Science om "säkerheten" i smarta resekort (typ SL Access)

Science har en intressant liten nyhetsartikel om datasäkerhetsforskarna som hackade RFID-kortsystemet MIFARE Classic, det som skulle ha blivit SL Access och som tills nyligen användes i bland annat Londons tunnelbana och i Göteborgs lokaltrafik (Västtrafik). Eller, jag hoppas att det är “tills nyligen” och inte “fortfarande”, för säkerheten i det verkar vara helt erbarmlig, värre än vad jag trodde när jag läste det lilla som rapporterades i media i somras. Några höjdpunkter:

* “Every time the reader was switched off and on again, it issued the same challenge nonce.”

* “Oddly, instead of 32-bit IDs and nonces, the reader would also accept ones 48 bits long. That flaw meant that researchers could set all the bits in the LFSR. It also meant that they could feel out the filter function by changing the bits one by one while keeping everything else the same.”

* “Verdult found that if a card didn’t reply to a reader’s challenge, then the reader sent a 32-bit “halt” command, but it would scramble it. That was a blunder because hackers could strip out the easily guessed message to get the 32-bit stretch of key stream that scrambles it”

Men bara det att företaget bakom tekniken i MIFARE Classic, NXP, försökte belägga forskarna med munkavle – aj. Eller som Bruce Schneier säger i artikeln “only very bad systems rely on secrecy”. Den artikel som NXP försökte stoppa presenterades officiellt på 13th European Symposium on Research in Computer Security (ESORICS) i Malaga i början av oktober i år. För att citera en bit av sammanfattningen i ESORICS-artikeln:

“The most serious [type of attack] recovers the secret key from just one or two authentication attempts with a genuine reader in less than a second on ordinary hardware and without any pre-computation. Using the same methods, an attacker can also eavesdrop the communication between a tag and a reader, and decrypt the whole trace, even if it involves multiple authentications. This enables an attacker to clone a card or to restore a real card to a previous state.”

Med andra ord, nästan vem som helst med tillräckligt tekniskt kunnande och nån tusenlapp att spendera på internet kan kopiera ditt kort, eller skriva över det. Inte nog med att tekniken används i ett antal stora lokaltrafiksystem, den används även i många företags passerkort. Lyckat.

Länkar
nyhetsartikeln i Science
Computer Sweden alluderar till samma problem
Forskargruppens två artiklar om hur de knäckte MIFARE
Nytekniks rapportering efter ESORICS

Andra bloggar om: , , , , , ,

Jag och Lisa ska skriva en bok!

Jag och Lisa Förare Winbladh har fått anslag från FORMAS för att skriva en bok om mat med naturvetenskapliga förtecken!

Arbetstiteln är “Molekylär gastronomi i ditt eget kök”, och förutom text på papper blir det såklart en blogg där vi kommer dokumentera lite ditt och datt under arbetets gång (den kommer ligga under taffel.se, länk kommer här när bloggen kommit upp).

Det är såklart jättekul att få anslag (och mitt första “egna” anslag), och det ska bli fantastiskt roligt att skriva bok med Lisa, men det som egentligen gör mig allra gladast är att den här typen av anslag över huvud taget existerar – anslag för att föra ut forskning i det allmäna rummet, och helst i samverkan mellan vetenskapsjournalister/informatörer och forskare.

Såhär skriver FORMAS om sin informationsprojekt-utlysning:

“Forskningsrådet Formas lyser ut medel för populärvetenskapliga informationsprojekt inom rådets alla ansvarsområden, dvs. Miljö och natur, Areella näringar, djur och livsmedel samt Samhällsbyggande.

Informationsprojekten ska bidra till att forskningsresultat från Formas ansvarsområden sammanställs, sprids, prövas och diskuteras i olika sammanhang så att de kan påverka samhällsutvecklingen.

Informationsprojekt kan avse till exempel populärvetenskapliga artiklar och publikationer, seminarier och konferenser, film- och TV-produktioner samt webbsidor.

