wo werden die Daten besser geschützt?

Transkript

1 Android & ios wo werden die Daten besser geschützt? [twitter]heute ein Versuch: Live Tweet aus dem Vortrag heraus. Live-Stream: [/ twitter]

2 Who we are Adrian Woizik FH-Furtwangen, 2005 Thinking Objects - TOsecurity - Produktmanagement adrian.woizik@to.com Florian Pfitzer HFT-Stuttgart Thinking Objects - TOsecurity - Entwickler florian.pfitzer@to.com [twitter]reply mit Hashtag landen auf der Twitterwall und werden im Laufe des Vortrags beantwortet[/twitter]

3 Security Models 10/18/12 Adrian Woizik 3 [twitter]erster Tag, erster Vortrag: Android & ios - wo sind die Daten besser geschuetzt?

4 source: 10/18/12 Adrian Woizik 4 [twitter]juicejacking, Smartphone Attack through charging stations. Uebersicht unter

5 Secure Boot Chain Bootloader Kernel Primary Bootloader ROM Extensions SecureBoot Baseband Firmware je Hersteller eigener Bootloader Apple Root CA im BOOT ROM idr: locked 10/18/12 Adrian Woizik 5 [twitter]bootchain Background Informationen zu #ios und #Android 12unf2[/twitter]

6 Updates kein Downgrade Online-Check Hersteller / Model / Carrier lange Laufzeiten 3.x 2 % 5.1.x 27 % % % 6.0.x 64 % 5.0.x 2 % other 6 % % other 17% 10/18/12 Adrian Woizik 6 [twitter]#smartphone Update Statistik von #ios und #Android twitter]

7 Code Signing Hersteller Signatur Developer Signatur Speicherseiten Sandbox-Signatur 10/18/12 Adrian Woizik 7

8 Runtime Protection Sandboxing userid=mobile OS ReadOnly ASLR, Cookie Signing, HEAP hardening kein JIT außer durch Apple Sandboxing one user per app Berechtigung native = interpret +x für eigene files ASLR seit 4.1 SE Linux in /18/12 Adrian Woizik 8 [twitter]runtime Protection - #ios6 Security und #Android [/twitter]

9 Crypto HW AES-256 SHA-1 Hardware Crypto?! UID/GID in CPU AES-128 KEY nur für Crypto Key = User-PIN FS encrypted bei LOCK Einmalig bei Boot decrypted BruteForce nur im Gerät Keine erweitere Data-Protection in HW 10/18/12 Adrian Woizik 9 [twitter]background Informationen zu kryptografischen Methoden in #ios #Android twitter]

10 Key-Chain SQLite UID encrypted SIM PIN, VPN Cert, Voic , BT-Keys, Push-Tokens, icloud Cert, imessage Key nicht geschützt durch Crypto 10/18/12 Adrian Woizik 10 Account Manager Apps im Filesystem CA Certs via SD

11 Data Protection File Contents File System Key File Metadata File Key Class Key Device UID User Passcode 10/18/12 Adrian Woizik 11 [twitter]iphone data protection in depth + tools via

12 Data Protection Internal & External SD-Card?! 10/18/12 Adrian Woizik 12 [twitter]#android Data Storage Technical Paper

13 App Store vs Google play 10/18/12 Adrian Woizik 13

14 Store-Guidelines 10/18/12 Adrian Woizik [twitter]guidelines der Appstores: #Apple #Google 14

15 Google Bouncer Code kann nachgeladen werden Known Source IPs Malicious Behavior Analyse 10/18/12 Adrian Woizik [twitter]how to bypass the Google Playstore for your malicious Apps twitter] 15

16 Google Bouncer Code kann nachgeladen werden Known Source IPs Malicious Behavior Analyse Time bomb! 10/18/12 Adrian Woizik 16

17 Code Analyse Halb manuelle Code Analyse Prüfung nach illegalem Verhalten Kein automatischer Schutz! Malware vorhanden 10/18/12 Adrian Woizik 17

18 Alternative Stores 10/18/12 Adrian Woizik 18

19 Conclusion Schutz mit Third Party Apps nur für unrooted / unjailed Geräte! don t trust external storage! Android in Unternehmen benötigen eher eine genaue App-Analyse don t trust external storage!! Third Party Apps are evil! Apps are evil! 10/18/12 Adrian Woizik 19

20 Demonstration 10/18/12 Adrian Woizik 20 [twitter]und jetzt geht es zur Demonstration mit Florian. Welche Daten kann eine Android-App alles auslesen? Live auf

21 Thank you for your time Adrian Woizik Produktmanagement Thinking Objects GmbH Lilienthalstraße 2/ Korntal/Stuttgart Tel Fax [twitter]thx for your time - Mehr Infos zum Vortrag oder zu mir gibt es unter oder bei twitter] 21