bezpečnost na mobilních zařízeních
TRANSCRIPT
![Page 2: Bezpečnost na mobilních zařízeních](https://reader034.vdocuments.pub/reader034/viewer/2022052410/5551999fb4c9053c488b4653/html5/thumbnails/2.jpg)
Co je to bezpečnost?
• “Snaha minimalizovat dopady hrozeb”
• Hrozba = situace, která mě může poškodit
• Dopad = peníze, které zaplatím, když se něco stane
![Page 3: Bezpečnost na mobilních zařízeních](https://reader034.vdocuments.pub/reader034/viewer/2022052410/5551999fb4c9053c488b4653/html5/thumbnails/3.jpg)
Co je to bezpečnost?
• Málo pravděpodobné hrozby mají typicky větší dopad
• ztráta klíčeny PKI v situaci, kdy řeknete kamarádovi heslo do bankovnictví v hospodě
![Page 4: Bezpečnost na mobilních zařízeních](https://reader034.vdocuments.pub/reader034/viewer/2022052410/5551999fb4c9053c488b4653/html5/thumbnails/4.jpg)
Bezpečnost
AutentizaceAutorizace
Bezpečná komunikaceChráněné úložiště
Sandboxing
Edukace uživatelů
![Page 5: Bezpečnost na mobilních zařízeních](https://reader034.vdocuments.pub/reader034/viewer/2022052410/5551999fb4c9053c488b4653/html5/thumbnails/5.jpg)
Mobilní zařízení jsou nebezpečná
... různě se povalují, a tak...
![Page 6: Bezpečnost na mobilních zařízeních](https://reader034.vdocuments.pub/reader034/viewer/2022052410/5551999fb4c9053c488b4653/html5/thumbnails/6.jpg)
Dříve byl svět jednodušší
SIM Toolkit Java ME
![Page 7: Bezpečnost na mobilních zařízeních](https://reader034.vdocuments.pub/reader034/viewer/2022052410/5551999fb4c9053c488b4653/html5/thumbnails/7.jpg)
Mobilní telefon
(krásný)
![Page 8: Bezpečnost na mobilních zařízeních](https://reader034.vdocuments.pub/reader034/viewer/2022052410/5551999fb4c9053c488b4653/html5/thumbnails/8.jpg)
Tablet device
(krásný)
![Page 9: Bezpečnost na mobilních zařízeních](https://reader034.vdocuments.pub/reader034/viewer/2022052410/5551999fb4c9053c488b4653/html5/thumbnails/9.jpg)
Dell Streak
(divný)
![Page 10: Bezpečnost na mobilních zařízeních](https://reader034.vdocuments.pub/reader034/viewer/2022052410/5551999fb4c9053c488b4653/html5/thumbnails/10.jpg)
Asus EEEPad
(nevyhraněný)
![Page 11: Bezpečnost na mobilních zařízeních](https://reader034.vdocuments.pub/reader034/viewer/2022052410/5551999fb4c9053c488b4653/html5/thumbnails/11.jpg)
Internet do notebooku?
(Co bude dál? Lékař jen na zuby?)
![Page 12: Bezpečnost na mobilních zařízeních](https://reader034.vdocuments.pub/reader034/viewer/2022052410/5551999fb4c9053c488b4653/html5/thumbnails/12.jpg)
Autentizace a autorizace
![Page 13: Bezpečnost na mobilních zařízeních](https://reader034.vdocuments.pub/reader034/viewer/2022052410/5551999fb4c9053c488b4653/html5/thumbnails/13.jpg)
Jak dokážu, že já jsem já?
• Prohlásím to - volný přístup
• Prokážu se znalostí - login/heslo
• Prokážu se vlastnictvím tokenu - certi)kát
• Token mě prokáže - SecurID, secure token, ...
![Page 14: Bezpečnost na mobilních zařízeních](https://reader034.vdocuments.pub/reader034/viewer/2022052410/5551999fb4c9053c488b4653/html5/thumbnails/14.jpg)
Autentizace a autorizace
• Autorizace = Určení toho, co můžu dělat
• Různým úrovním autorizace mohou odpovídat různé úrovně autentizace
platba
historie
kontakt
Kdokoliv
Login/Heslo
SMS kód, SecurID, ...
Bankovnictví
![Page 15: Bezpečnost na mobilních zařízeních](https://reader034.vdocuments.pub/reader034/viewer/2022052410/5551999fb4c9053c488b4653/html5/thumbnails/15.jpg)
Mobilní zařízení jsou anonymní
... nejsou jednoznačně identi)kovatelná...
