1. Bezpečnost na mobilních
zařízeních
petr@inmite.eu @joshis_tweets

2. Co je to bezpečnost?
• “Snaha minimalizovat dopady hrozeb”
• Hrozba = situace, která mě může
poškodit
• Dopad = peníze, které zaplatím, když se
něco stane

3. Co je to bezpečnost?
• Málo pravděpodobné hrozby mají typicky
větší dopad
• ztráta klíčeny PKI v situaci, kdy řeknete
kamarádovi heslo do bankovnictví
v hospodě

4. Autorizace
Sandboxing
Autentizace
Bezpečnost
Edukace uživatelů
Chráněné úložiště
Bezpečná komunikace

5. Mobilní zařízení jsou
nebezpečná
... různě se povalují, a tak...

6. Dříve byl svět jednodušší
SIM Toolkit Java ME

7. Mobilní telefon
(krásný)

8. Tablet device
(krásný)

9. Dell Streak
(divný)

10. Asus EEEPad
(nevyhraněný)

11. Internet do notebooku?
(Co bude dál? Lékař jen na zuby?)

12. Autentizace
a autorizace

13. Jak dokážu, že já jsem já?
• Prohlásím to - volný přístup
• Prokážu se znalostí - login/heslo
• Prokážu se vlastnictvím tokenu - certifikát
• Token mě prokáže - SecurID, secure
token, ...

14. Autentizace a autorizace
Bankovnictví
Kdokoliv
kontakt
• Autorizace = Určení
historie
toho, co můžu dělat
• Různým úrovním platba
autorizace mohou
odpovídat různé
úrovně autentizace
Login/Heslo
SMS kód, SecurID, ...

15. Mobilní zařízení jsou
anonymní
... nejsou jednoznačně identifikovatelná...

16. Problém
• Žádné IMEI, ICCID, ...
• často není SIM karta, není API v SDK
• Žádná autorizace pomocí SMS
• opět - není SIM
• ... nebo hůř - je SIM
• Žádná USB klíčenka
• není port pro USB

17. Řešení
• Přiznat si, že zařízení je anonymní
• ... chceme přeci ověřit uživatele...
• Proces personalizace instalace
• “ID zařízení” vs. “ID instalace” vs. “ID aktivace”
• Jiná dvou-faktorová autentizace
• SecurID
• Secure Token s NFC

18. Autentizace a autorizace
• Tustý klient
• Jednofaktorová: OAuth 1.0a (ne
OAuth 2.0!!!), XAuth, deriváty
• Vícefaktorová: SecurID, gridkarta
• Mobilní web: Jen pasivní operace
• Neukládat hesla
• iOS: Keychain se dá vykrást do 6 minut

19. Biometriky
... jsou nuda...
... svá biometrická data trousíte kudy jdete...

20. Bezpečné úložiště dat

21. Bezpečné úložiště dat
• Na mobilním zařízení není obecně možné
zajistit
• Varianta: Zabezpečená cache
Vzdálená blokace
• Data chráněná heslem do aplikace
• Druhá komponenta - token ze serveru
svázaný s heslem
Blokuje server po N pokusech
• Varianta: Heslem zabezpečený klíč
• Náhodnost zamezuje použití brute-force

22. Sandboxing

23. Sandboxing
• Víte, co je ve vaší aplikaci a co mimo ní?
• Data logovaná přes NSLog se ukládají
mimo sandbox
• http://itunes.apple.com/us/app/
appswitch/id398317469?mt=8
• Keychain je mimo sandbox
• Clipboard

24. Bezpečná komunikace

25. Bezpečná komunikace
• Používejte HTTPS
• Nespoléhejte na výchozí validaci SSL
certifikátu, jde-li vám o ochranu proti
MITM útokům
• http://mitmproxy.org/

26. Edukace uživatelů

27. Edukace uživatelů
• Nedávejte vašim uživatelům falešný pocit
bezpečí
• Upozorňujte je na možná rizika používání
mobilních aplikací

28. Děkuji
petr@inmite.eu @joshis_tweets