Informatiebeveiliging. in de mobiele wereld. Risico s van mobiel werken. devices on the go. Willem Kossen

Transcriptie

1 devices on he go Risico s van mobiel werken Informaie beveiliging in de mobiele wereld Mobiel werken is al lang geen hype meer. Inmiddels is he zakelijk gebruik van mobiele apparauur vrijwel volledig ingeburgerd. Toch beeken da nie da de mobiele infrasrucuur bij veel organisaies veilig is. De aueur geef een overzich van de onderwerpen die mobiel werken riskan kunnen maken. Daarbij kom ook aan bod de plaas die he mobiele deel van de ICT-voorzieningen in de archiecuur en de informaiebeveiliging kan vervullen. Willem Kossen Mobiele apparaen Bij mobiel werken denken de meese mensen direc aan lapops, nebooks en smarphones. E-book readers en ablecompuers, digiale videorecorders en foocamera s en zelfs mobiele daadragers als USB-sicks behoren echer ook o deze caegorie. He is van belang ook deze e belichen aangezien ook daar veiligheidsproblemen kunnen besaan. Informaiebeveiliging Informaiebeveiliging definieer ik als he geheel van beleid, communicaie en maaregelen gerich op he beperken van de risico s die spelen op he gebied van beschikbaarheid, inegriei, verrouwelijkheid en compliance omren informaievoorzieningen en de daarin opgeslagen informaie. Voor di arikel beperk ik me o de mobiele delen van de ICT-infrasrucuur, zakelijk gebruik door mede- Figuur 1. Boze buienwereld versus veilige enerprise 30

2 Samenvaing Me de opkoms van he nieuwe werken en de seeds krachiger wordende mobiele compuers en andere daadragers nemen de veiligheidsrisico s oe. Daardoor neem de noodzaak om adequae maaregelen e nemen oe. Di hoeven nie per se echnische maaregelen e zijn, oplossingen in de procedurele sfeer zijn vaak even effecief, en soms veel efficiëner. Belangrijk is da men zich bewus is van de risico s. beleid & maaregelen omgeving applicaies newerk vaak af van de organisaiesandaarden en kunnen ze daardoor nie worden beheerd en beveiligd me beschikbare voorzieningen. Nog een reden is da de plaformen in essenie nie bedoeld zijn als veilige communicaiemiddelen en dragers van bedrijfskriische en verrouwelijke gegevens. Di arikel zal da helder en indringend duidelijk maken. besuringssyseem gegevens : ( ; ) fysiek werkers van organisaies. Informaiebeveiliging gaa over alle lagen van de mobiele archiecuur: de apparaen zelf en de oegang daaroe, de newerkfuncies en uiwisseling van gegevens, de opslagfuncie en de applicaies die erop draaien. Een volledig overzich van alle mogelijke risico s is nie e geven. Da zou ook nie passen binnen di arikel. Toch zijn diverse ineressane voorbeelden e noemen. De hoop is da deze u aan he denken zeen waardoor u andere risico s ook gaa zien. He is nie alijd nodig of zinvol de risico s me echnische maaregelen e besrijden. Oplossingen in de procedurele sfeer zijn vaak even effecief, en soms veel efficiëner. Bewuswording is nodig, zowel bij de eindgebruiker als de ICTafdeling. Buien de muren Een van de redenen da mobiele apparaen meer risico vormen en ondervinden wa beref de veiligheid is da ze buien de muren van he (relaief) veilige gebouw worden gebruik. Buien zijn geen firewalls, inrusion-prevenionsysemen, reverse proxy s, conenfilers en alle andere denkbare voorzieningen. Daarnaas wijken de plaformen Draadloos verkeer Vrijwel alle mobiele apparaen onderseunen een of meer vormen van draadloze gegevensuiwisseling. He mees beschikbaar zijn Blueooh, mobiele-elefonienewerken en wifi. Hieraan kleven specifieke risico s. Kan he apparaa via de draadloze echnologie benaderd worden van buienaf? Bij Blueooh zijn al problemen gewees bij he krijgen van oegang o he apparaa langs deze