Análisis de Seguridad del Blackberry Pablo Sobrero - Consultor CYBSEC (psobrero@cybsec.com) 1. Introducción es una solución móvil que mantiene a las personas (compañeros de trabajo, familiares y amigos) comunicadas en cualquier lugar, a través del correo electrónico, línea telefónica, mensajería instantánea, acceso vía Web (Internet e Intranet Corporativa), SMS (Short Message Services), MMS (Multimedia Message Services) y mucho más. Desarrollado y fabricado por Research In Motion (RIM), se lanzó en Norteamérica en Enero de 1999, mientras que su introducción en Europa se produjo en Septiembre de 2001 y en España en el año 2003. Durante el 2006 fueron habilitados los primeros clientes en Argentina. El arribo de esta tecnología, que apunta a los ejecutivos principalmente, permite optimizar la productividad y poner al alcance del mundo corporativo el acceso remoto a la información en forma inalámbrica, rápida y segura. Actualmente existen más de 7 millones de usuarios en todo el mundo. es una solución móvil punto a punto (end-to-end) que, combinada con una red de operadores con redes móviles de datos incorpora ligeros dispositivos, así como software y servicios, para facilitar a los usuarios una extensión móvil de todas las comunicaciones que pueden necesitar Actualmente RIM también ofrece servicios de correo electrónico a dispositivos no, tales como la Palm Treo, a través del software Connect. La tecnología Connect permite a una variedad de fabricantes importantes aprovechar la tecnología de inserción de con mayor cantidad de dispositivos inalámbricos, sistemas operativos y aplicaciones de correo electrónico.
2. Arquitectura Enterprise Solution Enterprise Solution permite a aquellos usuarios que viajan frecuentemente permanecer en contacto y acceder remotamente a la información corporativa. Entre ellos, a los siguientes servicios: Correo electrónico (Microsoft Exchange, IBM Lotus Domino, Novell GroupWise) Acceso a Internet e intranets. Mensajería instantánea (chat) Teléfono SMS (Short Message Services) y MMS (Multimedia Message Services) Información corporativa Los elementos básicos de la arquitectura de Enterprise Solution son: Enterprise Server (BES) es el software que actúa como vínculo centralizado entre los dispositivos móviles, las redes móviles y aplicaciones corporativas que se deseen publicar. Todos los datos entre los dispositivos y las diversas aplicaciones pasan a través de este servidor. El servidor se integra con los servidores de correo y los correspondientes a los demás sistemas corporativos para proporcionar a los usuarios: correo electrónico, mensajería instantánea corporativa y herramientas de administración de información personal. Mobile Data System ( MDS) es una infraestructura optimizada para crear, implementar y administrar aplicaciones para Enterprise Solution. Proporciona los componentes esenciales que permiten desarrollar e implementar aplicaciones tanto para los usuarios así como herramientas para los desarrolladores, además de servicios administrativos y el software del dispositivo. 2
Los dispositivos son dispositivos de voz y datos integrados que proporcionan acceso basado en el acceso al correo electrónico y a los datos de los sistemas y aplicaciones corporativos, además de a aplicaciones Web, MMS, SMS y organizador. Los dispositivos Enabled que son: - los dispositivos Connect que incluyen la tecnología de transmisión de, pero corresponden a otros fabricantes, y permiten la conexión con Enterprise Server. - y los dispositivos Built-In integran todas las funcionalidades de, como el correo electrónico, calendario, contactos, explorador, tareas y bloc de notas. Alliance Program agrupa una gran comunidad de proveedores de software, integradores de sistemas y proveedores de soluciones independientes que ofrecen aplicaciones, servicios y soluciones para Enterprise Solution. Los Servicios de asistencia técnica de disponibles incluyen: Centro de Asistencia Técnica, Servicios de asistencia técnica, Programa de desarrollo corporativo y Servicios profesionales de RIM. Estas herramientas y programas están diseñados para ayudar a las organizaciones a implementar, administrar y ampliar su solución movilidad Enterprise Server consiste de componentes y servicios. Los servicios están diseñados para proveer a los usuarios móviles de herramientas tales como correo electrónico, mensajería instantánea, etc. y, además, de la información de sus aplicaciones corporativas. Los componentes están diseñados para monitorear los servicios, así como también procesos, ruteo, compresión, y cifrado de información; y comunicación con la red inalámbrica. Componentes Attachment Service Synchronization Service State Databases Router Descripción Attachment Service se diseño para convertir los archivos adjuntos soportados en un formato que pueda ser visualizado desde el dispositivo. Synchronization Service se diseño para sincronizar la información entre el dispositivo y el servidor de mensajería de sobre la red inalámbrica Las bases de datos de estado contienen información que vincula los mensajes que los usuarios envían hacia o reciben desde los dispositivos correspondiente al mensaje de correo. La información de las bases de datos de estado están diseñadas para soportar funcionalidades tales como Responder con texto, Reenviar Mensaje, etc. Router sirve, dentro de la red inalámbrica, para rutear la información desde y hacia los dispositivos. profiles database es una base de datos IBM Lotus Domino que 3
