Mobile Security. Was ist Mobile Security und welche Bedeutung hat es für mein Unternehmen?

Transkript

1 Mobile Security Was ist Mobile Security und welche Bedeutung hat es für mein Unternehmen? Präsentation für die Veranstaltung Mobile Datensicherheit der IHK Wuppertal-Solingen-Remscheid Autoren: Paul Dziwoki, Hans-Jörg Stangor Seite 2 / 57

2 Agenda Smartphones im Unternehmen Tag 1: Einrichtung des Gerätes Tag 1: Fahrt nach Hause Tag 1: Private Nutzung zu Hause Tag 2: Unterwegs im Außendienst Tag 3: Einsatzmöglichkeiten erweitern Tag 4: In der Kaffeepause Tag X: Ein neues Smartphone steht an Live-Demo Fazit und Zusammenfassung Seite 3 / 57

3 Agenda Smartphones im Unternehmen Tag 1: Einrichtung des Gerätes Tag 1: Fahrt nach Hause Tag 1: Private Nutzung zu Hause Tag 2: Unterwegs im Außendienst Tag 3: Einsatzmöglichkeiten erweitern Tag 4: In der Kaffeepause Tag X: Ein neues Smartphone steht an Live-Demo Fazit und Zusammenfassung Seite 4 / 57

4 Smartphones im Unternehmen: Traditionell Eigentlich ein altes Thema Primär & Personal Information Management (PIM) Begrenztes App Angebot Eingeschränkte Internetnutzung Tendenziell sicher Seite 5 / 57

5 Smartphones und Tablets: Aktuell Ob Android, ios oder Windows Mobile: allesamt Schweizer Taschenmesser Riesiges Angebot an Produktiv-Apps Mobiles Internet & WLAN Integration von Firmen-Backends GPS Funktionalität Seite 6 / 57

6 Einsatzszenarien Komfort-Faktor (leichter als Laptop) Fahrzeiten nutzen Mit Kollegen & Kunden in Kontakt bleiben Die nötigen Dokumente stets dabei Recherche-Möglichkeit Navigationshilfe Vor Ort Daten erfassen Seite 7 / 57

7 Einsatzorte In der Firma Im Auto / ÖPNV Zu Hause Beim Kunden Im Hotel und Restaurant - weltweit - Seite 8 / 57

8 Beurteilung Unternehmenseinsatz Reichlich sinnvolles Nutzungspotential aber auch großes Gefahrenpotential! Seite 9 / 57

9 Vor der Einführung im Unternehmen Richtlinie für den Unternehmenseinsatz Konfiguration / Einstellungen Firmen-Geräte festlegen Schwierigeres Thema: Bring your own devices ( BYOD ) Seite 10 / 57

10 Agenda Smartphones im Unternehmen Tag 1: Einrichtung des Gerätes Tag 1: Fahrt nach Hause Tag 1: Private Nutzung zu Hause Tag 2: Unterwegs im Außendienst Tag 3: Einsatzmöglichkeiten erweitern Tag 4: In der Kaffeepause Tag X: Ein neues Smartphone steht an Live-Demo Fazit und Zusammenfassung Seite 11 / 57

11 Integration Unternehmens-Ressourcen SIM Karte einlegen (EDGE/3G/LTE) WiFi-Zugänge einrichten VPN zum Firmen-Intranet , Adressbuch, Kalender anbinden Produktiv-Apps installieren Firmen-Dokumente offline verfügbar machen Seite 12 / 57

12 Basics der Geräteabsicherung Studium der Richtlinie für den Unternehmens-Einsatz Passcodes einrichten (Password oder PIN für den Gerätezugang) Einstellen wie lange das Gerät nach Passcode-Eingabe offen ist Seite 13 / 57

13 Agenda Smartphones im Unternehmen Tag 1: Einrichtung des Gerätes Tag 1: Fahrt nach Hause Tag 1: Private Nutzung zu Hause Tag 2: Unterwegs im Außendienst Tag 3: Einsatzmöglichkeiten erweitern Tag 4: In der Kaffeepause Tag X: Ein neues Smartphone steht an Live-Demo Fazit und Zusammenfassung Seite 14 / 57

