Lagebild zur Bedrohung der Unternehmenssicherheit durch Smartphones & Co

Transkript

1 Lagebild zur Bedrohung der Unternehmenssicherheit durch Smartphones & Co Prof. Dr. (TU NN) Norbert Pohlmann Institut für Internet-Sicherheit if(is) Westfälische Hochschule, Gelsenkirchen

2 Inhalt IT-Sicherheitssituation heute Smartphones & Co. Neue Angriffsvektoren Wie lösen wir das Problem? Fazit und Ausblick 2

3 Die IT-Sicherheitssituation heute Eine kritische Bewertung (1/6) Zu viele Schwachstellen in Software Die Software-Qualität der Betriebssysteme und Anwendungen ist nicht gut genug! Fehlerdichte: Anzahl an Fehlern pro Zeilen Code (Lines of Code - LoC). Betriebssysteme haben mehr als 10 Mio. LoC mehr als Fehler (Fehlerdichte 0,3 ) und damit zu viele Schwachstellen 3

4 Die IT-Sicherheitssituation heute Eine kritische Bewertung (2/6) Ungenügender Schutz vor Malware (1/2) 100% Schwache Erkennungsrate bei Anti-Malware Produkten nur 75 bis 95%! Bei direkten Angriffen weniger als 27% 27% 0% Security gaps 24h Day 3 Day 14 signature-based detection proactive detection 4

5 Die IT-Sicherheitssituation heute Eine kritische Bewertung (3/6) Ungenügender Schutz vor Malware (2/2) Jeder 25. Computer hat Malware! Datendiebstahl/-manipulation (Keylogger, Trojanische Pferde, ) Spammen, Click Fraud, Nutzung von Rechenleistung, Datenverschlüsselung / Lösegeld, Cyber War (Advanced Persistent Threat - APT) Eine der größten Bedrohungen zurzeit! Stuxnet, Flame,. CyberWar 5

6 Die IT-Sicherheitssituation heute Eine kritische Bewertung (4/6) Identity Management (2012) Passworte, Passworte, Passworte, sind das Mittel im Internet! Identifikationsbereiche liegen im Unternehmens- und Kundenumfeld, nicht international! Föderationen sind noch nicht verbreitet genug! 6

7 Die IT-Sicherheitssituation heute Eine kritische Bewertung (5/6) Webserver Sicherheit Schlechte Sicherheit auf den Webservern / Webseiten Heute wird Malware hauptsächlich über Webseiten verteilt (ca. 2.5 % Malware auf den deutschen gemessen Webseiten) Gründe für unsichere Webseiten Viele Webseiten sind nicht sicher implementiert! Patches werden nicht oder sehr spät eingespielt Firmen geben kein Geld für IT-Sicherheit aus! Verantwortliche kennen das Problem nicht! 7

8 Die IT-Sicherheitssituation heute Eine kritische Bewertung (6/6) Internet-Nutzer Internet-Nutzer müssen die Gefahren des Internets kennen, sonst schaden sie sich und anderen! Umfrage BITKOM: (2012) Fast jeder dritte Internet-Nutzer schützt sich nicht angemessen! - keine Personal Firewall (30 %) - keine Anti-Malware (28 %) - gehen sorglos mit s und Links um - usw. Studie Messaging Anti-Abuse Working Group : 57 Prozent der Befragten haben schon einmal Spam-Mails geöffnet oder einen darin enthaltenen Link angeklickt. 8

9 Smartphone 9

10 Am Anfang war 10

11 Mehr und mehr Funktionen 11

12 Smartphones und Co. Vorteile (1/2) Das Internet mit seinen zentralen Diensten ist stets und überall verfügbar! Smartphones sind Always-On Vielfältige Kommunikationsschnittstellen UMTS/LTE, WLAN, Bluetooth, NFC, Multifunktional Handy, Navi, Musik/TV-Gerät, Medizin-/Gesundheitsgerät, Zugang zum Unternehmen, Internet-Dienste, universeller Computer/Apps Einfach, schnell und intelligent über Touchscreens zu bedienen Einfacher als Notebooks/PCs Local Based Service innovative Vor-Ort-Dienste 12

13 Smartphones und Co. Vorteile (2/2) Immer leistungsstärkere mobile Geräte im Hosentaschenformat Beispiel am Samsung Exynos 4412 (Plattform S3): 4x1.4 GHz CPU mit integrierter Hochleistungs-Grafikeinheit inkl. 3D Beschleunigung, 1 GB Ram + HD 720p Display 64 Gbyte emmc Speicher + 64GB MicroSD LTE 100 MBit 8 MPx Kamera inkl. FULL HD Video de/encoding Optimale auf einander abgestimmte Leistung, bei minimalem Energieverbrauch 13

14 Smartphones und Co. Steigender Wert Für viele wichtige Personen schon das einzige IT-Gerät Alle wichtigen Daten sind auf dem mobilen Gerät Preislisten, Finanzdaten, Strategiedaten, s, SMS, Kontakte, Positionsdaten, Zugangsdaten (Unternehmen, soziale Netze, Banken, ) 14

15 Sicherheitslücken Neue Angriffsvektoren 15

16 Lagebild zur Bedrohung Verlieren der mobilen Geräte (1/8) Ständig wechselnde unsichere Umgebungen Flughäfen, Bahnhöfe, Cafés, im Vergleich zum Computer auf dem Schreibtisch! Die Wahrscheinlichkeit des unabsichtlichen Verlustes wird deutlich höher! Handy-Statistik Taxis in London: im Jahr Gezielter Diebstahl - neues Beschäftigungsfeld von Taschendieben. 16

