Secure Mobility Sicher mobiler Zugriff auf Business Anwendungen mit Smartphones und Tablets

Transkript

1 Secure Mobility Sicher mobiler Zugriff auf Business Anwendungen mit Smartphones und Tablets Dr. Ralf Stodt Senior Consultant Business Development, CISSP Endpoint Security & IAM

2 Absicherung mobiler Geschäftsprozesse 3-Stufen Architektur Endgerät Anwender und Applikation Infrastruktur

3 Smartphones im Unternehmen RIM Windows Blackberry Symbian

4 Smartphones im Unternehmen - gestern Apple Palm Android iphone RIM Pre Moto Cliq Windows Blackberry Symbian Samsung Jack i637 Nokia E71x

5 Smartphones im Unternehmen und heute Apple Palm Android HTC Hero HTC G1/G2 iphone ipod Touch RIM Pixie Pre Moto Cliq Samsung Galaxy Windows Blackberry Symbian HTC Ozone HTC Touch Pro2 Samsung Jack i637 Nokia E71x Nokia E75

6 Smartphones im Unternehmen und morgen? Apple Palm Android HTC Hero HTC G1/G2 iphone ipod Touch RIM Pixie Pre Moto Cliq Samsung Galaxy WeTAP Windows Blackberry Symbian HTC Ozone HTC Touch Pro2 Samsung Jack i637 Nokia E71x Nokia E75 Nokia C7

7 Smartphones im Unternehmen - Risiken Risiken beim Einsatz von mobilen Geräten Diebstahl/Verlust des Gerätes Abhören der Datenübertragung Einschleusen von schadhaftem Code auf das Handheld Synchronisation mit kompromittierten Handhelds Missbrauch des Gerätes für unautorisierten Zugang zum Firmennetzwerk Defekt des Handhelds Dialer Mischbetrieb privaten und geschäftlichen Daten ( Bring your own device )

8 Smartphone Sicherheit Sicherheitsfunktionen Mobile Devices Mobile Plattformen verfügen über valide Sicherheitskonzepte Code Signing Sandboxing Data Execution Prevention Virtualisierung Mandatory Acces Control Lockdown Windows mobile Konfigurationsmöglichkeiten zur Absicherung Hängen vom Anbieter ab Sehr unterschiedlich bei den verschiedenen Plattformen Android/iOS/Phone7 geraten zunehmend in das Visier von Cyberkriminellen

9 Anforderungen Mobile Device Management Anforderungen Mobile Security (Device) Authentifizierung des Anwenders Verschlüsselung (interner und externer Speicher) Device Wipe (Remote oder Lokal) OTA Deployment Remote Help und Self Service Sichere Datenübertragung Software Distribution Schnittstellenkontrolle Antivirus / Malwareschutz Applikationssteuerung Patch-Mechanismen für die mobile Plattform

10 Absicherung mobiler Geschäftsprozesse 3-Stufen Architektur Endgerät Anwender und Applikation Infrastruktur

11 Lösungsszenario Applikationscontainer Funktionsprinzip Persönliche Daten Geschützte Daten Endgeräte bleiben persönlich Keine Veränderungen durch Geschäftsdaten Rechtfertigt geteilte Kosten Trennung der Geschäftsdaten Verschlüsselung Passwort Remote Wipe (selektiv) Ungehinderter Zugriff auf private Funktionen Applikationen, Bilder Zugriff auf Firmen Daten Kontakte Kalender Globales Adressbuch

12 Ausprägungsformen Applikationsdesign Von Lightweight bis zu komplexen Apps Lokale Datenhaltung Always Online Almost Online Offline Komplexität des Szenarios Konsumierend Komplexe Logik und Datenrückgabe Multi Devices Player- Konzept Erweiterte Queue- und Message- Konzepte Native App lokale DB

13 Sicherheitsanforderungen für die App-Entwicklung Sicherheitsaspekte bei App-Entwicklung Beispiel mit Verbesserungsbedarf Mobile App Verzicht auf Speicherung zu Komfortzwecken Berücksichtigung Passwort Policy in Apps Passwortabfrage bei: Start, Task-Wechsel und Sleep-Modus Benutzer-, Gerätesperre und Löschung App bei Fehlversuchen Verschlüsselte Kommunikation Prüfung der Zertifikatsinhalte

14 Sicherheitsanforderungen für die App-Entwicklung Sicherheitsaspekte bei lokaler Datenbank Mobile App Notwendigkeit lokaler Datenhaltung prüfen Verschlüsselung und Bindung der Datenbank ans Gerät Daten zur Laufzeit nicht unverschlüsselt ablegen Gerätedaten lassen sich nicht komplett verhindern! Snapshot Tastatureingaben Daten in anderen Apps z.b. Google Maps

15 Absicherung mobiler Geschäftsprozesse 3-Stufen Architektur Endgerät Anwender und Applikation Infrastruktur

16 Web Application Firewall & Application Delivery Reverse-Proxy / SSL-Terminierung XML-/SOAP-Gateway Angriffsabwehr Session Mgmt. / Anfragefilterung Browser / App Security Backend- Applications

17 Web Application Firewall & Application Delivery Reverse-Proxy / SSL-Terminierung XML-/SOAP-Gateway Angriffsabwehr = Blacklist (Signaturen-DB) Session Mgmt. / Anfragefilterung = Whitelist (Policy)! Nicht erlaubter Zugriff WAF stoppt illegale Anfragen und Antworten! Nicht erlaubter Informationsfluss Browser / App ICAP WAF erlaubt nur legitime Anfragen Backend- Applications AV-Scanner

18 Web Application Firewall & Application Delivery Zentrale (starke) Authentisierung Web Single Sign On Zentrale Autorisierung Massenauthentifizierung Browser / App Security Backend- Applications

19 Diskussion