För informationsprojekt krävs inte akademisk meritering och tillhörighet för den sökande. Vetenskapsjournalister och informatörer, gärna i samverkan med forskare, är välkomna att söka. Ansökan kan utformas på svenska. Det finns ingen given summa att söka utan den summa som söks ska stå i proportion till det tänkta projektet och motiveras väl. Syfte, mål, målgrupp samt informationskanal ska tydligt framgå i ansökan.”

FORMAS huvudområden är – som påpekas i texten – miljö & natur, samhällsbyggande och areella näringar, djur och livsmedel. Om de följer sitt tidigare mönster är nästa ansökningsdeadline för informationsprojekt nånstans runt månadsskiftet april/maj nästa år. Sitter du på en bra idé, sök!

Länkar
FORMAS
Nyhetsrelease (via Newsdesk, så jag kan twingla länken)

Webbsökningar avslöjar influensa på väg att bryta ut

När du börjar känna dig sjuk, är det sannolikt första du gör:

1: söker på internet
X: ringer mamma
2: går till doktorn

Jodå, allt fler väljer att använda sökmotorer för att få på om de är sjuka, och i vad. Det innebär att det går att se tecken på annalkande influensautbrott i de högar med söktermer som bland andra Google samlar ihop varje dag – så pass bra att en prognos baserad på söktermer ligger en till ett par veckor före den officiella, sjukvårdsbaserade prognosen.

Det är resultatet som rapporteras i två nyutkomna artiklar; en på Yahoo-data i senaste numret av Clinical Infectious Diseases, en på Google-data i Nature. Genom att studera vilken del av landet söknignen kommer från gör det att göra separata prognoser på till exempel delstatsnivå.

Bild från Google Flu Trends (google.org/flutrends/); söktermsbaserade förutsägelser i blått, data från amerikanska CDC (Centers for Disease Control and Prevention) i gult.

När det gäller sjukdomar med utbrott – epidemier, eller de ännu läskigare pandemierna – kan tidiga åtgärder göra stor skillnad i totalt antal sjuka. Ett par veckors förvarning är mycket värdefullt. Dessutom är sökord enkla och billiga, och ingen behöver förflytta sig fysiskt för att komma åt dem (till skillnad från riktiga medicinska tester). Dessutom är insamlade webbdata aktuella för dagen, till skillnad från “fysiska” medicinska data som det tar nån vecka att samla ihop och analysera.

Däremot kan verkligheten ludda till resultaten mer, när man använder sig av sökningsbaserade prognoser: blotta hotet om en pandemi, kanske ihop med ett par larmrapporter i media, kan få folk över hela landet att börja använda influensa-relaterade söktermer utan att de är sjuka. Något sådant har ju inte inträffat sedan 2003 när datainsamlingen startade*, så det går inte att förutsäga hur väl metoden håller för en sådan anstormning.

Metoden kräver en stor mängd sökdata för att ge bra statistik, så det är oklart hur bra det skulle funka i Sverige, åtminstone utanför storstadsregionerna.

Länkar
Nature News
Google Flu Trends
artikel i Nature (pren. krävs)
tidig version av Natureartikeln, fritt tillgänglig från Google.
artikel i Clinical Infectious Diseases (pren. krävs)

Andra bloggar om , , ,

*För Google:s data. Yahoo:s data sträcker sig från mars 2004.

Vad är ett representativt urval av bloggar?

Jag har flera gånger blivit ombedd att ge en journalist en lista på bloggtips, nästan alltid på hyfsat renodlade vetenskapsbloggar och ofta med en önskad övervikt på svenska bloggar. Korsar man de två önskemålen är det absolut görbart, det handlar om några tiotal bloggar man har att plocka från.

