Terminaux mobiles et fuites d information GSDAYS, LE MARDI 10 MAI 2011

Transcription

1 Terminaux mobiles et fuites d information GSDAYS, LE MARDI 10 MAI Document confidentiel - Advens 2011

2 La mobilité aujourd hui Forte présence de BlackBerry en Entreprise Généralisation des accès internet 3G Fort développement de la «double mobilité» en Entreprise Le BlackBerry PRO dans la poche de gauche Le mobile tactile, ses applications ludiques et les réseaux sociaux dans la poche de droite Les Tablettes font leur grand retour dans les SI L ipad surfe sur la vague iphone La concurrence se structure pour ne pas rater de nouveau ce marché : Samsung, HP, Archos et même BlackBerry 100 millions de BlackBerry vendus en 10 ans +50 millions d iphone dans le monde en moins de 3 ans +3 millions d ipad dans le monde en moins de 3 mois +1 million d ipad2 vendus dans le monde en moins de 2 semaines 2

3 Y a-t-il des risques? Aujourd hui, les Smartphones sont presque des «mini-pc» de poche Ils proposent pratiquement les mêmes fonctionnalités Et ont des OS mobiles très proches des OS «standards» déjà bien connus Y aurait-il les mêmes risques? Intrusion? Vol de données? Atteinte à l intégrité des données? Et quels seraient les assaillants? Des cybercriminels? Des spammers? Des concurrents? Le constructeur de l équipement / OS Mobile? L opérateur? Ou l utilisateur lui-même? 3

4 Y a-t-il des cas de malwares sur les smartphones? Tout commença avec CABIRE sur OS Symbian/Nokia en sautant de mobile à mobile par Bluetooth dès 2007 Puis s enchaina au gré des évolutions et des nouveaux mobiles : 2009 ; Premier «vrai» virus sur les iphones jailbroken au travers d une faille du serveur SSH et d un mot de passe par défaut ikee.worm ( Plusieurs malwares sur iphone (iphone/privacy.a fin 2009 par exemple) copiaient les données utilisateurs : mails, contacts, SMS, calendriers, photos, Le risque est réduit compte tenu des contrôles faits par Apple pour accepter une application 4

5 Y a-t-il des cas de malwares sur les smartphones? Plusieurs chevaux de Troie qui sont apparus récemment dans des applications Androïd : En février 2011 sur un dépôt non officiel En mars 2011 dans 21 applications présentes sur le dépôt officiel Les applications accédaient aux droits suivants : Ils tournent en arrière plan, accèdent à un site malveillant Ils cliquent sur des mots clés spécifiques (popularité, ) Ils téléchargent des applications APK inconnues Ils surveillent l activité et peuvent l altérer (messages, ) 5

6 Y a-t-il des failles qui favorisent une intrusion? Failles dans Safari et le module de conversion PDF qui facilitent le jailbreak depuis un simple accès au site jailbreak.com (juillet 2010) Idem sur Android Accès à l application «Téléphone» sur les iphones disposant de l ios 4.1 (Octobre 2010) en bypassant le passcode de verrouillage Accès aux contacts Accès à la messagerie Accès à l historique des appels Une légion complète d outils ou méthodes de jailbreak/root librement accessible sur Internet (mise à jour au jour le jour et dès la sortie d une nouvelle faille ou mise à jour de l OS 6

7 L éditeur / constructeur peut-il être fautif? Peu d outils sont mis à disposition pour faciliter le déploiement de mises à jour ITunes indispensable pour mettre à jour un ios. Aucun outil de management d entreprise ne peut s y substituer Le chiffrement de la sauvegarde est recommandé mais pas forcé par défaut pourtant Aucun contrôle n est effectué sur le contenu et les fonctionnalités des applications Android l esprit libre et open chez Google libre pour qui? Les méchants ou les gentils? Des fonctions de sécurité fort utiles (code de verrouillage, chiffrement des sauvegardes ) mais pas forcément actives par défaut laissées à la libre appréciation de l utilisateur Qui a un code de verrouillage sur son mobile perso? Des fonctions de sécurité indispensables (antivirus, firewall ) difficiles à implémenter Root ou jailbreak indispensable pour avoir ces fonctions «non officielles» Absence des API pour favoriser le développement de ces outils par les éditeurs réputés 7

