Lösungen für die abgesicherte Kommunikation auf mobilen Endgeräten Köln-Wahn, 23. Oktober 2013 Andreas Schiel Projektmanager Geschäftseinheit Einsatzsysteme Division Missionssysteme Land / See
Agenda Abgesicherte Kommunikation auf mobilen Endgeräten 1. Vorstellung Geschäftseinheit Einsatzsysteme 2. Motivation: TARANIS Smart 3. Betrachtung einzelner Lösungen Apple ios Google Android Blackberry 10 4. Zusammenfassung 2
Agenda Abgesicherte Kommunikation auf mobilen Endgeräten 1. Vorstellung Geschäftseinheit Einsatzsysteme 2. Motivation: TARANIS Smart 3. Betrachtung einzelner Lösungen Apple ios Google Android Blackberry 10 4. Zusammenfassung 3
Vorstellung Geschäftseinheit Einsatzsysteme Division Missionssysteme Land/See Operations Einsatzsysteme Logistics Supply Management Militär & Industrie Information Systems Information & Geo-IT Center of Competence Systems Engineering Führungssysteme Product Lifecycle Management Applications & Solutions Integration & Services 4
Führungs- und Waffeneinsatzsystem Vorstellung Geschäftseinheit Einsatzsysteme Streitkräftegemeinsame Taktische Feuerunterstützung mit ADLER DVA STF Effektive und effiziente Umsetzung aller STF-Prozesse Echtzeitnaher Informationsaustausch Verbindung aller relevanten Aufklärungsund Wirkmittel Gemeinsames Lagebild Flexibilität und Reaktionsschnelligkeit im Einsatz über alle Führungsebenen Integrierte Schnittstelle zu internationalen FüWES (ASCA) Einsatz im mobilen und hochmobilen Umfeld 5
Führungsunterstützung für die letzte Meile Vorstellung Geschäftseinheit Einsatzsysteme Kommunikations- und Führungsausstattung KOMMFAST Kartenzentriertes, für Touchbedienung optimiertes Führungssystem für den Einsatzgebiet letzte Meile Schnelle, sichere und einfache Bedienung Flexible, schnelle, sichere Kommunikation Einfachste Konfiguration durch Nutzer (auch im Betrieb) Automatische Priorisierung, Routing und Verarbeitung Unterstützt eine große Bandbreite von Kommunikationsmitteln und Navigationsanlagen Schlank, modular und skalierbar 6
Joint Fire Support und SstTrp TDL JFS EEB Vorstellung Geschäftseinheit Einsatzsysteme Schnittstellentrupp Taktische Datenlinks Joint Fire Support Trägerplattform für die Informations- und Kommunikationssysteme der JFSCG Ausstattung mit weitreichenden, sicheren Kommunikationsmitteln TDL-Anbindung für das Heer Technische Anbindung des Heeres an Luftwaffe und Marine Anbindung an verbündete Streitkräfte Anbindung an Systemverbund STF Trennung von unterschiedlich eingestuften Informationsräumen Sicherstellung der technischen Zusammenarbeit von Systemen unterschiedlicher Einstufung 7
Virtueller Systemsimulator STF Vorstellung Geschäftseinheit Einsatzsysteme Realitätsnahe Ausbildung und Übung für alle STF-Verfahren mit ViS³ Unterstützung der Ausbildung im Bereich Streitkräftegemeinsame Taktische Feuerunterstützung (STF) Kopplung mit der Simulationswelt VBS2 Übung aller STF-Ebenen: durchgängig oder in Ausschnitten von Anforderungsbis Durchführungsebene Reale Darstellung beliebiger Elemente mit FüWES ADLER oder Simulation durch ViS 3 In Nutzung bei der Artillerieschule im Rahmen der ADLER-Lehrgänge und im Bereich Weiterentwicklung für Softwaretests 8
Mobile Führungssysteme Vorstellung Geschäftseinheit Einsatzsysteme Verbessertes Lagebild mit TARANIS Mobile & TARANIS Smart TARANIS Mobile: Mobiles Führungssystem zur Vernetzung von Behörden und Organisationen mit Sicherheitsaufgaben TARANIS Smart: Führungssystem als App für Smartphones und Tablets Verbessertes Lagebewusstsein Beschleunigter Entscheidungsfindungsprozess Schnelle Informationsverteilung Beide Lösungen miteinander interoperabel Einfache und intuitive Bedienung 9
