ios Security Digicomp Hacking Day 2013 Zur meiner Person 5/16/13 1 marco.bolliger@infotrust.ch Marco Bolliger

Transkript

1 Digicomp Hacking Day 2013 ios Security Zur meiner Person Marco Bolliger Zur Person: Head Client-/Server Security und Gründungsmitglied der InfoTrust AG Studium EMBA / FH Studium Elektroingenieur / HTL >10 Jahre IT-Security-Erfahrung Meine Kontaktdaten: T marco.bolliger@infotrust.ch 2 5/16/13 1

2 Zur InfoTrust AG Gründung 2002 Gesellschaftsform Umsatz 100% selbstfinanzierte AG 12.5 Mio. CHF Mitarbeiter 31 Kunden 150 InfoTrust Lösungen & Services 5/16/13 2

3 InfoTrust Partner Ziele Was sind die Herausforderungen beim Einsatz mobiler Geräte? Überblick der Sicherheitsmöglichkeiten von iphone/ipad Mit welchen Lösungsansätzen kann die Sicherheit zusätzlich erhöht werden? Wo liegen die Grenzen dieser Lösungsansätze (Security vs. Usability)? Aufzeigen einer Checkliste für den sicheren Businesseinsatz Förderung der Awareness 5/16/13 3

4 Mobile Device Market 1.7 Milliarden verkaufte Mobile Devices in 2012 (1.8 Milliarden im 2011) (Quelle: Gartner Feb. 2013) davon 721 Millionen Smartphones (472 Millionen im 2011, 296 Millionen im 2010) Wer entscheidet, welches mobile Gerät im Unternehmen zum Einsatz kommt? Nokia 7110 BlackBerry PocketPC iphone Android ipad WP8 BB 10 7 Mobile OS Weltweite Verteilung 8 5/16/13 4

5 Mobile OS Weltweite Verteilung 9 Mobile OS Schweiz 10 5/16/13 5

6 Mobile OS Schweiz 11 Herausforderungen für die IT Abteilung Welche mobilen Plattformen sollen unterstützt werden, wer entscheidet dies? Wem gehören die mobilen Geräte (BYOD)? Auf welche Unternehmensdaten wird ein mobiler Zugriff erlaubt? Schutz der Daten auf den mobilen Geräten Trennung zwischen Privat- und Unternehmensdaten Rollout der eigenen Policy und Unternehmens-Applikationen (Apps) Massnahmen bei Verlust eines Gerätes bzw. Management der Geräte IT Betrieb bzw. Support 7x24h 12 5/16/13 6

7 Sicherer Zugriff auf Unternehmensdaten Microsoft ActiveSync VPN Virtuelle Desktops Enterprise Apps Eigene Apps Wo sind die Daten? Auf dem Gerät oder im Rechenzentrum? 13 ios Application Security Sichere Architektur durch App Sandbox Kein Zugriff auf Daten einer anderen App Jede App muss digital signiert werden Nur signierte Apps werden ausgeführt ios Developer Program Ad Hoc Distribution bis 100 Geräte Quelle: Apple In-House Verteilung möglich (ios Developer Enterprise) Apps für die Verteilung über den App Store durchlaufen einen Review Prozess von Apple 14 5/16/13 7

8 Apple App Store Verifikation durch Apple Functionality Metadata, ratings and rankings Location Push notifications Game Center iads Trademarks and trade dress Media content User interface Purchasing and currencies Scraping and aggregation Damage to device Personal attacks Violence Objectionable content Privacy Pornography Religion, culture, and ethnicity Contests, sweepstakes, lotteries, and raffles Charities and contributions Legal requirements 15 Quelle: Apple Guidelines October 2011 ios Sicherheitsfunktionen Device Security Zugriffschutz mittels Passcode Data Protection Encryption (ab iphone 3GS/iOS 4.0, erweitert in ios 5.0) Policy Enforcement und Device Restrictions Secure Device Configuration verschlüsselte Configuration Profiles Remote und Local Wipe (basierend auf Full Disk Encryption) Network Security VPN, SSL/TLS und WPA/WPA2 Secure Authentication Framework Keychain x509v3 Zertifikate Security Framework (API) 16 5/16/13 8

