Jak vyvíjet a provozovat mobilní řešení s důrazem na vysokou bezpečnost - Vladimír Toman
•
0 likes•1,019 views
Prezentace z konference Svět informatiky ve finančnictví, která se konala 6.10.2015 v Konferenčním centru City v Praze. Web konference: http://financnictvi.konference.cz/
Recommended
Recommended
More Related Content
Viewers also liked
Viewers also liked (20)
More from eMan s.r.o.
More from eMan s.r.o. (14)
Jak vyvíjet a provozovat mobilní řešení s důrazem na vysokou bezpečnost - Vladimír Toman
- 1. Jak vyvíjet a provozovat mobilní řešení s důrazem na vysokou bezpečnost Vladimír Toman
- 2. Agenda - eMan na trhu s mobilním řešením - Nejčastěji řešené bezpečnostní otázky - Mobile Device Management
- 3. O společnosti eMan - Přední český dodavatel mobilních řešení - V top 3 ve vývoji mobilních aplikací v ČR - Zahájení činnosti: 2010 - Počet členů týmu: 50
- 4. eMan na trhu s mobilním řešením
- 5. Uplatnění mobilních řešení - Pojišťovnictví a finance - Energetika - Telekomunikace - Průmysl a doprava
- 6. Typy mobilních aplikací - Stand-alone aplikace pro koncové uživatele - Aplikace B2C veřejně dostupné - Aplikace B2B pro interní použití - Průmyslové aplikace - IoT
- 7. Bezpečností otázky - Jaká data chceme chránit a proti komu? - Jaké útoky považujeme za pravděpodobné? - Oblasti zabezpečení: - Mobilní zařízení - Data mobilní aplikace - Komunikace s backend serverem
- 8. Zabezpečení Mobilní zařízení - Získání uživatelského přístupu - Root zařízení bez ztráty dat - Instalace malware
- 9. Zabezpečení Data mobilní aplikace - Data uložení a file systému/databázi - Data uchovaná v RAM - Přečtení zdrojového kódu aplikace
- 10. Zabezpečení Komunikace s BE - Nejčastější a nejpravděpodobnější místo útoku - Co je možné chránit: - Odposlechnutí dat - Modifikace requestů - Zopakování requestů - Kontrola integrity volání
- 11. Zabezpečení MDM - Důvody využití MDM - Časté typy implementace - Funkčnosti: - Nastavení bezpečnostních politik - Konfigurace a správa zařízení - Mobile Application Management - Sdílení firemních zdrojů
Editor's Notes
- S klienty v rámci vývoje nebo integrace mobilního řešení do jejich infrastruktury řešíme stále stejné oblasti. Před začátkem těchto debat je ale nejdůležitější si položit dvě základní otázky. Jaká data chceme chránit - Jsou to data uživatele (ochrana osobních údajů), organizace (firemní data, která nesmí být zneužita). Jakou mají data platnost. Je možné jejich využití mimo mobilní aplikaci (jsou vůbec zneužitelná). Proti komu chceme data chránit – Proti cizí osobě, která se zmocní zařízení (zcizení zařízení), proti samotnému uživateli (zneužití firemních dat např. převedení báze klientů do kmene jiné firmy). Proti cíleným útokům na funkčnosti aplikace (manipulace s platbou) Je třeba si uvědomit, že nejčastější útoky jsou na backend servery nikoliv na mobilní zařízení a podle toho také směřovat úroveň zabezpečení: Jsou často špatně zabezpečené Obsahují všechna data a je možné je jako celek využít Je možné data dlouhodobě sledovat Server je na stejné adrese na jednom místě
