drömde jag att han dök upp, personen i rum nummer ett. Han sa sig vara min nye examinator och ville ha min exjobbsrapport inom två dagar. "Det är lugnt", svarade jag som jag alltid gör oavsett om det är lugnt eller inte. *s* Sån tur att det bara var en dröm.

Idag ska två presentationer inför slutseminarierna i gruppkurserna förberedas och så ska jag fortsätta med rapporten, förstås. Jag tror att det behövs fler scenarion, såna är alltid bra.