Agenda Abgesicherte Kommunikation auf mobilen Endgeräten 1. Vorstellung Geschäftseinheit Einsatzsysteme 2. Motivation: TARANIS Smart 3. Betrachtung einzelner Lösungen Apple ios Google Android Blackberry 10 4. Zusammenfassung 10
Motivation: TARANIS Smart Network Enabled Solution Suite stationär ADLER DVA STF ADLER Modul ISAF KOMMFAST MOBIFAST mobil MOBIKAN MOBIKOMM MARViOS 11
Motivation: TARANIS Smart Leichtes Command & Control System für Smartphones, Phablets, Tablets Optimiert für den hochmobilen Einsatz Nutzt vorhandene Kommunikationsinfrastruktur (GPRS, UMTS, LTE) Arbeitet verschlüsselt in einer von Netzbetreibern unabhängigen Domäne Gateway zu KOMMFAST (TARANIS - Battlefield) Einfach zu erlernen und zu bedienen Automatische Positionsbestimmung und -übermittlung Flexibel ohne Administration Augmented Reality für verbessertes Lagebewusstsein On-/Offroad-Navigation Einzelmeldung und Chat Verfügbar unter ios, Android (Blackberry 10) 12
Motivation: TARANIS Smart Schutzziele Identifikation und Authentifikation Mit wem habe ich Kontakt? Vertraulichkeit Ist die Information nur für Berechtigte zugänglich? Integrität Erhalte ich die unverfälschte Originalinformation? 13
Motivation: TARANIS Smart Bedrohungen Abhören der IP-Kommunikation über 2G/3G/4G und/oder WiFi Verlust, Diebstahl des mobilen Endgerätes Abhören der Sprachverbindung, von SMS BYOD Apps spähen Daten aus Ausnutzen von Geräteschwachstellen z.b. zur Rights Escalation Zugang zur Firmeninfrastruktur über mobile Endgeräte Benutzer gehen fahrlässig / vorsätzlich mit geschützten Daten um Jailbreaks, Kompromittierte Bootloader, Custom ROMs 14
Motivation: TARANIS Smart Plattform Kommunikationsverschlüsselung Geräteverschlüsselung App Container Sprache Daten Für Router Apple ios --- (per App) VPN, SSL/TLS Blackberry OS 10 Blackberry Secure Workspace Auch für ios und Android --- (work, personal) VPN, SSL/TLS Ipsec, IKE, IKEv2 Google Android --- VPN, SSL/TLS Microsoft Windows Phone 8 Windows RT VoIP Gängige Router (inkl. Cisco) Gängige Router (inkl. Cisco) Eingeschränkt (v.a. Cisco) VoIP SSL/TLS VPN SSL/TLS Windows 8 VoIP VPN SSL/TLS Kein Cisco Gängige Router (inkl. Cisco) HW: Eindeutiger Geräteschlüssel, aber externe Kryptokarte nicht möglich (Jailbreak möglich) Trennung in work- und personal space, work immer verschlüsselt, personal optional, Android Apps nur im personal space; HW: System master key, darauf aufgebaut SW Schlüssel; FIPS 140-2 ; Verifikation des Boot ROM und des OS SW (Root-Zugang und Boot Loader kompromittiert) UEFI Secure Boot, Bitlocker nur verwaltete Geräte, nur SWbasierte Verschlüsselung UEFI Secure Boot, TPM, Bitlocker immer UEFI Secure Boot, TPM, Bitlocker möglich MDM --- VS-NfD Zulassung beste Vorbereitung --- --- --- --- 15
Motivation: TARANIS Smart T-Systems SiMKo3 SecuSmart SecuSUITE Sirrix BizzTrust Vodafone Secure SIM Motorola AME 2000 Samsung Knox Plattform Kommunikationsverschlüsselung Geräteverschlüsselung App Sprache Daten Für Router Container Android SNSover-IP Blackberry SNSover-IP OS 10 Android Optional erhältich Android 4.0, Bb OS 7.1, ios 5 (nur Sprache) SEAndroid SEAndroid Secure Voice Client AES 256/NSA Suite B MDM VS-NfD Zulassung VPN Proprietär HW: Kryptokarte 5/2013 VPN Proprietär HW: Secusmart Security Card 7/2013 VPN k.a. HW: Kryptokarte möglich VPN Je nach OS HW: SIM-Karte möglich VPN, IPSec NSA Suite B? Keine Per-app Angaben VPN IPSec, NSA Suite B Eingeschr. (v.a. Cisco) Gängige Router (inkl. Cisco) HW: Motorola CRYPTR Kryptokarte (FIPS 140-2 Level 3 and Suite B) HW und SW: Zertifikats-Hash im ROM, ARM TrustZone mit TrustZone-based Integrity Measurement Architecture (TIMA); FIPS 140-2 Aber: US federal agencys Aber: USDoD approval AME: Assured Mobile Environment SEAndroid: Security Enhanced Android 16
