Lagebild zur Bedrohung der Unternehmenssicherheit durch Smartphones & Co Prof. Dr. (TU NN) Norbert Pohlmann Institut für Internet-Sicherheit – if(is) Westfälische Hochschule, Gelsenkirchen http://www.internet-sicherheit.de Prof. Norbert Pohlmann, Institut für Internet-Sicherheit - if(is), Westfälische Hochschule, Gelsenkirchen Inhalt IT-Sicherheitssituation heute Smartphones & Co. Neue Angriffsvektoren Wie lösen wir das Problem? Fazit und Ausblick 2 Die IT-Sicherheitssituation heute Eine kritische Bewertung (1/6) Prof. Norbert Pohlmann, Institut für Internet-Sicherheit - if(is), Westfälische Hochschule, Gelsenkirchen Zu viele Schwachstellen in Software Die Software-Qualität der Betriebssysteme und Anwendungen ist nicht gut genug! Fehlerdichte: Anzahl an Fehlern pro 1.000 Zeilen Code (Lines of Code - LoC). Betriebssysteme haben mehr als 10 Mio. LoC mehr als 3.000 Fehler (Fehlerdichte 0,3 ) und damit zu viele Schwachstellen 3 Die IT-Sicherheitssituation heute Eine kritische Bewertung (2/6) Prof. Norbert Pohlmann, Institut für Internet-Sicherheit - if(is), Westfälische Hochschule, Gelsenkirchen Ungenügender Schutz vor Malware (1/2) Schwache Erkennungsrate bei Anti-Malware Produkten nur 75 bis 95%! Bei direkten Angriffen weniger als 27% Security gaps 100% signature-based detection 27% proactive detection 0% 24h Day 3 Day 14 4 Die IT-Sicherheitssituation heute Eine kritische Bewertung (3/6) Prof. Norbert Pohlmann, Institut für Internet-Sicherheit - if(is), Westfälische Hochschule, Gelsenkirchen Ungenügender Schutz vor Malware (2/2) Jeder 25. Computer hat Malware! Datendiebstahl/-manipulation (Keylogger, Trojanische Pferde, …) Spammen, Click Fraud, Nutzung von Rechenleistung, … Datenverschlüsselung / Lösegeld, … Cyber War (Advanced Persistent Threat - APT) Eine der größten Bedrohungen zurzeit! Stuxnet, Flame, …. CyberWar 5 Die IT-Sicherheitssituation heute Eine kritische Bewertung (4/6) Prof. Norbert Pohlmann, Institut für Internet-Sicherheit - if(is), Westfälische Hochschule, Gelsenkirchen Identity Management (2012) Passworte, Passworte, Passworte, … sind das Mittel im Internet! Identifikationsbereiche liegen im Unternehmens- und Kundenumfeld, nicht international! Föderationen sind noch nicht verbreitet genug! © http://moneytipcentral.com/ 6 Die IT-Sicherheitssituation heute Eine kritische Bewertung (5/6) Prof. Norbert Pohlmann, Institut für Internet-Sicherheit - if(is), Westfälische Hochschule, Gelsenkirchen Webserver Sicherheit Schlechte Sicherheit auf den Webservern / Webseiten Heute wird Malware hauptsächlich über Webseiten verteilt (ca. 2.5 % Malware auf den deutschen gemessen Webseiten) Gründe für unsichere Webseiten Viele Webseiten sind nicht sicher implementiert! Patches werden nicht oder sehr spät eingespielt Firmen geben kein Geld für IT-Sicherheit aus! Verantwortliche kennen das Problem nicht! © http://moneytipcentral.com/ 7 Die IT-Sicherheitssituation heute Eine kritische Bewertung (6/6) Prof. Norbert Pohlmann, Institut für Internet-Sicherheit - if(is), Westfälische Hochschule, Gelsenkirchen Internet-Nutzer Internet-Nutzer müssen die Gefahren des Internets kennen, sonst schaden sie sich und anderen! Umfrage BITKOM: (2012) Fast jeder dritte Internet-Nutzer schützt sich nicht angemessen! - keine Personal Firewall (30 %) - keine Anti-Malware (28 %) - gehen sorglos mit E-Mails und Links um - usw. Studie „Messaging Anti-Abuse Working Group“: 57 Prozent der Befragten haben schon einmal Spam-Mails geöffnet oder einen darin enthaltenen Link angeklickt. 