Полный текст статьи доступен в формате .pdf:
В. А. Артамонов
ПРОБЛЕМЫ БЕЗОПАСНОСТИ МОБИЛЬНЫХ УСТРОЙСТВ, СИСТЕМ И ПРИЛОЖЕНИЙ
Развитие высоких технологий и тренд мобильности привели к тому, что современное мобильное устройство – смартфон/планшет или иной «гаджет» (слово по себе неприятное – прим. Авт.) зачастую используется в качестве мобильного офиса, центра развлечений и инструмента для потребления Интернет-контента. Сам аппарат многое может рассказать о своем владельце, ведь в его памяти хранятся: контакты коллег, друзей и близких с их персональными данными; журнал звонков; корпоративная переписка; параметры точек доступа Wi-Fi, которые расположены в пределах ареала обитания владельца; приложения социальных сетей (зачастую с сохраненными паролями); банковские реквизиты или мобильный/СМС банкинг, снимки, видеозаписи, заметки и пр.
Такая концентрация деловых и персональных данных приводит к тому, что абстрактная стоимость информации перевешивает цену самого устройства. Именно поэтому задача защиты телефона/планшета или иного мобильного устройства как от киберугроз так и от банальной утери/выхода из строя является критически важной. К сожалению, часть пользователей осознает важность этих задач лишь постфактум.
Итак, прежде чем перейти к содержательной части проблем безопасности объектов обозначенных в заголовке данной статьи, давайте конкретизируем основные понятия и определения интересующих нас именованных сущностей:
Мобильное устройство (гаджет – англ.) – это продукт (иногда система) информационно – коммуникационных технологий.
Согласно определению Национального института стандартов и технологий США (NIST), размещенному в отчете Guidelines for Managing and Securing Mobile Devices in the Enterprise (NIST Special Publication 800-124 Revision 1), мобильными считаются устройства, обладающие малыми габаритами и весом, как минимумом одним беспроводным интерфейсом доступа к Сети (мобильной связи или Интернет), встроенной (несъемной) памятью, операционной системой, не являющейся полноценной ОС настольных компьютеров и ноутбуков, возможностью установки приложений различными способами, имеющие встроенные средства синхронизации локально хранимых данных с удаленным источником. Кроме этого, устройство может обладать другими, необязательными свойствами, в частности, иметь не менее одного беспроводного персонального сетевого интерфейса типа Bluetooth или NFC, а также не менее одного беспроводного сетевого интерфейса для голосовой связи, например сотовый модуль;
оснащаться системой глобального позиционирования;
иметь одну или несколько цифровых камер, а также средства хранения данных (поддержка съемных носителей, поддержка использования самого устройства в качестве съемного носителя информации);
Мобильная телекоммуникационная система – это система информационно – коммуникационных технологий в виде совокупности аппаратно и программно совместимого оборудования, соединенного в единую систему (сеть) с целью передачи, хранения и обработки данных мобильных и иных устройств в пределах заранее определённой территории (зоны покрытия). Мобильная телекоммуникационная система/сеть (далее мобильная телесистема) способна передавать текстовую, графическую, голосовую или видеоинформацию. Чтобы передать информацию из одного пункта и получить ее в другом, телесистеме нужно выполнить некоторые операции, которые главным образом скрыты от пользователей. Прежде, чем мобильная система передаст информацию, ей необходимо установить соединение между передающей (sender) и принимающей (receiver) сторонами, рассчитать оптимальный маршрут передачи данных, выполнить первичную обработку передаваемой информации (например, необходимо проверить, что ваше сообщение передается именно тому, кому вы его отослали) и преобразовать скорость передачи компьютера в скорость, поддерживаемую линией связи.
