IT-Sicherheit trotz Mobilität eine lösbare Aufgabe?

Transkript

1 IT-Sicherheit trotz Mobilität eine lösbare Aufgabe? Andreas J. Schmengler, Executive IT Architect, IBM Deutschland 1

2 Abstract Mobiler Zugriff auf Unternehmensdaten ist heute gang und gäbe. Egal ob mit Laptop oder zunehmend mit Smartphones oder PDAs - jeder mobile Mitarbeiter kann mit Hilfe unterschiedlichster Technologien auf seine Mails und andere relevante Daten immer und überall zugreifen. Doch gleichzeitig zeigen Studien und Untersuchungen, dass Sicherheitsaspekte immer öfter vernachlässigt werden oder womöglich überhaupt keine Beachtung finden. Unternehmensrichtlinien werden umgangen, um die Bedienung der mobilen IT-Ausrüstung bequemer zu machen, einfachste Grundsicherheitsmaßnahmen werden teilweise schlicht ignoriert. Dazu kommen nicht wenige Sicherheitslücken, die durch die Implementierung der Hersteller schon systemimmanent in mobile Geräte eingebaut werden. Aber auch die Einhaltung von Industrie- schützt nicht immer, wie Beispiele aus Wireless LAN (WLAN)-Umgebungen zeigen. Sicherheit in mobilen Umgebungen ist aber eine Grundvoraussetzung bei der Umsetzung einer modernen mobilen e-business Infrastruktur und der Entwicklung von flexiblen Lösungen. Dieser Artikel gibt einen kurzen Einblick in die Sicherheitsproblematik von mobilen Infrastrukturen und erläutert Maßnahmen, die Unternehmen und Mitarbeiter beachten sollten, damit IT-Sicherheit trotz Mobilität gewährleistet ist. Da jedes Unternehmen jeweils spezifische Anforderungen hat, kann der Beitrag natürlich nur einige Anhaltspunkte und Anregungen liefern. Eines aber sollte allen Implementierungen gemeinsam sein: die Umsetzung von einem Mindestmaß an Sicherheitsvorkehrungen. 2

3 Bedrohungsfelder Folgende Bereiche müssen unter Sicherheitsaspekten besonders betrachtet werden: Mobile Endgeräte Personal Area Networks (PAN) Wireless Local Area Networks (WLAN) Wireless Wide Area Networks (WWAN). Mobile Endgeräte Schon im Bereich der mobilen Geräte besonders bei nicht-pc Devices wie PDAs und Smartphones wird häufig die Sicherheit grundlegend vernächlässigt. Und das, obwohl sich auf diesen Geräten oft vertrauliche Daten befinden neben reinen Adressbuch-Einträgen zunehmend auch s und Dokumente. Bedrohlich ist das vor allem deshalb, weil viele dieser Geräte verloren gehen; in Taxis, Flugzeugen oder Zügen. Der Finder hat dann freien Zugriff auf die Daten. Dass hier Schutzmaßnahmen außer Acht gelassen werden, ist schlichtweg unverständlich. Schließlich lässt man ja auch sein Haus nicht unverschlossen, wenn man in Urlaub geht. Neben den heute gängigen und standardmäßigen Sicherheitsmechanismen wie PIN oder Passwort, die recht einfach zu umgehen sind, existieren weitere Optionen, um die Device-Sicherheit zu erhöhen und den authentifizierten Zugriff oder sichere Transaktionen zu ermöglichen. Dazu gehören unter anderem Biometrischer Zugriff: Fingerabdruck-Sensoren (hochwertiger Bauart) kombiniert mit Passwort oder PIN-Eingabe Zeit- und aktionsgesteuerte Maßnahmen: Wird das Gerät eine gewisse Zeit nicht genutzt oder durch Passwort-Attacken (Brute Force) angegriffen, so löscht sich der gesamte Dateninhalt Kryptographische Coprozessoren (vor allem in Laptops): Diese garantieren die Ausführung aller sicherheitsrelevanten Operationen in dem dedizierten Prozessor, so dass beispielsweise kein bösartiger Code Zugriff auf sensible Daten, wie private Schlüssel, hat Smart Card: ein sicherer Safe zur Aufbewahrung und Nutzung der persönlichen Zugriffsdaten (Schlüssel, Passwörter, etc.). Auch auf Seiten der Software finden sich nützliche Erweiterungen wie: Datenkryptierung: Sensitive Daten werden verschlüsselt abgelegt Client-Tools für Netzwerk-Sicherheit: unterstützen den Aufbau sicherer Kommunikationstunnel (VPN - Virtual Private Networks, TLS - Transport Layer Security) Anwendungsprogramme: bei Programmen, z. B. die automatische Verschlüsselung vor Übertragung. Gerade bei den mobilen Geräten ist der Schwachpunkt in der Sicherheitskette der Mensch. Aus reiner Bequemlichkeit werden Mechanismen abgeschaltet oder ignoriert. Hier hilft nur die rigorose Umsetzung von Unternehmensrichtlinien und 3