weg. Een eenvoudige Google-zoekopdrach naar Blueooh+hack lever diverse resulaen op en nie alle apparaen zijn hier afdoende egen beveiligd. Bij wifi en mobiele newerken reed di probleem minder op omda de apparaen meesal geen diensen aanbieden aan he newerk. Toch besaa wel degelijk de mogelijkheid da via deze newerken kwaadaardige code word binnengehaald. Verder is he in veel gevallen relaief eenvoudig de versuurde gegevens e onderscheppen. Zeker voor zakelijke communicaie is he gebruik van encrypie daarom vereis. He opzeen van VPN-verbindingen of he oepassen van SSL en TLS (HTTPS, POP3S, IMAPS enzovoor) is 31

3 devices on he go ononbeerlijk. De onderseuning hiervoor verschil van apparaa o apparaa. Wel zullen de meese moderne apparaen hiervoor de voorzieningen in huis hebben of kunnen deze door middel van applicaies worden oegevoegd. Zo is he mogelijk om bijvoorbeeld OpenVPN e insalleren op een Windows Mobile-elefoon en zi in de iphone sandaard onderseuning voor IPSec. Helaas is he nie alijd mogelijk de bijbehorende sleuels veilig op e slaan binnen he apparaa. Een specifiek aspec van draadloos verkeer is de financiële kan van de zaak. Telefonie maar ook daaverbindingen zijn over he algemeen nie goedkoop. Misbruik van die verbindingen is daarmee direc een financieel risico. Een deel van de maaregelen zou dan ook gerich moeen zijn op he beheersen van deze kosen. Waar saan de daa? Als organisaie wil je graag ween waar de zakelijke gegevens blijven. In de mobiele wereld is da nie alijd gemakkelijk. Gegevens kunnen zich in he eigen daacener, op werksaions en op mobiele apparaen bevinden, maar ook bij allerlei clouddiensen. Wil je da? Een voorbeeld: De laase ijd is er rumoer gewees rondom he BlackBerry-plaform. Diverse landen hebben ruzie gemaak me RIM (de fabrikan van BlackBerry) over oegang o de encrypiesleuels (India) of hebben bezwaar gemaak egen de opslag van gegevens bij RIM in he daacener in Canada (Dubai). He is namelijk nie ondenkbaar da kwaadwillenden bij RIM inzage krijgen in gegevens van de klan of da acher de rug van regeringen om gegevens worden uigewisseld waardoor de veiligheid van de saa in gevaar kom. Om de kriiek e pareren heef RIM uieindelijk besloen in zowel Dubai als India lokale servers e plaasen. De RIM-oplossing is op zich nie uniek. Ook als je clouddiensen afneem voor bijvoorbeeld je groupwareplaform, loop je een vergelijkbaar risico. Me de S3-opslagvoorziening van Amazon.com worden je daa ergens op de wereld opgeslagen. Je kun nog kiezen in welk werelddeel je daa saan, maar erg fijnmazig is die keuze nie. Hezelfde geld bij he ousourcen van services. He verschil is meesal wel da je dan zaken doe me een lokale parij waar je mogelijk juridisch meer grip op heb (ook al is da geen garanie en ook geen prevenie). Cloud Werken in de cloud is nie per definiie een mobiel onderwerp. Veel mobiele oepassingen zijn echer wel per definiie cloudoepassingen. Cloud beschouw ik hier in de ruimse definiie: funcionaliei en/of gegevensopslag bij derden. Er kan onderscheid worden gemaak ussen clouddiensen die de organisaie bewus inkoop (bijvoorbeeld een groupware- of documenmanagemenoplossing) en breed beschikbare inernediensen. In he eerse geval is he risico op misbruik aan de kan van de cloudleverancier door gecompromieerde mobiele cliens van belang. Di risico kan worden verminderd door bijvoorbeeld he inzeen van mulifacorauhenicaie en soorgelijke maaregelen. In he weede geval zijn de risico s mogelijk nog groer. Neem bijvoorbeeld he gebruik van Dropbox.com voor he synchroniseren van besanden ussen verschillende inernedevices. Di leid o he verzenden van mogelijk verrouwelijke gegevens over inerne (gelukkig wel via HTTPS) en o he beschikbaar maken van die gegevens op onverrouwde sysemen. Handig, maar he is de vraag of di voor een organisaie wenselijk is. Er zijn legio clouddiensen me meer en minder professionele echnologie en meer en minder veiligheidsvoorzieningen. Wa is uw beleid voor he gebruik van dergelijke diensen? Daaverlies He is heel gemakkelijk een USB-sick e verliezen. Ne zo gemakkelijk is he om je elefoon op 60 graden e wassen of je e-book reader van he balkon e laen vallen. Zelfs als de gegevens nie in verkeerde handen vallen, kunnen ze verdwijnen. En nie alijd is een back-up vanzelfsprekend. Voor groupwareoepassingen (mail, agenda, akenlijs) is di meesal geregeld vanwege he gecenraliseerde 32

4 karaker. Voor losse besanden geld di meesal nie. Er zijn allerlei (vaak cloud)diensen die kunnen helpen, maar he aanal bedrijven da deze oplossingen ech gebruik, is beperk. Door de heerogeniei van apparaen word di nog exra bemoeilijk en voor apparaen die geen conneciviei hebben (zoals USB-sicks en camera s), is he onmogelijk di e auomaiseren. Di beeken da je als organisaie (deels) afhankelijk ben van de discipline van de medewerker. Daadragers Hoe ruim of smal je de definiie van mobiele apparaen ook neem, he gaa vrijwel alijd om een daadrager. Me iedere daadrager loop je he risico da de opgeslagen daa in verkeerde handen vallen. Di gold nauurlijk al in de ijd van de floppydisk. Door de enorme omvang die daadragers egenwoordig hebben, is de kans wel groer da gelijk véél daa openbaar worden. Grappend zei Dr. Andrew S. Tanenbaum ooi: Onderscha nie de bandbreede van een vrachwagen vol apes. Deze spreuk gaa me de erabye-usb-disk van minder dan 100 euro eens e meer op. Vaak word daarbij vergeen da ook een goedkope foocamera of mp3-speler gigabyes aan daa kan vervoeren. Ook heef iedere elefoon egenwoordig wel een sleuf voor een micro-sdkaar. Voor alle daadragers geld da je ze alleen zou moeen gebruiken voor daa waarvan je he nie erg zou vinden als deze inegraal op de voorpagina van De Telegraaf zouden worden afgedruk. Wil je da liever nie, versleuel de daa dan. In de prakijk is di vaak echer nie eens mogelijk, laa saan vanzelfsprekend. Een van de oorzaken lig in he gegeven da mobiele apparaen en andere daadragers vrijwel alijd personal devices zijn. He concep user is onbekend. Hierdoor zijn er geen gebruikersrechen gekoppeld aan gegevens, bijvoorbeeld door he inzeen van ACL s (Access Conrol Liss). Toegang o he apparaa beeken oegang o alle daa, voor iedereen Versleueling zou een oplossing kunnen bieden en hiervoor besaan zeker in de wereld van smarphones en lapops uigebreide mogelijkheden. Aan sommige van die oplossingen kleven onaanrekkelijke risico s. Me name he sleuel/ wachwoord-beheer is een probleem bij lokaal geïnsalleerde oplossingen. De cenraal beheerde oplossingen daarenegen zijn vaak prijzig en vragen ervaren beheerders. Di vereis da een organisaie hierover goed nadenk en hiervoor planmaig aan de gang gaa. Firmware In egenselling o pc s en servers, lapops en nebooks zijn de meese mobiele apparaen voorzien van een besuringssyseem en esseniële applicaies in de vorm van firmware. Di beeken enerzijds da een belangrijk deel van de sofware nie sandaard beschrijfbaar (en wijzigbaar) is (en da is een veiligheidsvoordeel), maar ook da he lasiger is de sofware e vernieuwen. He updaen van de firmware van een mobiel apparaa doe een eindgebruiker nie regelmaig. Deels omda he enige echnische kennis verondersel, en deels omda he mis kan gaan, en dan heb je enkel nog een elegan soor bakseen op je bureau liggen. Toch is he een aanzienlijk risico wanneer oude sofware inensief gebruik word, juis in