Sicherheitsbetrachtung der Cloudifizierung von Smart- Devices. SHE Informationstechnologie AG Roger Klose, Senior IT Security Consultant

Transkript

1 Sicherheitsbetrachtung der Cloudifizierung von Smart- Devices SHE Informationstechnologie AG Roger Klose, Senior IT Security Consultant

2 Agenda Definition Alltagssituationen Maßnahmen Zusammenfassung

3 Definition Smart: Intelligenz besitzend, zeigend; klug, gescheit, begabt Device: Gesamtheit der für eine bestimmte Aufgabe, Tätigkeit, Institution benötigten [ ] Hilfsmittel aus mehreren Bauelementen zusammengesetztes technisches Gerät, das bestimmte Funktionen erfüllt (umgangssprachlich) etwas, was durch ungewöhnliche Größe, durch seine Besonderheit, Ausgefallenheit Aufsehen oder Staunen erregt Cloud über ein Netzwerk ermöglichte Nutzung mehrerer verteilter Rechner

4 Die Gretchenfrage: Ist es die für -te Geräte zu nutzen?

5 Des Kaisers neue Kleider Es ist abzusehen, dass ähnliche Angriffe, wie sie heute bei PCs und anderen Rechnern bekannt sind, in Zukunft in deutlich stärkerem Umfang [ ] auftreten werden. Monokulturen von Software und Hardware können diese Bedrohungslage drastisch verschärfen. [ ] es entstehen neue Anwendungsaspekte, wie Mobilität [ ] und neue Kommunikationstechnologien. Im Vergleich zu klassischen Rechnern entstehen durch die Veränderung der Benutzungsparadigmen und wegen neuer Anwendungsszenarien neuartige Bedrohungen. blob=publicationfile

6 Sportstracking

7 Sportstracking Text

8 Geotacking in Fotos (1) Flikr, Picasa, Facebook, twitpic, foursquare, yfog, pikchur, img.ly,

9 Geotacking in Videos Text

10 Do-It-Yourself: Cree.py

11 Bookmarks

12 Passwörter in der Cloud

13 Das virtuelle Gedächtnis

14 Google (Docs)

15 Vacation Planning

16 Facebook

17 Stammbaum

18 Cloud-Speicher (icloud) An ios device that is icloud enabled continuously syncs data to Apple's data-centers (and to cloud services Apple has in turn leased from Amazon (EC2) and Microsoft (Azure)). The device also performs a backup about once a day when the device is plugged into a power outlet and when WiFi is available (this can also be manually initiated by the user). icloud backs-up s, calendars, SMS and imessages, browser history, notes, application data, phone logs, etc. This information can be a gold-mine for adversaries. [ ] in the near future, we are going to see automated tools that will do the following: Continuously scrape compromised usernames and password of other services from sources such as Attempt credentials of each compromised account (whose username is in the form of an as required by icloud) on icloud. For every successful credential, download the restore files thereby completely compromising the user's information.

19 Cloud-Speicher (DropBox) A code update left Dropbox, the popular cloud storage service, password-free for about four hours on Monday afternoon. During this time, anyone could access any of Dropbox s 25 million user accounts by typing in any password. The lapse occurred between 1:54 p.m. to 5:46 p.m. PT.

20 Vorgehensweise Definition einer IT/Information Security Policy (Vor-)Definition einer Mobile Device Policy Ermittlung der Anforderungen an die Funktionalität/Vertraulichkeit/Verfügbarkeit Ermittlung von Nutzerklassen Definition von Geräteklassen Definition von Bedrohungen Definition von Schwachstellen (Risiko-) Bewertung von Geräten Ausschluss von Geräteklassen Definition von Mindestanforderungen an die Geräteklassen

21 Maßnahmen Betrieb einer zentralen Mobile Device Management -Lösung Freigabe und Definition von Applikationen Definition von Mindestanforderungen OS-Version, Passwortlänge, Zugangsschutz, Verschlüsselung (auch von Speicherkarten) Remote-Wipe Patchmanagement Verschlüsselte VPN-Funktionalität AV-Lösungen Erstellen einer Acceptable Use Policy welche von den Mitarbeitern Unterzeichnet wird.

22

23 Zusammenfassung Smarte Geräte und deren Funktionen im Unternehmenseinsatz müssen kritisch hinterfragt werden. Eine Verwehrung der Technologie kann keine Lösung sein. Statt dessen müssen geeignete und angemessene Maßnahmen zur Absicherung von smarten Gräten und deren Cloudifizierung ermittelt und definiert werden! Hierzu haben die Berater der SHE AG jahrelange Erfahrungen gesammelt und können das passende Kochrezept anbieten.

24 Fragen? SHE Informationstechnologie AG Roger Klose, Senior IT Security Consultant Fon: Fax: Mob: Roger.Klose@she.net

25 Anhang: Quellen / Standards / Normen hueren/mobilendgeraete/mobile_endgeraete_pdf.pdf? blob=publicationfile