4 deren Kontrolle. Lösungen im Bereich Device Management unterstützen die Einhaltung und Verteilung von Sicherheitsregeln sowie Tools und deren Nutzung. Beispiele dafür sind die Implementierung von Anwendungen wie Firewalls und Virenscanner: Heutige Betriebssysteme mobiler Geräte sind nicht mehr geschlossen wie noch vor einiger Zeit, sondern wesentlich offener und dadurch auch leichter angreifbar. Deshalb ist der Einsatz dieser Tools wie schon bei Laptops ein Muss. Token-Nutzung: die Nutzung von Einmalpasswörtern, die z. B. durch ein separates Gerät erzeugt werden, in Kombination mit persönlicher PIN. Persönliche Umgebung Campus / Unternehmen/ öffentliche Lokationen Stadt / Gemeinde Mobilfunk / Satellit PAN LAN MAN WAN Bluetooth WLAN a/b/g Vermaschte Netze, WiMAX, Richtfunk GSM / GPRS / UMTS Abbildung: Übersicht über drahtlose Netze Personal Area Networks (PAN) Die am meist verbreitete Funktechnologie für den Bereich mobiler Geräte ist sicher Bluetooth. Obwohl die Bluetooth-Spezifikation im Bereich der Sicherheitsmechanismen durchaus als komplett und robust betrachtet werden kann, ist dieses Personal Area Network (PAN) mit Reichweiten bis zu 100 m gleichzeitig auch ein beliebtes Angriffsziel; nicht zuletzt dadurch, dass eine Vielzahl von Mobiltelefonen und Smartphones eine fehlerhafte Bluetooth-Implementierung haben. Eine weitere potenzielle Schwachstelle, selbst bei guter Implementierung, ist der Zeitpunkt des Pairings. Also dann, wenn Bluetooth-Geräte über eine PIN-Eingabe miteinander gekoppelt werden (z. B. PDA und Mobiltelefon). Es existieren eine Vielzahl von Tools, die es Hackern relativ einfach ermöglichen, Zugriff auf Mobiltelefone zu erhalten. Neben eher harmlosen Formen wie dem Bluejacking, bei dem der Angreifer sein Opfer mit Nachrichten (modifizierte Adressbucheinträge) überschüttet, sind Attacken wie Bluesnarf und BlueBug 4

5 wesentlich gefährlicher. Hierbei werden Daten aus dem Bluetooth-Gerät ausgelesen und können sogar modifiziert werden. Mittlerweile gibt es bereits Live-Tests, bei denen mit Richtfunkantennen solche Angriffe über eine Distanz von über 1 km ausgeführt wurden. Als einfachste Präventivmaßnahme empfiehlt sich, Bluetooth bei Nichtgebrauch abzuschalten oder im Modus unsichtbar zu nutzen. Dieser Modus ermöglicht die Sichtbarkeit nur für vorher zugelassene Bluetooth-Partner. Wireless Local Area Networks (WLAN) Wireless Local Area Networks (WLANs) sind heute vor allem im Bereich öffentlicher Netze nicht mehr wegzudenken: Am Flughafen, in Bahnhöfen, Hotels und sogar in Zügen wird WLAN implementiert, um dem Nutzer jederzeit einen Netzzugriff bieten zu können. Diese Netze müssen, bedingt duch das angestrebte Profil (jeder kann es nutzen), offen sein. Eine Kryptierung des Datenverkehrs wird also nicht vorgenommen. Zusätzliche Schutzmaßnahmen sind auf dem mobilen Gerät daher unverzichtbar. Tools wie Personal Firewalls, Virenscanner und Client Software zum Aufbau sicherer Kommunikationskanäle mithilfe von Virtual Private Networks (VPNs) sind notwendige Voraussetzungen für sicheres mobiles Arbeiten. Werden WLANs im Unternehmen eingesetzt, um z. B. die Mobilität der Mitarbeiter innerhalb der Gebäude zu unterstützen, so müssen diese Netze durch Kryptierungsmaßnahmen abgesichert werden. Neben einer zuverlässigen Authentifizierung ist die Abhör- und damit Eindringsicherheit ein Muss bei der richtigen Implementierung. Häufig sind WLANs jedoch auch in Unternehmen immer noch offen oder werden mit veralteten und sehr schwachen Sicherheitsmechanismen geschützt. So ist das immer noch verwendete Wired Equivalent Protocol (WEP) innerhalb weniger Minuten geknackt, die notwenigen Tools sind alle frei verfügbar und nicht nur durch Spezialisten zu bedienen. Weiterentwicklungen wie WiFi Protected Access (WPA) und vor allem das aktuelle WPA2 als anerkannte Implementierung des IEEE i (Robust Secure Network) sind Mechanismen, die heute eingesetzt werden sollten. Gerade im Bereich der untereinander vernetzen, drahtlosen lokalen Netze stellen neue Infrastruktur-Modi und Technologien (WiMAX, Mesh Networks) immer wieder neue Herausforderungen an die Sicherheit. Zweifellos ist es notwendig, die Sicherheitsvorkehrungen immer wieder zu überprüfen und zu aktualisieren. Wireless WAN (WWAN) Auf jede Implementierungsart von Carrier-Netzen an dieser Stelle einzugehen, wäre zu komplex. Vor allem, was die unterschiedlichen Sicherheitsmerkmale angeht. Tatsache ist, dass die Sicherheit in einigen 2nd Generation Netzen wie GSM, GPRS oder CDMA nicht sehr hoch ist; vor allem, wenn es um die Weiterleitung der Daten auf der Landstrecke oder das Roaming unter den Providern geht. Hinzu kommen Möglichkeiten, die Geheimdiensten zur Verfügung stehen, deren Anwendung aber durchaus auch von weniger Befugten denkbar ist (z. B. Simulieren einer Basisstation eines GSM Netzes). 5

