Effiziente Prüfung mobiler Technologien

Transkript

1 Effiziente Prüfung mobiler Technologien Risikoorientierter Prüfungsansatz was ist überhaupt machbar? SVIR/ISACA-Tagung

2 In den letzten Jahren hat die IT-Security im Bereich Endbenutzersysteme sehr grosse Fortschritt gemacht. Machen die Smartphones, E-Book-Leser usw. alles kaputt? Patch-Management durch wen und wie? Apple Store, Android Market, Windows Marketplace Verwaltung durch Benutzer? Typische Endbenutzerumgebung: Standardisiertes Betriebssystem Zentrales Patch-Management Eingeschränkte Benutzerrechte Standard Software-Pakete Antivirus / Personal Firewall Verwaltungshoheit bei IT Inventarisiert ios, Android, Windows Mobile 7, Weitreichende Rechte ohne Jailbreak / root Benötigt? Vertrauenswürdig? Inventar? Entsorgung via ebay? Entsorgung durch IT Endbenutzer Weisungen Für mobile Technologien noch anwendbar? 2

3 Mit den mobilen Technologien geht es nicht nur um die Integration der Geräte in die IT. Durch die Eröffnung von neuen Geschäftswege für Mitarbeiter und Kunden entstehen weitere Herausforderungen Sichere Einbindung in die Geschäftsprozesse? Sicherheit beim Betrieb der Applikation? Mitarbeiter (B2E) Kundenberater Service Techniker Sicherheit der mobilen Apps? Geschäftsapplikation (SAP, Avaloq usw.) Anbindung Front-End Sicherheit der Infrastruktur? Kunden (B2C) Versicherungsleistung am Unfallort beanspruchen 3

4 Welche Elemente der mobilen Technologie sind für die Sicherheit relevant? Anwendungen Weitere Geschäftsapplikationen Basis Geschäftsapplikationen Persönliche Apps Betriebssystem Authentisierung Aktive Prozesse Benutzer Rechte Netzwerkdienste Appl. Berechtigungen SW-Version Hardware Mobile Funknetz GPS USB WLAN Bluetooth Telefonie Datenträger 4

5 Aufgrund der grossen Flexibilität der mobilen Technologie entstehen viele Bedrohungsszenarien. Beispiel: Zugriffe auf Daten Anwendungen Weitere Geschäftsapplikationen Basis Geschäftsapplikationen Persönliche Apps Betriebssystem Authentisierung Aktive Prozesse Benutzer Rechte Netzwerkdienste Appl. Berechtigungen SW-Version Hardware Mobile Funknetz GPS USB WLAN Bluetooth Telefonie Datenträger Physischer Zugriff 5

6 Um die Risiken zu verstehen und ein passendes Prüfprogramm zu erarbeiten, ist Verständnis des darunterliegenden Bedienungsund Berechtigungskonzepts erforderlich (Beispiel: Android) Android Markt App Manifest Code Weitere Märkte Berechtigungsprüfung: Mit Standardwerkzeugen mühselig Mit zusatz App möglich aber Root-Privilegien benötigt Mehr als 100 unterschiedlichen Berechtigungstypen Berechtigungsabfrage App Manifest Code UID Daten Daten: Keine Geräteverschlüsselung (für 3.0 geplant). Chiffrierung nur pro Datei oder Datenfeld Daten oft als SQLite-DB gespeichert Prüfung Flash-Inhalt nur mit Root-Privilegien Im Normalfall haben Apps keinen Zugriff auf Daten eines anderen Apps Daten können u.u. auf SD-Karte verschoben werden Entlastung des Flash-Speichers aber auf Kosten des Zugriffsschutz Flash SD-Karte Prüfung des Zertifikats: Fehlende Prüfwerkzeuge auf dem Endgerät Kein Lesezugriff ohne Root-Privilegien 6

7 Um die Risiken zu verstehen und ein passendes Prüfprogramm zu erarbeiten ist Verständnis des darunterliegenden Bedienungsund Berechtigungskonzepts erforderlich (Beispiel: ios) App Metadaten Code Berechtigungsprüfung: Entfällt (oder Reverse-Engineering der Apps) Qualitätsprüfung Apple Store App Weitere Märkte Metadaten Code Daten Daten: Verschlüsselung vorhanden aber kann umgangen werden Daten oft als SQLite-DB oder Plist gespeichert Prüfung Flash-Inhalt nur mit erhöhten Berechtigungen Im Normalfall haben Apps keinen Zugriff auf Daten eines anderen Apps In Wirklichkeit kann eine App trotzdem auf sehr viele Daten zugreifen Flash Seatbelt Prüfung des Zertifikats: Fehlende Prüfwerkzeuge auf dem Endgerät Kein Lesezugriff ohne erhöhte Berechtigungen 7

