Rahmenbedingungen mobile security
-
Upload
peter-teufl -
Category
Technology
-
view
130 -
download
1
description
Transcript of Rahmenbedingungen mobile security
Rahmenbedingungen Mobile Security
Peter [email protected]
Überblick
Einsatzszenarien: Unternehmen - Verwaltete GeräteUnternehmen - BYODEnd-Anwender
Plattform-Sicherheit
Applikationssicherheit
Best Practice
Szenarien
Szenarien
Interne Verwendung (öffentlich/privat):
Mobile-Device-Management (MDM)
Bring-Your-Own-Device (BYOD)
End-Anwender
Entwicklung von Applikationen
Szenario - Verwaltete Geräte
Interne Verwendung
Auswahl der Plattform(en)
Umsetzen von Sicherheitskonzept
Modellierung der MDM-Regeln
Eingehen auf plattform-spezifische Sicherheitsfunktionen/Probleme
Ausgewählte Applikationen
Sicherheit durch Einschränkungen
Szenario - BYOD
BYOD
Beliebige Plattformen
Kein (!) Einfluss auf einen großen Teil der Sicherheitsfunktionen(Benutzer entscheidet, da privates Gerät)
Aktuelle Lösungen?
Szenario - BYODMDM
Security Config
MAM App App
App App
Smartphone
Container App Management
Security Config
Container App
App App
Smartphone
Application Wrapper
Management
Security Config
Smartphone
App
App App
App
MDM
Security Config
MAM
Business Area
App App
Security Config
Private Area
Smartphone
App App
MDM ContainerApp
App Wrappers BlackberryBalance
Szenario - End-AnwenderEntwicklung von End-Anwender Applikationen
Ähnliche Sichtweise wie Container-App Hersteller
Vergleichbar mit BYOD, aber noch weniger Voraussetzungen
Keinen Einfluss auf Sicherheitsfunktionen
Eigene Funktionen, detalliertes Plattformwissen
Wichtig für sicherheitsrelevante Apps
SicherheitKritische Daten
PIM, Position, Dokumente etc.
Probleme
Gefahren: Diebstahl, Malware etc.
Sehr unterschiedliche PlattformeniOS, Android, Windows Phone,Windows Store, Blackberry, ...
Komplexität: Systeme absichern, Sichere Applikationen
Sicherheit
Plattformsicherheit
Schutzfunktionen der Plattform
Einfluss Benutzer (BYOD)
Applikationssicherheit
Sichere Implementierung
Plattform-spezifische Funktionen
Plattformsicherheit
Plattformsicherheit
Basissicherheit
Verschlüsselung, Zugriffsschutz
MDM-Funktionen
Applikationen
BasissicherheitUpdates?
Fragmentierung: Versionen, Funktionen?
Betriebssystem?
Architektur?
Malware-Schutz(buffer overflows, sandboxes)
Verschlüsselung
Gesamtes Dateisystem, Backup, Einzelne Dateien?
Einfluss Entwickler?
Immer aktiv? Benutzerinteraktion?
Hardware Chip in Verwendung?
Verschlüsselung abhängig von PIN?
Schlüsselableitungsfunktion?
Remote Wipe?
Beispiel: iOS/Android EncryptionLock-Screen Type Length Chars
Number of passcodes
Brute-Force Days
Numerical 4 10 10000 0.06 10 1000000 0.98 10 100000000 92.6
10 10 10000000000 9,259.3
Alphanum 4 36 1679616 1.610/26 letters 6 36 2176782336 2,015.5
7 36 78364164096 72,559.48 36 2.82111E+12 2,612,138.89 36 1.0156E+14 94,036,996.9
10 36 3.65616E+15 3,385,331,888.9
Alphanum 4 62 14776336 13.75 62 916132832 848.3
10/52 letters 6 62 56800235584 52,592.87 62 3.52161E+12 3,260,754.38 62 2.1834E+14 202,166,764.49 62 1.35371E+16 12,534,339,394.7
Complex 4 107 131079601 121.45 107 14025517307 12,986.66 107 1.50073E+12 1,389,565.17 107 1.60578E+14 148,683,470.08 107 1.71819E+16 15,909,131,294.7
iOS on device
Brute-Force Days 1 instance
Brute-Force Days (1000 instances)
Cost $ On-Demand Instances
0.0 0.0 0.00.0 0.0 0.00.0 0.0 1.32.6 0.0 133.3
0.0 0.0 0.00.6 0.0 29.0
20.7 0.0 1,044.9746.3 0.7 37,614.8
26,867.7 26.9 1,354,132.8967,237.7 967.2 48,748,779.2
0.0 0.0 0.20.2 0.0 12.2
15.0 0.0 757.3931.6 0.9 46,954.9
57,761.9 57.8 2,911,201.43,581,239.8 3,581.2 180,494,487.3
0.0 0.0 1.73.7 0.0 187.0
397.0 0.4 20,009.742,481.0 42.5 2,141,042.0
4,545,466.1 4,545.5 229,091,490.6Android Amazon GPUAndroid Amazon GPU GPU Price
Mobile Device Management
Welche Policies?
Entfernen der Profile?
Einschränken von Applikationen, Märkten?
Fragmentierung?
Implementierung des MDM-Agents?
Applikationen
Applikationsquellen?
APIs für Applikationen?
SMS-Zugriff
Multitasking
Berechtigungen (Usability?)