17 Lagebild zur Bedrohung Bewegungsprofilbildung (2/8) Das Smartphone ist auch ein Ortungsgerät (Basis-Stationen (GSM, UMTS/LTE), GPS, Hotspots, bieten Geodaten) Über kostenlose Apps kommen viele an die Positionen des Besitzers Risiken 17

18 Lagebild zur Bedrohung Apps als Spyware (3/8) Trend: Masse statt Klasse Mehr als Apps (pro: Apple Store, Play Store, ) Geschäftsmodell: App gegen persönliche Daten Unnötige Informationsweitergabe der Apps (Telefonbuch, Geodaten, ) Jeder sagt ja (Zustimmungspflicht)! Apps als Malware (Diktier-App, ) Die Malfunktion in der App läuft unsichtbar im Hintergrund Spyware Die Spyware läuft unsichtbar im Hintergrund Mitlesen von SMSs, Nutzen als flexible remote Wanze 18

19 Lagebild zur Bedrohung Öffentliche Einsicht (4/8) Einfache Möglichkeit der Einsichtnahme in der Öffentlichkeit Flughäfen, Bahnhöfe, Cafés, Die Nachbarn im Flugzeug, in der Bahn, im Bus, auf Konferenz, Tagungen, usw. 19

20 Lagebild zur Bedrohung Falsche /manipulierte Hotspots (5/8) Hotspots werden verwendet, um mal schnell s zu checken, insbesondere auch im Ausland. Wir können nicht einfach entscheiden, wem ein Hotspot gehört und ob er vertrauenswürdig arbeitet. Man-In-The-Middle Angriff (Passwörter, Übernahme von Sessions, ) Jailbreak von iphones 20

21 Lagebild zur Bedrohung Bring Your Own Devices (6/8) Die meisten mobilen Geräte werden für den Konsumer-Markt erstellt (Apple iphone 4S: mehr als 250 Mio. Geräte) Strategie: Dümmster anzunehmender Benutzer Erst mal funktioniert alles, wenn der Benutzer mehr Sicherheit möchte, dann muss er Einschränkungen vornehmen Business-Strategie: Es funktioniert erst mal gar nichts und der Benutzer muss Funktionen freischalten! 21

22 Lagebild zur Bedrohung Poor Keyboard (7/8) 22

23 poor KEYBOARD => poor PASSWORD 23

24 Lagebild zur Bedrohung Störungen im Minutentakt (8/8) , Facebook, Twitter, Chatprogramme, Spiegel, Berufliche Dinge, aber zunehmend auch private Ereignisse Wie arbeitet das Gehirn? Die Infos vom Kurzzeitgedächtnis müssen ins Langzeitgedächtnis Das braucht Zeit! Mit diesem Übergang werden die Synapsen gebildet Dadurch wird individuelles Wissen vereint Das unterscheidet uns vom sogenanntem Google-Wissen! 24

25 Wie lösen wir das Problem? Technik Mensch 25

26 Sicherheit von Smartphones & Co Übersicht (1/2) Mobile Device Management Systeme (Afaria, MobileIron, Ubitex, ) Remote Löschen und Deaktivieren Kennwortrichtlinien umsetzen Installation von Apps beschränken Verschlüsselung der gespeicherten Daten Wiederfinden über Geodaten Backups Sichere Nutzung von Unternehmensressourcen VPN-Zugänge Unternehmens s Kalender Kontakte Web-basierte Unternehmensdienste wie z.b. CRM Ins Internet (Hotspot, ) 26

27 Sicherheit von Smartphones & Co Übersicht (2/2) Vertrauenswürdige App-Stores Herstellererklärung (Daten, die genutzt werden; Funktionen, ) Testen der Apps (Verhalten, O/Q-Code-Analyse, Kommunikation, ) Reputationssystem Aufklärung der Nutzer Verlust, Einsichtnahme, Positionierung, Vertrauenswürdige Hotspots, Nutzung von Apps und deren Gefahren 27

28 Trusted Smartphone Sicherheitslösung für die Zukunft Vertrauenswürdige Systeme und Sicherheitsplattformen Isolation kritischer Komponenten Private App OS Platform Kontrolle aller Informationsflüsse zwischen den Komponenten sowie Kontrolle des Zugriffs von Komponenten auf Hardwareschnittstellen. Integritätsprüfung der verwendeten Komponenten. Business App 28

29 Trusted Smartphone Hypervisor / μkernel Domain A Domain B Aspekte: Wiederverwendung von Treibern Performance-Probleme (Akku-Laufzeiten) kaum verfügbarer Hardware-Spezifikationen schnelle Hardware-Entwicklungszyklen Aber sehr sicher! Z.B. SIMKO (T-System) 29 Apps Middleware Kernel Hypervisor / μkernel Apps Middleware Kernel

30 Trusted Smartphone Trennung auf Middleware - Capabilities Aspekte: Domain A Apps Sehr gute Performance Keine Probleme mit Akku-Laufzeiten BizzTrust (Sirrix AG, Fraunhofer SIT) Middleware Kernel Domain B Apps Extension 30

31 Fazit und Ausblick 31

32 OpenID-Provider Neuer Personalausweis 32

33 Der Marktplatz IT-Sicherheit 33

34 Lagebild zur Bedrohung der Unternehmenssicherheit durch Smartphones & Co Vielen Dank für Ihre Aufmerksamkeit Fragen? Prof. Dr. (TU NN) Norbert Pohlmann Institut für Internet-Sicherheit if(is) Westfälische Hochschule, Gelsenkirchen