securitynews Anleitung Software-Status Handbuch zur Nutzung (Version vom )

Transkript

1 securitynews Anleitung Software-Status Handbuch zur Nutzung (Version vom )

2 Einleitung securitynews ist eine Smartphone-App des Instituts für Internet-Sicherheit in Kooperation mit dem Bundesamt für Sicherheit in der Informationstechnik, die Sie kostenlos mit aktuellen Sicherheitshinweisen zu gebräuchlicher Standardsoftware versorgt. Die neue Funktion Software-Status" und das Benutzerprofil für die App securitynews sind im Rahmen des BMWi-geförderten Projektes "IT-Sicherheit im Handwerk" entwickelt worden. Software-Status ermöglicht einen benutzerprofilbasierten Sicherheitscheck der auf PCs eingesetzten Software. Multiplikatoren, Berater und Handwerksbetriebe können so mit Hilfe der App ermitteln, welche Software sich nicht auf dem neuesten Stand befindet und ob ein Update erforderlich ist. Fragen, Anmerkungen, Ideen? Schreiben Sie dem Entwickler-Team an Funktion Software-Status Mit securitynews kann mobil auf den Software-Status von betreuten PCs zugegriffen werden. Der Software-Status liefert im Zusammenspiel mit einem installierten Hilfsprogramm eine detaillierte Übersicht über die Aktualität der auf den PCs vorhandenen Software. Dabei wird zwischen drei Zuständen unterschieden: aktuell Die Software ist auf dem aktuellsten Stand. obsolet Die auf dem PC installierte Software oder deren spezielle Version wird nicht mehr durch den Hersteller unterstützt. nicht aktuell Der Hersteller stellt eine Aktualisierung für diese Software zur Verfügung. Die beobachteten PCs werden innerhalb der App in Gruppen organisiert. Es gibt zu jedem PC eine Zusammenfassung und zu jedem Programm werden Detailinformationen angezeigt. Als Hilfsprogramm wird der Personal Software Inspector (PSI) von Secunia in der Version 2.0 verwendet, der die installierte Software bewertet und einen Bericht darüber erstellt. Die Bewertung des Systems erfolgt alle sieben Tage automatisch und der Bericht wird an die App übermittelt. Zusätzlich kann eine außerplanmäßige Überprüfung der installierten Software manuell angestoßen werden. Die Nutzung von Secunia PSI unterliegt eigenen Nutzungsbedingungen, für die Secunia selbst verantwortlich ist. Wir empfehlen Ihnen, sich ausführlich über mögliche Kosten und die Leistungen der Angebote von Dritt-Anbietern wie Secunia zu informieren, bevor Sie angebotene Software herunterladen. 2

3 Der Nutzer des Programms Secunia PSI kann sich innerhalb des Programms einen persönlichen Schlüssel erzeugen ( Token-ID und Token ), um Zugriff seine Daten bei Secunia PSI (den Status seiner Software) zu erhalten. Eine Möglichkeit hierfür stellt unser Angebot dar. Nach der Eingabe seines Schlüssels kann der Nutzer den Status seiner Software auch über sein Smartphone abrufen. Mit unserem Angebot können die System-Scans aller vom Nutzer überwachten Clients von Secunia PSI abgerufen und durch die Speicherung auf unserem Server (Standort: Deutschland) auf Änderungen überprüft werden. Abbildung 1: Systemübersicht 3

4 Inhaltsverzeichnis EINLEITUNG... 2 Funktion Software-Status... 2 INHALTSVERZEICHNIS... 4 ABBILDUNGSVERZEICHNIS Schritt-für-Schritt-Anleitung Installationsanleitung Betatest-Gruppe in Google Play Direkte Installation der.apk-datei Auswahl des Profils IT-Sicherheit im Handwerk Account erstellen App und Account koppeln Secunia installieren API Token erstellen Verwaltung der PCs in der App Eingabe von Token und Token-ID Hinweise zum Datenschutz und Benutzerprofil Anhang Weblinks Direktlinks Software-Status Kontakt zum Konsortialpartner Ansprechpartner IT-Sicherheit im Handwerk Abbildungsverzeichnis Abbildung 1: Systemübersicht... 3 Abbildung 2: Erstellung von Token und Token-ID... 7 Abbildung 3: Auswahl des Punktes "Scan Result"

