Sicherheitsaspekte beim Mobile Computing

Transkript

1 Sicherheitsaspekte beim Mobile Computing Horst Flätgen Bundesamt für Sicherheit in der Informationstechnik (BSI) Bonn, 9. Mai

2 Aufbrechen der Sicherheitsstruktur durch mobile Endgeräte 2

3 Verbreitung Smartphones Januar

4 Risiko Smartphone

5 Vom Smartphone ins Firmennetzwerk via Symbian: 3 % Windows Mobile/ Windows Phone: 18 % Apple/IOS: 30 % Android: 21 % BlackBerry: 29 % Quelle: Studie The Impact of Mobile Devices on Information Security, Januar

6 Angriffsszenarien auf mobile Endgeräte Szenario: Diebstahl, (zeitweiser) Verlust Sicherheitsmechnismen wirkungslos Angriff in fünf Minuten durchführbar Absaugen des Dateisystems mittels eines fremden Rechners Installation von Schadsoftware/Apps itunes Verbindung zur Hintergrundinfrastruktur notwendig Undokumentierter Datenabgleich Verbindliche Zustimmung in den AGB verankert WLAN oder GSM Über Schwachstellen sind Angriffe ohne Kabel über WLAN oder GSM möglich Lokal ist Angriff durch WLAN-Maskerade ohne Kabel zu erwarten Bedrohte Informationen Bei Absaugen des Dateisystems s Kontakte Termine/Kalender Lokalisierungsinformationen Bewegungsprofile Sonstige Daten, z.b. Fotos Bei Installation von Schadsoftware/Apps Telefonate Raumgespräche Echtzeitlokalisation Unbemerkter Versand von Daten an Dritte (siehe oben) 6

7 Angriffsszenarien auf mobile Endgeräte: FlexiSPY Spycall (Babyruf) Spiegelung von SMS und Protokollierung der Verbindungsdaten Speicherung der Zellinformationen GPS-Ortung Dreierkonferenz, d.h. Mithören eines Gespräches 7

8 Angriffsszenarien auf mobile Endgeräte: FlexiSPY GPS-Ortung 8

9 Lösungen für die Regierungskommunikation Aufgaben des BSI: Erstellt Sicherheitsanforderungen für sichere Lösungen Prüft und bewertet Lösungen Berät Anwender und Hersteller Lässt Lösungen entwickeln (falls kommerzielle Lösungen nicht verfügbar sind) 9

10 Sichere mobile Arbeitsplätze SINA-Produktportfolio: Seit über zehn Jahren im nationalen und internationalen Behördeneinsatz Verwendung bei der Bundeswehr Sicherheitslösung zum Schutz unterschiedlich klassifizierter Daten Gemeinschaftliche Entwicklung des BSI und der Secunet AG 10

11 Sichere mobile Arbeitsplätze GeNUCard: Mobile Security Device für Laptops VPN für Datenkommunikation Authentisierung über Smartcard Integrierte Firewall für Verbindungskontrolle GeNUCard 2 im Zulassungsverfahren beim BSI 11

12 Grundsätzliche Erkenntnisse Fachverfahren häufig außerhalb der Standard-IT kein einheitlicher Sicherheitsprozess Gefahrenfaktoren direkte Internet-Anbindung prinzipiell angreifbar Anbindung an das Hausnetz Verbindungen zu weiteren Netzen Kein Patch-Management Vorhandene Sicherheitsmechanismen werden nicht genutzt 12

13 Welche Kernfragen müssen wir uns stellen? Ist das IT-Verfahren direkt mit dem Internet verbunden? Sind die Informationen in dem IT-Verfahren oder in anderen, damit vernetzten IT-Verfahren, besonders sensitiv hinsichtlich der Vertraulichkeit/Integrität? Ist das IT-Verfahren oder ein anderes, damit vernetztes IT-Verfahren, besonders kritisch für die Handlungsfähigkeit des Staates (hinsichtlich Verfügbarkeit)? 13

14 Typische Sicherheitsmängel aus IS-Revisionen (1/2) Geringe Verantwortungsübernahme für das Thema Informationssicherheit durch Führungskräfte Unvollständige, inkonsistente und nicht an der Vorgehensweise des BSI Standards orientierte Sicherheitskonzepte Keine rechtzeitige Einbindung der IT-Sicherheitsbeauftragten in Beschaffungen und Projekte Keine oder unzureichende Schulung und Sensibilisierung, insbesondere für die Zielgruppe der normalen Mitarbeiter Lückenhafte Überwachung des physischen Zutritts zu Gebäuden und unzureichende Kontrolle von Besuchern sowie Reinigungskräften 14

15 Typische Sicherheitsmängel aus IS-Revisionen (2/2) Veraltete Release-Stände von Betriebssystemen und Applikationen sowie Deaktivierung verfügbarer Sicherheitsmechanismen Keine Netzwerkzugangskontrolle, die ausschließlich autorisierten dienstlichen Endgeräten den Zugang zum Behördennetz ermöglicht Keine, beziehungsweise unzureichende Maßnahmen zu Netzwerkmanagement und -überwachung Keine Schnittstellenkontrolle und Verschlüsselung mobiler Datenträger und mobiler Endgeräte Kein angemessenes Änderungs- und Versionsmanagement 15

16 Prävention 16

17 Vielen Dank! Horst Flätgen Bundesamt für Sicherheit in der Informationstechnik (BSI) Bonn, 9. Mai