- Dle odpovědí na předchozí otázky je pak potřeba přizpůsobit návrh a vývoj aplikace. Je možné počítat s těmito útoky. Získání uživatelského přístupu: Uživatel ztratí telefon a nemá lockscreen, čili aplikace je zcela nechráněná – Může být problém i u čistě uživatelských aplikací kde jsou uložena data v profilu (např. rodné číslo). Jinak základním zabezpečením je PIN v aplikaci. Pokud jde o firemním zařízení je možné vynutit PIN lockscreen. Root zařízení bez ztráty dat: Pokud uživatel provede root telefonu získá přístup k veškerým datům systému i jeho prostředkům zařizení je tak úplně nechráněné. Root nelze nikdy spolehlivě identifikovat z aplikace. Pokud chceme aplikaci ochránit nesmí být data na zařízení nešifrovaná a nesmí být nic citlivého uloženo v zařízení. Pro odhalení root zařízení lze částečně využít MDM. Malware: Problém hlavně na Android platformě. Nejzranitelnější - instalace vlastních klávesnic nebo sledování síťového provozu. – Ochrana vlastní nenativní klavesnice, MDM kontrola povolených aplikací Při vysoké úrovni zabezpečení mobilního zařízení bez MDM nebo jeho částečné implementace není možné zaručit
- Data uložena na zařízení – základ je ukládat data k aplikaci nikoliv na sdílený FS (bez root není možná data získat), šifrovat pokud je potřeba Data uložená v RAM – správa RAM není pod kontrolou vývojáře nelze nikdy zaručit zda byla citlivá data odstraněna – lze ošetřit jen využitím implementace v cecku Přečtení zdrojového kódu aplikace - často opomíjený problém, vždy je potřeba počítat s tím že aplikace lze dekompilovat, uložená hesla, klíče, certifikáty nejsou nikdy v bezpečí
- Je třeba si uvědomit, že nejčastější útoky jsou na backend servery nikoliv na mobilní zařízení a podle toho také směřovat úroveň zabezpečení: Jsou často špatně zabezpečené Obsahují všechna data a je možné je jako celek využít Je možné data dlouhodobě sledovat Server je na stejné adrese na jednom místě Odposlechnutí: Pokud jsou data uživatelsky či firemně zásadní (nikoliv novinky atp.) je potřeba vždy minimálně šifrovat pomocí HTTPS, nebezpečí MITM potřeba SSL pining kontrola vydavatele certifikátům. Vždy je ale možné API zavolat bez potřeby znalosti jakýchkoliv dodatečných dat (prohlížeč jiná aplikace atp.) Dodatečné šifrování RSA dodaného ze serveru. Modifikace: Problém úpravy requestu po cestě na server nebo zpět. Podepisování requestů, kontrola intergity dat. Zopakování requestu: Vložení náhodného nonce, kontrola číselné nebo jiné řady ve voláních. Kontrola integrity: Kontrola stavového stromu aplikace. Nemožnost zavolání požadavku bez průchodu jinými voláními. Potřeba autentikace zařízení.
- MDM produktů existuje na trhu již hodně. Pokud chceme využít všech možností MDM a zaintegrovat jej s firemní infrastrukturou je již výběr mezi lídry tohoto trhu. MDM se používá hlavně z důvodu ochrany data v mobilních zařízeních a pro ochránění interních systémů MDM nám umožňuje nastavit bezpečnostní politiky v zařízení (vynutit šifrování, složitost pinu na lockscreen, zakázat připojení na nazabezpečenou wifi nebo například instalace aplikací z neznámých zdrojů). MDM také umožňuje zařízení konfigurovat a doručovat na něj certifikáty či jiné objekty. Je tak možné například nakonfigurovat uživateli email/vpn tak že nezná vůbec hesla ani nastavení není tak možné tyto údaje zneužít. MAM je možné spravovat aplikace na zařízení, čili instalovat/aktualizovat interní aplikace, sledovat jaké aplikace jsou instalovány a vytvářet jejich blacklist/whitelist Je také možné distribuovat soubory či přílohy jen přes MDM tak že není možné je kopírovat a jsou v zašifrovaném úložišti. Při kompromitaci zařízení jsou pak data jednoduše odstraněna ze zařízení