Seguridad en dispositivos móviles

Transcripción

1 Seguridad en dispositivos móviles Mauricio Cisneros 29 de Noviembre Buenos Aires - Argentina

2 Agenda Introducción Sistemas Operativos móviles Problemáticas actuales Aspectos de seguridad en Aplicaciones móviles Recomendaciones de Seguridad

3 INTRODUCCION

4 Historia y Evolución Historia Martín Cooper Dynatac - Ejecutivos 1992 IBM IBM Simon

5 Historia y Evolución Evolución Generaciones Primera Generación 0G 2.5G Segunda Generación 2G 4G Mayor Ancho Banda Tercera Generación 3G 7.2mbps Analógico Tecnología AMPS Advanced Mobile Phone System GPRS56k Digital EMS HSCSD GSM-CDMA-PDC MMS EDGE 384k Digital UMTS

6 Sistemas Operativos Móviles Apple

7 Sistemas Operativos Móviles Sistemas Operativos Móviles + Utilizados Android ios Blackberry

8 ANDROID

9 Sistemas Operativos Móviles Android Desarrollado por Android Inc. Comprado por Google Principal producto de la Open Handset Alliance (OHA) Basado en Linux. Multitarea Soporte diversos Fabricantes (OHA)

10 Características Arquitectura Tipo Pila Cada una de las capas utiliza elementos de la capa inferior para realizar sus funciones

11 Características

12 Características Dalvik Virtual Machine No es Virtual Java Machine. Corre sobre sistemas ligeros y con recursos escasos. La arquitectura esta basada en registros de memoria JVM = Pila =.class DVM = Registros =.dex Dalvik = VM de procesos independientes

13 Características Dalvik Virtual Machine Optimizada para múltiples instancias al mismo tiempo Alto rendimiento de la memoria del dispositivo Enfocada en maximizar recursos escasos (Mem, CPU) Fallo de una aplicación, no afecta a las restantes. Cada Aplicación es tratado como proceso independiente

14 Características Rom Oficial Es el sistema operativo Android de Google base con las mejoras de la versión correspondiente. Google Motorola Claro Release de Adaptación Rom oficial Release del indirecta Vendor Customización Operadoras Cliente Google Releasedirecta de Rom oficial

15 Características Rom NO oficial Es una Rom modificada a la cual se le agregan nuevos features. Generalmente poseen Rooting. Google Cyanogenmod Release de Rom oficial Modificación Usuario Final Perdida de garantía del equipo Riesgos de backdoor

16 ROOTING

17 Rooting Root, Rooting o Rootear Riesgos - Perdida de la garantía oficial del vendor y/o la telefónica - Si falla? - Si me agrega un Backdoor? - Perdida de alguna funcionalidad Método utilizado para obtener los privilegios de root root sobre el Como sistemase operativo, hace? generalmente obtenido por la explotación de una vulnerabilidad del kernel de Android. Beneficios? Doomlord, - Acceso a todo el filesystem SuperOneClick - Ejecución de aplicaciones que requieran elevados privilegios (Sniffer) - Backup full (Titanium Backup) - Fácil cambio de ROM - Overclocking

18 GOOGLE PLAY!

19 Google Play Que es Google Play? Es el Market de aplicaciones de Google para dispositivos Android. Características - Requiere de un ID de Google para su uso - Sin ID no se permite descarga - Identificación de Dispositivo - Chequeo de compatibilidad versión Android - Informa sobre los permisos de la APP a descargar

20 Google Play Google Bouncer Servicio de análisis automatizado de software potencialmente malicioso en Google Play. Como funciona? Análisis de Aplicaciones en Sandbox Quemu Búsqueda de malware, spyware y troyanos Análisis de comportamiento Análisis de nuevas cuentas de desarrolladores

21 Google Play Google Bouncer Si la App resulta maliciosa, es marcada y pasa a revisión manual. Android Market también tiene la capacidad de eliminación de malware remota de tu teléfono o tablet, si es necesario. Droiddream, Se coló en el Market de google, con más de descargas

