Mobile Security. Live-Hacking. Thomas Haase Laurenz Hommel

Transkript

1 Mobile Security Live-Hacking Thomas Haase Laurenz Hommel

2 EINFÜHRUNG

3 Verbreitung #1 Smartphone-Benutzer: [1] Weltweit: 1,76 Mrd. Deutschland: 40,4 Mio. Große Nutzerbasis und Potentiale zur Ausnutzung von Sicherheitslücken Verschiedene Plattformen: Android, ios, Windows Phone, BlackBerry OS, Android und ios Marktanteil: 95% Homogenität führt zu breiter Impact von Sicherheitslücken 3

4 Verbreitung #2 Marktanteile (Welt) [2] Andere 0,7% Blackberry OS 0,8% Windows Phone 3,5% ios 14,8% Android 80,2% 0,0% 20,0% 40,0% 60,0% 80,0% 100,0% 4

5 Mobile Endgeräte #1 Immer verfügbar und dauerhaft beim Benutzer Starke personenbezogene Nutzung Zunehmende Konvergenz beruflicher und privater Nutzung Begrenzte Ressourcen mit möglichst umfassender Funktionalität: Telefonie, Internet, , Office, Kamera, Radio, Barcodeleser, Musik, Chat, Video, Kontakte, Fotos, Passwörter, Banking, Dokumente, Fitness, Gesundheit, Ernährung,... 5

6 Mobile Endgeräte #2 Zentrierung wesentlicher Funktionen und Daten in einem personenbezogenen Gerät Dauerhafte Verbindung zum Internet und Fokussierung auf Vernetzung Mobiler Datenaustausch zwischen eigenen und fremden Geräten Herausforderung: Daten-Synchronisation und Einbindung von Cloud-Lösungen Datenhoheit liegt nicht länger beim Benutzer 6

7 Mobile Daten Große Datenmengen Persönliche Daten (Fotos, Videos, Musik, Chats, s, Standortdaten, Kontakte, Surfhistorie, ) Lokal auf dem Gerät Auf Backend-Servern von Apps Auf Cloud-Speicher-Diensten (icloud, OneDrive, Google Drive, Dropbox, ) Verschiedene Übertragungswege: Internet, WLAN, Bluetooth, SD-Karten, 7

8 SICHERHEIT MOBILER GERÄTE

9 Motive von Angreifern #1 Datendiebstahl Fotos, Videos, Chatlogs, App-Daten, Cloudspeicher, Kontakte, , Geschäftsdaten, Überwachung / Spionage Kamera, Mikrofon, Datenströme, Kommunikation, Informationen, Monetäre Interessen Online Bankkonten Installation von Adware / Malware / Trojanern / Ransomware Premium-Rufnummern in Anspruch nehmen Abgreifen von Onlinezugängen (Facebook, Banking, etc.) 9

10 Motive von Angreifern #2 Impersonifizierung Versenden von s, SMS, Chats im Namen des Besitzers Social Engineering Einbindung in Botnets DDoS, Verteilung weiterer Malware, Entry-Point um weitere Systeme zu kompromittieren (Firmennetz, Backends, ) 10

11 Angriffsvektoren Physische Kanäle: Mobilfunkanbindung, WLAN, Bluetooth, NFC/RFID, FM Radio, QR- Codes Externe USB-Geräte (Dockingstations, ), Benutzereingaben, SD-Karten Logische / Interne Kanäle: Webseiten, SMS, s, Kontaktdaten, Metadaten in Bildern, Videos, MP3, Medien-Streams Direkte Code-Kanäle: Bösartige Apps Sicherheitslücken in Software System-Updates 11

12 Angriffe auf smartphones 12

13 Angriffe auf smartphones 1. Serverseitige Schwachstellen 2. Unsichere Datenspeicherung 3. Netzwerk-Angriffe 4. Schlechte Authentifizierung und Rechteprüfung 5. Schwache Kryptographie 6. Einschleusen von Code 7. Direkter Angriff und Manipulation von Apps 13

14 1: Serverseitige Schwachstellen Apps kommunizieren häufig mit Backend-Servern im Internet / Backoffice Über Input in Apps oder einen manipulierten Datenstrom kann das Backend angegriffen werden Ein Angreifer kann darüber Zugang zu den Backend / BackOffice Systemen der App erhalten Das mobile Endgerät dient in diesem Szenario als verlängerter Eintrittspunkt in die dahinter liegenden Systeme App und Backendsysteme müssen insgesamt sicher gestaltet werden 14