14 Passcodes: Generelle Fragen Wer schaut Ihnen bei der Eingabe des Passcodes zu? Seite 15 / 57

15 Passcode-Typen 4 Ziffern Passwort Pattern-Lock Gesichtserkennung (Facial Recognition) Seite 16 / 57

16 Passcode Beispiele Seite 17 / 57

17 Passcode Beispiele Seite 18 / 57

18 Agenda Smartphones im Unternehmen Tag 1: Einrichtung des Gerätes Tag 1: Fahrt nach Hause Tag 1: Private Nutzung zu Hause Tag 2: Unterwegs im Außendienst Tag 3: Einsatzmöglichkeiten erweitern Tag 4: In der Kaffeepause Tag X: Ein neues Smartphone steht an Live-Demo Fazit und Zusammenfassung Seite 19 / 57

19 Integration privater Netze Private WiFi-Zugänge einrichten Private Dokumente und Inhalte aufspielen Ankopplung an Nicht-Firmen-PCs: Eigener PC PCs Familienmitglieder PCs von Freunden & Bekannten Seite 20 / 57

20 itunes / iphone Backup Oft unverschlüsselt (Standardeinstellung) Backup ist lediglich Ordnerstruktur mit allen Benutzerdaten PIM (Kalender, Notizen, Adressen, ) App-Daten oft in sqlite-datenbanken Sich absichern: Lediglich ein Häkchen in itunes Seite 21 / 57

21 itunes Komfort Seite 22 / 57

22 Wie entsteht dieser Komfort? itunes erstellt nach Entsperrung der Device Lockdown Zertifikate Sobald diese auf dem Rechner sind: Passcode unnötig Andere Anwendungen können diese nutzen auch nach Passcode- Änderung! Seite 23 / 57

23 Lokation der Lockdown Zertifikate OSX Windows 7 /private/var/db/lockdown C:\ProgramData\Apple\Lockdown Übertragbar selbst zwischen Betriebssystemen! Der Grund warum Polizei mit Smartphone auch PC beschlagnahmt Seite 24 / 57

24 Agenda Smartphones im Unternehmen Tag 1: Einrichtung des Gerätes Tag 1: Fahrt nach Hause Tag 1: Private Nutzung zu Hause Tag 2: Unterwegs im Außendienst Tag 3: Einsatzmöglichkeiten erweitern Tag 4: In der Kaffeepause Tag X: Ein neues Smartphone steht an Live-Demo Fazit und Zusammenfassung Seite 25 / 57

25 Szenario: Verlust / Diebstahl Gutes Gefühl: Möglichkeit zur Fernlöschung Kann unterbunden werden! SIM entfernen Flugmodus In Faraday Bag verpacken Drama: Falls Smartphone nicht mit Passcode gesichert ist Aber auch mit aktiviertem Passcode gibt es Probleme Seite 26 / 57

26 Sicherheit von Passcodes Maschinelle Entschlüsselungsdauer 4 Ziffern ca. 0,5 h 6 Ziffern 2 Tage 8 Ziffern 6 Monate 6 Buchstaben 1,5 Jahre 4 Ziffern/Buchstaben 3 Tage 6 Ziffern/Buchstaben 10 Jahre Quelle: c t 2011 Heft 15, Artikel iopener Seite 27 / 57

27 Angriff ohne Lockdown Zertifikat Fraunhofer SIT Hack Kann gesetzten Passcode umgehen und Schlüsselbund extrahieren App Passwörter zum Teil entschlüsselbar (z.b. SIM Pin) Bis iphone4 auf diese Art Zugang zu Exchange Server Accounts Seite 28 / 57

28 Angriffsschwierigkeit je nach Einstellung Passcode BruteForce Angriff Lockdown- Zertifikate Fraunhofer Angriff ** Ohne 0 min 0 min 0 min Numerisches Passwort < 30min 0 min 6 min Langes sicheres Passwort Je nach Passwort-Länge 0 min 6 min ** ermittelt nur Teil der Passwörter, nicht den Passcode Seite 29 / 57

29 Agenda Smartphones im Unternehmen Tag 1: Einrichtung des Gerätes Tag 1: Fahrt nach Hause Tag 1: Private Nutzung zu Hause Tag 2: Unterwegs im Außendienst Tag 3: Einsatzmöglichkeiten erweitern Tag 4: In der Kaffeepause Tag X: Ein neues Smartphone steht an Live-Demo Fazit und Zusammenfassung Seite 30 / 57

30 Jailbreaks/Rootkits Warum? Alternative App Stores zulassen (ios) Apps kostenlos installieren (ios) Oberfläche/Systemelemente verändern, neue Optik, etc. Eventuelle Einschränkungen entfernen, die durch Firmen- Richtlinien gesetzt wurden (ios) (SIM-Sperre entfernen) Seite 31 / 57