Наконец, мобильная телесистема управляет потоком передаваемой информации (трафиком). Телесистема/сеть обычно содержит разнообразные аппаратные и программные компоненты, которым необходимо работать совместно, чтобы передавать информацию. Различные компоненты сети "общаются" друг с другом, придерживаясь ряда правил, что и позволяет им работать всем вместе. Такой набор правил, регулирующий процесс передачи данных между двумя точками сети, называется протоколом (protocol). Каждое устройство в сети должно правильно "понимать" протокол другого устройства. Главные функции сетевых протоколов следующие: идентифицировать каждое устройство, участвующее в передаче данных, проверить, не нуждаются ли данные в повторной передаче, выполнить повторную передачу, если произошла ошибка;
Мобильное приложение – это компонент, устанавливаемый на мобильное устройство, подключающийся к серверу мобильной телесистемы и управляющий пользовательским интерфейсом и бизнес-логикой мобильного устройства. Мобильные приложения могут быть развернуты с использованием архитектуры (приложение, обеспечивающее расширенную функциональность независимо от центрального сервера), или тонкий клиент ( в сетях с или , который переносит все или большую часть задач по обработке информации на ). Выбор типа приложения («толстого» или «тонкого»), зависит от его сложности, используемого устройства, сферы применения, а также наличия или отсутствия сетевого подключения.
Аппаратно – программная платформа для корпоративных мобильных приложений (англ. Mobile Enterprise Application Platform, сокр. MEAP) обеспечивает клиент-серверную среду исполнения и инструменты для разработки корпоративных мобильных приложений, обладающих высокой адаптивностью к различным типам устройств и имеющимся на них операционным системам, поддерживающих автономный режим работы.
Давайте разберемся от чего именно и каким образом можно (и нужно) защищать наши мобильные устройства, системы и приложения.
Угрозы и уязвимости мобильных устройств
Как правило, мобильные устройства должны обеспечивать решение нескольких задач информационной безопасности (триаду ИБ):
конфиденциальность – возможность доступа к хранимым и передаваемым данным только со стороны авторизованных сотрудников;
целостность данных – определение всех умышленных и неумышленных изменений в хранимых и передаваемых данных;
доступность – обеспечение своевременной доступности корпоративных данных с мобильных устройств.
Прежде чем развертывать мобильные решения, компаниям и организациям стоит разработать модель рисков информационной безопасности, определив возможные уязвимые ресурсы, угрозы и средства обеспечения безопасности, вычислив вероятности успешных атак и их последствий, и т. п.
Мобильные устройства сотрудника обычно используются в местах, не контролируемых компанией, и даже если устройства используются внутри офиса, они переносятся с места на место, что создает угрозу утечки конфиденциальных данных. Смартфоны и планшеты могут быть потеряны или украдены, и данные, хранимые на них, подвергаются риску быть скомпрометированными. При формировании политик и регламентов использования мобильных устройств необходимо учитывать, что такие устройства могут попасть в руки злоумышленников, которые попытаются получить конфиденциальные данные либо напрямую с устройства, либо используя их для удаленного доступа к ресурсам организации. Стратегия по смягчению последствий этого состоит из нескольких уровней [1].
Первый включает защиту конфиденциальных данных либо путем шифрования локального хранилища самого мобильного устройства, либо путем запрета локального хранения конфиденциальных данных. Даже если мобильное устройство всегда находится при владельце, существуют другие угрозы безопасности – например, возможность подглядеть важные данные или процесс ввода пароля.
Второй уровень включает обязательную аутентификацию пользователя. Как правило, у устройства имеется единственный идентификатор, поскольку предполагается только один владелец – следовательно, имя пользователя отсутствует, а есть только пароль, зачастую в виде простого PIN, что снижает защищенность. Поэтому нужны более надежные методы аутентификации, такие как аутентификация в домене, используемые вместо или в дополнение к встроенным возможностям устройства.
Многим мобильным устройствам, принадлежащим сотрудникам, которые они используют в своей производственной деятельности (концепция DYOD), не хватает, так называемых, «корней доверия», криптопроцессоров (криптопровайдеров), которые давно уже встраиваются, например, в ноутбуки. Также применительно к мобильным устройствам распространен пользовательский взлом устройств (например, так называемый «джейлбрейк») – нарушение встроенных ограничений безопасности.
Организации должны придерживаться презумпции ненадежности мобильных устройств и предоставлять доступ с них к корпоративным данным и приложениями только после обеспечения безопасности, постоянно отслеживая состояние устройств в процессе их работы.