inheren onveilige omgevingen zoals inerne. He regelmaig updaen van de sofware op he mobiele apparaa zou een sandaardonderdeel moeen zijn van he beheer van deze apparaen. De e-book reader als zakelijk apparaa He lezen van zakelijke documenen op de e-book reader is een voor de hand liggend gebruik van een dergelijk apparaa. Vrijwel alle readers onderseunen he PDF-formaa en hebben mogelijkheden om via een draadloos newerk of via geheugenkaarjes documenen e onen. Er zijn echer maar weinig readers die enige vorm van oegangsbeveiliging hebben. Di beeken da iedereen die he apparaa oppak en aanze, er oegang oe heef. En di geld nog voor veel meer apparaen. Ook is onderseuning van encrypie in de opslag van de gegevens vrijwel nooi aanwezig. Di beeken da de e-book reader nie alleen hezelfde verliesrisico heef als de onbeveiligde USB-sick, he apparaa bied ook de mogelijkheid om direc oegang e krijgen o de gegevens, inclusief evenuele annoaies die de gebruiker heef oegevoegd. Bovendien is er geen enkele vorm van logging zoda nie acheraf is vas e sellen wanneer er door wie oegang is verkregen o welke gegevens. Voor smarphones zijn er oplossingen om gesolen apparaen op afsand ui e schakelen of schoon e poesen. Voor e-book readers ben ik die nog nie egengekomen. De reden voor de bovensaande beperkingen is waarschijnlijk da e-book readers och vooral zijn onworpen voor recreaief gebruik door consumenen en nie voor zakelijk gebruik door professionals. Da hier evens een ga in de mark lig, lijk duidelijk. 33

5 devices on he go ipad De ipad (en ook de iphone en ipod) is in deze een bijzonder apparaa. De basis waarop de Applesofware draai, is voorzien van onderseuning voor diverse voorzieningen voor veiligheid (BSD Unixvarian). Sandaard is weinig daarvan geaciveerd. He is evenmin gemakkelijk e aciveren aangezien veel van de onderliggende mogelijkheden door de gebruikersinerface worden afgeschermd. Ineressan is da Apple rach kwaadaardige sofware buien de deur e houden door zijn itunes App Sore. Hier vind conrole plaas op de applicaies die beschikbaar komen. He is vrij eenvoudig deze beperking e omzeilen (door he apparaa e jailbreaken ). Ook de serke inernefocus help nie mee om he apparaa veiliger e maken. Er word op inerne dan ook serk gediscussieerd over de veiligheid van di plaform en de geschikheid voor zakelijke oepassingen (zie bijvoorbeeld Hamblen, 2010). Op inerne word zelfs gesproken over de ileak. Overigens geld di evenzeer voor de diverse andere plaformen zoals Windows Mobile en Android. Apps Sowieso zou je he insalleren van applicaies door de eindgebruiker willen beperken. Iedere exra funcionaliei is immers een mogelijkheid o misbruik. Daarbij is de huidige generaie mobiele apparaen e kwalificeren als eche inernedevices. Veel applicaies zijn geneigd sporen op inerne acher e laen en he is (e) gemakkelijk gegevens op inerne e publiceren, ook als da vanui bedrijfsvoeringsoverwegingen onaanrekkelijk is. Di leid nu al o de opkoms van allerlei kwaadaardige sofware. Deels zullen deze als ineressane apps gecamoufleerd zijn, deels komen ze vanui de inernediensen die worden gebruik of maken ze misbruik van kwesbaarheden in applicaies. Een recen voorbeeld van een kwaadaardige applicaie is een aangepase versie van he voor Windows Mobile bedoelde spelleje 3D Ani- Terroris. Di volledig funcionerende spel bel siekem maandelijks enkele dure inernaionale nummers, wa leid o verhoogde elefoonkosen (Prince, 2010). Veilig (?) en op de smarphone is waarschijnlijk de mees gebruike mobiele oepassing op smarphones. Veel mobiele sofware loop echer acher bij he inzeen van veilige mehoden voor en. Zo is lang nie iedere smarphone in saa om