Urządzenia mobilne Nowe szanse, nowe zagrożenia Artur Maj, Prevenity FWZQJAEHEPQABIRQS konkurs@prevenity.com 1
Agenda Telefony komórkowe Rys historyczny Mobilne systemy operacyjne Bezpieczeństwo urządzeń smartphone Smartphones szanse i zagrożenia Demonstracja przykładowych ataków Nasze rekomendacje Rys historyczny 1980 1982 1990 2000 2005 2007 2
Mobilne systemy operacyjne Windows Mobile 6,80% Linux 3,70% Inne 0,70% Android 9,60% Apple ios 15,40% BlackBerry 19,40% Symbian 44,30% Źródło: Gartner, Worldwide Smartphone Sales 1Q 2010 Bezpieczeństwo urządzeń smartphone Poziomy uprzywilejowania Kontrola dostępu (ACLs) Oprogramowanie antywirusowe, antyspamowe, personal firewall de facto standard Uproszczone poziomy uprzywilejowania* Ograniczone możliwości kontroli dostępu* Oprogramowanie bezpieczeństwa rzadko stosowane 3
Słabości bezpieczeństwa urządzeń smartphone Słabości technologii (GSM, Bluetooth itp.) Luki bezpieczeństwa w systemie operacyjnym Luki bezpieczeństwa w aplikacjach Luki w oprogramowaniu mobilnych systemów operacyjnych, źródło: OSVDB Metody infekcji smartphone Synchronizacja z PC Active Sync, Nokia PC Suite itp. Przeglądarka WWW Wiadomości E mail SMS, MMS, WAP Push Instalowane aplikacje Karty pamięci Sieć bezprzewodowa 3G, EDGE/GPRS, UMTS, Wi Fi, Bluetooth itp. 4
Mobile malware Przyszłość czy rzeczywistość? Mobile malware (c.d.) 5
Mobile malware (c.d.) Rozwój mobile malware Mobile malware (c.d.) Przykłady Konie trojańskie SymbOS/AppDisabler SymbOS/Cabir SymbOS/Skulls Wirusy i robaki SymbOS/Beselo SymbOS/Commwarrior SymbOS/Mabir iphoneos/ikee WinCE.InfoJack Spyware SymbOS/Flexispy SymbOS/Mopofeli 6
Smartphone szanse i zagrożenia Smartphone szanse i zagrożenia Popularne sposoby wykorzystania telefonu: Mobilny dostęp do poczty elektronicznej Dostep do zasobów firmowych (VPN) Bankowość mobilna i internetowa Uwierzytelnianie użytkowników i transakcji Mikropłatności (np. Premium SMS) Alarmy i powiadomienia (SMS) Zastosowania wydają się bezpieczne 7
Smartphone szanse i zagrożenia (c.d.) lecz tak się tylko wydaje Smartphone szanse i zagrożenia (c.d.) Infekcja telefonu poważnym zagrożeniem dla użytkowników, firm i usługodawców Celem ataku może być dużo więcej niż tylko prywatność użytkowników Przykłady ataków: Nieautoryzowane wiadomości Premium SMS Przekierowanie wiadomości tekstowych Zdalny, nieautoryzowany dostęp do GUI telefonu Nieautoryzowane połączenia głosowe 8
Smartphone szanse i zagrożenia (c.d.) Przekierowanie wiadomości tekstowych Nieświadomy użytkownik Atakujący Operator telekomunikacyjny Smartphone szanse i zagrożenia (c.d.) Zdalny dostęp do GUI telefonu 9
Przykładowy scenariusz ataku Infekcja PC i smartphone Krok 1 Infekcja komputera PC oprogramowaniem złośliwym Zero day exploit Zainfekowany dokument PDF Dziurawa przeglądarka Luka w Adobe Flash Koń trojański w oprogramowaniu Przykładowy scenariusz ataku (c.d.) Infekcja PC i smartphone (c.d.) Krok 2 Infekcja urządzenia smartphone podczas synchronizacji danych z PC Automatycznie Kilka wersji oprogramowania na różne systemy mobilne Ręcznie Intruz tworzy i przesyła oprogramowanie pod konkretne urządzenie mobilne 10
Przykładowy scenariusz ataku (c.d.) Infekcja PC i smartphone (c.d.) Krok 3 Oprogramowanie złośliwe przesyła poufne dane atakującemu Dane pozyskane z keylogger a: Loginy, hasła itp.. Dane pozyskane z telefonu: Numer i typ telefonu Przykładowy scenariusz ataku (c.d.) Infekcja PC i smartphone (c.d.) Krok 4 Atakujący przeprowadza nieautoryzowane działania Czym dysponuje atakujący? Pełną kontrolą nad PC Pełną kontrolą nad telefonem komórkowym 11
Przykładowy scenariusz ataku (c.d.) Wiele różnych możliwych wariantów ataku: Wykorzystanie API telefonu bezpośrednio z PC Zdalny dostęp do GUI telefonu poprzez sieć bezprzewodową (a la Remote Desktop) Infekcja tylko urządzenia smartphone Demonstracja Wybrane ataki na przykładzie infekcji MS Windows Mobile 12
Atak łatwy czy skomplikowany? Podsumowanie Smartphone = komputer Skutki udanego ataku na smartphone mogą być groźniejsze niż infekcja komputera PC Dobre i złe wiadomości (z punktu widzenia bezpieczeństwa) 13
Podsumowanie Dobre wiadomości: Użytkownicy telefonów starszego typu nie są podatni na tego typu ataki Część użytkowników wykorzystuje tylko funkcje głosowe i co najwyżej SMS Tylko część użytkowników synchronizuje telefon z PC Różnorodność mobilnych systemów operacyjnych i ich wersji komplikuje przeprowadzenie udanego ataku Systemy operacyjne różnią się możliwościami stwarzanymi dla oprogramowania złośliwego Podsumowanie (c.d.) Złe wiadomości: Udział w rynku telefonów typu smartphone rośnie z każdym kwartałem Wraz ze wzrostem popularności może również wzrosnąć liczba odkrywanych słabości i metod infekcji Korzystanie przez użytkownika z funkcji internetowych smartphone może nie mieć znaczenia (np. luki MMS) Używanie oprogramowania bezpieczeństwa na telefonach komórkowych wciąż mało popularne 14
Nasze rekomendacje Traktowanie urządzeń smartphone jako urządzeń niezaufanych (podobnie jak PC) Uwzględnienie zagrożeń wynikających z zastosowania urządzeń mobilnych w procesie szacowania ryzyka Budowanie świadomości użytkowników do stosowania zasad bezpieczeństwa również w odniesieniu do telefonów komórkowych Więcej informacji: http://www.prevenity.com/files/prevenity_dangerous_smartphones.pdf Kontakt artur.maj@prevenity.com 15