TRUSTED APP Der Weg zur sicheren App

Transkript

1 WHITEPAPER 08/2014 TRUSTED APP Der Weg zur sicheren App Version 1.0 am öffentlich/public

2 WHITEPAPER Inhalt TRUSTED APPS Der Weg zur sicheren App Jede zweite App ist unsicher Vertrauen ist gut Kontrolle ist besser Ablauf einer Prüfung Praxisbeispiel SIMSme (Deutsche Post AG) Fazit und Ausblick Quellen

3 3 TRUSTED APP Der Weg zur sicheren App Mobile Applikationen erleichtern den Alltag und fördern Motivation und Produktivität in der Geschäftswelt. Inzwischen nutzt jeder zweite Deutsche ein Smartphone oder Tablet, sie kommen in über 90 Prozent aller Unternehmen zum Einsatz. Smartphones und ihre nützlichen Apps sind zum ständigen Begleiter geworden. Doch neben den genannten Vorteilen ergeben sich zahlreiche Gefahren für persönliche und geschäftliche Daten. Jede zweite App ist unsicher Um zu funktionieren, senden die meisten mobilen Anwendungen Daten an externe Server und greifen über Berechtigungen auf bestimmte Telefonfunktionen zu unbedenklich, solange sensible Daten vor Fremdzugriffen hinreichend geschützt werden und somit die vertrauenswürdige Verwendung der Daten gesichert ist. Jede zweite von mediatest digital getestete App weist jedoch signifikante Sicherheitslücken auf. Wichtige private und geschäftliche Informationen sind bei der Nutzung einem hohen Risiko von Datenverlust- und missbrauch ausgesetzt. Bei der rasant steigenden Anzahl an Apps in den Stores der verschiedenen Betriebssysteme fällt es Privatnutzern und Unternehmen zunehmend schwer, die Übersicht zu behalten: Welche Entwickler und Apps sind vertrauenswürdig? Welche Berechtigungen werden tatsächlich für den Funktionsumfang der App benötigt? Wie sicher sind meine sensiblen Daten und die meines Arbeitgebers? Diese Fragen sind nicht nur für den Laien kaum zu beantworten. Auch Unternehmen fehlen häufig die technischen Hilfsmittel und das Wissen, um zu entscheiden, mit welchen Anwendungen betrieblich genutzte Smartphones ausgestattet werden können und welche dagegen ein Risiko darstellen. Letztere sollten optimalerweise gar nicht erst auf die Geräte und ins Firmennetzwerk gelangen, falls doch sollten sie zumindest schnellstmöglich wieder entfernt werden. Vertrauen ist gut Damit sowohl Privatanwender als auch Unternehmen feststellen können, welche Apps guten Gewissens installiert werden können, bieten unabhängige Prüfinstanzen mittels ausgefeilter Analyse-Technologien die Möglichkeit, Apps auf ihre Hintergrundaktivitäten zu überprüfen. Die Bewertung findet auf Basis Deutscher Datenschutz- und Datensicherheitsstandards statt. Als Ergebnis wird letztendlich anhand der eindeutigen Prüfsiegel auf den ersten Blick sichtbar, ob eine App erfolgreich einem solchen Sicherheitstest standgehalten hat. Für Entwickler und Herausgeber von Apps dient eine erfolgreiche Auditierung und die Nutzung des Prüfsiegels als starkes Verkaufs- und Abgrenzungsmerkmal am umkämpften App-Markt. App-Entwickler erhalten gleichermaßen einen Anreiz, ihre Apps und deren Datenverkehr möglichst sicher zu gestalten und Nutzerdaten vertraulich zu behandeln.

