Sicherheitsaspekte mobiler Kommunikation im Kontext des Mobile-Payment

Transkript

1 Sicherheitsaspekte mobiler Kommunikation im Kontext des Mobile-Payment Andy Müller-Maguhn, Swiss Payment Forum Zürich,

2 Die Hackerethik Der Zugang zu Computern und allem was einem zeigen kann, wie diese Welt funktioniert, sollte unbegrenzt und vollständig sein. Alle Informationen müssen frei sein. Misstraue Autoritäten - fördere Dezentralisierung Beurteile einen Hacker nach dem, was er tut und nicht nach üblichen Kriterien wie Aussehen, Altern, Rasse, Geschlecht und gesellschaftlicher Stellung. Man kann mit einem Computer Kunst und Schönheit schaffen. Computer können dein Leben zum Besseren verändern. Mülle nicht in den Daten anderer Leute. Öffentliche Daten nützen, private Daten schützen. 2

3 Akteure & Motivationen: Kulturraumspezifische Wahrnehmungen Hacker Neugier & Förderung von Informationsfreiheit & Transparenz Cracker Befreiung eingesperrter Bits Crasher Vandalismus / Kaputtwillspaß (Frustableitung) (Wirtschafts-)Kriminelle Unberechtigte Verschaffung von Vermögensvorteilen 3

4 Akteure & Motivationen: - die Schattenspieler Behördliche, Wirtschaftliche und Zivile Nachrichtendienste Zugang und Verfälschung von Information, Gewinnung von Kompromaten Rekonstruktion von Kommunikationsvorgängen und -zusammenhängen Militärs und kriegsführende Organisationen (Information Warfare Departments) Truppenübungsplatz Internet Ausspähung, Manipulation, Ausschaltung von Informationen & Strukturen Datenhändler und Third Parties Legende passend zum Kontext der gewünschten Daten bzw. Zugriffsrechte Wo die Daten noch hingehen oft nicht mehr rekonstruierbar 4

5 Mobile Applikationen - die Infrastruktur Netzbetreiber Rahmenbedingungen, Datenverarbeitung, Komponenten mobile Endgeräte Hardware, Betriebssysteme, Treiber Applikationen Software, ggf. eigene Infrastruktur 5

6 Netzbetreiber 6

7 Netzbetreiber Staatliche Rahmenbedingungen 7

8 Lawful Interception in Theorie und Praxis Lawful-Interception in Monarchien u.ä. Staaten Die Moral des Weltmarktes Die Implikationen für LI-Schnittstellen in ITK-Systemen Effekt auch in DE / Europa: Nachvollziehbarkeit der Zugriffe nicht mehr gegeben. Lawless-Interception begünstigt 8

9 (Extra) Legal Interception Trend: Alles speichern, was übertragen wird (Auswertung, Filterung, Indizierung: später) Why sample when you can monitor all network traffic inexpensively? endace power to see all Key Characteristics europe americas pacific Record all and filter no asia switch used technology P P P P E eu@endace.com E usa@endace.com E asia@endace.com nz@endace.com Store everything, filter for known targets, Esearch the past content for new targets Equally suited for TDM and IP networks Software-centric with Gateway and COTS hardware 9

10 Netzbetreiber Technische Rahmenbedingungen 10

11 GSM Standard (2G): das Problem der einseitigen Authentifizierung ETSI im Kontext der staatlichen Einflussorgane Nachlässigkeit bei der Authentifzierung; - Infrastruktur überprüft Mobile Subscriber - Mobile Subscriber überprüft aber nicht die Infrastruktur Hausgeruch des ETSI-LI Gremiums Priorisierung von Abhöroptionen (3G LI) 11

12 ...und die sich daraus ergebenden Handlungsoptionen... 12

13 Semi-Passive GSM Interception 4. Mobile Network Interception 33 Operational Considerations 8 Target Manipulation Restricte d 13

14 . This function is useful especially when You want to manipulate in target s voice mail settings.. Fake SMS 1. To target Mark one target on the HLR list by pressing on the left mouse button and push the button. The window shown below will appear. In the PN From field select one of the available options or enter the number yourself. In the Message field enter the sms text. If you want to create a flash sms, mark the Flash sms field. Push the button to send SMS or the button for cancel the operation. 2. Using Target identity On the HLR list select the object which identity you want use, then push the button. Window shown below will appear. In the SMS center field enter provider s SMS center number. In the PN For field enter the sms receiver number. In the Message field enter the SMS text. If you want to create a flash sms, mark the Flash sms field. Push the button to send the SMS or the button to cancel the operation. 14

15 Netzbetreiber Finanzielle Rahmenbedingungen 15

16 Injizierung trojanischer Pferde mit marktwirtschaftlichen Methoden II TK-Abrechnungssoftware & Banking Solutions von AMDOCS Angebote mitunter 30% unter denen der Wettbewerber Marktanteile im Billing-Sektor zwischen 60 und 80 % geschätzt Konsequenzen? 16

