1. Rahmenbedingungen
Mobile Security
Peter Teufl
peter.teufl@iaik.tugraz.at

2. Überblick
Einsatzszenarien:
Unternehmen - Verwaltete Geräte
Unternehmen - BYOD
End-Anwender
Plattform-Sicherheit
Applikationssicherheit
Best Practice

3. Szenarien
Szenarien
Interne Verwendung (öffentlich/privat):
Mobile-Device-Management (MDM)
Bring-Your-Own-Device (BYOD)
End-Anwender
Entwicklung von Applikationen

4. Szenario - Verwaltete Geräte
Interne Verwendung
Auswahl der Plattform(en)
Umsetzen von Sicherheitskonzept
Modellierung der MDM-Regeln
Eingehen auf plattform-spezifische Sicherheitsfunktionen/Probleme
Ausgewählte Applikationen
Sicherheit durch Einschränkungen

5. Szenario - BYOD
BYOD
Beliebige Plattformen
Kein (!) Einfluss auf einen großen Teil der
Sicherheitsfunktionen
(Benutzer entscheidet, da privates Gerät)
Aktuelle Lösungen?

6. Szenario - BYOD
Smartphone
Smartphone
Security
Config
App
App
App
App
Security
Config
MDM
MAM
MDM
Container App
Management
Contai
ner
App
Container
App
App
App
Smartphone
Business Area
Security
Smartphone
Security
App Wrappers
App
App
App
App
Config
MDM
Application
Wrapper
Management
Config
App
App
MAM
Private Area
Security
Blackberry
Balance
Config
App
App

7. Szenario - End-Anwender
Entwicklung von End-Anwender Applikationen
Ähnliche Sichtweise wie Container-App Hersteller
Vergleichbar mit BYOD, aber noch weniger
Voraussetzungen
Keinen Einfluss auf Sicherheitsfunktionen
Eigene Funktionen, detalliertes Plattformwissen
Wichtig für sicherheitsrelevante Apps

8. Sicherheit
Kritische Daten
PIM, Position, Dokumente etc.
Probleme
Gefahren: Diebstahl, Malware etc.
Sehr unterschiedliche Plattformen
iOS, Android, Windows Phone,
Windows Store, Blackberry, ...
Komplexität: Systeme absichern, Sichere Applikationen

9. Sicherheit
Plattformsicherheit
Schutzfunktionen der Plattform
Einfluss Benutzer (BYOD)
Applikationssicherheit
Sichere Implementierung
Plattform-spezifische Funktionen

10. Plattformsicherheit
Plattformsicherheit
Basissicherheit
Verschlüsselung, Zugriffsschutz
MDM-Funktionen
Applikationen

11. Basissicherheit
Updates?
Fragmentierung: Versionen, Funktionen?
Betriebssystem?
Architektur?
Malware-Schutz
(buffer overflows,
sandboxes)

12. Verschlüsselung
Gesamtes Dateisystem, Backup, Einzelne Dateien?
Einfluss Entwickler?
Immer aktiv? Benutzerinteraktion?
Hardware Chip in Verwendung?
Verschlüsselung abhängig von PIN?
Schlüsselableitungsfunktion?
Remote Wipe?

13. Beispiel: iOS/Android Encryption
LockScreen
Type
Numerical
Alphanum
10/26 letters
Alphanum
10/52 letters
Complex
Length Chars
4
10
6
10
8
10
10
10
Number of
passcodes
10000
1000000
100000000
10000000000
Brute-Force
Days
0.0
0.9
92.6
9,259.3
Brute-Force
Brute-Force
Days 1
Days (1000
instance
instances)
0.0
0.0
0.0
0.0
0.0
0.0
2.6
0.0
Cost $
On-Demand
Instances
0.0
0.0
1.3
133.3
4
6
7
8
9
10
36
1679616
36 2176782336
36 78364164096
36 2.82111E+12
36
1.0156E+14
36 3.65616E+15
1.6
2,015.5
72,559.4
2,612,138.8
94,036,996.9
3,385,331,888.9
0.0
0.6
20.7
746.3
26,867.7
967,237.7
0.0
0.0
0.0
0.7
26.9
967.2
0.0
29.0
1,044.9
37,614.8
1,354,132.8
48,748,779.2
4
5
6
7
8
9
62
14776336
62
916132832
62 56800235584
62 3.52161E+12
62
2.1834E+14
62 1.35371E+16
13.7
848.3
52,592.8
3,260,754.3
202,166,764.4
12,534,339,394.7
0.0
0.2
15.0
931.6
57,761.9
3,581,239.8
0.0
0.0
0.0
0.9
57.8
3,581.2
0.2
12.2
757.3
46,954.9
2,911,201.4
180,494,487.3
4
5
6
7
8
107
131079601
107 14025517307
107 1.50073E+12
107 1.60578E+14
107 1.71819E+16
121.4
12,986.6
1,389,565.1
148,683,470.0
15,909,131,294.7
0.0
3.7
397.0
42,481.0
4,545,466.1
0.0
0.0
0.4
42.5
4,545.5
1.7
187.0
20,009.7
2,141,042.0
229,091,490.6
iOS on device
Android Amazon GPU
GPU Price

14. Mobile Device Management
Welche Policies?
Entfernen der Profile?
Einschränken von Applikationen, Märkten?
Fragmentierung?
Implementierung des MDM-Agents?