4 4 Begünstigt wird dies durch den zunehmenden Wunsch nach Transparenz bei der Nutzung mobiler Dienste, insbesondere nach aktuellen Datenschutzdebatten und der NSA-Abhör-Affäre. Für etwa die Hälfte der Nutzer spielen Sicherheitsaspekte bei mobilen Apps inzwischen eine entscheidende Rolle. Anwendungen, die keine Vertrauenswürdigkeit ausstrahlen, werden es zukünftig schwerer haben, sich am Markt zu behaupten. Das BSI (Bundesamt für Sicherheit in der Informationstechnik) hat in Zusammenarbeit mit mediatest digital, dem TÜV und einigen weiteren Teilnehmern eine Anlaufstelle für App-Entwickler ins Leben gerufen. Ziel ist es, App-Programmierern im Massenmarkt Werkzeuge an die Hand zu geben, mit denen sie Sicherheitsund Datenschutzlücken schon bei der Programmierung auszuschließen. ( Kontrolle ist besser Mit dem TRUSTED APP -Siegel zeichnet mediatest digital in Zusammenarbeit mit der TÜViT (TÜV NORD GROUP) sichere und vertrauenswürdige Apps aus. Während der Prüfung werden u.a. sämtliche Aktivitäten der App aufgezeichnet und ausgewertet. Dabei wird ermittelt, 1. welche Daten (für die Funktionalität benötigte Daten oder vertrauliche Daten?) 2. an wen (authentifizierte Empfänger oder Werbenetzwerke?) 3. wie (verschlüsselt oder/und vor Fremdzugriffen geschützt?) übertragen werden. Es wird sichergestellt, dass die geprüfte App ausschließlich Daten erhebt und versendet, die für ihre Funktionalität benötigt werden. Gleichzeitig wird geprüft, ob die Daten beim Versand hinreichend geschützt werden. Darüber hinaus werden die Empfänger der Daten identifiziert und mit einer intern aufgebauten und täglich wachsenden Datenbank abgeglichen. So wird letztendlich die Vertrauenswürdigkeit der Empfänger sensibler Daten eingestuft. Mit der erfolgreichen Auditierung ist die Einhaltung der deutschen Datenschutz- und Datensicherheitsrichtlinien sowie der strengen Prüfkriterien der beiden erfahrenen Prüfinstitute TÜViT und mediatest digital garantiert. Um dem Qualitätsversprechen gerecht werden zu können, tragen dauerhaft nur Apps das Gütesiegel, die bei Updates regelmäßigen Re-Tests unterzogen werden. Apps können sich jedoch wahlweise auch zunächst der Prüfung einer einzelnen Version unterziehen, mit dessen Ergebnis und Prüfsiegel sie für einen begrenzten Zeitraum werben können.

5 5 Ablauf einer Prüfung 1. Pre-Testphase: Datenerhebung Datenerhebung zur Testvorbereitung, z.b. Versions-ID, App-Name, App-Version, Dateigröße 2. Analyseverfahren Statische Analyse > Überprüfung der Berechtigungen, Hinweise auf Werbe-, Analyse- & Trackingdienste, Viren & Malware Dynamische Analyse > Ausführung der App-Funktionen > Sniffing des Datenverkehrs > Man-in-the-Middle-Test 3. Auswertungsverfahren Automatische Überprüfung und Auflistung der Verbindungen des Datenverkehrs Risikobewertung durch IT Security Analyst Handlungsempfehlung Plausibilitätsprüfung > genauere Erfassung potentieller Gefahren 4. Reporting Automatische Erstellung eines umfassenden Testreports inklusive aller Analyseergebnisse und ggf. Handlungsempfehlungen Der Report, der dem Kunden bereitgestellt wird, beinhaltet eine Ampelwertung, in der Datenverkehr entsprechend bestimmter Kriterien ausgewertet und die daraus resultierende Risikobewertung anschaulich darstellt wird. Praxisbeispiel SIMSme (Deutsche Post AG) Anhand des aktuellen Praxisbeispiels SIMSme, dem Messenger der Deutschen Post AG, lässt sich das Analyseverfahren sehr gut veranschaulichen. Nach Einreichung der zu prüfenden App-Versionen für ios und Android und dem Ausfüllen der verpflichtenden Herstellerauskunft wurden im Prüflabor die Berechtigungen der Android-Version ermittelt. Einige davon werden wurden als potentiell gefährlich eingestuft, z.b. Standort-, Kamera-, Mikrofon- und Kontaktzugriff. Im Abgleich mit den App-Funktionen stellte sich heraus, dass alle Berechtigungen zum Ausführen der Kernfunktionen wie dem Übermitteln von Standortdaten, dem Senden von Fotos und Audioaufnahmen sowie dem Hinzufügen von Kontakten aus dem Telefonbuch erforderlich sind. Diese Berechtigungen sind daher als unbedenklich anzusehen. Die Analyse der von der App angesteuerten externen Dienste ergab, dass Daten an ein Analyticsund Tracking-Netzwerk gesendet werden, die jedoch nicht als sensibel eingestuft und zudem hinreichend geschützt wurden. Zudem kann der Erhebung von Nutzerdaten in der Datenschutzerklärung widersprochen werden. Der permanente Virenscan ergab keine Funde.