Есть несколько стратегий устранения рисков использования недоверенных мобильных устройств. Можно ограничить или запретить использование личных устройств и обеспечивать безопасность каждого корпоративного устройства, перед тем как выдавать его пользователю – это приводит устройство в наиболее безопасное состояние, и все отклонения от него могут быть отслеживаемы и контролируемы. Также есть технические решения, обеспечивающие определенный уровень доверия, – например, запуск корпоративных приложений в изолированных контейнерах или использование приложений, отслеживающих состояние устройства. Как правило, у организаций, а тем более пользователей нет возможности контролировать безопасность сетей, используемых мобильными устройствами. Системы связи поддаются прослушиванию, что может привести к компрометации передаваемых данных. Атаки типа «человек посередине» также могут использоваться для перехвата и изменения соединения. Организации должны придерживаться презумпции небезопасности соединения между мобильными устройствами и корпоративными ресурсами, если нет полной уверенности в том, что устройства будут использоваться только в контролируемых организацией сетях. Риски использования небезопасных сетей могут быть сокращены путем применения сложных алгоритмов шифрования для защиты конфиденциальности и целостности передаваемых данных, а также за счет взаимной аутентификации для проверки обоих узлов перед передачей данных. Мобильные устройства разрабатывались с целью упрощения поиска, получения, установки и использования приложений, что сразу создает очевидные риски безопасности, особенно на платформах, которые не ставят ограничений безопасности на публикацию сторонних приложений. Организации должны планировать защиту своих мобильных устройств исходя из предположения, что загружаемые пользователями сторонние приложения изначально опасны.
Есть несколько способов сократить риски, вызванные подобными приложениями, – например, запретить установку всех внешних приложений, составить списки разрешенных или запрещенных приложений, использовать безопасный контейнер изоляции корпоративных данных и приложений от всех прочих, имеющихся на устройстве. Еще одна общая рекомендация – оценивать риски, создаваемые тем или иным сторонним приложением, перед разрешением его использования на мобильных устройствах организации. Важно отметить, что даже если эти стратегии устранения рисков безопасности применяются, пользователи все равно через встроенный браузер будут иметь доступ к небезопасным веб-приложениям. Связанные с этим риски можно сократить, ограничивая или запрещая использование браузера либо применяя специальный браузер внутри безопасного контейнера для всех рабочих нужд, оставляя встроенный браузер для всего остального.
Мобильные устройства могут взаимодействовать с другими системами для хранения и синхронизации данных. Локальное взаимодействие обычно включает в себя подключение мобильного устройства к настольному компьютеру или ноутбуку. Удаленное взаимодействие чаще всего включает автоматическое архивирование данных в облачном хранилище. Если все компоненты находятся под контролем организации, то риски в целом приемлемы, но обычно как минимум один компонент оказывается внешним для организации: возможно подключение личного мобильного устройства к корпоративному ноутбуку; подключение корпоративного мобильного устройства к удаленному хранилищу; перенос вредоносного программного кода с одного устройства на другое. Стратегии сокращения рисков в этом случае зависят от типа соединения. Предотвращение синхронизации корпоративного устройства с личным компьютером требует наличия на мобильном аппарате средств выбора устройств, с которыми разрешено синхронизироваться. Предотвращение синхронизации личных мобильных устройств с корпоративным компьютером требует аналогичных средств управления и на нем. Предотвращения доступа к удаленным хранилищам можно достигнуть путем блокирования сервисов, не позволяя, например, соединиться с доменными службами или конфигурируя мобильные устройства с целью исключения использования этих сервисов. На мобильных устройствах присутствует ненадежный контент, не встречающийся на других типах устройств, – например, QR-коды, специально созданные для обработки камерами мобильных устройств. Каждый такой код переводится в URL, и злоумышленники могут направлять пользователей на опасные веб-страницы, проводя целенаправленные атаки и размещая опасные QR-коды в местах физического присутствия целевых пользователей мобильных устройств, например на конференциях или в транспорте. Ключевой стратегией сокращения рисков, связанных с ненадежным контентом, является информирование пользователей о соответствующих рисках и запрет доступа к подобному контенту с любых мобильных устройств, применяемых в служебных целях. Также можно запретить использование определенных функций мобильных устройств – например, отключить камеру устройства во избежание обработки QR-кодов. С точки зрения корпоративной безопасности мобильные устройства с работающими службами геолокации подвергаются повышенному риску целенаправленной атаки: злоумышленникам становится легче определить местоположение устройства и его пользователя, соотнести эту информацию со сведениями о том, с кем он работает, чем занимается в данном месте, – и заранее организовать на него атаку на базе, например, QR-кодов. Эти риски можно сократить, если отключить геолокационные сервисы или запретить их использование конкретными приложениями, такими как социальные сети или приложения для фото.