PKI-cerificaen of PGP (Prey Good Privacy) e onderseunen. Ook is he nie alijd mogelijk om SSL en TLS in e zeen voor he beveiligen van POP3-, IMAP- en SMTP-verkeer en/of di op afwijkende pooren e doen. Ook lokale spamfilering is meesal afwezig. Er zijn mobiele virusscanners, maar nie voor ieder plaform en nie voor ieder mailprogramma. Bij de keuze voor een smarphone voor zakelijk gebruik zouden di wel crieria moeen zijn in de selecie. Toegangsbeveiliging van de mobiele elefoon Toegang o een elefoonoesel da uisaa vereis een pincode (mis ingeseld) en oegang o de simkaar vereis ook een pincode (mis ingeseld). Veelal is er daarnaas een oesenblokkering waardoor nie per ongeluk kan worden gebeld vanui de broekzak. Soms is ook da een code, meesal nie. Soms is he alleen een bepaalde veeg over he scherm. En da beeken da wanneer he apparaa is ingeschakeld, de oegang nie is afgeschermd. Vreemd, wan meesal zul je nie eers even je elefoon uischakelen voorda je hem verlies. Bovendien, wanneer je je buien he bedrijf begeef, bijvoorbeeld in he openbaar vervoer, is een code snel afgekeken (en da geld ook voor die bepaalde veeg ). Da word nog verserk doorda he nie alijd zo gemakkelijk is deze snel in e voeren. Toesellen me ouchscreen zijn hierbij beruch. He is vrijwel alijd ijdrovend een pincode in e voeren en bovendien help he apparaa de meekijker door de oesen die worden aangeik exra e laen oplichen, of door de ingevoerde gegevens kor leesbaar weer e geven. Single-facorauhenicaie In enerprise-infrasrucuren is een scala van maaregelen geïmplemeneerd om ongeauoriseerde oegang e voorkomen. Mulifacorauhenicaie is daarbij redelijk gebruikelijk. Di beeken da je zowel ies moe hebben (een pasje, USBoken) als ies moe ween (username, pincode, password). Soms word zelfs biomerie ingeze. Bij mobiele apparaen is di echer zelden he geval en is dus de veiligheid beduidend minder. 34

6 De elefoon als exra facor in de veiligheid Nie alles is negaief als he gaa om veiligheid in de mobiele wereld. Aardig is bijvoorbeeld da je de mobiele apparaen ook als oevoeging kun inzeen op de beveiliging van de infrasrucuur en de applicaies die daarop draaien. Heel bekend is he gebruik van een sms-code. Voor bijvoorbeeld inernebankieren word hier veel gebruik van gemaak, en de sms-code is ook de oplossing die gekozen is voor he verzwaarde niveau van auheniceren bij DigiD. He idee is da je op deze manier een facor oevoeg aan de auhenicaie. Er is veel discussie gaande over de kwaliei van deze keuze. Wie heef er oegang o de mobiele nummers in he acherliggende syseem? En hoe gemakkelijk is he de codes e onderscheppen? Di is daardoor nie de serkse oevoeging, maar he is wel degelijk een ineressane verbeering van de single-facoroegang die nog seeds e veel word gebruik. Ook is he mogelijk om op he mobiele apparaa sofware e insalleren die werk als OTP (One Time Password)-generaor. Vrijwel alle leveranciers van ideniymanagemenproducen hebben wel zo n sof-oken in de aanbieding. Sommige kun je ook grais gebruiken. Er zijn zelfs opensourceoplossingen (zie bijvoorbeeld hp://mop. sourceforge.ne). Als he echer zo eenvoudig is oegang e krijgen o he mobiele apparaa, is he eveneens zeer eenvoudig om oegang e krijgen o deze hulpmiddelen. Daarom blijf he van belang naas de heb-facor ook een wee-facor e haneren bij oegang. (En da iedereen zijn password verklap wanneer de dreiging groo genoeg is, blijf nauurlijk een gegeven...) (Enerprise-)securiyoplossingen voor mobiele plaformen Diverse leveranciers hebben oplossingen voor he beveiligen van he mobiele deel van he ICT-landschap. He beref specifieke oplossingen, maar ook bredere producen of suies. Een volledige