Componentes profiles databases Policy Service Collaboration Service Dispatcher Controller Configuration Database Messaging Agent Manager MDS Connection Service MDS Studio Application repository MDS Services Descripción contiene información sobre la configuración del usuarios. Policy Service permite la administración y optimización del manejo de los dispositivos Blackberry a través de políticas. Collaboration Service provee una conexión encriptada entre el servidor de mensajería instantánea y la aplicación instalada en el dispositivo (Verichat, WebMessenger, BerryVine, IM+, etc.) Dispatcher comprime y encripta toda la información, se encarga de rutear la información, desde y hacia la red inalámbrica, a través del Router. Controller monitorea los componentes y reinicia aquellos que dejaron de responder. Configuration Database es la base de datos que contiene toda la información de configuración utilizada por los componentes. Configuration Database incluye la siguiente información: detalles sobre la conexión desde el Enterprise Server a la red inalámbrica lista de usuarios copia de solo lectura de cada clave de seguridad de los usuarios Messaging Agent actúa como gateway para que Synchronization Service acceda a la información del servidor de correo. Sincroniza la información de configuración entre la Configuration Database y la profiles database. Manager permite, desde la computadora del administrador, conectarse a la Configuration Database para realizar la administración remota de los usuarios MDS Connection Service provee a los usuarios el acceso a las aplicaciones o los contenidos de intranet e Internet. Este es el repositorio que permite almacenar y administrar las aplicaciones desarrolladas por MDS Studio. MDS Services permite la conectividad entre las aplicaciones del MDS Studio de los dispositivos y las aplicaciones corporativas. A continuación se detallan los puertos TCP requeridos por el Enterprise Server para funcionar de manera correcta: Aplicación Puerto TCP/IP Servidor Destino Propósito del puerto Desktop Manager 1352 Enterprise Server Leer/actualizar información de perfiles de usuarios BES Admin 1352 Enterprise Server Leer/actualizar información de perfiles de usuarios configurados BES Admin 445 Enterprise Server Server Message Block (SMB) pipes BES Admin 28315 Enterprise Server Remote Procedure Call (RPC) Enterprise Server 1352 Cada servidor de correo en el que residan usuarios del Enterprise Server Redireccionar el correo Enterprise Server 3101 Wireless network Enrutamiento de correo desde y hacia la red inalámbrica BES Alert 139 Enterprise Server SMB pipes BES Alert 28315 Enterprise Server RPC BES Alert 25 Simple Mail Transfer Protocol (SMTP) Server Alertas SMTP 4
Attachment Service permite a los dispositivos abrir los adjuntos del correo electrónico. Attachment Service no requiere de las aplicaciones usadas para crear los adjuntos; soporta los archivos creados en Microsoft Word, Microsoft Excel, Microsoft PowerPoint, Adobe Acrobat, Corel, WordPerfect, archivos ASCII,.html y.zip, y además, dependiendo de la versión de BES, puede abrir archivos de formatos:.jpeg,.gif,.bmp,.png y.tif. Enterprise Server mantiene un vínculo al mensaje, que esta almacenado en el servidor de correo y utiliza este vínculo para acceder a los archivos adjuntos, directamente del servidor de correo. Un formato de datos propietario, UCS (Universal Content Stream), es el que se envía al dispositivo conservando el estilo y formato del documento original. La información es enviada al dispositivo de a 3Kb por vez; luego de enviados los primeros 3Kb, el resto no es enviado hasta que no sea solicitado por el usuario, de este modo, se optimiza el trafico de la red. Enterprise Server también se mantiene en constante conexión a nivel TCP/IP con la Infraestructura usando Server Routing Protocol (SRP). La infraestructura utiliza protocolos propietarios para mantener una conexión con la red inalámbrica y los dispositivos. El Firewall debe estar configurado para permitir la conexión saliente del Enterprise Server a través del Puerto 3101; ya que el Attachment Service se comunica directamente (sin pasar por el Firewall) con el Enterprise Server utilizando los puertos 1900, 1999 y 2000 (TCP/IP) por defecto, pero también permite que se configurare cualquier otro Puerto TCP/IP valido. Además, la herramienta de configuración del Attachment Service permite que restringir el tamaño de los archivos adjuntos o, de ser necesario, deshabilitar el soporte para un formato especifico. Los archivos adjuntos están protegidos de las siguientes formas: Cifrado: toda la información que es enviada desde los Enterprise Servers hacia los dispositivos está encriptada. 5
