Mdm je grozen: ko varnostne rešitve škodijo varnosti

Na žalost Blackberryja večina ljudi ne zanima, da bi nosili močan delovni telefon skupaj z zabavnim pametnim telefonom, ki so ga izbrali sami. Zato so velika podjetja veliko vlagala v upravljanje mobilnih naprav (MDM). Toda kako varna so ta varnostna orodja? Nedavna demonstracija Black Hat je imela presenetljive odgovore.

Za tiste, ki niso v velikih podjetjih, MDM podjetjem IT-direktorjev omogoča, da imajo nekaj nadzora nad osebnimi telefoni zaposlenih - seveda z njihovim soglasjem. MDM lahko na primer zasede prostor za zaupne podatke in namesti posebne korporativne aplikacije. To je kritično varnostno orodje, vendar Stephen Breen in Chris Camejo iz podjetja NTT Com Security menita, da bi si morali zastaviti nekaj zelo težkih vprašanj, kako varno je v resnici.

Kaj je v nevarnosti

Predstavniki so povedali, da je trenutno 180 milijonov naprav, ki uporabljajo MDM, in naj bi se ta številka do leta 2015 povečala na 390 milijonov. Camejo je dejal, da več kot 80 odstotkov podjetij načrtuje uvedbo rešitve MDM na svoje zaposleni. Večina jih dostopa do e-pošte podjetja.

Z njihovim preizkusom penetracije je par odkril nešteto ranljivosti. Večina jih je bila zelo osnovnih, kot so ignoriranje avtentikacije, pošiljanje prijavnih žetonov brez šifriranja (in v nekaterih primerih konfiguriranje teh žetonov, da nikoli ne potečejo), in celo postavljanje pozornosti za bolj zapletene napade.

Z malo truda, je sklenila ekipa, je napadalec lahko pridobil osebne podatke ali celo uporabil strežnik MDM za brisanje nedolžnih telefonov. Najhujši napad, ki so ga odkrili, je bil posnemanje zakonite identitete telefona na napadalni napravi. Napadalčev telefon je zdaj lahko dostopal do vsega, kar lahko zakonita: e-pošta, skupne pogone, dokumente itd.

Težava je v tem, da so številni različni prodajalci storili enake ali podobne napake. Tako so probelme endemične pri različnih ponudnikih. Zanimivo je, da se je večina predstavitev osredotočila na iOS, ker Apple postavlja stroge zahteve, ki jih morajo upoštevati razvijalci MDM. Po mnenju Breen-a se Apple-ov pristop zdi zvok.

Varna varnost

Prisotni so svoj zaključek zaključili z nekaj presenetljivimi nasveti za občinstvo. Najpomembneje je bilo, da bi morala podjetja zelo, zelo premišljeno razmisliti, kaj nameščajo v svoje omrežje. Morda so predlagali tako, da so vsi skupaj odpovedali MDM.

"Vse poveča napadalno površino, " je dejal Camejo. Morda se sliši brezsrčno, toda če ukradejo telefon enega pooblaščenca, imajo tatovi le dostop do informacij tega zaposlenega. Toda MDM omogoča veliko več škode. "Ranljiv strežnik MDM je bolj slab kot mobilna naprava brez MDM."

Tudi podjetja, ki se ukvarjajo z MDM, je vzel za nalogo, ki jo je opisal, za varnost prek nejasnosti. Probleme, ki so jih našli, je dejal Camejo, ni bilo težko odkriti. To pomeni, da ljudje preprosto ne iščejo ranljivosti, verjetno zaradi visokih stroškov, povezanih s pridobivanjem programske opreme MDM.

Seveda to ni prvič, da smo videli MDM, ki se uporablja za zlo. Pred kratkim je Skycure uporabil tako imenovani napad zlonamernih profilov, da je prevzel nadzor nad mojim iPhoneom. To je ena rešitev, ki je lahko hujša od težave, ki jo želi rešiti.