Mobile Sicherheit: der vernachlässigte Aspekt des IT-Risikomanagement

Transkript

1 Mobile Sicherheit: der vernachlässigte Aspekt des IT-Risikomanagement Wolfgang GmbH Schloß Eicherhof D Leichlingen +49 (02175)

2 Wer ist yet? gegründet: Juni 2002 Mitarbeiter: 23 Umsatz: ca. 3 Mio Standort: Leichlingen/NRW Aktionsradius: bundesweit/weltweit Stammkapital: ,00 (eingezahlt) Geschäftsführer: Wolfgang Straßer GmbH, Schloß Eicherhof, D Leichlingen 2

3 @-yet Geschäftsbereiche GmbH, Schloß Eicherhof, D Leichlingen 3

4 Bedeutung der IT: Ohne IT keine Wertschöpfung Ohne IT keine Innovation Ohne IT kein Wachstum GmbH, Schloß Eicherhof, D Leichlingen 4

5 @-yet Kernaussage Die IT ist integraler Bestandteil der Wertschöpfungskette durch z.b.: - Prozessleitrechner in der Fertigung - Warenwirtschaftssysteme in Logistik, Vertrieb etc. - Vertriebsunterstützung (CRM) - Finanzsysteme fürs Controlling - Know-How & Innovationen werden auf Rechnern entwickelt und dort auch abgelegt - Kommunikation - etc. GmbH, Schloß Eicherhof, D Leichlingen 5

6 IT und Risikomanagement Betrachtung der IT aus dem Blickwinkel - Business Continuity - Business Security - Business Scalability - Business Compliance GmbH, Schloß Eicherhof, D Leichlingen 6

7 Zentraler Baustein des IT Risikomanagements» Business Security

8 Warum Business Security? Um sich zu schützen vor 1. dem Gesetzgeber 2. Verlust an Wertschöpfung 3. Verlust an Produktivität

9 IT- Rechtslage (ein Auszug) der regulatorische Dschungel mit Bezug auf Sicherheit (Auszug): BMF EGG KonTraG BDSG ISF TKG TDG KWG TDDSG HGB AWG StGB KWKG AktG UrhG Basel II GDPdU SigG Sarbanes Oxley Act

10 Warum Business Security? Auf den Servern und in den Netzen liegen 1. Produktentwicklungen tw. Jahrhunderte oder mehr an Entwicklung 2. Produktionsprozeß Know-How 3. Kalkulationen 4. Geld Zugang zu Bankverbindungen 5. etc.

11 Warum Business Security? Hören Sie auf zu glauben, daß sich niemand für Sie und Ihr Unternehmen interessiert - der ganze Planet interessiert sich für deutsches Know-How - für Ihr Unternehmen - für Ihre Produkte - für Ihr Prozeßwissen

12 Chinesen, Russen, Amerikaner u.v.m. Rheinische Post vom 9. Februar 2007

13 Warum Business Security? Die deutsche Wirtschaft der Attacken 1. Deutschland ist die Exportnation Nummer 1 2. Deutsches Ingenieurwissen ist führend 3. Die deutschen Unternehmen sind provokativ -unglaublich schlecht geschützt

14 Definition: Business Security Physische Sicherheit Gebäude- und Zugangsschutz Security Leitstand IT-Sicherheit State-of-the-Art Security Produkte & Technologien Organisatorische Sicherheit Security Policies, Prozesse praxiserprobte Vorgehensweisen

15 Mobile Security wichtiger und oft vernachlässigterteilbereich der Business Security Mobile Security

16 Gründe für f r Mobile Security Manager, Vertriebler, Ingenieure sind oft und lang auf Reisen Baustellen etc.

17 Gründe für Mobile Security Manager, Vertriebler, Ingenieure sind oft und lang in Hotels Flughafen Lounges Zügen Kongresszentren etc.

