mobile datensicherheit ihk 2012

Seite 2 / 57 Was ist Mobile Security und welche Bedeutung hat es für mein Unternehmen?

Präsentation für die Veranstaltung

„Mobile Datensicherheit“

der IHK Wuppertal-Solingen-Remscheid

24.10.2012

Mobile Security –

Was ist Mobile Security und welche Bedeutung

hat es für mein Unternehmen?

Autoren:

Paul Dziwoki, Hans-Jörg Stangor


Agenda

Smartphones im Unternehmen

Tag 1: Einrichtung des Gerätes

Tag 1: Fahrt nach Hause

Tag 1: Private Nutzung zu Hause

Tag 2: Unterwegs im Außendienst

Tag 3: Einsatzmöglichkeiten erweitern

Tag 4: In der Kaffeepause

Tag X: Ein neues Smartphone steht an

Live-Demo

Fazit und Zusammenfassung


Agenda









Live-Demo



Smartphones im Unternehmen: Traditionell

Eigentlich ein altes Thema

Primär E-Mail & Personal Information

Management (PIM)

Begrenztes App Angebot

Eingeschränkte Internetnutzung

Tendenziell „sicher“


Smartphones und Tablets: Aktuell

Ob Android, iOS oder Windows Mobile:

allesamt „Schweizer Taschenmesser“

Riesiges Angebot an Produktiv-Apps

Mobiles Internet & WLAN

Integration von Firmen-Backends

GPS Funktionalität


Einsatzszenarien

Komfort-Faktor (leichter als Laptop)

Fahrzeiten nutzen

Mit Kollegen & Kunden in Kontakt bleiben

Die nötigen Dokumente stets dabei

Recherche-Möglichkeit

Navigationshilfe

Vor Ort Daten erfassen


Einsatzorte

In der Firma

Im Auto / ÖPNV

Zu Hause

Beim Kunden

Im Hotel und Restaurant

- weltweit -


Beurteilung Unternehmenseinsatz

Reichlich sinnvolles Nutzungspotential…

…aber auch großes Gefahrenpotential!


Vor der Einführung im Unternehmen

Richtlinie für den Unternehmenseinsatz

Konfiguration / Einstellungen Firmen-Geräte festlegen

Schwierigeres Thema: „Bring your own devices“ („BYOD“)


Agenda









Live-Demo



Integration Unternehmens-Ressourcen

SIM Karte einlegen (EDGE/3G/LTE)

WiFi-Zugänge einrichten

VPN zum Firmen-Intranet

E-Mail, Adressbuch, Kalender anbinden

Produktiv-Apps installieren

Firmen-Dokumente offline verfügbar machen


Basics der Geräteabsicherung

Studium der Richtlinie für den Unternehmens-Einsatz

Passcodes einrichten (Password oder PIN für den Gerätezugang)

Einstellen wie lange das Gerät nach Passcode-Eingabe offen ist


Agenda









Live-Demo



Passcodes: Generelle Fragen

Wer schaut Ihnen bei der Eingabe des Passcodes zu?


Passcode-Typen

4 Ziffern

Passwort

Pattern-Lock

Gesichtserkennung (Facial Recognition)


Passcode Beispiele


Agenda









Live-Demo



Integration privater Netze

Private WiFi-Zugänge einrichten

Private Dokumente und Inhalte aufspielen

Ankopplung an Nicht-Firmen-PCs:

– Eigener PC

– PCs Familienmitglieder

– PCs von Freunden & Bekannten


iTunes / iPhone Backup

Oft unverschlüsselt (Standardeinstellung)

Backup ist lediglich Ordnerstruktur mit allen Benutzerdaten

– PIM (Kalender, Notizen, Adressen, …)

– App-Daten oft in sqlite-Datenbanken

Sich absichern: Lediglich ein

Häkchen in iTunes


iTunes Komfort


Wie entsteht dieser Komfort?

iTunes erstellt nach

Entsperrung der Device

Lockdown Zertifikate

Sobald diese auf dem

Rechner sind:

Passcode unnötig

Andere Anwendungen

können diese nutzen…

…auch nach Passcode-

Änderung!


Lokation der Lockdown Zertifikate

OSX /private/var/db/lockdown

Windows 7 C:\ProgramData\Apple\Lockdown

Übertragbar… selbst zwischen Betriebssystemen!

– Der Grund warum Polizei mit Smartphone auch PC beschlagnahmt


Agenda









Live-Demo



Szenario: Verlust / Diebstahl

Gutes Gefühl: Möglichkeit zur Fernlöschung

– Kann unterbunden werden!