22 Markets alternativos Markets alternativos Qué son? Son tiendas alternativas al Market de aplicaciones de Google para dispositivos Android. Conocidas como: Black Markets Crack Markets Free Markets

23 Markets alternativos Markets alternativos Sin controles de seguridad Dudosa procedencia Aplicaciones modificadas Malware

24 Aplicaciones Android

25 Seguridad en aplicaciones Aplicaciones Aplicaciones Nativas Aplicaciones de 3ros Cliente de Correo SMS Calendario Mapas Navegador Contactos Procesadores de texto Utilitarios Juegos Etc.

26 Seguridad en aplicaciones Aplicaciones Aplicaciones Primer Plano Segundo Plano Intermitentes Widgets Ejecución Foreground Background Combinación Tipo Juego Servicio SMS Música Live wallpapers

27 Seguridad en aplicaciones a la larga, todo recae en los permisos Las API de Android se encuentran protegidas por permisos. Con el fin de acceder a las API mediante llamados, los desarrolladores deben de solicitar los permisos correspondientes. Overprivileged Término mediante el cual se identifica a una aplicación que solicita permisos por demás.

28 Seguridad en aplicaciones Permisos Una aplicación básica de Android no tiene los permisos asociados con ella. Para acceder a características del sistema, es necesario declarar en el AndroidManifest.xml los permisos. El usuario al momento de la instalación se le pregunta si quiere aceptar o no estos permisos. Cada aplicación se ejecuta con una "identidad" distinta (ID de usuario e ID de grupo) Los permisos no se pueden cambiar en tiempo de ejecución

29 Seguridad en aplicaciones AndroidManifest.xml Contiene la definición en XML de los aspectos principales de la aplicación, como por ejemplo su identificación (nombre, versión, etc), incluidos los permisos necesarios para su ejecución.

30 Seguridad en aplicaciones Estructura APK Una aplicación de Android empaquetada. El Archivo.APK en realidad, no es más que un fichero comprimido.zip renombrado, con una cierta estructura general.

31 Gestión de dispositivos móviles Android.

32 Gestión de dispositivos Android Gestión - Cerberus Protección: - Gestión Via Web fabricante ( - Control SMS - SIM Checker -Localización - Alerta Sonora - Wipe remoto (Memoria interna - Tarjeta SD) - Ocultar la aplicación - Bloquear de dispositivo - Grabar audio desde el micrófono - Registro de llamadas del dispositivo - Sacar fotos

33 Sistemas Operativos Móviles - Android Beam - NFC - Face Unlock - App Encryption

34 Apple

35 Sistemas Operativos Móviles ios - Apple Conocido como iphone OS en sus orígenes. No funciona en Hardware de 3ros. Orientado a uso personal Enfoque en seguridad Sistema operativo del tipo UNIX basado en Darwin BSD.

36 ios - Características El Sistema Operativo de los dispositivos de Apple (ios), está formado por un conjunto de capas, que conforman el conjunto de servicios ofrecidos por el dispositivo. Arquitectura: HARDWARE

37 ios - Características Estructura 2} Partición Particiones Partición de datos de Usuario de Sistema 1} Motor de cifrado AES 256 crypto engine

38 ios - Características File Data Protection Además del cifrado por Hardware, Apple utiliza una capa más de seguridad llamada File Data Protection Este permite al dispositivo atender otros eventos (llamadas, , etc), sin descifrar datos confidenciales.

39 Seguridad en dispositivos ios ios permite el Cifrado por Hardware. El cifrado por hardware emplea la codificación AES de 256 bits para proteger todos los datos del dispositivo. El cifrado está siempre activado, y el usuario no lo puede desactivar. La protección de datos emplea la contraseña exclusiva del dispositivo del usuario en combinación con el cifrado por hardware del dispositivo para generar una clave de cifrado sólida. Esta clave evita el acceso a los datos cuando el dispositivo está bloqueado.