Intercambio de datos detrás del Firewall: Attachment Service se comunica con el Enterprise Server directamente sobre una conexión TCP/IP, dentro de la red corporativa, sin pasar a través del firewall. Protección contra Virus: dado que no requiere de las aplicaciones usadas para crear los adjuntos los dispositivos son inmunes a los virus de macros. 3. Seguridad en protege la integridad, confidencialidad y autenticidad de los datos corporativos con un esquema de cifrado seguro que cifra los datos mientras se transfieren entre Enterprise Server y los dispositivos. Enterprise Solution incluye un completo modelo de seguridad diseñado para proteger la información corporativa contra ataques mientras los usuarios envían y reciben correo electrónico y/o acceden a los datos de forma remota, así como también la información almacenada localmente. Desktop Manager permite definir y distribuir los archivos de configuración acorde a las políticas que la compañía establezca, los cuales se harán efectivos al realizar la sincronización. 3.1 Seguridad de para la información local 3.1.1 Aplicación y administración a través de políticas Para proteger la información almacenada en dispositivos, es posible aplicar políticas personalizables, desde el Enterprise Server (BES), como ser: la autenticación por contraseña (pudiendo forzar contraseñas fuerte longitud mínima y caracteres a utilizar), que la contraseña sea solicitada tras un periodo de inactividad, que luego de ciertos intentos se borre la memoria del dispositivo, etc. Los dispositivos soportan aplicar el cifrado local de todos los datos (mensajes, entradas de la libreta de direcciones, notas y tareas) a través de la directiva de TI. El servicio de mantenimiento de contraseñas permite almacenar contraseñas de forma 6
segura en el dispositivo (como contraseñas bancarias, PIN, etc.) mediante la tecnología de cifrado AES. Además, los administradores del sistema pueden crear y enviar comandos remotamente para cambiar las contraseñas de los dispositivos o bloquear o borrar información de forma remota de los dispositivos perdidos o robados. Por lo que, se recomienda realizar un backup semanal; el cual se realiza con el dispositivo conectado directamente a la PC. Por otra parte, el Enterprise Server no almacena correo electrónico ni datos. Para aumentar la protección contra el uso no autorizado, no existe ningún área de transición entre el servidor y el dispositivo en el que se descifren los datos. Otro punto es que Enterprise Server sólo permite conexiones autenticadas de salida a través del puerto 3101 del firewall. No es posible ejecutar comandos sin autorización porque no se permite el tráfico entrante de fuentes distintas del dispositivo o el servidor de correo electrónico. Sólo se permiten comunicaciones que se puedan descifrar con una clave de cifrado válida entre el servidor y la red móvil. 3.1.2 Protección antirrobo de los dispositivos RIM tiene una patente para un sistema antirrobo. El cual consta de un sistema que llevaría el usuario siempre consigo y que determinaría en todo momento que el Blackberry se encuentre dentro de un rango definido. Si por cualquier motivo el dispositivo Blackberry saliera de ese rango de espacio, el sistema se pondría en marcha y exigiría al poseedor del terminal que introdujera en un tiempo predefinido un código. Si no lo hace, el dispositivo Blackberry quedaría inutilizado. 7
3.1.3 Seguridad de las aplicaciones : firma de código y certificados digitales Las aplicaciones MDS de creadas con Java Development Environment (JDE), que poseen cierta funcionalidad, como la capacidad de ejecutarse al inicio o de acceder a datos de aplicaciones potencialmente confidenciales, requieren que los desarrolladores registren sus aplicaciones con RIM. Esto aporta protección al proporcionar un mayor nivel de control y previsión a la carga y comportamiento de aplicaciones en dispositivos. Además, Signing Authority Tool ayuda a proteger el acceso a la funcionalidad y los datos de aplicaciones de otros fabricantes habilitando a un administrador o desarrollador corporativo para que administre el acceso a API y almacenes de datos confidenciales específicos mediante el uso de software de servidor y claves de firmas públicas y privadas. Para proteger una aplicación de MDS Studio contra la manipulación, los desarrolladores corporativos pueden firmar un grupo de aplicaciones con un certificado digital descrito con un alias. Pueden utilizar una autoridad de certificado (CA) de confianza o un certificado de su creación firmado por ellos mismos. MDS Studio genera y firma aplicaciones con certificados que cumplen con el estándar de infraestructura de clave pública (X.509). 3.1.4 Smart Card Reader Smart Card Reader es un lector de tarjetas Smart Cards que permite un acceso controlado a dispositivos. 