Då brukar jag fråga mig vad som är ett representativt eller rättvisande urval av bloggar(e). Det är inte helt lätt att svara på. Bara bloggar som jag läser – nej, knappast. Att jag tycker en blogg är bra är inte särskilt informativt i sig, om man nu inte råkar känna mig redan. Bara bloggar som länkar till mig – det vore just snyggt, va? (Fast förvånansvärt ofta är det så jag hittar nya svenska vetenskapsbloggar). Bloggar som jag och mina vänner läser – lite bättre, men fortfarande ett garanterat skevt mått. Bloggar som många läser – antagligen bättre, för det baserar sig åtminstone på fler personer än mig. Fast med tanke på att vetenskapsbloggar är en sån liten del av bloggosfären är sånt svårt att mäta, för statistiken förvrids av de som skriver både om vetenskap och politik. Och av vilken sökmetod man använder. Och av att vissa bloggar har RSS, men inte andra. Plus att man faktiskt missar flera riktigt bra skribenter om man bara går på länkmängd.

I slutänden blir det varje gång något slags kombination – viktat för variation, ämnesbredd och uppdateringsfrekvens den senaste tiden – för det enda man kan göra när man har en mängd dåliga mätmetoder är att ställa dem mot varandra.

Det är så jag väljer data som privatperson. Skulle jag välja data i forskningssyfte skulle jag vara betydligt noggrannare. Skeva data in är dålig forskning ut. Och bortslösade forskningsmedel på vägen (delvis dina och mina skattepengar).

Därför blir jag både ledsen och förbannad när Bo Rothstein läser bloggosfären som fan läser bibeln, och samtidigt pallar upp auktoriteten i sina argument med hjälp av sin forskaridentitet.

Att dra slutsatser från en datamängd på tre punkter (bloggposter) utvalda från tre tidsserier (bloggar) med hundratals punkter vardera, ur en betydligt större mängd av tidsserier (alla nyliberala svenska bloggar) som i sin tur är en delmängd av en mängd (svenska politiska bloggar som är en del av alla svenska bloggar) … och sedan påstå att dessa slutsatser gäller hela mängden (alla svenska bloggar) är inte OK. Inte ens som privatperson, och absolut inte som forskare. Oavsett sammanhang, oavsett akademisk disciplin.

Att hänvisa till ett par akademiska verk om den amerikanska politiska bloggosfären – som på flera punkter skiljer sig från den svenska, bland annat på grund av att de har två politiska grupperingar där vi har flera – utan att ifrågasätta eller diskutera hur tillämpbara de är under svenska förhållanden, eller hur tillämpbara de är på den svenska bloggosfären som helhet är inte heller särskilt snyggt, inte för en forskare, men det drunknar i sammanhanget.

Men det värsta av allt, Bo, är att det ser ut som om du skaffat dig en vana att använda ditt inflytande över svenska medier som ett sätt att hämnas. Det är verkligen inte vackert.

Länkar
GP
SvD

UPPDATERAT 11:17: Jag är åtminstone inte den enda som tycker det är dålig vetenskap.

Vetenskapsbloggar i ETC

Dagens webbutgåva av ETC – och därmed, gissar jag, fredagens tryckta upplaga – har en artikel om vetenskapsbloggar. Jag och Forskarbloggens Jens Sundström är intervjuade. Vi verkar ha rätt lika åsikter om vetenskapsbloggandet, kan jag konstatera när jag läser.

Min bloggkollega Thomas, som driver en av bloggarna i bloggtipslistan som följer med artikeln, pekade mig mot en liten just nu pågående vetenskapsbloggmeme som hade sitt ursprung hos Martin Fenner på Nature Network (svar, via Technorati). En variant på den eviga “varför bloggar du” – vilket ju egentligen är samma fråga som ligger i botten på ETC-artikeln.

Intressant nog slumpade det sig så att intervjuförfrågan från ETC låg och väntade i min inbox när jag kom tillbaka från VR:s expertsvarmöte och tillhörande debatt om just vetenskapskommunikation och bloggande forskare.