![Page 16: Bezpečnost na mobilních zařízeních](https://reader034.vdocuments.pub/reader034/viewer/2022052410/5551999fb4c9053c488b4653/html5/thumbnails/16.jpg)
Problém• Žádné IMEI, ICCID, ...
• často není SIM karta, není API v SDK
• Žádná autorizace pomocí SMS
• opět - není SIM
• ... nebo hůř - je SIM
• Žádná USB klíčenka
• není port pro USB
![Page 17: Bezpečnost na mobilních zařízeních](https://reader034.vdocuments.pub/reader034/viewer/2022052410/5551999fb4c9053c488b4653/html5/thumbnails/17.jpg)
Řešení
• Přiznat si, že zařízení je anonymní
• ... chceme přeci ověřit uživatele...
• Proces personalizace instalace
• “ID zařízení” vs. “ID instalace” vs. “ID aktivace”
• Jiná dvou-faktorová autentizace
• SecurID
• Secure Token s NFC
![Page 18: Bezpečnost na mobilních zařízeních](https://reader034.vdocuments.pub/reader034/viewer/2022052410/5551999fb4c9053c488b4653/html5/thumbnails/18.jpg)
Autentizace a autorizace• Tustý klient
• Jednofaktorová: OAuth 1.0a (ne OAuth 2.0!!!), XAuth, deriváty
• Vícefaktorová: SecurID, gridkarta
• Mobilní web: Jen pasivní operace
• Neukládat hesla
• iOS: Keychain se dá vykrást do 6 minut
![Page 19: Bezpečnost na mobilních zařízeních](https://reader034.vdocuments.pub/reader034/viewer/2022052410/5551999fb4c9053c488b4653/html5/thumbnails/19.jpg)
Biometriky... jsou nuda...
... svá biometrická data trousíte kudy jdete...
![Page 20: Bezpečnost na mobilních zařízeních](https://reader034.vdocuments.pub/reader034/viewer/2022052410/5551999fb4c9053c488b4653/html5/thumbnails/20.jpg)
Bezpečné úložiště dat
![Page 21: Bezpečnost na mobilních zařízeních](https://reader034.vdocuments.pub/reader034/viewer/2022052410/5551999fb4c9053c488b4653/html5/thumbnails/21.jpg)
Bezpečné úložiště dat• Na mobilním zařízení není obecně možné
zajistit
• Varianta: Zabezpečená cache
• Data chráněná heslem do aplikace
• Druhá komponenta - token ze serveru svázaný s heslem
• Varianta: Heslem zabezpečený klíč
• Náhodnost zamezuje použití brute-force
Vzdálená blokace
Blokuje server po N pokusech
![Page 22: Bezpečnost na mobilních zařízeních](https://reader034.vdocuments.pub/reader034/viewer/2022052410/5551999fb4c9053c488b4653/html5/thumbnails/22.jpg)
Sandboxing
![Page 23: Bezpečnost na mobilních zařízeních](https://reader034.vdocuments.pub/reader034/viewer/2022052410/5551999fb4c9053c488b4653/html5/thumbnails/23.jpg)
Sandboxing
• Víte, co je ve vaší aplikaci a co mimo ní?
• Data logovaná přes NSLog se ukládají mimo sandbox
• http://itunes.apple.com/us/app/appswitch/id398317469?mt=8
• Keychain je mimo sandbox
• Clipboard
![Page 24: Bezpečnost na mobilních zařízeních](https://reader034.vdocuments.pub/reader034/viewer/2022052410/5551999fb4c9053c488b4653/html5/thumbnails/24.jpg)
Bezpečná komunikace
![Page 25: Bezpečnost na mobilních zařízeních](https://reader034.vdocuments.pub/reader034/viewer/2022052410/5551999fb4c9053c488b4653/html5/thumbnails/25.jpg)
Bezpečná komunikace
• Používejte HTTPS
• Nespoléhejte na výchozí validaci SSL certi)kátu, jde-li vám o ochranu proti MITM útokům
• http://mitmproxy.org/
![Page 26: Bezpečnost na mobilních zařízeních](https://reader034.vdocuments.pub/reader034/viewer/2022052410/5551999fb4c9053c488b4653/html5/thumbnails/26.jpg)
Edukace uživatelů
![Page 27: Bezpečnost na mobilních zařízeních](https://reader034.vdocuments.pub/reader034/viewer/2022052410/5551999fb4c9053c488b4653/html5/thumbnails/27.jpg)
Edukace uživatelů
• Nedávejte vašim uživatelům falešný pocit bezpečí
• Upozorňujte je na možná rizika používání mobilních aplikací