6 Sicherheitsverbesserungen gibt es im Bereich der 3rd Generation Netze wie UMTS und W-CDAM. Weitere Gefährdungen, die zwar nicht immer Schaden verursachen, durchaus aber lästig sein können, sind etwa SMS-Attacken, die durch falsche Steuerbefehle das Mobiltelefon blockieren können. Sicherheit- mehr als nur Technologie Governance Kontinuierliche Risiko.-Analyse und Verbesserungen Policy Information Security Policy System Implementierung und Operation: Prozesse / Arbeitsabläufe Individuelle Anpassung der Sicherheitsregeln Technical Technische Individuelle Anpassung der Sicherheitsregeln Technische Technical Standard Individuelle Anpassung der Sicherheitsregeln Technical Technische Management: Audit / Reviews Abbildung: Gesamtarchitektur Immer mobil immer unsicher? Einige Lösungsansätze Wie anhand der Beispiele erläutert, ist neben aller Technik auch der Nutzer das schwache Glied in der Kette von notwendigen Sicherheitsvorkehrungen in mobilen IT-Umgebungen. Wesentliche Aufgabe der Planer und Administratoren ist daher, eine Abwägung zwischen Vertrauen, Sicherheit, Privatsphäre und Kosten, Komplexität, Nutzerfreundlichkeit vorzunehmen. Wichtig dabei ist, dass alle Bereichen wie Technologie, Infrastruktur, Lösungen und die Unternehmsorganistation betrachtet werden und auf allen Ebenen das Sicherheitsniveau gleich hoch umgesetzt wird. Was nützt die extreme Verschlüsselung neuester Technologie, wenn sie durch den Mitarbeiter nicht mehr zu handhaben ist? Dann werden alle Vorteile eines mobilen Geschäftsumfeldes zunichte gemacht. Gleiches gilt bei Einführung relevanter Tools (z. B. Personal Firewalls, Virenscanner) auf mobilen Geräten, wenn deren Umsetzung und Aktualität wie auch die von Regeln anschließend nicht kontrolliert wird. 6

7 Obwohl dieser Artikel die mobilen Sicherheitsaspekte im Fokus hat, sind natürlich ebenso die Backend-Systeme, auf die letztendlich zugegriffen wird, nicht zu vernachlässigen. Hier bieten sich beispielsweise Portaltechnologien an, die Aufgaben wie Authentifizierung und Single-Sign-On oder auch die Darstellungsaufbereitung für mobile Endgeräte (non-pc) übernehmen. Als ein wichtiges Fazit lässt sich ableiten, dass die erfolgreiche Implementierung einer mobilen Lösung für Mitarbeiter zuerst eine genaue Analyse der relevanten Unternehmensprozesse und Richtlinien erfordert, bevor die eigentliche Umsetzung und das Roll-Out erfolgen. Obwohl tiefer gehende Kenntnisse der zugrunde liegenden Technologien eine Voraussetzung sind, müssen aber alle Aspekte, auch die Geschäfts- und Unternehmensanforderungen, in eine Gesamtlösung einbezogen werden. Der Autor: Andreas Schmengler ist Executive IT-Architect der IBM Deutschland GmbH. Er berät Unternehmen bei der Einführung neuer Technologien und dem Entwurf komplexer Lösungsarchitekturen. Er ist Verfasser zahlreicher interner und externer Publikationen und Fachbeiträge, sowie Leiter und Mitglied mehrerer interner und externer Expertengremien. Kontakt: 7