8 Prof. Norbert Pohlmann, Institut für Internet-Sicherheit - if(is), Westfälische Hochschule, Gelsenkirchen Smartphone 9 Prof. Norbert Pohlmann, Institut für Internet-Sicherheit - if(is), Westfälische Hochschule, Gelsenkirchen Am Anfang war … 10 Prof. Norbert Pohlmann, Institut für Internet-Sicherheit - if(is), Westfälische Hochschule, Gelsenkirchen Mehr und mehr Funktionen 11 Smartphones und Co. Vorteile (1/2) Prof. Norbert Pohlmann, Institut für Internet-Sicherheit - if(is), Westfälische Hochschule, Gelsenkirchen Das Internet mit seinen zentralen Diensten ist stets und überall verfügbar! Smartphones sind Always-On Vielfältige Kommunikationsschnittstellen UMTS/LTE, WLAN, Bluetooth, NFC, … Multifunktional Handy, Navi, Musik/TV-Gerät, Medizin-/Gesundheitsgerät, … Zugang zum Unternehmen, Internet-Dienste, … universeller Computer/Apps Einfach, schnell und intelligent über Touchscreens zu bedienen Einfacher als Notebooks/PCs Local Based Service innovative Vor-Ort-Dienste … 12 Smartphones und Co. Prof. Norbert Pohlmann, Institut für Internet-Sicherheit - if(is), Westfälische Hochschule, Gelsenkirchen Vorteile (2/2) Immer leistungsstärkere mobile Geräte im Hosentaschenformat Beispiel am Samsung Exynos 4412 (Plattform S3): 4x1.4 GHz CPU mit integrierter Hochleistungs-Grafikeinheit inkl. 3D Beschleunigung, 1 GB Ram + HD 720p Display 64 Gbyte eMMC Speicher + 64GB MicroSD LTE 100 MBit 8 MPx Kamera inkl. FULL HD 1920 × 1080 Video de/encoding … Optimale auf einander abgestimmte Leistung, bei minimalem Energieverbrauch 13 Smartphones und Co. Steigender Wert Prof. Norbert Pohlmann, Institut für Internet-Sicherheit - if(is), Westfälische Hochschule, Gelsenkirchen Für viele „wichtige“ Personen schon das einzige IT-Gerät Alle wichtigen Daten sind auf dem mobilen Gerät Preislisten, Finanzdaten, Strategiedaten, … E-Mails, SMS, … Kontakte, … Positionsdaten, … Zugangsdaten (Unternehmen, soziale Netze, Banken, …) … 14 Prof. Norbert Pohlmann, Institut für Internet-Sicherheit - if(is), Westfälische Hochschule, Gelsenkirchen Sicherheitslücken Neue Angriffsvektoren 15 Lagebild zur Bedrohung Prof. Norbert Pohlmann, Institut für Internet-Sicherheit - if(is), Westfälische Hochschule, Gelsenkirchen Verlieren der mobilen Geräte (1/8) Ständig wechselnde unsichere Umgebungen Flughäfen, Bahnhöfe, Cafés, … … im Vergleich zum Computer auf dem Schreibtisch! Die Wahrscheinlichkeit des unabsichtlichen Verlustes wird deutlich höher! Handy-Statistik Taxis in London: 60.000 im Jahr Gezielter Diebstahl - neues Beschäftigungsfeld von Taschendieben. 