5 1. Schritt-für-Schritt-Anleitung Diese Kurzanleitung unterstützt Sie bei der Installation der App und hilft Ihnen, nach der Installation notwendige Konfiguration durchzuführen. Zur besseren Lesbarkeit sind Links direkt im Text gesetzt, alle Links finden Sie zudem im Anhang. 1.1 Installationsanleitung Für die Installation der Beta-Version der App empfehlen wir die Betatest-Gruppe in Google Play. Als Mitglied der Google-Gruppe erhalten Sie automatisch die neuste App-Version und Fehler können besser nachvollzogen und schneller behoben werden. Diese Variante erleichtert dem Entwicklerteam des Instituts für Internet- Sicherheit durch mögliche Fehlerberichte dabei die App noch besser für die vielen verschiedenen Android-Geräte zu optimieren Betatest-Gruppe in Google Play 1. Ggf. vorhandene, nicht über den Play Store installierte Testversion der App deinstallieren (z. B. "Einstellungen" -> "Anwendungen" -> "Anwendungen verwalten" -> Klick auf die App und "Deinstallieren" 2. Link aufrufen: 3. Mit dem Google-Konto, das auch auf dem Gerät für den Play Store verwendet wird, anmelden. Klick auf "Anmelden, um diese Gruppe anzuzeigen". So wird einen Aufnahme-Antrag für die Google Gruppe der Tester erstellt. 4. Nach Annahme der Gruppenmitgliedschaft dem Beta-Test beitreten: 5. Link "securitynews aus dem Play Store herunterladen" anklicken und den dortigen Anweisungen folgen. a. Je nachdem, ob eine frühere Version der App installiert war, heißt der entsprechende Button bspw. "Installieren" oder Installiert". b. Je nach Geräteinstellungen kann das automatisierte Herunterladen blockiert sein. Dann erscheint eine Warnmeldung mit einem Hinweis. Mit Klick auf diese Meldung öffnet sich auf dem Mobilgerät direkt die Download-Ansicht in der Play Store-App. Dort dann mit Klick auf den grünen Button "Installieren" fortfahren und nach Abschluss der Installation auf "Öffnen" klicken. 6. Weiter geht es mit der Profilauswahl, siehe Kapitel Direkte Installation der.apk-datei Alternativ zum Beitritt der Google-Gruppe können Sie die.apk-datei auch direkt installieren. 1. Installation von Anwendungen aus unbekannten Quellen in den Systemeinstellungen (meist unter den Punkten Anwendungen oder Sicherheit ) aktivieren. 2. Downloadlink auf dem Gerät aufrufen: 3. Nach Abschluss des Downloads kann die Installation über die sodann erscheinende Benachrichtigung gestartet werden. 4. Installation von Anwendungen aus unbekannten Quellen (siehe Schritt 1), falls nicht anderweitig benötigt, wieder deaktivieren. 5

6 1.2 Auswahl des Profils IT-Sicherheit im Handwerk Rufen Sie in securitynews die Einstellungen auf. Dort können Sie beim Punkt Profil Ihre Wunscheinstellung vornehmen. Hinweis: Mit der Wahl des Profils IT-Sicherheit im Handwerk wird zukünftig auch der zuständige IT-Sicherheitsbotschafter mit seinem Profil und Kontaktdaten angezeigt. Bevor die Zertifizierung der ersten Berater zu IT-Sicherheitsbotschaftern erfolgt ist, befindet sich an dieser Stelle eine Vorschauansicht. 1.3 Account erstellen Erstellen Sie Ihren Account innerhalb der securitynews-app, indem Sie den Menüpunkt Software-Status wählen, die Einrichtung starten und auf Account erstellen klicken. Alternativ können Sie Ihren Account auch direkt an Ihrem Rechner erstellen. 1.4 App und Account koppeln Koppeln Sie die App und Ihren Account. Die Koppelung veranlasst die Verbindung zwischen Account und App. Somit werden aktuelle Scan-Ergebnisse der beobachteten PCs direkt an Ihr Smartphone gesendet. Es stehen nach Auswahl des Punktes Smartphone koppeln zwei Möglichkeiten für die Koppelung zur Verfügung: Scannen eines QR-Codes. (Benötigt wird dazu eine QR-Code-Scanner-App, zum Beispiel die App Barcode Scanner ) Eingabe von Benutzername und Passwort Der für die Kopplung notwendige QR-Code lässt sich, falls gewünscht, an Ihrem Rechner anzeigen. Sofern werden Sie dabei zur Anmeldung aufgefordert. 1.5 Secunia installieren Installieren Sie den Personal Software Inspector (PSI) von Secunia in der Version 2.0 auf den zu beobachtenden PCs. Dieser bewertet regelmäßig die auf dem PC installierte Software und erstellt einen Bericht darüber. Zusätzlich kann eine Erfassung der installierten Software dort manuell stattfinden. Die Nutzung von Secunia PSI unterliegt eigenen Nutzungsbedingungen, für die Secunia selbst verantwortlich ist. Wir empfehlen Ihnen, sich ausführlich über mögliche Kosten und die Leistungen der Angebote von Dritt-Anbietern wie Secunia zu informieren, bevor Sie angebotene Software herunterladen. 6

