phun with Phones Michael Müller Senior Consultant, CISSP, PCI QSA Fulda, 06. November

Transkript

1 phun with Phones Michael Müller Senior Consultant, CISSP, PCI QSA Fulda, 06. November

2 Die beliebtesten Smartphone Betriebssysteme

3 Schwachstellenverteilung OS Mobile Devices iphone Blackberry WinMo CVSS Score: Niedrig Mittel Hoch Android Zeitraum: 01/ /2010 Quelle: mirte.org

4 Kurze Historie Mai 2008: Windows Mobile Smartphoneserlauben die Ausführung von Schadcode via SMS (WAP Push SL) Januar 2009: AndroidSmartphoneskönnen über eine Schwachstelle im Browser manipuliert werden November 2009: iphonesmit Jailbreakwerden Rickrolled weil das rootund mobile User Passwort (default: alpine ) nicht geändert wurde März 2010: TippingPoint's"WeatherFist" Experiment: 1900 Malware Downloads in 24h, 8000 in einem Monat (für rooted Android/ Jailbreaked iphone) April 2010: XSS und Content Injection in SMS PopUpvon HTC WinMo Smartphones Mai 2010: Fehlerhafte Datenverschlüsselung in iphone: Voller Zugriff auf Daten über USB. (iphoneerlaubt den Zugriff wenn nicht gesperrt beim ausschalten.)

5 Got Boss, got iphone? Passt ein iphone ins Unternehmen? Nein! Eigentlich nicht!... Es sei denn Wie kommt es dann, dass dennoch so viele iphones in Unternehmen auftauchen? I am the Boss go get me an iphone! But Boss, iphones are the source of all evil. It s so vulnerable. We would expose our network, open the firewall, data leakage and much more!!! Oh?! However I am the Boss go get me an iphone! *sigh* Integralis 2010

6 Got children, got jailbreaked? Ein iphonein das Unternehmensnetzwerk einzubinden (z.b. VPN oder Exchange Anbindung) bedeutet meist das Aufreißen sorgfältig über Jahre hinweg gestopfter Löcher in der Infrastruktur. Richtig gefährlich für das Unternehmensnetzwerk wird es jedoch erst, wenn Bosse Kinder in Computerkompatiblen Alter haben Look what I can do with my iphone now. My son jailbreaked it! He s so clever!!! OMG! Boss, you made it even worse. Now this phone is open for every malware. Our whole infrastructure is on high risk now Oh?! However Look what I can do with my iphone now. My son jailbreaked it! He s so clever!!! *sigh* Integralis 2010

7 Rooted Jailbreak what s it all about? AndroidOS: Die graphische Benutzeroberfläche und die meisten Programme laufen unter einem eingeschränkten Benutzeraccount. Damit ist der volle Zugriff auf die Systemressourcen eingeschränkt. Um diese Beschränkung aufzuheben verändert man das ROM Image des Gerätes so, dass Programme als root(vi su) ausgeführt werden können, und man das Gerät so nutzen kann, wie man es möchte. iphoneos: Das iphoneos (jetzt iosgenannt) verhindert den vollen Zugriff auf die Systemressourcen durch Sandboxing, bzw. Software Jails. Jedes Programm läuft in seinem eigenen Jailund erhält nur den Zugriff auf das System, welcher für die Erfüllung der Programmaufgabe notwendig ist. Um diesen Schutzmechanismus auszuhebeln, werden Schwachstellen in Betriebssystemkomponenten ausgenutzt, und die Beschränkungen werden aufgehoben.

8 Warum rooten oder jailbreaken? Vorteile: Volle Kontrolle über das Gerät Die Möglichkeit das Gerät so anzupassen wie man es haben möchte Die Möglichkeit Applikationen unabhängig von Stores zu betreiben Die Möglichkeit Herstellervorgaben bei der Anwendungsentwicklung zu umgehen Nachteile: Garantieverlust Offen für Malware Offen für Fehlbedienung

9 Wozu brauchen denn Hacker nun Smartphones? Let shack the BOSS Internet I am the boss. And that s my iphone I m connected to our intranet over VPN via public hotspot. Yeah!

10 Wozu brauchen denn Hacker nun Smartphones? Let shack theboss DEMO

11 SMS als Angriffsvektor Die Service SMS WAP Push Service Indication Zeigt z.b. an das neue Dienste verfügbar sind WAP Push Service Load Zwingt z.b. das Mobiltelefon Dienste zu laden Absender ist verschleierbar Anonyme Nachrichten via MMS-Notification MWI als Scherzartikel XSS im Handy Ausführen von beliebigem Code Viele Hersteller / Betriebssysteme betroffen (Blackberry, Windows Mobile, Motorola, Sony-Ericcson, etc.)

12 Das Lab Bad Guy Opfer 1: Blackberry Opfer 2: Windows Mobile

13 Zeit für etwas Praxis Experiment #1: Unter falscher Flagge WAP-Push SI Experiment #2: MMS Notification Mein Handy als Provider Experiment #3: Sie haben Post! Nervende MWI Experiment #4: You re0wned Dein Handy ist mein Handy

14 Abhilfe schaffen Empfang von Service Nachrichten deaktivieren Windows Mobile: Registry Eintrag Blackberry: Sicherheitseinstellungen Andere: Erweiterte Einstellungen Nicht auf aktive Inhalte in SMS zugreifen GSM / SMS als unsicheres Medium bewusst wahrnehmen Smartphones / PDA / etc. im Unternehmensumfeld als Teil der IT Sicherheit bewusst wahrnehmen und in die Sicherheitsrichtlinien mit einbinden

15 Vielen Dank für Ihre Aufmerksamkeit!