3.2 Seguridad de para la transmisión de datos RIM (Research In Motion) asegura que sus productos trabajan con varios standards de Internet, tales como: SSL, TLS, S/MIME y PKI. Enterprise Solution ofrece 2 opciones de cifrado de transporte, cifrado AES y Triple DES, para todos los datos que se transfieren entre Enterprise Server y el dispositivo. Las claves de cifrado secretas se generan en un entorno seguro de autenticación bi-direccional y se asignan a cada usuario de. Cada clave secreta se almacena sólo en el buzón de correo seguro de Lotus Domino y en su dispositivo y el usuario la puede volver a generar de forma remota. Enterprise Server cifra los datos que se envían al dispositivo con la clave privada que se recupera del buzón de correo del usuario. La información cifrada se transmite de forma segura por la red hasta el dispositivo, donde se descifra con la clave almacenada en el mismo. 8
Los datos permanecen cifrados mientras se transmiten y nunca se descifran fuera del firewall corporativo. 3.2.1 Autenticación RSA SecurID para autenticación en 2 sentidos MDS Services de Enterprise Server admite la autenticación RSA SecurID, lo que proporciona a las organizaciones autorización adicional cuando los usuarios acceden a datos de aplicaciones o intranets corporativas en sus dispositivos. MDS Services utiliza RSA ACE/Agent Authorization API 5.0 para actuar como interfaz con servidores RSA ACE. Con esta solución, cuando un usuario navega hasta un sitio o aplicación que requiere autorización, se le solicita su Código de Identificación Personal (PIN) secreto y su código de token, el cual cambia automáticamente cada 60 segundos. 9
3.2.2 HTTPS para acceso seguro a datos MDS Services actúa como gateway seguro entre la red móvil e intranets corporativas e Internet. Utiliza el protocolo de transporte cifrado AES o Triple DES de y también activa conexiones HTTPS a servidores de aplicaciones. Los dispositivos admiten la comunicación HTTPS en 2 modos, en función de los requisitos de seguridad corporativos: Modo proxy: se crea una conexión SSL/TLS entre Enterprise Server y el servidor de aplicaciones para el dispositivo. Los datos del servidor de aplicaciones se cifran con AES o Triple DES y se envían a través de la red móvil al dispositivo. Modo integral: cifra los datos a través de SSL/TLS para toda la conexión entre el dispositivo y el servidor de aplicaciones, lo que hace que las conexiones del modo integral sean las más adecuadas para aplicaciones en las que sólo se confía en el origen y destino de la transacción. 10
3.2.3 S/MIME Support Package para Enterprise Solution Permite a los usuarios de la utilización de S/MIME para firmar y encriptar los correos; posee un add-on S/MIME Support Package que permite brindar esta solución para clientes como: Microsoft Exchange, Outook, Outlook Express y los servidores de correo: Microsoft Exchange 5.5,2000, 2003 e IBM Lotus Domino 5.0.3 o superior. El S/MIME Support Package incluye herramientas para obtener los certificados digitales y transferirlos a los dispositivos ; permitiéndoles que, desde estos, se pueda desencriptar los mensajes recibidos así como también firmar, encriptar y enviar mensajes S/MIME. Los dispositivos encriptan los mensajes utilizando TripleDES por defecto pero también tienen la posibilidad de usar: AES (256 bit), AES (192 bit), AES (128 bit), CAST (128 bit), RC2 (128 bit), RC2 (64 bit) y RC2 (40 bit); lo cual, una vez definido, se puede configurar a través de una política. 3.2.4 PGP Support Package para Enterprise Solution PGP Support Package se ha diseñado para incrementar el nivel de seguridad que ofrece Enterprise Solution. PGP Support Package es un software de terceros para dispositivos que ofrece soporte para PGP Desktop y PGP Universal. Este soporte permite a las empresas que cuentan con una infraestructura PGP extender esta infraestructura en movilidad mediante dispositivos. El PGP Support Package incluye herramientas para obtener las claves PGP y transferirlas a los dispositivos ; sin PGP Support Package los dispositivos reciben los mensajes protegidos con PGP como archivos de texto cifrados. 3.2.5 Compatibilidad con el cifrado de correo electrónico de Lotus Notes La compatibilidad de con el cifrado de correo electrónico de Lotus Notes se ha creado para aumentar la facilidad de uso de Enterprise Solution. Enterprise Server versión 4.1 es compatible con el cifrado de Lotus Notes y permite que los dispositivos puedan leer correo electrónico cifrado de Lotus Notes. 4. Referencias http://www.blackberry.com http://www.securitytracker.com http://www.internetnews.com Pablo Sobrero - Consultor CYBSEC CYBSEC S.A. desde 1996 se dedica exclusivamente a prestar servicios profesionales especializados en Seguridad de la Información. Su área de servicios cubre Latinoamérica y más de 200 clientes acreditan la trayectoria empresaria. Para más información: www.cybsec.com. 2007 CYBSEC S.A. 11