40 Seguridad en dispositivos ios Aplicaciones Sandbox App Documents Library Tmp

41 Jailbreak

42 ios - Jailbreak Jailbreak Es el proceso de quitar las limitaciones impuestas por Apple en dispositivos que utilicen el sistema operativo ios. Que permite? Instalación de aplicaciones no firmadas. Acceso al sistema de archivos del dispositivo

43 ios - Jailbreak Riesgos: Bypass del Cifrado Acceso remoto al dispositivo A saber Usuario root, clave alpine Cómo lo hacen? Software Online según la versión de ios RedSnow JailbreakMe

44 ios - Jailbreak Tethered Untethered

45 AppStore

46 ios - AppStore Que es AppStore? Es el Market de aplicaciones de Apple, el cual es un servicio centralizado de aplicaciones. Características Requiere de un ID de Apple para su uso. Sin ID no se permite descarga. Descarga - itunes - Directa

47 ios - AppStore AppStore ios Developer Program 99 ios Enterprise Program 299 ios University Program Gratis 47

48 itunes

49 ios - itunes Itunes es la herramienta de administración multimedia de Apple para con sus dispositivos. Entre sus funciones se destaca: - Organización Multimedia (Música, video, fotos) - Administración de Aplicaciones - Backup de dispositivos itunes no realiza backup de la imagen del OS La imagen sólo cambia cuando hay una actualización NO cifra el backup a disco.

50 ios - itunes itunes Backup Elementos que conforman el backup a disco SMS Preferencias del usuario Fotos Notas Contactos Calendario Bookmarks y Cookies de navegación (Safari) 50

51 icloud

52 ios - icloud Qué es icloud? icloud es un sistema de almacenamiento nube o cloud computing de Apple Inc. El sistema basado en la nube permite a los usuarios almacenar música, videos, fotos, aplicaciones, documentos, enlaces favoritos de navegador, recordatorios, notas, ibooks y contactos, además de servir como plataforma para servidores de correo electrónico de Apple y los calendarios

53 ios - icloud icloud incluye itunes en la nube (Música) Fotos en Streaming Documentos en la nube Copia de seguridad Contactos, Calendario y Mail Notas y Recordatorios Buscar mi idevice

54 ios - icloud Copia de seguridad icloud hace una copia de seguridad automática por Wi-Fi cuando este se encuentra conectado a una fuente de alimentación y su pantalla está bloqueada. - Calendario - Contactos - s - Fotografías - Ajustes de configuración - Música - Aplicaciones (Datos y configuraciones)

55 ios - icloud Seguridad de icloud Servicio icloud cifra contenidos antes de enviarlos por Internet Contenidos son almacenados en formato cifrado Se emplean parámetros de seguridad para su autenticación icloud utiliza una encriptación AES 128

56 Sistemas Operativos Móviles Versiones ios Versión Mejora 3.x Cifrado por Hardware (a partir 3GS) 4.x SSL VPN MDM Multitasking Remote Wipe 5.x icloud 6.x Corrigen 197 fallas de seguridad 6.0.x Corrigen más fallas de seguridad

57 Blackberry

58 Sistemas Operativos Móviles Blackberry OS Sistema operativo móvil RIM Kernel Java-based Multitasking Orientado a uso profesional Enfoque en seguridad No funciona en Hardware de 3ros.

59 Blackberry Internet Service (BIS)

60 Servicios Bis y Bes BIS BlackBerry Internet Service (BIS) es el servicio que viene con cada dispositivo BlackBerry que se activa con un plan de datos. En Latinoamérica se lo suele conocer popularmente como Plan Blackberry. El tráfico de los servicios principales correo y el servicio de Blackberry Messenger, se canalizan a través del BIS. Sin este servicio un blackberry es solo un celular con las mismas posibilidades que cualquier otro smartphone.