Andra bloggar om , , ,

amerikansk snabbmat: totalt beroende av majs

Amerikansk snabbmat – oavsett om det är hamburgare, kyckling eller frityroljan till pommes fritesen – är nästan uteslutande baserad på majs. Det visar en analys som publicerats i vetenskapstidskriften Proceedings of the National Academy of Sciences.

Författarna till studien har köpt hamburgare, kycklingsandwichar och pommes över hela USA (från Los Angeles, San Francisco, Denver, Detroit, Boston och Baltimore). De skaffade tre av varje sort – tre hamburgare, tre sandwichar och tre portioner pommes – från tre olika inköpsställen per stad från tre kedjor (Burger King, McDonald’s och Wendy’s), totalt 486 inköp.

Sedan mätte de hur mycket av isotoperna kol-13 och kväve-15 som fanns i maten. Andelen kol-13 i köttet jämfört med kol-12 fungerar som ett “fingeravtryck” för hur mycket majs korna och kycklingarna har ätit; majs har nämligen en karakteristisk sammansättning av kol-13 i förhållande till kol-12 (och som bekant blir man det man äter, även som ko eller kyckling). Andelen kväve-15 pekar på hur mycket gödsel som en gång tillförts.

Resultatet: enbart tolv av hamburgarna kommer från kor som ätit något annat än majs. De övriga djuren har således uppfötts uteslutande på majsfoder; kraftigt konstgödslat sådant. Variationen på pommes (eller snarare, på deras frityrolja) var något större; Wendy’s använde i stort sett bara majsolja, Burger King och McDonalds använde andra vegetabiliska oljor.

Lägg till det att den läsk som serveras till stor del är baserad på high-fructose corn syrup (HFCS; stärkelsesirap från majs), och fram träder en bild av en snabbmatsindustri som är otroligt beroende av billig majs för att kunna optimera sin produktion och hålla låga priser.

Man kan se det ur ekonomisk synpunkt, som ett tecken på hur subventioner till jordbruket och en viss gröda kan slå igenom i en hel livsmedelskedja. Man kan se det ur miljösynpunkt; majsen är rejält gödslad och odlingen av majs i USA har fått mycket kritik även av andra miljöorsaker. Man kan se det ur djurvänssynpunkt; trånga “feedlots”, strömlinjeformad produktion och en ensidig utfodring med samma foder dag ut och dag in (vilket vare sig kor eller kycklingar är anpassade för).

Oavsett vilket är det skrämmande.

Länkar
Artikel i PNAS (fritt tillgänglig)
Wired
Scientific American

Dubbelbloggat på Taffels redaktionsblogg Kort om gott.

Andra bloggar om , , , , ,

Phoenix: veni, vidi, fodi

Marslandaren Phoenix har till slut – två månader efter förutsedda 90 dagar av aktivitet – tappat det sista av sin batterikraft och vilar frusen på Mars arktiska slätter.

Data från expeditionen kommer säkert att analyseras, publiceras och diskuteras i år framöver – men aldrig förut har det varit så passande att säga om en rymdsond att den har tystnat. Phoenix har nämligen varit den första sonden att “tala” i första person* med omvärlden: via Twitter, som gästbloggare på Gizmodo, intervjuad av Wired.

Allt i själva verket öppet spökskrivet av Veronica McGregor, en av de som arbetar på NASAs Jet Propulsion Laboratory – men det spelar mindre roll. Som kommunikationsstrategi har det varit fantastiskt framgångsrikt, och ett typexempel på vad man kan åstadkomma med hjälp av sociala medier: Phoenix har i skrivande stund 38921 “followers” (prenumeranter) på Twitter, betydligt mer än vad någon hade räknat med.

“We got about 1000 new people in about an hour […] I had it set up to email me every time someone signed up. I went out to get lunch and my e-mail box had a thousand new e-mails when I came back. It sounded like a Vegas slot machine. My computer was just going ding ding ding”

berättade McGregor för Wired i maj i år.