18 Gründe für Mobile Security Manager, Vertriebler, Ingenieure nutzen viel Handys PDA s Notebooks WLAN Hotspots etc.

19 Gründe für Mobile Security und genau hier liegen die Gefahren mobile Dienste und deren Medien sind unsicher bzw. sehr leicht manipulierbar

20 Agenda Die 3 Problemzonen mobiler Endgeräte 1. Die Endgeräte selber 2. Die Zugänge zu diesen 3. Der Umgang mit ihnen

21 Die Endgeräte selber Übersicht (1) mobile Endgeräte 1. MDAs und PDAs 2. MDE (Geräte zur mobilen Datenerfassung) 3. Notebooks 4. Handys und Smartphones

22 Die Endgeräte selber Übersicht (2) Eigenschaften mobiler Endgeräte 1. Mangelnde Unterstützung von WPA / WPA2 Algorithmen sowie VPN Lösungen (PDA, MDA, MDE, Handys..) 2. Virenscanner bringen nicht die gewünschte Sicherheit. Ganz im Gegenteil: durch das Parsen von Code können Anwendungen den Virenscanner gezielt deaktivieren. 3. Mobile Endgeräte werden fast immer mit einem nicht flüchtigen Speicher versehen. 4. Mobile Device Management ist nur schwer implementierbar. Kontrolle des Geräts liegt häufig beim Anwender

23 Notebooks - Probleme Notebooks werden häufig gestohlen Daten werden wahllos auf dem System gespeichert Festplatten oder kritische Unternehmensdaten sind oft nicht verschlüsselt gespeichert unbemerkte Verbindungen über Schnittstellen möglich (IR, BT, WLAN, LAN, UMTS ) kritische Unternehmensdaten werden über unsichere Datenträger austauschbar

24 Notebooks Lösungen (1) Notebooks beim Verlassen durch ein Schloß sichern (Kensingtonlock) vollständige Verschlüsselung der Festplatte und Authentifizierung durch Pre-Boot Mechanismen kritische Daten dediziert verschlüsseln und nicht auf entfernbaren Medien speichern keine einfachen Kennwörter verwenden

25 Notebooks Lösungen (2) alle nicht verwendeten Schnittstellen deaktivieren (IR,BT,WLAN, UMTS, GPRS etc.) verhindern, dass unerwünschte Gerätetreiber oder Software installiert wird (Application Security) Notebook nie aus dem Auge lassen Notebook nur an abhörsicheren Orten verwenden* * nicht abhörsichere Orte sind: Bahnhöfe, Hotels, Messen, Flughäfen

26 PDA / MDA Probleme kein ausreichender Diebstahlschutz implementiert Informationen / Daten werden meist unverschlüsselt gespeichert Verlust und Diebstahl von Geräten ist gleichzusetzen mit vollständigem Datenverlust leichte Installation manipulierter Software durch die Einbindungen von Bluetooth, Infrarot und WLAN Schnittstellen bieten PDAs und MDA vielseitige Angriffs-möglichkeiten an

27 Blackberry ein Pushsystem Funktionen 1. s 2. Kalender 3. Adressbuch

28 Blackberry - Sicherheit 4-12 zeichenlange Kennwörter schwache Passwörter werden nicht unterstützt (bbbbb, 1234 etc.) Bildschirmschoner unterbindet Zugang zum Gerät über Keyboard (nur Kennworteingabe erlaubt) USB Infrarotport es wird nur der SHA1-Hash des Kennwortes gespeichert nach zehn hintereinander erfolgten falschen Kennworteingaben werden alle benutzerspezifischen Daten gelöscht durch Policies kann das Verhalten des Gerätes zentral vorgegeben werden

29 Blackberry - Funktionsweise ACHTUNG!

30 Mobile Endgeräte GSM Hacking cracking A5 1. Verwendung: GSM Netzwerk 2. Verwendungsbereich: Weltweit 3. Kostenpunkt: über Funktionen: Entschlüsseln und Abhören des GSM Verkehrs Entschlüsseln und Mitlesen von SMS im GSM Netzwerk

31 Bluetooth Bluetooth Schwachstellen gib es auf allen erdenklichen Geräten 1. Angriffe auf Mobile Devices (Auslesen von Adressbüchern, versenden von kostenneutralen SMS) 2. Angriffe aus stationäre Geräte (Änderung der Maschinensteuerung, auslesen von Patientendaten, Medikation ändern, Pflegeprogramme auslesen, löschen, ändern etc.)