beveiligingsoplossing voor mobiele plaformen zou minimaal de volgende funcies moeen hebben: auomaische updaes van de gebruike firm- en sofware; cenraal beheerde lokale firewall, realime anivirus- en anispywaresofware; gecenraliseerd beheer- en conrolesyseem voor de ICT-afdeling; anidiefsalfuncies; hiervoor besaan allerlei oplossingen, zoals: ŖŖexerne vergrendeling door middel van bijvoorbeeld een speciaal sms-berich; ŖŖherkenning van wisseling van simkaar me als gevolg vergrendeling; ŖŖremoe schonen zoda alle gegevens op de elefoon gewis worden; ŖŖauomaisch op afsand doorgeven van de locaie van he apparaa op basis van gps of elefoonpalenidenifiers; onderseuning voor verschillende plaformen is wenselijk (omda de direceur och een ander oesel kies dan de bedrijfssandaard); encrypiemogelijkheden voor gegevens en newerkranspor daarvan; cenraal beheer van de encrypie en van sleuels/ cerificaen; cenraal beheer van de configuraie van he mobiele apparaa (afdwingen van insellingen). Soms heef een organisaie al meer in huis dan men denk. Zo zijn Windows Mobile-devices al gedeelelijk me behulp van Acive Direcory e beveiligen. Wanneer echer he mobiele landschap divers is, word he al gauw lasig. Een bijkomend probleem is da de scope van de oplossing die men inern gebruik, vaak begrens is door de muren. Beheer aan de buienkan van de firewall is nie gebruikelijk. Daarnaas zijn er vaak flinke liceniekosen gemoeid me he verdubbelen van he aanal beheerde cliens. De keuze voor en implemenaie van een beheersyseem voor he mobiele ICT-park is een projec en moe ook als zodanig worden benaderd. He kos geld en ijd en leid o aanpassing van de gebruikerservaring. Belangrijk om e doen, nie gemakkelijk. He moeilijkse is waarschijnlijk bepalen wa er nu ech nodig is en waarom, maar daar moe je wel beginnen. 35

7 devices on he go»bewuszijn en aanzien van de risico s van mobiel werken is harder nodig dan ooi«conclusies Kinderschoenen. Da is in de meese gevallen he huidige niveau. Er is nog veel missiewerk nodig om organisaies e leren veilig me he mobiele deel van hun infrasrucuur om e gaan. Me de opkoms van he nieuwe werken en de seeds krachiger wordende mobiele compuers en andere daadragers nemen de risico s oe en dazelfde geld voor de noodzaak adequae maaregelen e nemen. Veel van die maaregelen zullen nie per definiie populair zijn bij de gebruikers vanwege de beperking die ze impliceren. In de prakijk zijn de maaregelen vooralsnog ad hoc, eenzijdig, onsamenhangend en bes-effor. Da kan beer, maar is nie simpel. He vereis een gedegen plan en een visie, en beleid. He is nie denkbaar noch wenselijk om de mobiele revoluie egen e gaan, maar bewuszijn en aanzien van de risico s is harder nodig dan ooi. Lierauur Hamblen, M. (2010). ipad securiy for he enerprise sill subjec o debae. Compuerworld, 7 april 2010, Prince, B. (2010). Malware Hidden in Windows Mobile Applicaions. eweek.com, 7 juni 2010, Securiy/Malware-Hidden-in-Windows-Mobile-Applicaions Wikipedia (2010). Securiy oken, hp://en.wikipedia.org/wiki/ Securiy_oken. Wilson, J. (2007). Undersanding he Windows Mobile Securiy Model. Microsof Techne, 10 januari 2007, hp://echne. microsof.com/en-us/library/cc aspx. Links hp://blueoohhack.nl (voorbeeld van hackool voor Blueooh) hp://mop.sourceforge.ne (open-source One Time Passwordoplossing) hp://na.blackberry.com/eng/suppor/ (knowledgebase van Research In Moion (RIM)). hp://pip.verisignlabs.com (veiligheidsplaform voor OpenID me grais Sof-Token OTP) hps:// (clouddiens voor synchroniseren van besanden ussen verschillende compuers en andere devices) Ir. Willem J. Kossen is ICT-archiec en ICT-adviseur bij M&I/Parners. willem.kossen@mxi.nl. 36