6 6 Die Analyse des Datenverkehrs ergab, dass ausschließlich Daten gesendet werden, die für die Funktionalität der App notwendig sind. Alle Daten wurden verschlüsselt übertragen. Die Übertragung der Android-ID, einer eindeutigen Gerätekennung die laut aktueller Appstore-Richtlinien nicht mehr genutzt werden darf, wurde nach Hinweis der Prüflabors vom Entwickler unterbunden und mit Hilfe eines Re-Tests verifiziert. Im Anschluss daran wurde der Deutschen Post AG ein umfassender Testbericht samt Prüfsiegel ausgestellt. Ab diesem Zeitpunkt ist sie berechtigt, dass TRUS- TED APP -Siegel in sämtlichen Werbemaßnahmen wie Anzeigen, Produktbroschüren, TV-Spots oder Radiobeiträgen zu nennen und abzubilden. Wir freuen uns, dass SIMSme den hohen Anforderungen von mediatest digital und der TÜViT entspricht. Als Deutsche Post ist es uns besonders wichtig, einen absolut sicheren Messenger am Markt zu präsentieren. Mit dem TRUSTED APP Siegel können wir dies glaubwürdig nach außen kommunizieren. Bei zukünftigen Updates sind wir aufgrund der fortlaufenden Prüfung und Begleitung durch mediatest digital und TÜViT auf der sicheren Seite., sagt Marco Hauprich, Senior Vice President für Mobile & New Media bei der Deutschen Post. Fazit und Ausblick Die alarmierenden Ergebnisse und Statistiken aktueller Sicherheitstests zeigen, dass rund jede zweite App, unabhängig von Genre und Bekanntheit, Sicherheitslücken enthält oder Datenschutzverstöße begeht. Diese haben sowohl für Privatanwender als auch für Unternehmen gravierende Auswirkungen. Um sich effektiv vor Datenverlust und Datenmissbrauch zu schützen, müssen sich die Anwender der Tragweite des Problems bewusst werden. Mit einigen hilfreichen Schritten kann sich jeder für die Sicherheit seiner Daten einsetzen: Vor der Installation einer App sollte sicher gestellt werden, dass die von der App eingeforderten Berechtigungen für die Funktionen der App benötigt werden. Ist dies nicht der Fall, sammelt die App mehr Daten als erlaubt und sollte schnellstens deinstalliert werden. Ein Blick in die Datenschutzerklärung, die jeder App-Beschreibung beigefügt sein sollte, bringt zudem Aufschluss über die Verwendung der Daten. Ein geschärftes Bewusstsein und die Bereitschaft, sich intensiv mit Sicherheits- und Datenschutzrisiken auseinanderzusetzen, bilden ein gutes Fundament, sich privat wie auch beruflich vor Fremdzugriffen und Datenmissbrauch zu schützen. Dort, wo die technischen Möglichkeiten begrenzt sind, wie bei der Analyse der Serverstandorte, mit denen die App kommuniziert, helfen vertrauenswürdigen Gütesiegel, sichere von gefährlichen Apps zu unterscheiden. Je schneller sich der Einsatz vertrauenswürdiger Gütesiegel auf dem App-Markt durchsetzt, desto größer wird die Sicherheit und Orientierung für Unternehmen und Privatanwender ausfallen.

7 7 Quellen: Anteil der Smartphone-Nutzer in Deutschland: Geschäftliche Nutzung von Smartphones: Sicherheitsbewusstsein von Smartphone-Nutzern: haller/umfrage-zum-datenschutz-user-nutzen-smartphone-apps-zu-sorglos_id_ html