• SIM entfernen

• Flugmodus

• In Faraday Bag verpacken

Drama: Falls Smartphone nicht mit Passcode

gesichert ist

Aber auch mit aktiviertem Passcode gibt es

Probleme


Sicherheit von Passcodes

Maschinelle Entschlüsselungsdauer

4 Ziffern ca. 0,5 h

6 Ziffern 2 Tage

8 Ziffern 6 Monate

6 Buchstaben 1,5 Jahre

4 Ziffern/Buchstaben 3 Tage

6 Ziffern/Buchstaben 10 Jahre

Quelle: c‘t 2011 Heft 15, Artikel „iOpener“


Angriff ohne Lockdown Zertifikat

Fraunhofer SIT Hack

Kann gesetzten Passcode umgehen und Schlüsselbund extrahieren

App Passwörter zum Teil entschlüsselbar (z.B. SIM Pin)

Bis iPhone4 auf diese Art Zugang zu Exchange Server Accounts


Angriffsschwierigkeit je nach Einstellung

Passcode BruteForce

Angriff

Lockdown-

Zertifikate

Fraunhofer

Angriff **

Ohne 0 min 0 min 0 min

Numerisches

Passwort < 30min 0 min 6 min

Langes

„sicheres“

Passwort

Je nach

Passwort-Länge 0 min 6 min

** ermittelt nur Teil der Passwörter, nicht den Passcode


Agenda









Live-Demo



Jailbreaks/Rootkits – Warum?

Alternative App Stores zulassen (iOS)

Apps kostenlos installieren (iOS)

Oberfläche/Systemelemente verändern,

neue Optik, etc.

Eventuelle Einschränkungen

entfernen, die durch Firmen-

Richtlinien gesetzt wurden (iOS)

(SIM-Sperre entfernen)


Jailbreaks/Rootkits – Risiken

Nach Jailbreak lässt sich ein

Smartphone fernsteuern (SSH-

Server)

Apps haben danach Zugriff auf alle

Bereiche (Root-Rechte), können

sensible Daten auslesen (z.B.

Passwörter) und verändern

Aktuelle Sicherheitsupdates

werden meistens nicht eingespielt,

da diese ein erneutes Jailbreaking

erfordern!


Jailbreaks/Rootkits – Risiken (iOS)


Jailbreaks/Rootkits – Gegenmaßnahmen

Standardpasswörter ändern und/oder

entsprechende Serverdienste (z.B. SSH)

ausschalten!

Nur Apps von vertrauenswürdigen Quellen

installieren

Problem: für die neuesten Sicherheitsupdates

existiert meistens noch kein Jailbreak (z.B.

iOS 6, Android JB)

Besser: nicht Jailbreaken


Agenda









Livedemo



Nutzung Public WLAN – Warum?

Besonders im Ausland attraktiv

(spart hohe Roaming-Gebühren)

Schneller Datentransfer

Manchmal hat man kein 3G/4G

Netzempfang


Nutzung Public WLAN / Hotspot - Risiken

Datenverkehr kann leicht mitgelesen

und manipuliert werden

– Passwörter

– Einschleusen von Hintertüren

Public WLAN kann auch vom

Angreifer selbst stammen:

– Einmal mit einem Zugangsnamen

verbunden, verbindet sich

Smartphone automatisch immer

wieder mit dieser WLAN-Kennung,

egal an welchem Ort

Jailbreaks mit SSH-Server und

Standardpasswort: offene Tür für

Angreifer

MITM = „Man in the Middle“


Nutzung Public WLAN – Gegenmaßnahmen

Nur Apps nutzen, die Datenverkehr

gut verschlüsseln

Beispiele:

– VoIP: verschlüsselt nicht

– Skype: verschlüsselt

Nicht mit dem Browser im Internet

surfen => Gefahr das Code

eingeschleust wird

Besser: Sich selbst um

Verschlüsselungsschicht kümmern:

VPN-Tunnel


Man in the Middle Angriff ohne WLAN (iPhone)

Möglich durch Proxyserver in

Internet-Einstellungen

Diese Proxyserver Einstellungen

kann man z.B. per E-Mail erhalten

(siehe Bild)

Gleiche Risiken wie beim Angriff

über das Public WLAN, darüber

hinaus sind selbst SSL

verschlüsselte Verbindungen

betroffen


Man in the Middle Angriff ohne WLAN (iPhone) -

Gegenmaßnahmen

Update auf iOS6

Keine Konfigurationsdateien

installieren, die nicht überprüft

sind!