9 Malware auf mobilen Geräten Q2/2011 Q1/2012 Quelle: McAfee Threats Reports 17 Q4/2012 ios Sicherheitslücken und Malware Aurora Feint (Juli 2008) Kontaktdaten vom Adressbuch wurden ungefragt auf den Server der Entwickler geladen Storm8 (November 2009) Upload der Telefonnummer des Gerätes MogoRoad (September 2009) Transfer der Telefonnummer an Entwickler iphoneos.ikee Worm (November 2009) Nur auf Geräten mit Jailbreak PDF/Buffer Overflow (Juli 2011) Root-Rechte, behoben mit ios ipad 2 Cover (Oktober 2011) Gerätesperre auf einem ipad 2 mit ios 5 lässt sich mit dem Smart-Cover teilweise umgehen iphone (August 2012) Versand von SMS mit gefälschten Absendern eventuell möglich Lockscreen Bypass (Februar 2013) Gerätesperre kann umgangen werden mit Notruffunktion 18 5/16/13 9

10 Jailbreak Sicherheitsmechanismen und Restriktionen des ios umgehen Erlangen von Root-Rechten (uneingeschränkter Zugang auf das System) Eigene Applikationen installieren Ausnutzen einer Sicherheitslücke Resultat: Sicherheitsrisiken entstehen! 19 Data Protection Verschlüsselte Dateien Device Key (Hardware) Passcode (User) Class Key File Meta Data File Key Protected File Key Chain Sicherer Speicherplatz für Schlüssel, Passwörter, Zugangsdaten, Applikation hat nur Zugang auf eigene Daten 20 5/16/13 10

11 Live Demo Bruteforce Attacke auf Daten 1 2 Boot des iphones im SSH Verbindung DFU Modus mit aufbauen über USB modifiziertem OS Anschluss 3 Mounten der internen Systemund Daten-Disks 4 5 Zugriff nur auf Bruteforce ungeschützte Dateien Attacke, um Passcode möglich zu erraten 6 Zugriff auch auf geschützte Dateien möglich 21 Bruteforce Erfolge nach Passwortlänge 4 Stellen numerisch : max. 30 Minuten 6 Stellen numerisch : max. 50 Stunden 8 Stellen numerisch : max. 208 Tage 6 Stellen alphanumerisch : max. 360 Jahre iphone 4, im extremsten Fall, ohne Ausschlüsse 22 5/16/13 11

12 Backup Backup wird in itunes erstellt (ios 4), ab ios 5 auch in icloud möglich Der Benutzer des Geräts erstellt sein Backup oftmals auf einem privaten Rechner ohne definierten Schutz Der Schutz der Backup-Daten wird dem Benutzer überlassen (Zugriff, Verschlüsselung, Passwortschutz) Backups bringen potentiell sensible Daten auf einen unsicheren Rechner 23 Backup Backups können verschlüsselt abgelegt werden dringend empfohlen Der Schutz ist abhängig von der Passwortstärke des Backup-Passworts Verschlüsselung des Backups wird erzwungen, sobald Zertifikate auf dem System installiert sind Angriffspunkt: Bruteforce Attacken, mit denen das Passwort offline erraten wird. Escrow Keybag ermöglicht Synchronisation und Backup von gelockten Devices ermöglicht auch Zugriff auf Dateien 24 5/16/13 12

13 Live Demo Backup Datei auslesen 25 Mobile Device Management - MDM Daten auf die mobilen Geräte synchronisieren Betriebssystemeinstellungen vom ios zentral konfigurieren Sicherheitspolicies umsetzen Geräte überwachen und inventarisieren Geräte oder Daten löschen von Remote 26 5/16/13 13

14 Gerätemanagement 3 Ansätze Manuelles erstellen und verteilen von Profilen mit dem Apple iphone Configuration Utility (.mobileconfig Dateien) Configuration Utility via USB Download mit Safari Browser Versand via Exchange Active Sync Policies Serverbasierte Lösung mit Mobile Device Management Server (Dritthersteller) 27 Gerätemanagement 3 Ansätze Manuelle Konfiguration Exchange ActiveSync MDM System Ausrollprozess Aufwändig Einfach Sehr Einfach Überwachung Gerätestatus Remote Administration (lock, wipe, reset, update) Sicherheitseinstellungen Policy Updates über die Luft (OTA) 28 5/16/13 14

15 Checkliste für den sicheren Businesseinsatz Security Policy und Benutzungsrichtlinien für mobile Geräte Benutzer Awareness Jailbreak und Einsatz im Unternehmen passen nicht zusammen Passcode mindestens 8 Stellen (nummerisch) Backup-Passwort gesetzt, d.h. Backup wird verschlüsselt Zentrales Mobile Device Management Compliance Prüfung und Reporting Definition wo die Daten liegen 29 Vielen Dank für Ihre Aufmerksamkeit. Haben Sie noch Fragen??? 5/16/13 15