Sichere Sprach- und Datenkommunikation mit dem Smartphone

Transkript

1 Sichere Sprach- und Datenkommunikation mit dem Smartphone Dr. Christoph Erdmann seamless secure communication

2 Überblick! Smartphones und Security? Problemdefinition! Perimeter-basierte IT-Sicherheitsarchitektur Smartphones als Einfallstor! Trends und Lösungsansätze Separierung im Smartphonebereich! Secu Pilot Projekt Sichere mobile Sprache und Daten im BMVg

3 Smartphones und Security Problemdefinition! Smartphones im Unternehmensumfeld... Angebunden an Unternehmens-IT Zugriff auf sensitive (eingestufte) Informationen Speichern sensitive Unternehmens-Daten lokal ab! Smartphones gleichzeitig privates Spielzeug... Freier Internet-Zugang App-Download (Twitter, Facebook, etc.) OTA Firmware Update Freiwilliger upload von Standortdaten (Google-Maps)

4 Smartphones und Security Vergleich mit Laptop! Der Smartphone Markt ist Consumer-getrieben Ultra-kurze Produkt-Zyklen mit z.t. mehrfachen HW-Updates innerhalb des Lebenszyklus Entwicklung im Bereich PC-/Laptop-HW ist dagegen vergleichsweise langsam, und...! Smartphones sind always-on, always-online und always- in der Tasche! Viele neue Bedrohungen und Angriffsvektoren

5 Smartphones und Security Platform-Security war gestern...! Warum kein Design-In von Sicherheit in die mobilen Endgeräte? Früher war DRM der klassische Treiber für Platform-Security Moderne Smartphones sind Bestandteil eines geschlossenen Eco- Systems iphone <-> AppStore <-> Apple ID Android <-> PlayStore <-> Google Konto! Organisatorische Sicherheit anstatt DRM Vertragliche geregelte Beziehung zwischen Content-Provider und App-Store Betreiber (B2B) direkte Kundenbeziehung zwischen dem App-Store Betreiber und dem mobilen Nutzer (B2C)

6 Perimeter-basierte IT-Sicherheitsarchitektur Smartphones als Einfallstor in die Unternehmens-IT Customer Intranet DMZ Internet Corporate Data Service Firewall Intranet DMZ VPN GW Firewall DMZ - Internet Mobile VPN Mobile Network

7 Perimeter-basierte IT-Sicherheitsarchitektur Getrennte Perimeter im mobilen Endgerät Customer Intranet DMZ Internet Corporate Data Service Firewall Intranet DMZ VPN GW Firewall DMZ - Internet Mobile VPN Mobile Network! Strikte Separierung: dienstlich vs. privat Personal Perimeter für private Nutzung Work Perimeter für dienstliche Nutzung

8 Separierung im mobilen Endgerät, aber wie? Anything but Android...?! Entweder... Modifikation des Firmware / OS möglich Konsequenz: Derzeit nur Android! Oder... Separierung als integraler Bestandteil der mobilen Platform Konsequenz: Direkte Kooperation mit Smartphone Hersteller / OS Vendor notwendig Problem: Nischenmarkt Business Case ( How many Devices? )

9 Lösungsansätze (1/2) Separierung dienstlich vs privat! HW-basierte Separationstechniken z.b. ARM Trust-Zone und MobiCore (G&D) Durchgängige Separierung nicht möglich Nur kritische Anteile der Applikation (z.b. PIN-Eingabe) können getrennt werden Geeignet z.b. für Online-Banking /-Payment Applikationen! OS-basierte Separationstechniken z.b. SE-Android (NSA), BizzTrust (Fraunhofter SIT) Lässt durchgängige Separierung dienstlich/privat zu Akzeptanz unklar da Firmware-Modifikation notwendig Wirksamkeits-/Schwachstellen-Analyse schwierig

10 Lösungsansätze (2/2) Separierung dienstlich vs privat! Nutzung von Virtualisierungstechniken z.b. Hypervisor auf einem Microkernel mit Isolationseigenschaften durchgängige Separierung durch getrennte Compartments Problem: Stromverbrauch/Power-Mgmt Produktpflege/Produktaktualität: Starke HW-Abhängigkeit -> ständige Anpassung des BSP/Microkern an neue Produkt-HW (typischen Produkt-Zyklen < 6 Monate!)! Nutzung von Multiboot-techniken z.b. Secu Pilot-Projekt im BMVg...