Agenda Abgesicherte Kommunikation auf mobilen Endgeräten 1. Vorstellung Geschäftseinheit Einsatzsysteme 2. Motivation: TARANIS Smart 3. Betrachtung einzelner Lösungen Apple ios Google Android Blackberry 10 4. Zusammenfassung 17
Betrachtung einzelner Lösungen Apple ios Plattform Kommunikationsverschlüsselung Geräteverschlüsselung App Container Sprache Daten Für Router Apple ios --- (per App) VPN, SSL/TLS Gängige Router (inkl. Cisco) HW: Eindeutiger Geräteschlüssel, aber externe Kryptokarte nicht möglich (Jailbreak möglich) MDM --- VS-NfD Zulassung Merkmale Positiv: Hohe Härtung des Betriebssystems Restriktive App-Zulassung Geschlossenens System Negativ: Keine Offenlegung der verwendeten Algorithmen / Sicherheitsmaßnahmen Somit keine Zulassung durch BSI Maßnahmen TARANIS Smart: Keine Datenhaltung auf dem Gerät nach Beenden der App Absichern des Systems nach Empfehlung BSI 18
Betrachtung einzelner Lösungen Googles Android Plattform Kommunikationsverschlüsselung Geräteverschlüsselung App Container Sprache Daten Für Router Android SNSover-IP SSL/TLS (v.a. Cisco) Loader Eingeschränkt SW (Root-Zugang und Boot kompromittiert) MDM VS-NfD Zulassung Google T-Systems Android --- VPN, Proprietär HW: Kryptokarte --- 5/2013 SiMKo3 Merkmale Positiv: Offenes anpassbares System Negativ: Hoher Aufwand (Administrierung) zur Absicherung notwendig beliebtes Angriffsziel Maßnahmen TARANIS Smart: Zu hoher Aufwand zur Absicherung Bestehende Lösung T-Systems SiMKo3 19
Betrachtung einzelner Lösungen Blackberry OS 10 Plattform Kommunikationsverschlüsselung Geräteverschlüsselung App Sprache Daten Für Router Container Blackberry SecuSmart Blackberry OS 10 over-ip perso- Router (inkl. space, work immer --- (work, Gängige Trennung in work- und personal SecuSUITE OS 10 Blackberry nal) Cisco) verschlüsselt, personal optional, Secure VPN, Android Apps nur im personal Workspace SSL/TLS space; HW: System master key, Auch für Ipsec, darauf aufgebaut SW Schlüssel; ios und IKE, FIPS 140-2 ; Verifikation des Android IKEv2 Boot ROM und des OS MDM VS-NfD Zulassung VPN Proprietär HW: Secusmart Security Card beste 7/2013 Vorbereitung Merkmale Positiv: Beste Vorbereitung zur Zulassung durch BSI Negativ: Geringe Verbreitung Unternehmenskauf? Maßnahmen TARANIS Smart: Bestehende Lösung SecuSmart SecuSUITE 20
Agenda Abgesicherte Kommunikation auf mobilen Endgeräten 1. Vorstellung Geschäftseinheit Einsatzsysteme 2. Motivation: TARANIS Smart 3. Betrachtung einzelner Lösungen Apple ios Google Android Blackberry 10 4. Zusammenfassung 21
Zusammenfassung Lösungen mit BSI zulassbarer / zugelassener Kommunikation vorhanden Portierung von Systemen mit geringem Aufwand möglich Apple ios: Nicht zulassbar, aber geringes Risiko bei Berücksichtigung in App- Entwicklung 22
Zusammenfassung und der NSA 23
ESG Elektroniksystem & Logistik GmbH Andreas Schiel Livry-Gargan-Str. 6 82256 Fürstenfeldbruck Vielen Dank für Ihre Aufmerksamkeit! Tel.: +49 89 / 9216-2012 Email: Andreas.Schiel@esg.de 24