16 Lagebild zur Bedrohung Bewegungsprofilbildung (2/8) Prof. Norbert Pohlmann, Institut für Internet-Sicherheit - if(is), Westfälische Hochschule, Gelsenkirchen Das Smartphone ist auch ein Ortungsgerät (Basis-Stationen (GSM, UMTS/LTE), GPS, Hotspots, … bieten Geodaten) Über kostenlose Apps kommen „viele“ an die Positionen des Besitzers Risiken 17 Lagebild zur Bedrohung Apps als Spyware (3/8) Prof. Norbert Pohlmann, Institut für Internet-Sicherheit - if(is), Westfälische Hochschule, Gelsenkirchen Trend: Masse statt Klasse Mehr als 500.000 Apps (pro: Apple Store, Play Store, …) Geschäftsmodell: App gegen „persönliche“ Daten Unnötige Informationsweitergabe der Apps (Telefonbuch, Geodaten, …) Jeder sagt ja (Zustimmungspflicht)! Apps als Malware (Diktier-App, …) Die Malfunktion in der App läuft unsichtbar im Hintergrund Spyware Die Spyware läuft unsichtbar im Hintergrund Mitlesen von SMSs, … Nutzen als flexible remote Wanze … 18 Lagebild zur Bedrohung Öffentliche Einsicht (4/8) Prof. Norbert Pohlmann, Institut für Internet-Sicherheit - if(is), Westfälische Hochschule, Gelsenkirchen Einfache Möglichkeit der Einsichtnahme in der Öffentlichkeit Flughäfen, Bahnhöfe, Cafés, … Die Nachbarn im Flugzeug, in der Bahn, im Bus, auf … … Konferenz, Tagungen, usw. 19 Lagebild zur Bedrohung Prof. Norbert Pohlmann, Institut für Internet-Sicherheit - if(is), Westfälische Hochschule, Gelsenkirchen Falsche /manipulierte Hotspots (5/8) Hotspots werden verwendet, um mal schnell E-Mails zu checken, insbesondere auch im Ausland. Wir können nicht einfach entscheiden, wem ein Hotspot gehört und ob er vertrauenswürdig arbeitet. Man-In-The-Middle Angriff (Passwörter, Übernahme von Sessions, …) Jailbreak von iPhones … 20 Lagebild zur Bedrohung Bring Your Own Devices (6/8) Prof. Norbert Pohlmann, Institut für Internet-Sicherheit - if(is), Westfälische Hochschule, Gelsenkirchen Die meisten mobilen Geräte werden für den Konsumer-Markt erstellt (Apple iPhone 4S: mehr als 250 Mio. Geräte) Strategie: Dümmster anzunehmender Benutzer Erst mal funktioniert alles, wenn der Benutzer mehr Sicherheit möchte, dann muss er Einschränkungen vornehmen Business-Strategie: Es funktioniert erst mal gar nichts und der Benutzer muss Funktionen freischalten! 21 Prof. Norbert Pohlmann, Institut für Internet-Sicherheit - if(is), Westfälische Hochschule, Gelsenkirchen Lagebild zur Bedrohung Poor Keyboard (7/8) 22 Prof. Norbert Pohlmann, Institut für Internet-Sicherheit - if(is), Westfälische Hochschule, Gelsenkirchen poor KEYBOARD => poor PASSWORD 23 Lagebild zur Bedrohung Störungen im Minutentakt (8/8) Prof. Norbert Pohlmann, Institut für Internet-Sicherheit - if(is), Westfälische Hochschule, Gelsenkirchen E-Mail, Facebook, Twitter, Chatprogramme, Spiegel, … Berufliche Dinge, aber zunehmend auch private Ereignisse Wie arbeitet das Gehirn? Die Infos vom Kurzzeitgedächtnis müssen ins Langzeitgedächtnis Das braucht Zeit! Mit diesem Übergang werden die Synapsen gebildet Dadurch wird individuelles Wissen vereint Das unterscheidet uns vom sogenanntem Google-Wissen! 