17 17

18 Mobile Endgeräte & Sicherheit 18

19 Endgeräte & Security Issues 19

20 20

21 21

22 Applikationen (ggf. mit eigener Infrastruktur) 22

23 23

24 24

25 RIM CEO Mike Lazaridis ends BBC interview 25

26 Technische (Un-) Sicherherheitsfaktoren 26

27 (Un-)Sicherheit im Internet Grobübersicht d. techn. Probleme Protokollbedingte Sicherheitsprobleme auf Ebene TCP/IP V4: Transparenter Datenpakettransport ohne Authentifizierung d.h. Angriffsoptionen Sniffing, Spoofing, Denial of Service.. Strukturbedingte Sicherheitsprobleme auf Ebene des Routing & DNS Politisch bedingte Jurisdiktionsproblematik & Zentralserverzugriffe Server-Sicherheit in Theorie & Praxis Firewall -Konzepte vs. Exploitability / Buffer Overflows auf allen Ebenen Client-Sicherheit in Theorie & Praxis Betriebssystembedingte Probleme & Filterungsnotwendig im Endgerät 27

28 Buffer Overflows / Exploitability: Ursache Programmierfehler 28

29 Schwachstellenökonomie 29

30 Sicherheits- vs. Unsicherheitsprozesse Entdeckte vs. unentdeckte Schwachstellen Entdeckungsoptionen und Schwachstellen-Handel (weisser Markt, grauer Markt, sonstige Vermarktungsoptionen) Reaktionszeiten d. Herstellers (Information, Patch- Verfügbarkeit) Reaktionszeiten d. Betreibers (Information, ggf. Prozess- Aussetzungen, Update) 30

31 Bekanntgabe vs. Gewinschwindigkeit der Behebung vs. andere Interessen 31

32 Interessenslagenbedingt dauert es offenbar manchmal etwas länger 32

33 33

34 Exploitability durch Anti-Virus Buffer Overflows, auch dort 34

35 Exploitability Automatique de Luxe: Plattformübergreifende Botnetze Fernsteuerbare, skalierbare Rechnernetzwerke u.u. bestehend aus unterschiedlich systemspezifischen Trojanern Vollständig flexible Nutzungsoptionen, daher oft als Dienstleistung mietbar Kommerzielle Nutzung z.b. als SPAM-Versender etc. 35

36 36

37 Zuständigkeits Begehrlichkeiten in der Abwehrdiskussion 37

38 Applikation-Level Insecurity: Cross-Site Scripting Deluxe Injiziertes IFRAME lädt modifiziertes Login von Fremdserver _Über_ die SSLgesicherte Seite der Bank (!) Details: 38

39 Baustein Kryptographie: Mathematik vs. Technik I Bewertung und Einstufung kryptographischer Systeme Algorithmen und mathematische Grundlagen (z.b. AES/Rijndael) Schlüssel(-management) und sog. Recovery -Konzepte (CMR, GAC) Implementierungsfragen (Schlüsselgenerierung, Zufallszahlen etc.) Umfeldsanalysen (Sicherheit der Betriebssystemumgebung etc.) 39

40 Baustein Kryptographie: Mathematik vs. Technik II Problemfaktoren Einstufung kryptographischer Systeme oft ohne Real- Umfeldsanalysen Überprüfbarkeit nur bei völliger Offenheit aller Komponenten möglich Cryptanalyse findet zu 99% nichtöffentlich statt 40

41 Kryptographie zwischen Theorie und Praxis: Technik/Mathematik vs. Marketing Kluft zwischen Marketingblabla und technischen Optionen im Bereich von IT- Sicherheits/Kryptoprodukten oftmals besorgnisserregend gross. Vertrauenswürdigkeit eingesetzter Komponenten mangels Transparenz oft nicht gegeben, da diese nur eingeschränkt überprüfbar sind.å Vertrauenswürdige Drittparteien, z.b. im Kontext der Vergabe von SSL- Zertifikaten verdienen den Namen oft nicht Technische Sicherheit vs. wirtschaftliche Eigeninteresse d. Lösungsanbieter 41

42 42

43 Dann noch: Kryptographie & Staatliche Interessen MS and Back Doors (aus der TCPA FAQ) Q: Won't the FBI, CIA, NSA, etc. want a back door? A: Microsoft will never voluntarily place a back door in any of its products and would fiercely resist any government attempt to require back doors in products. From a security perspective, such back doors are an unacceptable security risk because they would permit unscrupulous individuals to compromise the confidentiality, integrity, and availability of our customers' data and systems.... For these reasons and others, we would oppose any such government efforts, as we did during the encryption debate. 43