61 Servicios Bis y Bes BIS El tráfico de datos de una BlackBerry se canaliza a través de su servicio BIS, pero quedan fuera algunas cosas, típicamente la navegación WAP o el tráfico de aplicaciones de terceros. Porque algunas aplicaciones no utilizan BIS? Costos para los desarrolladores.

62 Blackberry Enterprise Server (BES)

63 Blackberry Enterprise Solution Blackberry Enterprise Server Administrar múltiples dispositivos Blackberry Integrar el resto de los sistemas al dispositivo Centrado en la seguridad (AES256 3DES) ABM de dispositivos Aplicar políticas a dispositivos y usuarios Esquema similar a Active Directory Bloqueo de equipos Localización remota Wipe remoto

64 Blackberry Enterprise Solution Blackberry Enterprise Server Cifrado de comunicaciones entre el dispositivo y el BES Cifrado Extremo a extremo (AES 3DES) Soporta autenticación RSA Acceso a Intranet con cifrado AES y/o 3DES Firma de Código y Certificados Digitales (para Apps) Solo acepta conexiones autenticadas y entrantes desde Blackberry y Mail Server Autenticación cifrada entre componentes y servicios Server Relay Protocol ID

65 Blackberry Enterprise Solution Infraestructura BES

66 Blackberry Enterprise Solution Políticas Consideraciones Implementación de políticas por grupos Políticas de contraseña Rastreo de equipos Cifrado dispositivo/memorias externas Registro de Sms, Blackberry Messenger, Llamadas

67 Blackberry Enterprise Solution Políticas Registro de eventos Registro de: SMS / MMS, Blackberry Messenger Registro de llamadas Archivos en texto plano Cualquier administrador del Equipo tiene acceso a ellos NO habilitado por defecto

68 Blackberry Enterprise Solution BES Enterprise Pequeña, medianas y grandes empresas Pago Plan de datos Enterprise Blackberry + un par de USD Mensajería Exchange, Lotus Domino, Novell Groupwise 2000 usuarios por servidor 2000 Set de políticas de seguridad completo (+500) Integración PBX Mobile Voice System (+500)

69 Blackberry Enterprise Solution BES Express Pequeña y medianas empresas Gratuito Plan de datos Blackberry Exchange, Windows Small Bussiness Server Hasta 75 usuarios Set de 75 políticas de seguridad

70 Sistemas Operativos Móviles Blackberry Versión Mejora 4.x Mejoras de usabilidad 5.x Nuevas funciones (Gmail, Contactos, calendario) 6.x Mejoras multimedia 7.x Blackberry Balance 10 QNX - Salvación de Rim?

71 Problemáticas Actuales

72 Seguridad en Dispositivos Móviles Problemáticas Actuales 1 día 6.000aprox. 1 semana aprox. 1 mes aprox. 1 año aprox. 78% Consultora Carrier y Asociados

73 Problemáticas Actuales Individuales Empresariales

74 Problemáticas Actuales Ataques basados en la web y en redes Software malicioso Ingeniería social Individuales Abuso de servicios y recursos Robo Robo de datos

75 Problemáticas Actuales Ataques a dispositivos BROWSER SMS NETWORK WEBAPPS APPS MALWARE

76 Problemáticas Actuales Falta de Inventario Diversidad de Tecnologías CAPA Empresariales 8 Falta de registro de actividades Versiones de S.O. Uso de recursos de la Cía. Información laboral y personal 76

77 BYOD Consumerización Tendencia, en la cual las nuevas tecnologías surgen en primer lugar en el mercado del consumidor final y luego se extienden a las empresas O en otras palabras, la intrusión de la tecnología doméstica en el ámbito laboral. MDM BYOD

78 Soluciones MDM Multiplataforma

79 Tecnologías Mobile Device Management Respuesta a la necesidad empresarial de poder gestionar de forma centralizada los dispositivos móviles (principalmente tablets y smartphones)

80 Tecnologías Mobile Device Management MDM

81 Soluciones multiplataforma CLOUD ON-PREMISE

82 Soluciones multiplataforma Qué debe ofrecer una solución MDM? Gestión Software Hardware Securización Dispositivos Administración de perfiles y Configuraciones 82