8 Etwa 30% der mobilen Apps haben die Fähigkeit auf Lokationsinformation und etwa 10% auf Kontakte zuzugreifen. Was passiert mit diesen Daten? Was können wir dagegen tun? Drittpartei Kontakte Lokation???? Zugriffsrechte App Code? Datenträger Massnahmen: Personal Firewall? Berechtigungskonzept Überarbeiten Mehr Transparenz Risikoeinschätzung Was ist der (geschäftliche) Schaden? 8

9 Wissen Sie, was alles auf dem mobilen Gerät läuft? Administrationsdienste Z.B. Samba-, Web-, FTP-Server Durch Benutzer bewusst installiert und aktiviert Wireless Schnittstelle Versteckte Dienste Mit dem App unerwartet mitgeliefert Schnittstelle mobiles Netz Netzwerkdienste Prüfung: Mit den mitgelieferten Apps nicht möglich Jailbreak / Root-Privilegien nicht benötigt Vorsicht einzelne Werkzeuge nicht zuverlässig 9

10 Viren, Würmer, Trojaner usw. Echte Bedrohung oder nur Hysterie? Ikee Virus (iphone) Hintergrundbild verändert Betrifft nur Jailbroken Geräte Ausnutzung Standard Passwort Google entfernt ca. 40 verdächtige Banking Apps vom Android Markt (alle vom gleichen Entwickler) SMS.AndroidOS.FakePlayer-A (Android) Erster Android Virus Versand von kostenpflichtigen SMS Als Media Player getarnt Infizierung via Download von externem Markt (nicht Google) Warnmeldungen beim Installieren vorhanden aber durch Benutzer ignoriert Diverse legitime Apps mit zusätzlicher Funktionalität ergänzt und am Andorid Markt wieder angeboten Root-Privilegien durch Ausnutzung einer bekannten Sicherheitslücke Übermittlung Gerätedaten ins Internet Fähigkeit, weitere Apps automatisch herunterzulanden Q Q Q Q Q Q

11 Durch den Einsatz von zusätzlichen Werkzeugen und Produkten kann die Sicherheit der mobilen Geräten erhöht werden. Welche Schutzmassnahmen sind heutzutage üblich? Enterprise Management Policy compliance management Jailbreak detection Remote wipe Version control Protected data storage Expenses management Antivirus et. al Malware detection/removal Device location Remote wipe SIM replacement detection Call / SMS blocking Parental controls Policy Management Ad-blocking Password / lock policies Auto wipe App usage policies 11

12 Welche Aspekte müssen beim Betrieb von mobilen Geräten berücksichtigt werden? Registrierung und Integration der Endgeräte Policy Verwaltung Network Access Control (mobile Geräte) Weisungen / Schulung Backup Entsorgung Austritt Remote Wipe 12

13 Zusammenfassung was lernen wir daraus? Grundlagen für die Risikoabschätzung: Verständnis der zahlreichen Verwendungsszenarien (Use Cases) Verständnis des darunterliegenden Bedienungs- und Berechtigungskonzepts Prüfung der Betriebsprozesse als Bestandteil der Risikoabschätzung Technische Prüfwerkzeuge nur beschränkt vorhanden Müssen nachträglich installiert werden Eingeschränkte Prüfmöglichkeiten ohne Root / Jailbreak Passende Enterprise Management Tools sind schon verfügbar Verbesserung der Berechtigungskonzepte durch die Hersteller erforderlich (Transparenz, Auditierbarkeit) 13

14 Vielen Dank für Ihr Interesse Cirquent GmbH Zamdorfer Straße München Tel.: +49 (0) Fax.: +49 (0) Cirquent GmbH Flughafenstraße 52b Hamburg Tel.: +49 (0) Fax.: +49 (0) Cirquent GmbH Universitätsstraße Köln Tel.: +49 (0) Fax.: +49 (0) Cirquent GmbH Königsberger Straße Frankfurt a. M. Tel.: +49 (0) Fax.: +49 (0) Cirquent GmbH Ludwig-Erhard-Staße Ettlingen Tel.: +49 (0) Fax.: +49 (0) Cirquent GmbH Handelskai Wien Tel.: +43 (0) Fax.: +43 (0) Cirquent AG, Zürich Europa-Strasse 31 CH-8152 Glattbrugg Tel.: +41 (0) Fax.: +41 (0) Cirquent AG Galgenfeldweg 16 CH-3006 Bern Tel.: +41- (0) Fax.: +41- (0) Cirquent Limited 4020 Lakeside Solihull Parkway Birmingham Business Park West Midlands B37 7YN Tel.:+44 (0) Fax.:+44 (0) Cirquent Limited Devon House St. Katharine's Way, London E1W 1LB Tel.:+44 (0) Fax.:+44 (0) David Hyams Senior Consultant, CISSP Cirquent AG, Bern Telefon david.hyams@cirquent.ch 14