32 Bluetooth Probleme (1) Fehler in Protokoll-Stack / Umsetzung Verschlüsselung ist, wenn überhaupt, nur optional Geräteschlüssel werden für alle Verbindungen genutzt (sofern keine Verbindungsschlüssel unterstützt) Qualität des Zufallszahlengenerators nicht vorgeschrieben

33 Bluetooth Probleme (2) Man in the Middle Attacke möglich* Bewegungsprofile können erstellt werden* Mobile Geräte sind diebstahlgefährdet (Schlüssel wären zugänglich) bei AD-Hoc Netzen können ggf. Viren und Trojaner eingeschleust werden * Diese Risiken bleiben trotz aller Sicherheitsmaßnahmen (außer Abschalten) bestehen

34 Bluetooth - Schutzmaßnahmen Nicht benötigte Dienste sollten deaktiviert werden Geräteeinschränkung: Sichtbarkeit, Verbindung,Paarung Sendeleistung sollte runtergeregelt werden Zufällige PIN sollte verwendet werden Paarung von Geräten sollte immer in abhörsicheren Bereichen durchgeführt werden PIN sollte nach Initialisierung gelöscht werden (kein Cache)

35 WLAN - Probleme keine kontrollierbaren Netzwerkanschlussdosen die Reichweite 1) ist relativ groß Standard-Sicherheitsverfahren sind unzureichend kann passiv abgehört werden 1) Mit handelsüblichen Richtfunkantennen/Verstärkern

36 WLAN Objekt: Netzwerk Verbindung: WLAN Geschwindigkeit: 54MBps Verschlüsselung: WEP Keystärke: 128 Bit Reichweite 1) : ca 5 Km Dauer: ca 3-7 Minuten Ziele: Zugang internes Netz Internet Zugang Ausspionieren von Daten Angriff auf Fremdnetze Blockieren von Zugriffen 1) Mit handelsüblichen Richtfunkantennen/Verstärkern

37 WLAN Encryption WEP 1. Bereits geknackt 2. Man benötigt viele Daten zur Entschlüsselung 3. Entschlüsselung dauert nur wenige Minuten 4. Tools sind im Internet frei verfügbar WPA 1. Sicherer als WEP 2. Eine WLAN Anmeldung wird benötigt 3. Großes Wörterbuch notwendig 4. Entschlüsselung kann sehr lange dauern (bis zu Wochen)

38 WLAN Hotspot Hotspots sind an vielen Orten frei verfügbar und werden aktiv in der Umgebung beworben Kommunikation erfolgt, in der Regel, unverschlüsselt Teilnehmer können Datenverkehr mitlesen Angreifer können unbemerkt Verbindungen zum PC aufbauen

39 WLAN Wie schützen? Ein Anfang 1. kein WEP, mindestens WPA / WPA2 einsetzen 2. zusätzlichen MAC Filter anschalten 3. SSID verbergen Ein guter Weg (stärkere Verschlüsselung) 1. Nach WLAN Verbindung, IPSEC Tunnel zu zentralem System herstellen (Umfangreiche Konfiguration aber sicher) 2. Windows Bordmittel verwenden (L2TP PPTP, ebenfalls nicht sicher) 3. VPN Lösung zur Verschlüsselung (Open VPN, einfach zu handhaben und relativ sicher)

40 Endspurt Security zu vernachlässigen - ist fahrlässig - kann existentiell werden vor der Implementierung von Schutzmechanismen kommt erst die Definition der Sicherheitsziele die Technik ist komplex, aber beherrschbar aber ohne Organisation ist sie wertlos

41 Endspurt Sie haben es mit Profis zu tun! Überlassen Sie Security nicht dem Zufall, Sie haben zu viel Geld in Ihren Netzen! Investieren Sie in Security, es schützt Ihre Investitionen

42 Endspurt organisatorische Sicherheit und Sicherheitsbewusstsein aller Beteiligten sind die kritischen Elemente der Business Security vor allem und gerade bei der Nutzung von mobilen Endgeräten! Security ist eigentlich Chefsache!

43 Herzlichen Dank für f r Ihre Aufmerksamkeit! Ihre Fragen bitte Wolfgang Straßer GmbH Schloß Eicherhof D Leichlingen +49 (02175)