Если говорить о программном обеспечении (ПО), то существующие угрозы можно разделить на две группы:
Различное вредоносное ПО (вирусы, трояны) – обычно предназначено для хищения персональных данных, получения контроля над устройством или вывода его из строя;
Уязвимости (потенциальные ошибки) в прошивке или приложении, как правило, приводят к потенциальной практической возможности обхода аутентификации, искажения процессов обработки информации на устройстве.
На сегодняшний день мобильные устройства, в зависимости от типов использования встроенных операционных систем, можно разделить на:
1. устройства Android;
2. устройства Apple (IOS);
3. устройства Blackberry;
4. устройства Windows Mobile (снята с поддержки и заменена несовместимой с ней Windows Phone). Анонсированы Windows 8 и Windows 10.
Приведём несколько бытовых способов защитить свой телефон, планшет или иной гаджет:
Блокировка экрана и защита паролем.
Это самая важная защита, которую вы можете обеспечить своему устройству. Причем настроить ее можно за считанные минуты. Хотя такая зашита и не спасет от самых квалифицированных нарушителей (хакеров), но все же поможет избежать нежелательного просмотра информации в вашем телефоне. Рекомендуем также применить ее к программам, которые взимают плату за дополнительный контент, чтобы дети случайно не израсходовали ваш бюджет.
Устройства Android:
Для настройки блокировки экрана устройств Android нажмите Настройки> Безопасность> Блокировка экрана. Здесь можно выбрать способ блокировки/разблокирования экрана.
Нет (экран не блокируется).
Face Unlock (для разблокирования используется функция распознавания вашего лица через переднюю камеру).
Графический ключ (используется сетка 3x3, на которой вы можете создать графический ключ для разблокирования экрана).
PIN-код (4-значный PIN-код).
Пароль (вы сами выбираете пароль).
Выбирая один из способов защиты, учтите, что пароль целесообразно использовать только в том случае, если его тяжело угадать. Графический ключ также может быть ненадежным, если у вас грязные пальцы, ведь угол проведения четко будет видно на экране.
Разблокирование экрана на устройствах Android
Защиту паролем можно также использовать для отдельных программ с помощью функции App Lock ( доступно тут). Она будет полезна, если платежные реквизиты сохраняются во время осуществления покупки через программу. Это обеспечит вам дополнительную защиту, поэтому вы спокойно можете давать детям поиграть с телефоном.
Устройства Apple:
Для устройств Apple доступна только одна функция защиты – 4-значный PIN-код. Чтобы настроить его, нажмите Настройки > Основные > Защита паролем.
Устройства Blackberry:
Пользователи телефонов и планшетов Blackberry могут выбрать для блокировки экрана функцию защиты паролем. Для этого нажмите Настройки > Безопасность и конфиденциальность > Пароль устройства или Настройки > Персонализация > Пароль. Просто включите функцию и выберите пароль.
Устройства Windows Mobile:
Как и для устройств Blackberry, для устройств Windows Mobile также можно активировать блокировку экрана с помощью пароля. Для этого нажмите Настройки > Блокировка экрана > Пароль.
Программы защиты.