44 Auswirkungen in der Praxis 44

45 Applikationen im mobilen Kontext: Bewertungsfaktoren Betriebssystemsicherheit Übertragungssicherheit Krytographische Sicherheit der Anwendung Mißbrauchseingrenzungen / Incident-Handling 45

46 NFC im Kontext der Möglichkeiten: UltraReset 46

47 Datenverbrechen Mit Datenverbrechen ist insbesondere der fahrlässige Umgang mit persönlichen, bzw. besonders schützenswerten Daten gemeint. Der fahrlässige Umgang mit persönlichen bzw. besonders schützenswerten Daten im Kontext von ICT-Strukturen kann auch als Vorbereitungshandlung bzw. Beihilfe zu Verbrechen gewertet werden. Die unverschlüsselte Übertragung sensibler Daten über öffentliche Kommunikationsstrukturen gehört dazu ebenso wie das fahrlässige Erzeugen, Übermitteln oder zur-verfügung-stellen von personenbezogenen bzw. schützenswerten Daten ohne Beachtung des Vermeidungsgrundsatzes bzw. der Zweckbindung (need to know -> need to process) 47

48 Datenverbrechen und Verantwortung Im Kontext sogenannter IT-Sicherheitslösungen gehört insbesondere die Fragestellung, ob Daten bei der Prozessüberwachung bzw. einer Nutzungsanalyse anfallen, wem diese Daten zugänglich sind und welche Schutzmaßnahmen zum Schutz auf welchem Niveau dieser Daten vorhanden sind. Als Verbrechen müssen im Kontext der Illusion IT-Sicherheit vor allem Systeme gelten, bei denen nicht der _Betreiber_ des Systems die (juristische) Verantwortung, sondern der Nutzer (Kunde, wtf) trägt. Doppelt Problematisch sind hier vor allem Systeme, bei denen die Nutzer, die den Schaden erleiden, in dieser Position unfreiwillig sind (z.b. staatliche Zwangs-Biometrie-Projekte im Kontext RP/EPA etc.) 48

49 Angriffe vs. Verteidigung in wirtschaftlicher Realitäten: realisierbares Sicherheitsniveau Das Ziel von Sicherheitsmaßnahmen kann nur sein, zwischen dem Aufwand zur Sicherung und dem Aufwand zum durchbrechem dieser Sicherung ein Ungleichgewicht zu Ungunsten des Angreifers herzustellen. (Jan A. Nicolas) SWIFT und die NIMBY-Strategie 49

50 What could possibly go wrong? 50

51 Alternativ: Techniken der Risikomaximierung Implementation unsicherer Komponenten in den neuralgischen Punkten kritischer Infrastrukturen Zusammenspiel zwischen den Komponenten des Stromnetzes: Verbrauchsmessungen und Gegenlaststeuerungen zur Erwirkung gleichmäsiger Kraftwerksbelastung 51

52 Alternativ: Techniken der Risikomaximierung Anwendung militärischer Sichtweisen auf Sicherheitsvorfälle im Internet 52

53 Beispiele aus der Welt der Angriffstechniken 53

54 Dann noch: Abteilung Computerkriminalität Automatisierung von Betriebsabläufen heisst auch: Automatisierter Missbrauch ist möglich. Phishing, Homebanking und die Welt der Incidents* Analoge vs. Digitale Banküberfälle, Parameter und Implikationen 54

55 55

56 Ursachenforschung: Betriebliche Kommunikation und Sicherheit Wahrnehmungs- & Verhaltensrealitäten Security by Obscurity SNAFU im Innenverhältniss Kundenkommunikation und Unsicherheit: das große Vakuum Sicherheit als Zustand vs. Sicherheit als Prozess Anforderungen an Prozesskommunikation 56

57 Sicherheitssimulation vs. Incident-Handling Vertrauen ist der Anfang von allem. Vertrauen kann nur auf der Basis von realistischen Darstellungen über die Sicherheit von Geschäftsprozessen mit IT-Bezug hergestellt werden. Der korrekte Umgang im Schadensfall (d.h. Incidents) ist für die Aussenwirkung entscheidend, eine Ausblendung von Realitäten funktioniert im Internet bestenfalls kurzfristig. 57

58 Evaluationsbedarf Erhöhen die unter dem Begriff Sicherheit vermarkteten Produkte und Technologien auch tatsächlich die Sicherheit, oder erhöhen / verlagern sie möglicherweise nur das Risiko? Ist das Gefühl der Sicherheit gefährlicher als ein Gefühl relativer Unsicherheit?! Parameter für Restrisiko-Formeln: Eintrittswarscheinlichkeit, Schadenshöhe, Mögliche Präventive Schadensbegrenzungsmaßnahmen.. 58

59 Weitere Informationen