11 Secu Pilot Projekt BMVg Ein Gerät für diesntlich und privat! Anforderungen (allgemein): Private Nutzung hat keinen Einfluss auf die behördliche Nutzung Behördliche Nutzung hat keinen Einfluss auf die private Nutzung Keine tiefgreifenden Veränderungen am Original-Gerät Einfache Migration zwischen Geräten Unterstützung einer möglichst breiten und immer aktuellen Gerätepalette! Lösungsansatz: Samsung Galaxy S3 Secure Boot eines Trusted Images von microsd Karte

12 Secu Pilot Projekt BMVg Behördliche Anforderungen! Verarbeitung, Speicherung und Übertragung eingestufter Informationen bis VS-NfD Ende-zu-Ende sichere Sprachkommunikation (SNS-Standard) Sichere Datenkommunikation mit VS-NfD Netz des Bundes Sichere Ablage eingestufter Daten auf dem Endgerät Sichere mobile Plattform Sicherheit gegen Manipulation des Systems Sicherheit gegen unbefugte Nutzung Sicherheit gegen Malware / App Management

13 Secu Pilot Projekt BMVg Sichere mobile Daten und Sprache Intranet BMVg DMZ BMVg IVBB IVBB/IVBV DMZ Internet Mobile Network PBX Lotus Notes Domino BMVg Media GW WebProxy Lotus Notes Traveller VoIP Server SINA BOS VPN GW BOS-MKK Firewall Intranet (DMZ) - IVBB SINA BOX S SINA VPN (IPSec) SINA BOX S Firewall IVBB (DMZ) - Internet Internet Access Point SNS over IP (Secure VOICE) SINA-BOS VPN (IPSec)

14 Secu Getrennte Perimeter durch Dual-Boot! Secure Boot von secure microsd Karte Auswahl des zu startenden Images beim Gerätestart Dienstliche Nutzung -> boot eines Trusted Images von microsd Private Nutzung -> boot des Original-Images aus Gerätespeicher! Was beinhaltet das Trusted Image? (Custom ROM) Gehärteter Linux-Kernel (z.b. mit SINA-VPN support) Gehärtetes Android (gestrippes Image) Daten Partition (liegt in der verschlüsselten Partition)

15 Android Boot-Prozess Original Boot-Prozess! Boot des originalen Images User Data! Recovery: Wiederherstellung des gesicherten Original-Images Boot der Wiederherstellung Boot Image Android OS Linux Kernel Android OS Linux Kernel Recovery Recovery Image! Sicherung des Original-Images beim Herunterfahren First-Stage Bootloader

16 Android Boot-Prozess Dual-Boot Konfiguration über Recovery-Mod User Data! Wahl des nächsten Boot-Images zur Laufzeit des aktuellen Images Android OS * Linux Kernel * Recovery Image 2! Boot des modifizierten Images (nach Re-Boot) Boot Image Android OS * Linux Kernel* Android OS Linux Kernel Mod. Recovery Recovery Image #1! Boot des originalen Images (nach Re-Boot) First-Stage Bootloader

17 Android Boot-Prozess Secu Dual-Boot von der secure microsd Card User Data User Data (Classified) Boot Image 2 nd -Stage Bootloader Android OS Linux Kernel Recovery Recovery Image Trusted Image Android OS Linux Kernel First-Stage Bootloader

18 Android Boot-Prozess Secu Dual-Boot von der secure microsd Card User Data! Ohne secure microsd Card: Boot des Recovery Images (original) Verwendung der Original User Data Partition (auf dem Device) Boot Image 2 nd -Stage Bootloader Android OS Linux Kernel Recovery First-Stage Bootloader Recovery Image! Strenge Separation private Nutzung ohne Einfluß auf das vetrauenswürdige System

19 Trusted Image und Classified User Data Datenstruktur auf der microsd Card Trusted Image User Data (Classified) Android OS Linux Kernel Private Partition Public Partition! Boot aus der Public Partition Starten des Kernels Starten des Systems! Umschalten auf Private Partition PIN-Eingabe erforderlich Zugriff auf verschlüsselte User Daten

20 Getrennte Perimeter mittels Dual-Boot Pro und Contra! Pro Strikteste Variante der Separierung dienstlich/privat Einfaches Konzept: Rückkehr zur normalem Smartphone durch einfaches Entfernen der secure microsd Karte Keine Einbussen bei Performance und Stromverbrauch Vergleichsweise geringe HW-Abhägigkeit Vergleichsweise einfache Evaluierbarkeit! Contra Keine Gleichzeitigkeit von privater und dienstlicher Nutzung! Akzeptanz durch den Anwender?

21 Und weiter...? Der Grund auf dem ich stehe...!... ist bei Android leider sandig!! Sämtliche Separierungs-Ansätze auf Android Smartphones beruhen auf der Tatsache, dass... Modifikation der Firmware (Linux Kernel & Android OS) möglich ist, und... Android Smartphones von JEDEM mit einer modifizierten Firmware geflasht werden können! Was wir können, können die Angreifer auch! Mit diesem Restrisiko müssen wir entweder leben, oder... Es erbarmt sich doch noch ein Hersteller