cat /agenda.txt

Bezpieczeństwo
urządzeń mobilnych
Fakty i mity
Artur Maj, Prevenity
cat /agenda.txt
/urządzenia_mobilne
/wybrane_fakty_i_mity | grep „zweryfikowane”
/stan_na_styczeń_2012
/w_oparciu_o_obecną_wiedzę
/istnieją_metody_ataków
/są_dostępne_narzędzia
/są_przykłady_ataków_w_praktyce
/rekomendacje
© 2010
Prevenity
Sp.Sp.
z o.o.
Wszelkie
prawa
zastrzeżone.
© 2010
Prevenity
z o.o.
Wszelkie
prawa
zastrzeżone
1
cat /urzadzenia/mobilne/teza/#1
„Zwykły” użytkownik smartfona nie ma
powodów do obaw o jego bezpieczeństwo
fakt czy mit?
•
•
•
•
•
Wysyłanie płatnych wiadomości SMS (Premium SMS)
Nieautoryzowany odczyt wiadomości SMS, MMS, e-mail
Nieautoryzowany odczyt informacji o lokalizacji
Przejęcie haseł dostępowych (np. do poczty elektronicznej)
Nieautoryzowane wykorzystanie sieci Wi-Fi
© 2010
Prevenity
Sp.Sp.
z o.o.
Wszelkie
prawa
zastrzeżone.
© 2010
Prevenity
z o.o.
Wszelkie
prawa
zastrzeżone
cat /urzadzenia/mobilne/teza/#2
Blokada ekranu kodem PIN uchroni nasze
dane przed nieautoryzowanym dostępem
fakt czy mit?
•
•
•
•
Android – brak szyfrowania danych do wersji 3.0
Windows Phone – dotychczas brak szyfrowania danych
Apple iOS – możliwość ataku brute-force na kod PIN
BlackBerry – dotychczas opiera się atakom
© 2010
Prevenity
Sp.Sp.
z o.o.
Wszelkie
prawa
zastrzeżone.
© 2010
Prevenity
z o.o.
Wszelkie
prawa
zastrzeżone
2
cat /urzadzenia/mobilne/teza/#3
Problem złośliwego oprogramowania
dotyczy wszystkich systemów mobilnych
fakt czy mit?
•
•
•
•
Android – największe ryzyko
BlackBerry – umiarkowane ryzyko
Windows Phone – niewielkie ryzyko*
Apple iOS – niewielkie ryzyko*
© 2010
Prevenity
Sp.Sp.
z o.o.
Wszelkie
prawa
zastrzeżone.
© 2010
Prevenity
z o.o.
Wszelkie
prawa
zastrzeżone
cat /urzadzenia/mobilne/teza/#4
Rooting (jailbreaking) pogarsza bezpieczeństwo
i naraża nas na ataki złośliwego oprogramowania
fakt czy mit?
•
•
•
•
Ułatwia dostęp do danych w przypadku kradzieży urządzenia
Ułatwia instalację oprogramowania złośliwego
Może uniemożliwiać aktualizację o poprawki bezpieczeństwa
Rooting może wprowadzić złośliwe oprogramowanie
© 2010
Prevenity
Sp.Sp.
z o.o.
Wszelkie
prawa
zastrzeżone.
© 2010
Prevenity
z o.o.
Wszelkie
prawa
zastrzeżone
3
cat /urzadzenia/mobilne/teza/#5
Użycie oprogramowania do zdalnego
wyczyszczenia danych na urządzeniu uchroni
nasze dane w przypadku kradzieży
fakt czy mit?
•
•
•
ZALEŻY od tego jak szybko uruchomimy zdalne czyszczenie danych
ZALEŻY od sposobu postępowania złodzieja
• „flight mode”, wyłączenie telefonu, klatka Faraday’a
Problem z zewnętrznymi kartami pamięci SD
© 2010
Prevenity
Sp.Sp.
z o.o.
Wszelkie
prawa
zastrzeżone.
© 2010
Prevenity
z o.o.
Wszelkie
prawa
zastrzeżone
cat /urzadzenia/mobilne/teza/#6
Bankowość mobilna jest
bezpieczniejsza od bankowości internetowej
fakt czy mit?
•
•
•
Zależy od konkretnej implementacji – MOŻE być bezpieczniejsza:
• Powiązanie aplikacji z telefonem
• Ograniczenia na transakcje
Bezpieczeństwo zależy od konkretnej platformy mobilnej
Bankowość mobilna ZNACZNIE BEZPIECZNIEJSZA niż korzystanie
z bankowości internetowej na urządzeniu mobilnym
© 2010
Prevenity
Sp.Sp.
z o.o.
Wszelkie
prawa
zastrzeżone.
© 2010
Prevenity
z o.o.
Wszelkie
prawa
zastrzeżone
4
cat /urzadzenia/mobilne/teza/#7
Mamy pełną kontrolę
nad danymi na urządzeniu mobilnym
fakt czy mit?
•
•
•
•
Synchronizacja danych z usługami Cloud (Gmail, Windows Live)
Używanie oprogramowania do backupu on-line
Używanie oprogramowania do współdzielenia danych
Uwaga na aplikacje z nadmiarowymi prawami!
© 2010
Prevenity
Sp.Sp.
z o.o.
Wszelkie
prawa
zastrzeżone.
© 2010
Prevenity
z o.o.
Wszelkie
prawa
zastrzeżone
cat /urzadzenia/mobilne/teza/#8
Zatwierdzanie uprawnień aplikacji przez użytkownika
daje większą świadomość i bezpieczeństwo niż
weryfikacja na poziomie marketu (iOS, WinPhone)
fakt czy mit?
•
Być może część
osób jest świadoma
zagrożeń, ale…
czy wszyscy?
© 2010
Prevenity
Sp.Sp.
z o.o.
Wszelkie
prawa
zastrzeżone.
© 2010
Prevenity
z o.o.
Wszelkie
prawa
zastrzeżone
5
cat results.txt | grep -i „rekomendacje”
Pamiętajmy:
– Unikajmy łamania zabezpieczeń urządzenia lub metod
rooting/jailbreaking jeżeli nie musimy tego robić,
– Pobierajmy aplikacje tylko z zaufanych marketów,
– Nie instalujmy aplikacji, które proszą o nadmiarowe prawa,
– Korzystajmy tylko z zaufanych sieci Wi-Fi,
– Możemy ograniczyć ryzyko utraty danych z urządzenia w
przypadku kradzieży, ale tylko jeżeli:
• Stosujemy blokadę hasłem alfanumerycznym min. 6-znakowym,
• Stosujemy szyfrowanie danych na urządzeniu,
• Bezzwłocznie zainicjujemy zdalne czyszczenie urządzenia.
© 2010
Prevenity
Sp.Sp.
z o.o.
Wszelkie
prawa
zastrzeżone.
© 2010
Prevenity
z o.o.
Wszelkie
prawa
zastrzeżone
echo „Dziękuję za uwagę!”
exit
6