31 Jailbreaks/Rootkits Risiken Nach Jailbreak lässt sich ein Smartphone fernsteuern (SSH- Server) Apps haben danach Zugriff auf alle Bereiche (Root-Rechte), können sensible Daten auslesen (z.b. Passwörter) und verändern Aktuelle Sicherheitsupdates werden meistens nicht eingespielt, da diese ein erneutes Jailbreaking erfordern! Seite 32 / 57

32 Jailbreaks/Rootkits Risiken (ios) Seite 33 / 57

33 Jailbreaks/Rootkits Gegenmaßnahmen Standardpasswörter ändern und/oder entsprechende Serverdienste (z.b. SSH) ausschalten! Nur Apps von vertrauenswürdigen Quellen installieren Problem: für die neuesten Sicherheitsupdates existiert meistens noch kein Jailbreak (z.b. ios 6, Android JB) Besser: nicht Jailbreaken Seite 34 / 57

34 Agenda Smartphones im Unternehmen Tag 1: Einrichtung des Gerätes Tag 1: Fahrt nach Hause Tag 1: Private Nutzung zu Hause Tag 2: Unterwegs im Außendienst Tag 3: Einsatzmöglichkeiten erweitern Tag 4: In der Kaffeepause Tag X: Ein neues Smartphone steht an Livedemo Fazit und Zusammenfassung Seite 35 / 57

35 Nutzung Public WLAN Warum? Besonders im Ausland attraktiv (spart hohe Roaming-Gebühren) Schneller Datentransfer Manchmal hat man kein 3G/4G Netzempfang Seite 36 / 57

36 Nutzung Public WLAN / Hotspot - Risiken Datenverkehr kann leicht mitgelesen und manipuliert werden Passwörter Einschleusen von Hintertüren Public WLAN kann auch vom Angreifer selbst stammen: Einmal mit einem Zugangsnamen verbunden, verbindet sich Smartphone automatisch immer wieder mit dieser WLAN-Kennung, egal an welchem Ort MITM = Man in the Middle Jailbreaks mit SSH-Server und Standardpasswort: offene Tür für Angreifer Seite 37 / 57

37 Nutzung Public WLAN Gegenmaßnahmen Nur Apps nutzen, die Datenverkehr gut verschlüsseln Beispiele: VoIP: verschlüsselt nicht Skype: verschlüsselt Nicht mit dem Browser im Internet surfen => Gefahr das Code eingeschleust wird Besser: Sich selbst um Verschlüsselungsschicht kümmern: VPN-Tunnel Seite 38 / 57

38 Man in the Middle Angriff ohne WLAN (iphone) Möglich durch Proxyserver in Internet-Einstellungen Diese Proxyserver Einstellungen kann man z.b. per erhalten (siehe Bild) Gleiche Risiken wie beim Angriff über das Public WLAN, darüber hinaus sind selbst SSL verschlüsselte Verbindungen betroffen Seite 39 / 57

39 Man in the Middle Angriff ohne WLAN (iphone) - Gegenmaßnahmen Update auf ios6 Keine Konfigurationsdateien installieren, die nicht überprüft sind! Aufpassen bei Änderungen der Internet-Einstellungen Seite 40 / 57

40 Agenda Smartphones im Unternehmen Tag 1: Einrichtung des Gerätes Tag 1: Fahrt nach Hause Tag 1: Private Nutzung zu Hause Tag 2: Unterwegs im Außendienst Tag 3: Einsatzmöglichkeiten erweitern Tag 4: In der Kaffeepause Tag X: Ein neues Smartphone steht an Live-Demo Fazit und Zusammenfassung Seite 41 / 57

41 Altes Smartphone entsorgen Löschen aller Daten per Hand vor Verkauf des alten Smartphones Risiken: Undelete-Tools (finden überraschend viele Inhalte wieder) Man findet manchmal Daten die vor Jahren gelöscht wurden Gegenmaßnahmen: Speicher vorher vollständig mit anderen Daten überschreiben Spezielle Formattools nutzen (z.b. DiskWipe) Seite 42 / 57

42 Agenda Smartphones im Unternehmen Tag 1: Einrichtung des Gerätes Tag 1: Fahrt nach Hause Tag 1: Private Nutzung zu Hause Tag 2: Unterwegs im Außendienst Tag 3: Einsatzmöglichkeiten erweitern Tag 4: In der Kaffeepause Tag X: Ein neues Smartphone steht an Live-Demo Fazit und Zusammenfassung Seite 43 / 57