Wired har hållit en tävling för att ge Phoenix en passande epitaf. Det vinnande förslaget är passande kortfattat: veni, vidi, fodi – jag kom, jag såg, jag grävde.

Länkar
Phoenix på Twitter
Avskedsbloggpost på Gizmodo
The Globe and Mail
NASAs avslutande nyhetsrelease

*Användandet av “jag” istället för längre och klumpigare omskrivningar som “marslandaren” var – enligt uppgift – en konsekvens av att varje enskild tweet inte får vara mer än 140 tecken lång. Nöden är uppfinningens moder 🙂

Andra bloggar om , , , , , ,

tips: Physics – strålkastaren på viktiga fysikartiklar

Amerikanska fysiksällskapet APS, som publicerar de välkända Physical Review * och Physical Review Letters, konstaterar att fysikforskare drunknar i artiklar och riskerar att missa viktig läsning.

Lösningen heter Physics, ett webbmagasin där den bästa och viktigaste forskningen från Physical Review-tidskrifterna får lite extra strålkastarljus på sig genom expertkommentarer från aktiva forskare som förklarar pappret för fysiker aktiva inom andra subfält. Ett slags populärfysik för andra forskare, alltså – och kanske något att sätta tänderna i för den riktigt fysikintresserade. Formaten är Viewpoint (fokus på ett enskilt papper), Trends (korta reviewartiklar) och Synopses (riktigt korta destillat av papper).

Det bästa av allt: innehållet är open access, dvs fritt tillgängligt, och de enskilda artiklar som lyfts fram i Viewpoint är också open access om man går via Physics webbsida.

Länk
Physics
* Physical Review A – Physical Review E.

Diamanter av tequila

En liten grupp mexikanska forskare har lyckats framställa diamanter från tequila, genom att deponera het tequilaånga på kisel och rostfritt stål.

Ångan värms upp till 800 grader, vilket är hett nog att bryta sönder molekylerna och få kristaller att formas – det vill säga diamanter, förutsatt att förhållandena är goda. De resulterande pyttesmå diamanterna formar en hård, värmetålig och elektriskt isolerande yta som kan användas till bland annat skyddsbeläggning på skärverktyg.

Iden att använda tequlia verkar ha varit ett rent infall; forskarna hade experimenterat på diverse alkoholer med rätt fördelning av kol, syre och väte, och upptäckte att etanol utspätt med vatten till ungefär 40%-ig alkoholhalt – starkt som till exempel tequila – fungerade bra. Därifrån var steget kort till att ta med en liten flaska tequila till labbet och prova.

Så gott som alla spritsorter innehåller orenheter, “finkelolja”, som ger karaktär till olika varianter av sprit – och som skulle kunna vara ett problem i sådana här tillämpningar. Det verkar dock som om den höga temperaturen kompenserar för det, sannolikt eftersom även “finkelmolekylerna” bryts ned utan att störa fördelningen mellan kol, syre och väte alltför mycket, och därmed borde det gå att göra diamanter av diverse fulsprit med en alkoholhalt kring 40%.

Forskarna beskriver processen i ett synnerligen preliminärt dokument upplagt på preprint-servern ArXiv. Viktiga uppgifter som saknas är till exempel hur stor yta som kan beläggas med diamanter, och hur väl beläggningen sitter fast… och eftersom dokumentet ligger på arXiv och ännu inte är publicerat i någon vetenskaplig tidskrift är det inte heller oberoende granskat.

Wikipedia har en bra liten artikel om hur läget ser ut för den här sortens industridiamanter, och påpekar bland annat att diamantbeläggning har bra non-stickegenskaper och skulle kunna användas för kokkärl om bara processerna för att lägga på diamant blir billiga och effektiva nog att täcka stora ytor.

Länkar
Nyhetsrelease
dokument via ArXiv
Wikipedia om metoden

UPPDATERAT 13/11: Nu har E24! plockat upp nyheten.

Andra bloggar om , , , , ,