24 Prof. Norbert Pohlmann, Institut für Internet-Sicherheit - if(is), Westfälische Hochschule, Gelsenkirchen Wie lösen wir das Problem? Mensch Technik 25 Sicherheit von Smartphones & Co Prof. Norbert Pohlmann, Institut für Internet-Sicherheit - if(is), Westfälische Hochschule, Gelsenkirchen Übersicht (1/2) Mobile Device Management Systeme (Afaria, MobileIron, Ubitex, …) Remote Löschen und Deaktivieren Kennwortrichtlinien umsetzen Installation von Apps beschränken Verschlüsselung der gespeicherten Daten Wiederfinden über Geodaten Backups … Sichere Nutzung von Unternehmensressourcen VPN-Zugänge Unternehmensemails Kalender Kontakte Web-basierte Unternehmensdienste wie z.B. CRM Ins Internet (Hotspot, …) … 26 Sicherheit von Smartphones & Co Prof. Norbert Pohlmann, Institut für Internet-Sicherheit - if(is), Westfälische Hochschule, Gelsenkirchen Übersicht (2/2) Vertrauenswürdige App-Stores Herstellererklärung (Daten, die genutzt werden; Funktionen, …) Testen der Apps (Verhalten, O/Q-Code-Analyse, Kommunikation, …) Reputationssystem … Aufklärung der Nutzer Verlust, Einsichtnahme, Positionierung, … Vertrauenswürdige Hotspots, … Nutzung von Apps und deren Gefahren … 27 Trusted Smartphone Prof. Norbert Pohlmann, Institut für Internet-Sicherheit - if(is), Westfälische Hochschule, Gelsenkirchen Sicherheitslösung für die Zukunft Private App Business App OS Platform Vertrauenswürdige Systeme und Sicherheitsplattformen Isolation kritischer Komponenten Kontrolle aller Informationsflüsse zwischen den Komponenten sowie Kontrolle des Zugriffs von Komponenten auf Hardwareschnittstellen. Integritätsprüfung der verwendeten Komponenten. 28 Trusted Smartphone Prof. Norbert Pohlmann, Institut für Internet-Sicherheit - if(is), Westfälische Hochschule, Gelsenkirchen Hypervisor / μKernel Domain A Domain B Apps Apps Middleware Middleware Kernel Kernel Hypervisor / μKernel Aspekte: Wiederverwendung von Treibern Performance-Probleme (Akku-Laufzeiten) kaum verfügbarer Hardware-Spezifikationen schnelle Hardware-Entwicklungszyklen Aber sehr sicher! Z.B. SIMKO (T-System) 29 Trusted Smartphone Prof. Norbert Pohlmann, Institut für Internet-Sicherheit - if(is), Westfälische Hochschule, Gelsenkirchen Trennung auf Middleware - Capabilities Domain A Domain B Apps Apps Middleware Extension Kernel Aspekte: Sehr gute Performance Keine Probleme mit Akku-Laufzeiten BizzTrust (Sirrix AG, Fraunhofer SIT) 30 Prof. Norbert Pohlmann, Institut für Internet-Sicherheit - if(is), Westfälische Hochschule, Gelsenkirchen Fazit und Ausblick 31 Prof. Norbert Pohlmann, Institut für Internet-Sicherheit - if(is), Westfälische Hochschule, Gelsenkirchen OpenID-Provider Neuer Personalausweis 32 Prof. Norbert Pohlmann, Institut für Internet-Sicherheit - if(is), Westfälische Hochschule, Gelsenkirchen Der Marktplatz IT-Sicherheit www.it-sicherheit.de 33 Lagebild zur Bedrohung der Unternehmenssicherheit durch Smartphones & Co Vielen Dank für Ihre Aufmerksamkeit Fragen ? Prof. Dr. (TU NN) Norbert Pohlmann Institut für Internet-Sicherheit – if(is) Westfälische Hochschule, Gelsenkirchen http://www.internet-sicherheit.de
© Copyright 2024 ExpyDoc