83 Soluciones multiplataforma Gestión de Software y Hardware Inventario de dispositivos Catálogo de software Consideraciones Distribución de aplicaciones Distribución de Actualizaciones Listado de Apps permitidas 83

84 Soluciones multiplataforma Securización de Dispositivos Control de dispositivos Bloqueo remoto Consideraciones Borrado remoto (total o Selectivo) Cifrado Política de contraseñas 84

85 Soluciones multiplataforma Administración de Perfiles Configuraciones de correo Distribución de Configuraciones Wifi Configuraciones VPN Política de Backup 85

86 Soluciones multiplataforma Infraestructuras MDM s S.O. Soportados ios / And / BB Tipo de Mensajería soportada Interfaz Web Integración AD Integración PKI

87 Aspectos de seguridad en el desarrollo de Aplicaciones móviles

88 Prácticas de seguridad en el desarrollo móvil Seguridad en aplicaciones móviles Modelo de Seguridad por Niveles Requiere cubrir todos los puntos de riesgo. Esquema de seguridad distribuidos en diferentes niveles Capa Sistema Operativo Capa Comunicaciones OWASP Mobile Security project Organización mundial, sin fines de lucro. Top 10 riesgos dispositivos móviles Capa Almacenamiento Capa de aplicación

89 Prácticas de seguridad en el desarrollo móvil Capa - Sistema Operativo Riesgos: - Ejecución de código malicioso - Ataques de denegación de servicio - Exploits (rooting) - Perdida o Robo del dispositivo - Modificación o Reemplazo de la aplicación original Recomendaciones: - Deshabilitar operaciones automáticas (Conectividad) - Utilizar contraseña de acceso al dispositivo - Utilizar certificados

90 Prácticas de seguridad en el desarrollo móvil Capa - Comunicaciones Riesgos: - Ataques de denegación de servicio - Interceptación de tráfico - Conexiones no seguras - Hardware habilitado innecesario Recomendaciones: - No habilitar HW sin aviso al usuario - Utilizar SSL - Cifrado de datos -Ej: Conectividad BlueTooth - Wifi

91 Prácticas de seguridad en el desarrollo móvil Capa - Almacenamiento Riesgos: - Acceso no autorizado al contenido del folder - Alteración de datos y aplicaciones - Extracción de credenciales de acceso - Extracción de datos confidenciales - Extracción de cookies Recomendaciones: - Protección de acceso al dispositivo - Utilizar librerías de Cifrado del vendor - Limpieza de cache Eliminación de cookies - Configuraciones cifradas

92 Prácticas de seguridad en el desarrollo móvil Capa - Aplicación Riesgos: - Usuario - Uso excesivo de recursos del dispositivo - Demasiados permisos (Overprivileged) - Solicitud de datos innecesarios - Publicación de datos sin consentimiento del usuario - Interacción con otras Aplicaciones (Twitter) Recomendaciones: - Prácticas de programación segura - Testing de la aplicación - Validación de datos

93 Prácticas de seguridad en el desarrollo móvil Capa Aplicación Es necesario que la aplicación comparta datos hacia internet?

94 Recomendaciones de seguridad

95 Seguridad en dispositivos móviles individuales Consejos sobre Dispositivos Mantener actualizado el S.O. y aplicaciones Active el acceso a su dispositivo mediante PIN No utilizar patrón de desbloqueo Realizar copia de seguridad de los datos del dispositivo. Activar bluetooth y WiFi sólo cuando sea necesario Utilizar Markets oficiales No abrir enlaces que lleguen vía SMS/MMS Guardar número IMEI *#06# No compruebe su número IMEI en ninguna WEB Utilizar Antivirus (de ser posible) Utilizar Software de seguridad (Rastreo, Wipe remoto) No hacer Jailbreak, Rooting, Flashing al dispositivo

96 Preguntas Preguntas?

97 Gracias Mauricio Cisneros