7 1.6 API Token erstellen Zur Beobachtung eines PCs wird der im Personal Software Inspector (PSI) zu erstellende Schlüssel (Token) und dessen ID (Token-ID) benötigt. Dazu navigieren Sie durch die Menüpunkte: Configuration -> Settings -> API -> Create PSI API Token. Durch Eingabe eines Namens und Auswahl des Punktes "Scan Result" im sich geöffneten Dialog erhalten Sie den Schlüssel und die ID für den PC. Abbildung 2: Erstellung von Token und Token-ID Abbildung 3: Auswahl des Punktes "Scan Result" 1.7 Verwaltung der PCs in der App Zwecks einfacher Kategorisierung werden PCs innerhalb der App in Gruppen organisiert. Für die folgenden Schritte benötigen Sie eine Gruppe, die Sie nach erfolgreicher Anmeldung anlegen können. Dabei werden Sie zur Eingabe eines frei wählbaren Gruppennamens, bspw. Firmenoder Familienname, aufgefordert. In die angelegte Gruppe können nun zu überwachende Rechner eingetragen werden. 7

8 1.8 Eingabe von Token und Token-ID Legen Sie in der App innerhalb der Gruppe einen PC an und geben Sie die im PSI (Schritt 1.6) ermittelte Kombination aus ID (Token-ID) und den dazugehörigen Schlüssel (Token) ein. 1.9 Hinweise zum Datenschutz und Benutzerprofil Benutzername, -Adresse und Passwort werden in einer separaten Datenbank für das Projekt IT-Sicherheit im Handwerk gespeichert. Diese Datenbank läuft auf dem Root-Server mit Standort Deutschland, von dem auch die App "securitynews" betrieben wird. Der Server wird vom Institut für Internet-Sicherheit gepflegt. Es ist dafür gesorgt, dass Updates kurzfristig eingespielt werden. Benutzername und Passwort können frei gewählt und es kann eine beliebige -Adresse angegeben werden. Die Daten werden ausschließlich für die Funktion Software-Status gespeichert. Für das Hashen der Passwörter wird PBKDF2 verwendet. Salting ist integraler Bestandteil des Algorithmus, der als NIST-Empfehlung 1 veröffentlicht wurde und desweiteren auch in WPA(2), TrueCrypt und LUKS verwendet wird. Die Funktion Software-Status baut auf ein modulares Konzept mit Benutzerprofil beim Institut für Internet-Sicherheit if(is) auf. Der institutseigene Server stellt die Schnittstelle zur Nutzung eines eigenen Programms, in diesem Fall Secunia PSI, zur Überprüfung der Clients bereit. Somit können die System-Scans aller überwachten Clients durch den institutseigenen Server einmal pro Stunde von Secunia PSI abgerufen und auf Änderungen überprüft werden. Bei einem dezentralen System ist diese Aufgabe vom Mobilgerät durchzuführen, was deutlich mehr Akku und Datenvolumen (pro Scan ca. 70 kbyte bei ungefähr 100 überprüften Programmen) verbraucht. Ein weiterer Vorteil der modularen Lösung ist, dass für ein Back-Up der vom Nutzer überwachten Rechner innerhalb der App gesorgt ist. Bei einer dezentralen Lösung müsste die Sicherung manuell vom Nutzer durchgeführt werden

9 2. Anhang 2.1 Weblinks Google Gruppe: securitynews-beta für Android Beitritt zum Beta-Test Direktlink zur.apk-installationsdatei Secunia PSI Video-Anleitung zum Software-Status App Barcode-Scanner Direktlinks Software-Status Erstellung des Accounts Anzeige des QR-Codes 9

10 3. Kontakt zum Konsortialpartner Institut für Internet-Sicherheit - if(is) Institutsleiter: Prof. Dr. (TU NN) Norbert Pohlmann Westfälische Hochschule Neidenburger Straße 43 D Gelsenkirchen Tel.: +49 (0) apps@internet-sicherheit.de Internet: Ansprechpartner IT-Sicherheit im Handwerk Falk Gaentzsch Tel.: +49 (0) gaentzsch@internet-sicherheit.de 10