Для устройств Android, Blackberry и Apple можно загрузить специальные программы защиты:
Android :
Самая популярная программа защиты для устройств Android – это TrustGo Antivirus & Mobile Security: она включает средство сканирования вирусов, проверку программы и даже антикражевые инструменты, позволяющие в случае похищения заблокировать устройство и определить его местонахождение (см. сайт TrustGo.com);
Apple:
Существует множество программ защиты для устройств iOS, однако самый популярный бесплатный вариант – это Lookout Antivirus, программа, которой пользуется более 20 млн. человек. Недавно вышла ее обновленная версия, содержащая новую опцию для пользователей iPhone и iPad – антикражевое ПО. Такая же версия также доступна для устройств Android и Kindle (см. сайт Lookout.com);
Windows Mobile:
Windows Mobile – это операционная система, содержащая программное обеспечение системы безопасности для устройств семейства Windows. Предлагают решение безопасности Windows Mobile, включающее Symantec, AVG (также и для устройств Android и Apple) и Kaspersky (также для устройств Android и Blackberry). В настоящее время снята с поддержки Microsoft и заменена на Windows Phone, к стати тоже не получившей широкого распространения. Большие надежды возлагаются на анонсированные универсальные ОС – Windows 8 (2013 г.) и Windows 10 (2015 г.);
Blackberry:
Компания Blackberry выпустила полезную программу под названием Blackberry Protect, которая копирует ваши данные и помогает найти устройство в случае утери. Есть также предложения и от известных разработчиков, таких как Kaspersky и McAfee.
Подозрительные ссылки.
Согласно результатам исследования, пользователи мобильных устройств втрое чаще переходят по подозрительным ссылкам, чем пользователи компьютеров и ноутбуков. А причина довольно проста: небольшой размер экрана не позволяет должным образом распознать источник ссылки. Поэтому будьте бдительны, когда переходите на сайты, и проверяйте, надежен ли источник. А во время загрузки файлов необходима предельная осторожность. Проверенное правило такое: если не уверены в источнике, не переходите по ссылке.
Проверка программ.
Сначала трудно устоять перед искушением, чтобы не загрузить первые попавшиеся бесплатные программы. Однако всегда обращайте внимание, на какой сайт вы переходите. Загружайте файлы только из проверенных интернет-магазинов, таких как Google Play, Amazon или iTunes. Рекомендуем также сначала просмотреть отзывы других пользователей о необходимом продукте, чтобы убедится, что он не только широко используется, но и достаточно безопасен.
Важным аспектом безопасности является и тот факт, разрешает ли система устанавливать программы из неизвестных источников. Если да, веб-сайт может автоматически начать установку программы на ваш телефон. Если вы не уверенны в надежности источников, настройте телефон так, чтобы система запрещала установку таких программ.
На устройствах Android это можно сделать, нажав Настройки > Безопасность > Неизвестные источники. Флажка быть не должно.
Устройства Apple, Blackberry и Windows разрешают загрузку только с дочерних магазинов. Поэтому можете не волноваться, если вы пользуетесь одним из этих мобильных устройств.
Общие советы:
- Просматривая сайты на ноутбуке, планшете или телефоне, помните о правилах политики безопасности, принятые в вашей организации, которые нужно соблюдать;
- Будьте осторожны, открывая беспроводные точки доступа Wi-Fi;
- Когда вы пользуетесь общим интернет-соединением (в том числе и через мобильное соединение через GSM или Wi-Fi), история вашего просмотра передается через сеть, к которой могут получить доступ находящиеся рядом люди. Хотя это и нелегко, но все же возможно через это соединение получить доступ к вашему компьютеру. Поэтому не просматривайте важную информацию и не осуществляйте онлайн-платежи, если эта сеть ненадежная;
- Желательно используйте устройство только по назначению;
- Устройства иногда используются не только по назначению, но и в других целях, непредусмотренных их программированием. В этом случае помните, что таким образом вы рискуете снизить степень защиты, что может повлечь за собой множество проблем и лишение гарантии;
- Не включайте функцию сохранения и автозаполнения для пароля. Защита паролем очень важна. Настроить ее можно за считанные минуты. Однако она теряет всякую силу при автоматическом запоминании пароля на переносных устройствах. Не желая каждый раз вводить пароль вручную, вы применяете эту функцию для просмотра страниц, соцсетей, онлайн-платежей и оплаты, которая производится через программу. Однако делать этого не рекомендуется;
- Все эти советы позволят относительно безопасно пользоваться мобильными устройствами в быту.
Ну а как быть на предприятии, когда в бизнес-процессы вовлечены сотни сотрудников, вооружённых мобильными устройствами? Первое что сразу приходит на ум – это управление мобильными устройствами с целью достижения приемлемого уровня ИБ, в соответствии с принятой на предприятии политикой безопасности.
Отправить статью в социальные сети, на печать, e-mail и в другие сервисы:
