Was ist denn in der Mobi­li­ty über­haupt noch sicher?

Die­se Fra­ge erhielt ich die­se Woche — wie in all den ande­ren Wochen seit Snowdon’s Ent­hül­lun­gen — fast täg­lich gestellt. Die ein­fachs­te und ehr­lichs­te Ant­wort ist: Alles, was Sie kom­plett selbst unter Kon­trol­le haben, aber genau dies ist in der Mobi­li­ty alles ande­re als ein­fach.

In der Mobi­li­ty grei­fen vie­le Kom­po­nen­ten inein­an­der und dies teil­wei­se mit einer deut­lich höhe­ren Kom­ple­xi­tät als es in der klas­si­schen IT üblich ist. Das Know­how zur Betrach­tung der diver­sen Lay­er, die die Mobi­li­ty bein­flus­sen, ist in vie­len Unter­neh­men und Orga­ni­sa­tio­nen erst im Auf­bau oder häu­fig (noch) nicht vor­han­den. Dar­über hin­aus ist die mobi­le Infra­struk­tur bei vie­len Unter­neh­men nicht im Rah­men einer Mobi­li­ty-Stra­te­gie aus­ge­rollt wor­den, son­dern ist viel­fach situa­tiv gewach­sen.

Des­halb betrach­ten wir ein­mal der Rei­he nach die wesent­li­chen Bau­stei­ne von Mobi­li­ty.

End­ge­rä­te
  • Andro­id

Goog­le als Teil von PRISM ist alles ande­re als ein Garant von Sicher­heit und Daten­schutz, Andro­id ist per se unsi­cher. Dies gilt auch für den der­zeit größ­ten Anbie­ter von Andro­id-Gerä­ten, Sam­sung. Mitt­ler­wei­le ist die Kom­pro­mit­tie­rung der Gerä­te durch SEAn­dro­id sogar noch ekla­tan­ter als bei bis­he­ri­gem Andro­id, wir berich­te­ten im Bei­trag Andro­id und Sam­sung-​An­dro­id — Ab Ver­sion 4.2 basie­rend auf SEAn­droid, der NSA-​Spy­wa­re über die damit ver­bun­de­nen Pro­ble­me.

Aller­dings kann man Andro­id Gerä­te auch sehr sicher betrei­ben, wenn man Custom-ROMs ein­setzt und /​oder sie von sämt­li­cher Mal­wa­re wie Goog­le-Apps, Vlin­go (S‑Voice) und ver­gleich­ba­rer Spy­wa­re befreit wur­den.

  • Bada

Pro­prie­tä­res Sys­tem von Sam­sung, im Enter­pri­se-Bereich nahe­zu ohne Bedeu­tung. Wir haben uns mit Bada-Gerä­ten nicht inten­siv genug beschäf­tigt, um der­zeit eine sach­ge­rech­te Ein­schät­zung abge­ben zu kön­nen.

  • Black­Ber­ry

Abge­se­hen von der Tat­sa­che, dass es der­zeit völ­lig unklar ist, ob Black­Ber­ry das nächs­te Jahr über­haupt über­lebt, betrach­ten wir die Lösung als hoch­gra­dig durch die USA kom­pro­mit­tiert, wor­auf wir in vie­len Bei­trä­gen hier im Blog schon hin­ge­wie­sen haben. Die Lösung wird in maß­geb­li­chen Tei­len in den USA ent­wi­ckelt und ist vom ame­ri­ka­ni­schen Ver­tei­di­gungs­mi­nis­te­ri­um zer­ti­fi­ziert.

Zusam­men mit der Tat­sa­che, dass die Ver­schlüs­se­lung der Lösung daher als aus Sicht der US-Behör­den ame­ri­ka­ni­sches Sys­tem kom­plett der Export­kon­trol­le des Patri­ot Act unter­liegt (sie­he auch den Bei­trag Black­Berry — Ist das eine kana­di­sche Fir­ma oder eine US-​Fir­ma?), führt dies zum Aus­schluss als ernst­zu­neh­men­der Secu­ri­ty-Bau­stein. Erschwe­rend kommt die inak­zep­ta­ble Daten­schutz­richt­li­nie als Aus­schluss­kri­te­ri­um hin­zu, wir berich­te­ten im Bei­trag Tschüss Black­Berry — Der Hype um die Spei­che­rung von Pass­wor­ten dürf­te das Ende ein­läu­ten.

  • Fire­fo­xOS

Nach bis­he­ri­ger Ana­ly­se glau­ben wir, dass Fire­fo­xOS ein sehr wich­ti­ges und ernst­zu­neh­men­des Betriebs­sys­tem für sicher­hei­t­ori­en­tier­te Anwen­der wer­den wird. Ein pro­duk­ti­ver Ein­satz ist der­zeit aller­dings in Unter­neh­men noch nicht umsetz­bar.

  • iOS

iOS schei­det als siche­res Betriebs­sys­tem spä­tes­tens seit dem Herbst 2012 aus, als Apple PRISM bei­trat. Seit Mai 2013 sind die Gerä­te nun auch durch die NSA für das ame­ri­ka­ni­sche Ver­tei­di­gungs­mi­nis­te­ri­um für den dienst­li­chen Ein­satz zer­ti­fi­ziert und frei­ge­ge­ben. Damit ver­bie­tet sich auch iOS für sicher­heits­ori­en­tier­te Anwen­der.

  • Sym­bi­an

Sym­bi­an, von Nokia mitt­ler­wei­le stief­müt­ter­lich behan­delt, ist aus Sicher­heits­per­spek­ti­ve völ­lig zu Unrecht vom Markt ver­drängt wor­den. Sym­bi­an bot schon immer sehr gute Mög­lich­kei­ten Gerä­te sicher zu betrei­ben und ist aus unse­rer Sicht noch nicht end­gül­tig tot. Sym­bi­an kann defi­ni­tiv sicher betrie­ben wer­den und ist (höchst­wahr­schein­lich) nicht durch die NSA kom­pro­mit­tiert.

  • Ubun­tu Mobi­le

Ein exzel­len­tes Betriebs­sys­tem, das in den letz­ten Tagen durch sei­nen Crowd-Fun­ding-Ver­such viel Auf­merk­sam­keit erhielt. Hier ist es noch zu früh eine Ein­schät­zung hin­sicht­lich der Sicher­heit vor­zu­neh­men. Die Chan­cen, dass auch Ubun­tu Mobi­le sicher betrie­ben wer­den kön­nen wird, sind aus heu­ti­ger Sicht gut.

  • Win­dows Pho­ne

Sicher­heit von Micro­soft? Ein son­der­ba­rer Gedan­ke! Micro­soft als ers­ter Zulie­fe­rer von PRISM scheint tief mit NSA und ande­ren dubio­sen Behör­den ver­strickt zu sein. Viel­leicht ist dies auch eine Erklä­rung für die pein­li­che Per­for­mance von Micro­soft im Zusam­men­hang mit der schlech­ten Qua­li­tät und ver­zö­ger­ten Bereit­stel­lung der MDM-APIs. Micro­soft hat spä­tes­tens seit PRISM in kei­nem Secu­ri­ty-Kon­zept etwas ver­lo­ren und des­halb gehört Win­dows Pho­ne auch nicht in ein sicher­heits­ori­en­tier­tes Unter­neh­men.

Apps

Es gibt mitt­ler­wei­le tau­sen­de frag­wür­di­ger Apps, wir berich­te­ten in der Ver­gan­gen­heit über vie­le Bei­spie­le von S‑Voice (Vlin­go) bis zu Whats­App. Des­halb darf in kei­nem ernst­zu­neh­men­den Sicher­heits­kon­zept der Zugang zu den und die Nut­zung der App Stores der Her­stel­ler frei­ge­ge­ben wer­den, weil der durch­schnitt­li­che Anwen­der nie­mals allein ent­schei­den kann, ob eine App sicher ist und den Sicher­heits­vor­schrif­ten des Unter­neh­mens ent­spricht.

Genau des­we­gen gibt es die Mög­lich­keit des App­Au­dits, wir haben das The­ma im Bei­trag MDM-​Es­sen­ti­als – Daten­schutz: Wozu braucht man ein AppAu­dit? Was ist das? bespro­chen. Audi­tier­te Apps sind ein siche­rer Bestand­teil jeder seriö­sen Mobi­li­ty-Stra­te­gie.

Soft­ware

In der Mobi­li­ty wer­den unter­schied­lichs­te Soft­ware­sys­te­me ein­ge­setzt — von Ver­wal­tungs­lö­sun­gen bis Sup­port-Tools reicht das stän­dig wach­sen­de Spek­trum. Ein beson­ders wich­ti­ges Ele­ment sind Sys­te­me für Mobi­le Device Manage­ment, die für die Durch­set­zung des Secu­ri­ty-Kon­zep­tes des Unter­neh­mens die Schlüs­sel­rol­le ein­neh­men.

Grund­sätz­lich soll­te man bei allen in der Mobi­li­ty ein­ge­setz­ten Soft­ware­sys­te­men dar­auf ach­ten, dass die­se nicht auf Pro­duk­ten von Micro­soft betrie­ben wer­den müs­sen (Risi­ken sie­he oben), es gibt im Jahr 2013 kei­nen ver­nünf­ti­gen Grund mehr Win­dows Ser­ver ein­zu­set­zen, denn Linux-Sys­te­me kön­nen siche­rer sein und sind auf jeden Fall per­for­man­ter und güns­ti­ger.

Noch wich­ti­ger aber ist die Her­kunft des Her­stel­lers. Wenn der Soft­ware-Her­stel­ler sei­nen Sitz in den USA hat oder dort eine Nie­der­las­sung unter­hält, unter­liegt er unein­ge­schränkt der ame­ri­ka­ni­schen Rechts­spre­chung — ohne wenn und aber! Auch eine Nie­der­las­sung betrach­ten die Us-Behör­den als unein­ge­schränkt dem ame­ri­ka­ni­schen Recht unter­lie­gend. Dies bedeu­tet, dass sol­che Her­stel­ler allen Geset­zen der Patri­ot-Act-Gesetz­ge­bung unter­lie­gen, was im kon­kre­ten Fall — neben vie­len ande­ren grenz­wer­ti­gen Ver­pflich­tun­gen — bedeu­tet, dass jede Ver­schlüs­se­lung > 56 Bit eines sol­chen Her­stel­lers der Export­kon­trol­le unter­liegt, was bedeu­tet, dass sie der NSA offen­ge­legt wer­den muss.

Inso­fern gibt weder siche­re MDM-Sys­te­me aus den USA noch siche­re Remo­te-Tools. MDM-Sys­te­me und Remo­te-Tools aus den USA sind der Traum der NSA für die von ihr aktiv betrie­be­ne Wirt­schafts­spio­na­ge, denn die­se Soft­ware­lö­sun­gen wer­den zu über 90 % von Unter­neh­men ein­ge­setzt.

Sicher­heit im Soft­ware­be­reich ist nur mit euro­päi­scher Soft­ware mög­lich, wobei dies selbst­ver­ständ­lich nicht nur für die Mobi­li­ty gilt. Aber es gibt sie ja, die siche­ren Alter­na­ti­ven aus Deutsch­land und Euro­pa. Im Bereich der Remo­te-Tools führt Team­view­er das brei­te Ange­bot an, im MDM-Bereich ist das Ange­bot aus Deutsch­land /​Euro­pa nicht breit, aber es gibt ja datomo Mobi­le Device Manage­ment.

Cloud-Lösun­gen

Im Bereich der Cloud-Lösun­gen ist das Pro­blem am größ­ten, über 90 % des welt­wei­ten Ange­bo­tes wer­den durch Infra­struk­tu­ren erbracht, die von US-Anbie­tern kon­trol­liert wer­den. Sicher­heits­be­wuss­te IT-Ver­ant­wort­li­che haben sich in der Ver­gan­gen­heit von den Cloud-Ange­bo­ten fern­ge­hal­ten und wer­den jetzt belohnt. Sie haben dem ‘Safe-Harbor’-Blödsinn nie ver­traut und haben jetzt — im Nach­hin­ein — alles rich­tig gemacht.

Auf den Punkt gebracht heisst das Cloud-Pro­blem: Cloud geht in vie­len Fäl­len gar nicht aus der Per­spek­ti­ve von Sicher­heit und Daten­schutz. Wer so dumm war, sein gan­zes Rechen­zen­trum in die Cloud zu ver­la­gern, erhält jetzt die Quit­tung für die­se ver­meint­lich Kos­ten sen­ken­de Ent­schei­dung. Es gilt auch hier wie­der ein­mal ‘Bil­lig gekauft ist zwei­mal gekauft!’

Anwen­der, die kom­plett in die Cloud umge­zo­gen sind, wer­den die­ses Pro­blem kurz­fris­tig nicht lösen kön­nen.

Anwen­der, die Cloud-Kom­po­nen­ten nur im Zusam­men­hang mit Mobi­li­ty nut­zen, sind hin­ge­gen sehr viel schnel­ler reak­ti­ons­fä­hig. Die Reak­ti­on soll­te aus zwei Maß­nah­men bestehen. Zum einen soll­ten Apps, die ame­ri­ka­nisch kon­trol­lier­te Clouds nut­zen, sofort ver­bo­ten wer­den, sie sind in vie­len Fäl­len nicht nur ein Sicher­heits­ri­si­ko son­dern schlicht rechts­wid­rig. Das war schon immer so. Zum ande­ren soll­te siche­rer Cloud-Spei­cher für die mobi­len End­ge­rä­te mit einer siche­ren Lösung wie Team­dri­ve ange­bo­ten wer­den.

In die­sem Zusam­men­hang müs­sen auch die Push-Ser­vices von Apple und Goog­le kri­tisch betrach­tet wer­den, denn die­se sind seit PRISM kom­pro­mit­tiert und daher immer ein Sicher­heits­pro­blem und kön­nen auch ein Daten­schutz­pro­blem impli­zie­ren. Vor­teil von Andro­id ist an die­ser Stel­le, dass es kom­plett ohne Push-Ser­vices betrie­ben wer­den kann, dies ist bei iOS schwer bis unmög­lich.

Anwen­der, die die in die­sem Bei­trag dar­ge­stell­ten Rah­men­be­din­gun­gen beach­ten, machen sehr viel rich­tig beim The­ma Sicher­heit in der Mobi­li­ty (und auch dar­über hin­aus).

Zwei Rest­ri­si­ken blei­ben aller­dings bestehen, wenn man die dar­ge­stell­ten Rah­men­be­din­gun­gen beach­tet.

Risi­ko 1

Gera­de in der Mobi­li­ty wird sehr viel mit Zer­ti­fi­ka­ten gear­bei­tet. Wenn man sich ein­mal den Markt ansieht, gibt es fast kei­ne nicht-ame­ri­ka­ni­schen Zer­ti­fi­kats­her­aus­ge­ber mehr. Doch wenn man sucht fin­det man aus­rei­chend vie­le, spe­zi­ell in der Schweiz. Natür­lich kos­ten Zer­ti­fi­ka­te bei sol­chen siche­ren Anbie­tern oft ein viel­fa­ches wie Bil­lig­an­ge­bo­te von US-Fir­men. Sicher­heit hat nun ein­mal ihren Preis.

Die­ser Preis soll­te es jedem spä­tes­tens seit die­ser Woche aber wert sein vor dem Hin­ter­grund, dass die NSA die ame­ri­ka­ni­schen Zer­ti­fi­zie­rungs­an­bie­ter zur Zusam­men­ar­beit zwin­gen soll, was im Bei­trag US-Behör­den fra­gen angeb­lich nach Mas­ter-Keys für SSL nach­zu­le­sen ist.

Des­halb ist es für sicher­heits­ori­en­tier­te Anwen­der auch mehr als einen Gedan­ken wert, eine eige­ne PKI (Public Key Infra­st­ruc­tu­re) ein­zu­rich­ten. Hier­für schei­det für sicher­heits­ori­en­tier­te Anwen­der dann natür­lich aus oben ange­führ­ten Grün­den das Ange­bot von Micro­soft aus. Statt des­sen soll­ten auf Open Source Soft­ware basie­ren­de Lösun­gen ein­ge­setzt wer­den, vor­zugs­wei­se von rein deut­schen PKI-Spe­zia­lis­ten.

Risi­ko 2

Auch Open Source ist nicht per se sicher. Die Infil­tra­ti­on der Open Source Sze­ne wird durch das von der NSA ganz offen betrie­be­ne Pro­jekt SEAn­dro­id mehr als deut­lich. Nie­mand weiss genau und kann sagen in wel­chem Umfang die Open Source Sze­ne von der NSA und von die­ser beauf­trag­ten Dritt­fir­men unter­wan­dert ist. Das Risi­ko ist auf jeden Fall beträcht­lich.

Hier eine rich­ti­ge Risi­ko­ab­schät­zung vor­zu­neh­men ist für Her­stel­ler, die Soft­ware basie­rend auf Open Source Kom­po­nen­ten ent­wi­ckeln, alles ande­re als leicht, in vie­len Fäl­len nicht mög­lich.

Aber selbst wenn ein Her­stel­ler eine von der NSA kon­trol­lier­te Kom­po­nen­te ein­set­zen soll­te, ist die Sicher­heit des Gesamt­sys­tems dadurch in den meis­ten Fäl­len nicht oder nur sehr gering kom­pro­mit­tiert. Denn moder­ne auf Open Source basie­ren­de Soft­ware­sys­te­me basie­ren nie auf einer einer ein­zi­gen Open Source Kom­po­nen­te, son­dern auf einer Viel­zahl von Open Source Kom­po­nen­ten, deren Anord­nung der NSA übli­cher­wei­se nicht bekannt ist und die häu­fig auch durch pro­prie­tä­re Kom­po­nen­ten ergänzt wer­den, die der NSA eben­falls nicht bekannt sind, wenn der Her­stel­ler kei­nen Sitz in den USA unter­hält.

Inso­fern kann der­zeit die Emp­feh­lung nur lau­ten grund­sätz­lich nur Soft­ware ein­zu­set­zen, die von Her­stel­lern ent­wi­ckelt wird, die kei­nen Sitz (auch kei­ne Nie­der­las­sung!) in den USA unter­hal­ten und beim Ein­satz von SSL grund­sätz­lich nur Zer­ti­fi­ka­te zu ver­wen­den, die nicht von einem Anbie­ter aus den USA, UK, Kana­da, Neu­see­land oder Aus­tra­li­en stam­men. Wobei nicht ver­ges­sen wer­den darf, dass das SSL-Pro­to­koll gene­rell in der Dis­kus­si­on steht und nicht weni­ge Teil­neh­mer die­ser Dis­kus­si­on auch das SSL-Pro­to­koll schon per se als kom­pro­mit­tiert anse­hen.

Sie mer­ken nun sicher, dass die­ses The­ma alles ande­re als ein­di­men­sio­nal ist und es kei­ne schnel­len und all­ge­mein­gül­ti­gen Ant­wor­ten gibt bzw. geben kann. Wenn Sie daher Fra­gen zu die­sem über­ra­gend wich­ti­gen The­ma haben, machen Sie es doch wie vie­le ande­re Unter­neh­men und Orga­ni­sa­tio­nen — fra­gen Sie uns. Wir wer­den auch für Sie die rich­ti­gen Ant­wor­ten zu Ihrem indi­vi­du­el­len Kon­zept ent­wi­ckeln und Ihnen auf die­se Wei­se ein hohes Maß an Sicher­heit für Ihre mobi­le Infra­struk­tur bie­ten.


Ande­re inter­es­san­te Bei­trä­ge:
MDM Essen­ti­als — Mobi­le Device Manage­ment tes­ten und ver­glei­chen: Jail­b­reak- und Roo­ting-Erken­nung
Ges­tern hat­te einer unse­rer Con­sul­tants ein inter­es­san­tes Erleb­nis. Er führ­te einem Inter­es­sen­ten datomo Mobi­le Device Manage­ment vor, spe­zi­ell unter Berück­sich­ti­gung von iPho­ne und iPad. Unser Con­sul­tant woll­te dem Inter­es­sen­ten das Aus­rol­len von datomo MDM auf sei­ne Gerä­te zei­gen, da mein­te der In…
MDM Essen­ti­als — Über­sicht zum Ver­gleich von Mobi­le Device Manage­ment jetzt auch auf Face­book
Ich habe vor zwei Wochen im Bei­trag MDM-Essen­ti­als – Mobi­le Device Manage­ment: Wie macht man einen Ver­gleich? unse­ren Lesern eine Link­lis­te zum The­ma Mobi­le Device Manage­ment ange­bo­ten, die Sie auch wei­ter­hin durch Klick auf die Ver­lin­kung oben anfor­dern kön­nen. Mich hat die gro­ße Nach­fra­ge nach der…
Bring Your Own Device (BYOD) — Ein Erleb­nis auf einer Bahn­fahrt mit einem Con­tai­ner
Letz­te Woche im ICE von Ham­burg nach Ber­lin. Am Tisch neben mir ver­zwei­fel­te ein Mit­rei­sen­der erkenn­bar an sei­nem iPad und kur­ze Zeit spä­ter an sei­nem iPho­ne. Er tele­fo­nier­te mit sei­nem Hel­pdesk. Ein­mal, zwei­mal, drei­mal. Er gab immer wie­der sei­ne Zugangs­da­ten ein, woll­te die­se sogar mit dem Hel­pdes…
Gerä­te­ein­bin­dung in datomo MDM per SMS oder E‑Mail
In unse­rer Serie über prak­ti­sche Anwen­der­tipps zu datomo Mobi­le Device Manage­ment beschäf­ti­gen wir uns heu­te noch ein­mal detail­lier­ter mit den Mög­lich­kei­ten der Gerä­te­ein­bin­dung in die Lösung. Im letz­ten Arti­kel „Mög­lich­kei­ten der Gerä­te­ein­bin­dung in datomo MDM“ sind wir bereits auf die tech­ni­schen…
Key­fac­ts MDM – Unein­ge­schränkt ska­lier­ba­re Man­dan­ten­fä­hig­keit von datomo Mobi­le Device Manage­ment
War­um soll­te ein MDM-Sys­tem man­dan­ten­fä­hig sein? Die­ses Fea­ture ist in all jenen Fäl­len rele­vant, in dem es nicht nur um die Ver­wal­tung mobi­ler Gerä­te einer Struk­tur, also eines Unter­neh­mens­be­rei­ches oder klei­ne­ren Unter­neh­mens geht. Man­dan­ten­fä­hig­keit greift immer dann, wenn es um die gleich­zei­tig…

Ein Kommentar

Schreibe einen Kommentar»
  1. […] die der Ein­satz von Micro­soft-​Soft­ware mit sich bringt, vor­ges­tern in unse­rem Bei­trag Was ist denn in der Mobi­lity über­haupt noch sicher? hin­ge­wie­sen. Vie­le der dort getrof­fe­nen Aus­sa­gen und Hin­weise gel­ten über die […]

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.

Ich akzeptiere

Geben Sie bitte das Ergebnis ein: * Time limit is exhausted. Please reload CAPTCHA.