Einfluss des Entwicklers auf Sicherheitsfunktionen?
Applikationssicherheit
Applikationssicherheit
Sichere Kommunikation (HTTPS, Zertifikate, SMS)
Datenverschlüsselung
Überprüfen ob Gerät “gerooted, jailbreak”
Verwenden von Plattform-Features: KeyChains etc.
BeispielContainer Applikationen (auch andere Apps mit kritischen Daten)
Schlüsselableitung (vom Passwort zum Schlüssel)sehr wichtig für gute Verschlüsselungssysteme
Schlüsselableitung
Salt
Lange Ableitungszeit (z.B. 80ms pro Passwort auf iOS)
Know-How um es richtig zu implementieren
Fehler: sehr leichte Brute-Force Angriffe...
Data encryption key
Passcode
Keyderivation
Derived key
Salt
Beispiel
Lock-Screen Type Length Chars
Number of passcodes Brute-Force DaysBrute-Force Days
Cost $ Reserved (3 Years)
Numerical 4 10 100006 10 10000008 10 100000000
10 10 10000000000
Alphanum 4 36 167961610/26 letters 6 36 2176782336
7 36 783641640968 36 2.82111E+129 36 1.0156E+14
10 36 3.65616E+15
Alphanum 4 62 147763365 62 916132832
10/52 letters 6 62 568002355847 62 3.52161E+128 62 2.1834E+149 62 1.35371E+16
Complex 4 107 1310796015 107 140255173076 107 1.50073E+127 107 1.60578E+148 107 1.71819E+16
Lock-Screen Type Length Chars
Number of passcodes Brute-Force DaysBrute-Force Days
Cost $ Reserved (3 Years)
Numerical 4 10 100006 10 10000008 10 100000000
10 10 10000000000
Alphanum 4 36 167961610/26 letters 6 36 2176782336
7 36 783641640968 36 2.82111E+129 36 1.0156E+14
10 36 3.65616E+15
Alphanum 4 62 147763365 62 916132832
10/52 letters 6 62 568002355847 62 3.52161E+128 62 2.1834E+149 62 1.35371E+16
Complex 4 107 1310796015 107 140255173076 107 1.50073E+127 107 1.60578E+148 107 1.71819E+16
Brute-Force Days
0.00.9
92.69,259.3
1.62,015.5
72,559.42,612,138.8
94,036,996.93,385,331,888.9
13.7848.3
52,592.83,260,754.3
202,166,764.412,534,339,394.7
121.412,986.6
1,389,565.1148,683,470.0
15,909,131,294.7iOS on device
Lock-Screen Type Length Chars
Number of passcodes Brute-Force DaysBrute-Force Days Cost $ GPU
Numerical 4 10 10000 0.0 0.0 0.06 10 1000000 0.0 0.0 0.08 10 100000000 0.0 0.0 0.0
10 10 10000000000 0.2 0.0 0.0
Alphanum 4 36 1679616 0.0 0.0 0.010/26 letters 6 36 2176782336 0.0 0.0 0.0
7 36 78364164096 1.3 0.0 0.28 36 2.82111E+12 46.6 0.0 8.39 36 1.0156E+14 1,679.2 1.7 299.0
10 36 3.65616E+15 60,452.4 60.5 10,763.7
Alphanum 4 62 14776336 0.0 0.0 0.05 62 916132832 0.0 0.0 0.0
10/52 letters 6 62 56800235584 0.9 0.0 0.27 62 3.52161E+12 58.2 0.1 10.48 62 2.1834E+14 3,610.1 3.6 642.89 62 1.35371E+16 223,827.5 223.8 39,852.9
Complex 4 107 131079601 0.0 0.0 0.05 107 14025517307 0.2 0.0 0.06 107 1.50073E+12 24.8 0.0 4.47 107 1.60578E+14 2,655.1 2.7 472.78 107 1.71819E+16 284,091.6 284.1 50,583.1
Einfluss auf Szenarien
PlattformSIcherheit
ApplikationsSicherheit
PlattformSIcherheit
ApplikationsSicherheit
PlattformSIcherheit
ApplikationsSicherheit
BYOD
Verwaltete Geräte (MDM)
Endanwender
Verwaltete GeräteiOS:
sehr gute Sicherheitsfunktionen (Verschlüsselung, MDM etc.)
Android:
sehr stark plattformabhängig!
Vor allem im MDM-Bereich
Windows Phone/Windows Store:
Noch wenige MDM-Features, VPN (8.1 update...), sonst eher bei iOS als bei Android
Blackberry: Balance Framework! Gute Sicherheitsarchitektur.
BYOD, End-Anwender
Blackberry:
Balance framework: integrierte BYOD Lösung
iOS, Windows Phone/Store:
Große Vorteile gegenüber Android
Android:
Alternative Quellen, systemnahe APIs
Sichere ApplikationsentwicklungDetalliertes Wissen über Sicherheitsfunktionen der Plattform
z.B. Sicheres Speichern von Schlüsselmaterial, Daten
Detalliertes Know-How für die Implementierung eigener Sicherheitsfunktionen
Verschlüsselung
Schlüsselableitung
Sichere Kommunikation
Externe Befehle: SMS etc.
Root-Checks
Kontakt
Refs:
https://sites.google.com/site/acnws2012/
http://www.iaik.tugraz.at/content/about_iaik/people/teufl_peter/