Aufpassen bei Änderungen der

Internet-Einstellungen


Agenda









Live-Demo



Altes Smartphone entsorgen

Löschen aller Daten „per Hand“ vor

Verkauf des alten Smartphones

Risiken:

– Undelete-Tools (finden überraschend

viele Inhalte wieder)

– Man findet manchmal Daten die vor

Jahren gelöscht wurden

Gegenmaßnahmen:

– Speicher vorher vollständig mit anderen

Daten überschreiben

– Spezielle Formattools nutzen

(z.B. DiskWipe)


Agenda









Live-Demo



Live-Demo – Aufbau und Verlauf

Verlauf

1. Verbindung iPhone ->

WLAN

2. Ermitteln der iPhone

Adresse

3. Datenverkehr mitlesen

4. iPhone Sicherheits-

lücken suchen

5. iPhone Adressbuch

kopieren


Agenda









Live-Demo



Richtlinie für den Einsatz

Keine unverschlüsselten vertraulichen Inhalte (Passwörter)

Legitime Bezugsquellen für Apps und Inhalte

Keine Jailbreaks oder Änderung

an Konfiguration

Nutzung der Cloud, Nutzung

sozialer Netzwerke


Geräteauswahl in der Firma

Häufig iOS, Grund: geschlossene Plattform

– Zugang zu aktuellsten Betriebssystemversionen

– Konfigurationsprogramme für Firmengeräte

– Zentraler App-Store mit Review vor Freigabe

– Keine unsignierten Programme

– Speicher grundverschlüsselt

Android deutlich flexiblere / offenere Plattform

– Hersteller/Geräte auf Möglichkeit zur Absicherung prüfen


Wie sicher ist Android im Vergleich?

Gut: Seit Android 4.x keine universellen Hacks

Forensik-Software nutzen Sammlungen von

Angriffsmöglichkeiten für verschiedene

Hersteller, Geräte & Betriebssystem-Stände

Sicherheit = Frage der Update-Moral der

Hersteller

Hauptangriffspunkte:

– Verzicht auf Passcode

– Nutzung Speicherkarten

– Sorglos installierte Anwendungen


Zusammenfassung

Angriffsmöglichkeiten sind vielfältig

Unternehmensrichtlinien einhalten: Sie haben ihren Sinn!

Keine Jailbreaks und Rootkits

Augen auf bei der Nutzung!


Referenzen

http://www.cgsecurity.org/wiki/Recover_data_from_an_iPhone

http://www.sit.fraunhofer.de/en/fields-of-expertise/projects/lost-iphone-lost-

passwords.html

http://www.heise.de/security/meldung/Erster-iPhone-Wurm-unterwegs-

853372.html

http://www.heise.de/security/meldung/Scan-in-Mobilfunknetzen-foerdert-

tausende-ungeschuetzte-Geraete-zu-Tage-1653619.html

http://www.heise.de/newsticker/meldung/Update-auf-iOS-6-schliesst-etliche-

Luecken-darunter-eine-besondere-1711936.html

Hacking and Securing iOS Applications, Jonathan Zdziarski, O‘Reilly 2012,

ISBN 978-1-449-31874-1

iOS Forensic Analysis for iPhone, iPad, and iPod touch, Sean Morrisey,

Apress 2010, ISBN 978-1-4302-3342-8


Vielen Dank!


Fragen?


Allgemeines

iks ist IT-Beratungs- und Softwarepartner für Finanzdienstleister,

Logistik- und Handelsunternehmen sowie namhafte Unternehmen

anderer Branchen. Wir erstellen individuelle IT-Konzepte und

Softwarelösungen im Auftrag unserer Kunden.

Gründung: 1989

Firmensitz: Hilden

Team: ca. 90 BeraterInnen

Geschäftsführung: Dipl.-Informatikerin Monika Stoll

Prokuristen: Dipl.-Ing. (FH) Thomas Kondring

Hartwig Tödter


Geschäftsfelder iks

Softwareentwicklung

– Java

– .NET

– Mobile Applikationen

– iSeries / Host

IT-Beratung

– Softwarearchitektur

– Technologie

– Methoden

– Projektmanagement

– Schulung, Coaching

– Soziale Applikationen

IT-Konzepte

– Anforderungsanalyse

– Fachkonzepte

– Pflichtenhefte

– DV-Konzepte

Business Intelligence

– MS SQL Server

– ETL

– Reporting

– Analyse


Wer sind unsere Kunden?

Wir beraten und betreuen internationale Konzerne sowie große

und mittlere Unternehmen aus unterschiedlichen Branchen, oft

als „first supplier“:

Industrie

Finanzdienstleistungen

Versicherungen

Handel

Transport / Verkehr / Logistik

Verbände / Vereine / Interessenvertretungen

Dienstleistungsunternehmen

Gesundheitswesen


Kontakt

iks Gesellschaft für

Informations- und

Kommunikationssysteme mbH

Thomas Kondring

Siemensstraße 27

40721 Hilden

Internet: http://www.iks-gmbh.com

E-Mail: [email protected]

Folien rund um die Softwareentwicklung finden Sie im Internet unter:

http://www.iks-gmbh.com/veroeffentlichungen






www.iks-gmbh.com

mobile datensicherheit ihk 2012

Technology