15 2: Unsichere Datenspeicherung Datenspeicherung auf Geräten, App-Servern oder Cloud- Speichern möglich Daten auf externen Servern oder Cloud-Speichern entziehen sich der Kontrolle des Benutzers und stellen damit ein mögliches Ziel für Angreifer dar Lokale Speicherung ist unsicher, da ggf. fremde Apps auf diese Daten zugreifen können Installierte Apps können unfreiwillig sensible Daten preis geben 15

16 3: Netzwerk-Angriffe Erfordert keinen direkten Zugriff auf das Gerät Ziel sind Internet, WLAN, Bluetooth, NFC Daten- Verbindungen Nutzt Schwachstellen in der Art der Datenübertragung aus Etwa die fehlende Verschlüsselung der Verbindung Direktes mitlesen der Daten und somit Abgreifen von Informationen, Passwörtern, Dokumenten, etc. Manipulation des Datenstroms Umleiten auf andere Internetseiten Einschleusen von Schadcode Einschleusen von Tokens zur Überwachung 16

17 4: Schlechte Authentifizierung und Rechteprüfung Eigenheiten mobiler Geräte führen zu spezifischen Authentifizierungsmaßnahmen Kleiner Formfaktor begünstigt schwache Passwörter (etwa 4 stelliger PIN, Musterzeichnung, Fingerabdruck) Instabile Internetverbindungen müssen berücksichtigt werden, so dass Apps auch offline funktionieren Erlaubt es Angreifern unerlaubt Funktionen in Apps oder deren Backends auszuführen Im Namen eines regulären Benutzers Binär-Angriffe auf Apps erleichtern das Aushebeln des Zugriffsschutzes 17

18 5: Schwache Kryptographie SSL/TLS, VPNs, Verschlüsselung, Festplatten, Passwörter, Betrifft Die Absicherung von Verbindungen Die Authentifizierung (Login) von Benutzern Speicherung auf dem Gerät, Backend Systemen und Cloud-Diensten Führt Zum Abgreifen / Mitlesen von Daten Dem Entschlüsseln gespeicherter Daten Der Manipulation von Datenverbindungen Umgehung von Logins / Sicherheitsmaßnahmen 18

19 6: Einschleusen von Code Über ungesicherte Eingabe-Kanäle wird Code in das mobile Endgerät eingeschleust, der dort zur Ausführung gebracht wird Ein Angreifer kann eigenen Programmcode ausführen und sich Zugang zum Gerät verschaffen Im Kontrast zu klassischen Computern gibt es mehr Schnittstellen nach außen, über die Code in das Gerät eingeschleust werden kann: Internetseiten, Apps, QR-Codes, RFID/NFC Tags, 19

20 Beispiel: webviews und html5 Mit WebViews können Apps selbst einen Web-Browser integrieren Möglichkeit der Einbindung von Inhalten über verschiedene Plattformen hinweg WebViews können JavaScript-Code ausführen Daher potentieller Angriffsvektor auf das Smartphone Daten/Skripte werden aus dem Internet auf das Gerät geladen und dort ausgeführt Der Datenstrom zwischen Servern und Smartphone kann manipuliert werden (einschleusen von Schadcode in Datenstrom) 20

21 7: Binärangriffe Angreifer analysieren den binären Programmcode von Apps Modifikation und Einschleusen von eigenen Schadcode Einfügen von künstlichen Schwachstellen Verschaffen von Zugängen zum Gerät Einblenden von Werbung Reverse Engineering mit dem Ziel Sensitive Informationen aus der App herauszulesen Erkenntnisse über den internen Aufbau der App gewinnen Nachahmen / Nachbau von Apps 21

22 LEISTUNGEN DER MMS

23 T-SYSTEMS MULTIMEDIA SOLUTIONS Vielen Dank Wir helfen gerne weiter Laurenz Hommel +49 (0) Riesaer Straße 5, Dresden Thomas Haase +49 (0) Riesaer Straße 5, Dresden

24 Quellen [1] Smartphonenutzer: [2] Marktanteile: [3] [4] Weitere Bilder von [5] Weltkarte: 24