Sicherheitsbetrachtung der Cloudifizierung von Smart- Devices

Sicherheitsbetrachtung der
Cloudifizierung von Smart-
Devices
SHE Informationstechnologie AG
Roger Klose, Senior IT Security Consultant

Agenda
Definition
Alltagssituationen
Maßnahmen
Zusammenfassung

© SHE Informationstechnologie AG, 2009 www.she.net

Definition
Smart:
Intelligenz besitzend, zeigend; klug, gescheit, begabt
Device:
Gesamtheit der für eine bestimmte Aufgabe, Tätigkeit, Institution benötigten
[…] Hilfsmittel
aus mehreren Bauelementen zusammengesetztes technisches Gerät, das
bestimmte Funktionen erfüllt
(umgangssprachlich) etwas, was durch ungewöhnliche Größe, durch seine
Besonderheit, Ausgefallenheit Aufsehen oder Staunen erregt
Cloud
über ein Netzwerk ermöglichte Nutzung mehrerer verteilter Rechner


Wir reden nicht über:


Die Gretchenfrage:
Ist es

die

für

-te Geräte zu nutzen?


Des Kaisers neue Kleider
Es ist abzusehen, dass ähnliche Angriffe, wie sie heute bei PCs und anderen
Rechnern bekannt sind, in Zukunft in deutlich stärkerem Umfang […] auftreten
werden. Monokulturen von Software und Hardware können diese
Bedrohungslage drastisch verschärfen.
[…] es entstehen neue Anwendungsaspekte, wie Mobilität […] und neue
Kommunikationstechnologien. Im Vergleich zu
klassischen Rechnern entstehen durch die
Veränderung der Benutzungsparadigmen und
wegen neuer Anwendungsszenarien neuartige
Bedrohungen.

https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Broschueren/MobilEndgeraete/mobile_endgeraete_pdf.pdf?__blob=publicationFile


Sportstracking

http://www.sports-tracker.com/


Sportstracking
Text


Geotacking in Fotos (1)
Flikr, Picasa, Facebook, twitpic, foursquare, yfog, pikchur, img.ly,…

http://www.webwork-tools.de/2011/05/7-alternativen-zu-twitpic/


Geotacking in Videos
Text


Do-It-Yourself: Cree.py

http://ilektrojohn.github.com/creepy/


Bookmarks


Passwörter in der Cloud


Das virtuelle Gedächtnis


Google (Docs)


Memo


Vacation Planning


Facebook


Do You Know Robin?

http://media.blackhat.com/bh-us-10/whitepapers/Ryan/BlackHat-USA-2010-Ryan-Getting-In-Bed-With-Robin-Sage-v1.0.pdf


Stammbaum


Cloud-Speicher (iCloud)
An iOS device that is iCloud enabled continuously syncs data to Apple's data-centers (and to cloud services Apple
has in turn leased from Amazon (EC2) and Microsoft (Azure)). The device also performs a backup about once a
day when the device is plugged into a power outlet and when WiFi is available (this can also be manually initiated
by the user).
iCloud backs-up emails, calendars, SMS and iMessages, browser history, notes, application data, phone logs, etc.
This information can be a gold-mine for adversaries. […] in the near future, we are going to see automated tools
that will do the following:
Continuously scrape compromised usernames and password of other services from sources such as
http://twitter.com/PastebinLeaks.
Attempt credentials of each compromised account
(whose username is in the form of an email as required
by iCloud) on iCloud.
For every successful credential, download the restore files
thereby completely compromising the user's information.

http://software-security.sans.org/blog/2011/12/05/apples-icloud-thoughts-on-security-and-storage


Cloud-Speicher (DropBox)
A code update left Dropbox, the popular cloud storage service, password-free
for about four hours on Monday afternoon.
During this time, anyone could access any of Dropbox’s 25 million user accounts
by typing in any password. The lapse occurred between 1:54 p.m. to 5:46 p.m.
PT.


Build-In-Security? Applikationssicherheit?

http://www.heise.de/newsticker/meldung/Verschluesselung-bei-vielen-Android-Apps-mangelhaft-1732351.html


Vorgehensweise
Definition einer IT/Information Security Policy
(Vor-)Definition einer Mobile Device Policy
Ermittlung der Anforderungen an die Funktionalität/Vertraulichkeit/Verfügbarkeit
Ermittlung von Nutzerklassen
Definition von Geräteklassen
Definition von Bedrohungen
Definition von Schwachstellen
(Risiko-) Bewertung von Geräten
Ausschluss von Geräteklassen
Definition von Mindestanforderungen an die Geräteklassen


Maßnahmen
Betrieb einer zentralen „Mobile Device Management“-Lösung
Freigabe und Definition von „Applikationen“
Definition von Mindestanforderungen
OS-Version, Passwortlänge, Zugangsschutz, Verschlüsselung (auch von
Speicherkarten)
Remote-Wipe
Patchmanagement
Verschlüsselte VPN-Funktionalität
AV-Lösungen
Erstellen einer Acceptable Use Policy welche von den Mitarbeitern Unterzeichnet
wird.


Zusammenfassung
Smarte Geräte und deren Funktionen im Unternehmenseinsatz müssen kritisch
hinterfragt werden. -> Eine Risikobetrachtung ist wichtig!
Eine Verwehrung der Technologie kann keine Lösung sein.
Statt dessen müssen geeignete und angemessene Maßnahmen zur Absicherung
von smarten Gräten und deren Cloudifizierung ermittelt und definiert werden!
Hierzu haben die Berater der SHE AG jahrelange Erfahrungen gesammelt und
können das passende Kochrezept erarbeiten.


Fragen?
SHE Informationstechnologie AG
Roger Klose, Senior IT Security Consultant
Fon: + 49 621 5200 - 178
Fax: + 49 621 5200 - 550
Mob: + 49 172 6394 - 967
Email: Roger.Klose@she.net

Anhang: Quellen / Standards / Normen
https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Brosc
hueren/MobilEndgeraete/mobile_endgeraete_pdf.pdf?__blob=publicationFile


Sicherheitsbetrachtung der Cloudifizierung von Smart- Devices

Recommandé

Recommandé

Contenu connexe

En vedette

En vedette (20)

Similaire à Sicherheitsbetrachtung der Cloudifizierung von Smart- Devices

Similaire à Sicherheitsbetrachtung der Cloudifizierung von Smart- Devices (20)

Plus de Connected-Blog

Plus de Connected-Blog (20)

Sicherheitsbetrachtung der Cloudifizierung von Smart- Devices