43 Live-Demo Aufbau und Verlauf Verlauf 1. Verbindung iphone -> WLAN 2. Ermitteln der iphone Adresse 3. Datenverkehr mitlesen 4. iphone Sicherheitslücken suchen 5. iphone Adressbuch kopieren Seite 44 / 57

44 Agenda Smartphones im Unternehmen Tag 1: Einrichtung des Gerätes Tag 1: Fahrt nach Hause Tag 1: Private Nutzung zu Hause Tag 2: Unterwegs im Außendienst Tag 3: Einsatzmöglichkeiten erweitern Tag 4: In der Kaffeepause Tag X: Ein neues Smartphone steht an Live-Demo Fazit und Zusammenfassung Seite 45 / 57

45 Richtlinie für den Einsatz Keine unverschlüsselten vertraulichen Inhalte (Passwörter) Legitime Bezugsquellen für Apps und Inhalte Keine Jailbreaks oder Änderung an Konfiguration Nutzung der Cloud, Nutzung sozialer Netzwerke Seite 46 / 57

46 Geräteauswahl in der Firma Häufig ios, Grund: geschlossene Plattform Zugang zu aktuellsten Betriebssystemversionen Konfigurationsprogramme für Firmengeräte Zentraler App-Store mit Review vor Freigabe Keine unsignierten Programme Speicher grundverschlüsselt Android deutlich flexiblere / offenere Plattform Hersteller/Geräte auf Möglichkeit zur Absicherung prüfen Seite 48 / 57

47 Wie sicher ist Android im Vergleich? Gut: Seit Android 4.x keine universellen Hacks Forensik-Software nutzen Sammlungen von Angriffsmöglichkeiten für verschiedene Hersteller, Geräte & Betriebssystem-Stände Sicherheit = Frage der Update-Moral der Hersteller Hauptangriffspunkte: Verzicht auf Passcode Nutzung Speicherkarten Sorglos installierte Anwendungen Seite 49 / 57

48 Zusammenfassung Angriffsmöglichkeiten sind vielfältig Unternehmensrichtlinien einhalten: Sie haben ihren Sinn! Keine Jailbreaks und Rootkits Augen auf bei der Nutzung! Seite 50 / 57

49 Referenzen html Luecken-darunter-eine-besondere html Hacking and Securing ios Applications, Jonathan Zdziarski, O Reilly 2012, ISBN ios Forensic Analysis for iphone, ipad, and ipod touch, Sean Morrisey, Apress 2010, ISBN Seite 51 / 57

50 Vielen Dank! Seite 52 / 57

51 Fragen? Seite 53 / 57

52 Allgemeines iks ist IT-Beratungs- und Softwarepartner für Finanzdienstleister, Logistik- und Handelsunternehmen sowie namhafte Unternehmen anderer Branchen. Wir erstellen individuelle IT-Konzepte und Softwarelösungen im Auftrag unserer Kunden. Gründung: 1989 Firmensitz: Team: Hilden ca. 90 BeraterInnen Geschäftsführung: Dipl.-Informatikerin Monika Stoll Prokuristen: Dipl.-Ing. (FH) Thomas Kondring Hartwig Tödter Seite 54 / 57

53 Geschäftsfelder iks Softwareentwicklung Java.NET Mobile Applikationen iseries / Host IT-Konzepte Anforderungsanalyse Fachkonzepte Pflichtenhefte DV-Konzepte IT-Beratung Softwarearchitektur Technologie Methoden Projektmanagement Schulung, Coaching Soziale Applikationen Business Intelligence MS SQL Server ETL Reporting Analyse Seite 55 / 57

54 Wer sind unsere Kunden? Wir beraten und betreuen internationale Konzerne sowie große und mittlere Unternehmen aus unterschiedlichen Branchen, oft als first supplier : Industrie Finanzdienstleistungen Versicherungen Handel Transport / Verkehr / Logistik Verbände / Vereine / Interessenvertretungen Dienstleistungsunternehmen Gesundheitswesen Seite 56 / 57

55 Kontakt iks Gesellschaft für Informations- und Kommunikationssysteme mbh Thomas Kondring Siemensstraße Hilden Internet: Folien rund um die Softwareentwicklung finden Sie im Internet unter: Seite 57 / 57

56