Mobil eszközök biztonsági problémái

1. Mobil eszközök biztonsági problémái Előházi János ZMNE doktorandusz J2EE szoftver fejlesztő Walt Disney Internet Group, International Engineering elohazi.janos@gmail.com

2. Mobil eszközök • Okos telefonok • Windows Mobile • Blackberry • 3G telefonok • PDA-k • 3G vagy GSM képesség • WiFi • Tablet PC-k • Notebookok Mobil eszközök biztonsági problémái

3. Felhasználási területek • Hozzáférés a vállalati erőforrásokhoz • E-mail postafiókok • Dokumentum-hozzáférés • Intranet hozzáférés • Személyi kommunikációs megoldások • Azonnali üzenetküldő rendszerek • Mobiltelefónia • Általánosnál nagyobb tudással rendelkező eszközök • Mobiltelefon  Blackberry • Felhasználhatóak személyes célokra is • Vállalati és személyes adatok keveredése Mobil eszközök biztonsági problémái

4. Egyre kisebb méret Sok funkció E-mail Internet Kommunikáció WiFi 3G vagy GSM Bluetooth Nagy tároló kapacitás 1Gbyte – 100Gbyte Korlátozott számítási kapacitás 300MHz – 1-2GHz Korlátozott energia Sok féle operációs rendszer Biztonsági hiányosságok Tűzfal Vírusvédelem Vezeték nélküli megoldások Tulajdonságok Mobil eszközök biztonsági problémái

5. Adattípusok • Személyes adatok • Kapcsolati információk • Szöveges és képi információk • Tárolt személyes adatok (pl.: bankkártya információk) • Üzleti adatok • Munkavégzés során keletkező dokumentumok • Levelezési információk • Hozzáférési információk • Mentett jelszavak • Személyes és üzleti hálózatokhoz való hozzáférés Mobil eszközök biztonsági problémái

6. Fenyegetettségek • Fizikai hozzáférés veszélye • Elvesztés • Eltulajdonítás • Tárolt adatokhoz való hozzáférés • Kommunikáció során • Fizikai hozzáférés során • Vezeték nélküli kommunikáció • Bluetooth • WiFi Mobil eszközök biztonsági problémái

7. Problémák • Keletkező károk • Anyagi károk: eszköz értéke • Eszmei károk: elveszett és kompromittálódott információk • Menedzsment problémák • Heterogén összetétel  Vállalati IT menedzsment • Szoftver menedzsment problémák • Felhasználás menedzsment • Policy-rendszer készítése és betartatása • Személyes célokra való felhasználás is • Sokféle támadási felület • Bluejacking • Vírusok • Tárcsázó programok • Spoofing • Szoftver hibák Mobil eszközök biztonsági problémái

8. Támadási példák - Bluetooth • Bluesnarfing: teljes információ-hozzáférés, hívások átirányítása • 2003-2004 között • SW frissítéssel megoldották, BT rejtett üzemmódban nem lehetséges • Bluebugging: BT utasítások végrehajtása a felhasználó tudta nélkül. Implementálási hiba. • Bluejacking: BT névjegykártyaküldő funkció kihasználásával üzenetek küldése más eszközökre. • DoS támadások: BT párosítás-kérés addig, amíg a másik eszköz le nem merül A BT protokoll szabvány a támadási teszteken hibátlanul szerepelt, azonban az implentálása során vétett programozói hibák tették sebezhetővé a gyakorlatban. Mobil eszközök biztonsági problémái

9. Támadási példák - WiFi • Legnagyobb probléma: rádiós kommunikáció  mindenki „hallja” • Titkosítás szükségessége • WEP – nem elég erős kulcsok alkalmazása, könnyű visszafejtés • WPA – erős titkosító algoritmusok, authentikációs szerver • Felderíthetőség • Routerek védtelensége • SSID elrejtése • Alapértelmezett adminisztrációs jelszó megváltoztatása • Támadások • Lehallgatás • Man in the middle támadás • Jogosulatlan hálózathasználat és hozzáférés a hálózat eszközeihez Mobil eszközök biztonsági problémái

10. Támadási példák – Fizikai hozzáférés • Következmények • Elvesztés - Eltulajdonítás • Tárolt személyes és üzleti adatokhoz és egyéb erőforrásokhoz való hozzáférés • Információval való visszaélés • Eszköz felhasználásával megszemélyesítés • Információvesztés • Védekezés • Több pontú azonosítás • Biometriai • Tudás alapú • Birtok alapú • Tárolt adatok hardveres vagy szoftveres erős titkosítása • Rendszeres biztonsági mentések készítése Mobil eszközök biztonsági problémái

11. Általános védekezési lehetőségek • Humán rizikó faktor csökkentése • Oktatás • Felelősségi körök tisztázása • Szabályrendszer megalkotása és betartatása • Hozzáférés szabályozás • Azonosítás: tudás-, birtokalapú, biometriai • Automatikus adattitkosítás • Szoftveres • Hardveres • Biztonsági mentések készítése • Vírusvédelem (ahol lehetséges) • Kommunikációs védelem • Tűzfalak • Oktatás • Folyamatos szoftverkarbantartás • Nehézkes megoldások Mobil eszközök biztonsági problémái

12. Konklúzió • Legnagyobb rizikófaktor a felhasználó • Felelőtlenség • Nem megfelelő fokú ismeretek • Heterogén eszközrendszer nehéz és korlátozott karbantarthatósága • Szerteágazó megoldások • Sokféle eszköz, mind különböző megoldást igényel • Szabályozások hiánya vagy figyelmen kívül hagyása • IT támogatás hiányossága • Összetett, de nem lehetetlen feladat Mobil eszközök biztonsági problémái

13. Köszönöm a figyelmet!