15. Applikationen
Applikationsquellen?
APIs für Applikationen?
SMS-Zugriff
Multitasking
Berechtigungen (Usability?)
Einfluss des Entwicklers auf Sicherheitsfunktionen?

16. Applikationssicherheit
Applikationssicherheit
Sichere Kommunikation (HTTPS, Zertifikate, SMS)
Datenverschlüsselung
Überprüfen ob Gerät “gerooted, jailbreak”
Verwenden von Plattform-Features: KeyChains etc.

17. Beispiel
Container Applikationen (auch andere Apps mit kritischen Daten)
Schlüsselableitung (vom Passwort zum Schlüssel)
sehr wichtig für gute Verschlüsselungssysteme
Passcode
Schlüsselableitung
Salt
Key
derivation
Salt
Lange Ableitungszeit (z.B. 80ms pro Passwort auf iOS)
Know-How um es richtig zu implementieren
Fehler: sehr leichte Brute-Force Angriffe...
Derived key
Data encryption
key

18. Beispiel
Lock-Screen
Type
Numerical
Alphanum
10/26 letters
Alphanum
10/52 letters
Complex
Length Chars
4
10
6
10
8
10
10
10
Number of
passcodes
10000
1000000
100000000
10000000000
Brute-Force Days
0.0
0.0
0.0
0.2
Brute-Force
Days
Cost $ GPU
0.0
0.0
0.0
0.0
0.0
0.0
0.0
0.0
0.0
0.9
92.6
9,259.3
4
6
7
8
9
10
36
1679616
36 2176782336
36 78364164096
36 2.82111E+12
36
1.0156E+14
36 3.65616E+15
0.0
0.0
1.3
46.6
1,679.2
60,452.4
0.0
0.0
0.0
0.0
1.7
60.5
0.0
0.0
0.2
8.3
299.0
10,763.7
1.6
2,015.5
72,559.4
2,612,138.8
94,036,996.9
3,385,331,888.9
4
5
6
7
8
9
62
14776336
62
916132832
62 56800235584
62 3.52161E+12
62
2.1834E+14
62 1.35371E+16
0.0
0.0
0.9
58.2
3,610.1
223,827.5
0.0
0.0
0.0
0.1
3.6
223.8
0.0
0.0
0.2
10.4
642.8
39,852.9
13.7
848.3
52,592.8
3,260,754.3
202,166,764.4
12,534,339,394.7
4
5
6
7
8
107
131079601
107 14025517307
107 1.50073E+12
107 1.60578E+14
107 1.71819E+16
0.0
0.2
24.8
2,655.1
284,091.6
0.0
0.0
0.0
2.7
284.1
0.0
0.0
4.4
472.7
50,583.1
121.4
12,986.6
1,389,565.1
148,683,470.0
15,909,131,294.7
iOS on device

19. Einfluss auf Szenarien
Plattform
SIcherheit
Verwaltete Geräte (MDM)
Applikations
Sicherheit
BYOD
Plattform
SIcherheit
Endanwender
Plattform
SIcherheit
Applikations
Sicherheit
Applikations
Sicherheit

20. Verwaltete Geräte
iOS:
sehr gute Sicherheitsfunktionen (Verschlüsselung, MDM etc.)
Android:
sehr stark plattformabhängig!
Vor allem im MDM-Bereich
Windows Phone/Windows Store:
Noch wenige MDM-Features, VPN (8.1 update...), sonst eher bei iOS als bei Android
Blackberry: Balance Framework! Gute Sicherheitsarchitektur.

21. BYOD, End-Anwender
Blackberry:
Balance framework: integrierte BYOD Lösung
iOS, Windows Phone/Store:
Große Vorteile gegenüber Android
Android:
Alternative Quellen, systemnahe APIs

22. Sichere Applikationsentwicklung
Detalliertes Wissen über Sicherheitsfunktionen der Plattform
z.B. Sicheres Speichern von Schlüsselmaterial, Daten
Detalliertes Know-How für die Implementierung eigener Sicherheitsfunktionen
Verschlüsselung
Schlüsselableitung
Sichere Kommunikation
Externe Befehle: SMS etc.
Root-Checks

23. Kontakt
peter.teufl@iaik.tugraz.at
Refs:
https://sites.google.com/site/acnws2012/
http://www.iaik.tugraz.at/content/about_iaik/people/teufl_peter/