8 Et des fonctionnalités / failles «gênantes» 20 avril 2011 : «votre iphone enregistre tous vos déplacements» Bug comme le dit Apple une mise à jour arrive dans les 2 semaines Ou fonctionnalité «cachée» indispensable (n est-ce pas fort utile pour utiliser l application Apple MobileMe LOCALISER? Ou l application iads?) 22 avril 2011 : «votre mobile Android enregistre aussi vos déplacements mais mieux» Pas de bug, c est une fonctionnalité normale et documentée L utilisateur reste maître d activer ou non cette fonctionnalité de géolocalisation mais son expérience utilisateur sur de nombreuses applications ne sera plus la même Aucune donnée n est stockée de manière non sécurisée 8

9 Mon smartphone peut-il m espionner? Rien de plus facile De véritables outils «released» et supportés sont disponibles il suffit de chercher un peu Gratuits ou payants Légal ou illégal? 9

10 Et côté opérateur? Les outils d écoute des liaisons GSM sont là Encore un peu coûteux peut-être Les APN sont connus et on peut les changer facilement N est-il pas possible d écouter les flux sur un APN «pirate ou Rogue» Les démonstrations de localisation ou d écoute sont nombreuses : CCC 2008 : 10

11 Y a-t-il des solutions à ces risques? Techniquement OUI Comme pour un poste de travail Mise en place d une politique de mise à jour régulière Activation des fonctionnalités de sécurité natives Code de verrouillage Verrouillage après inactivité Désactivation des fonctionnalités inutiles (wifi, bluetooth ) Chiffrement des données et du stockage (carte SD ) Déploiement des fonctions de sécurité standards : Antivirus, antispyware, antimalware Firewall Ces outils sont-ils disponibles pour tous les OS mobiles? Console de management globale? Reporting sur le niveau de sécurité, niveau de conformité Déployer des solutions de sécurité dédiées à la protection des données professionnelles 11

12 Peut-on «durcir» un équipement personnel? car le «BYOM» est déjà une réalité BYOM = Bring Your Own Mobile Venez avec votre propre mobile Pourquoi autoriser l usage d un mobile personnel au bureau? Moins cher : le budget d investissement est majoritairement porté par l utilisateur le budget BlackBerry / iphone de l entreprise pourrait se réduire rapidement Plus sympa : l IT n a plus à gérer les différentes technologies et peut ainsi laisser l utilisateur prendre le mobile de son choix (gros, petit, blanc, noir, 16, 32 Go ) et l utilisateur appréciera ce geste et n aura plus besoin d avoir 1 mobile dans chaque poche (le BlackBerry dans la poche de gauche, l iphone dans la poche de droite ) Moins contraignant : l utilisateur est responsable de son mobile d autant plus qu il lui appartient l effet affectif est maximum! Et parce que c est tout aussi sécurisable qu un mobile d entreprise et que cela donne tout son sens aux solutions permettant la création d une «bulle de sécurité autour des données professionnelles» 12

13 Entreprise et mobilité : Quel dilemme!! Etude Device Dilemma par le cabinet Vanson Bourne (Eté entreprises anglosaxonnnes) L iphone est réclamé à l IT dans 82% des cas par les utilisateurs. Windows Mobile dans 57% 78% des DSI ont vu une explosion des demandes d utilisateurs pour utiliser leur propre mobile perso dans l Entreprise 74% des DSI savent que l utilisateur utilisera son propre device s ils ne savent pas répondre à cette demande 63% des DSI ont une forte pression pour permettre l usage de modules personnels (casque Bluetooth, applications et environnement de travail personnel ) autour du mobile pro 51% des DSI sont prêts à autoriser l usage du mobile perso si la sécurité et la configuration sont gérées de manière globale et centralisée 28% des DSI consultées ont subi un problème de sécurité à cause d équipements externes et non autorisés dans l Entreprise 13

14 Durcir un équipement personnel? Techniquement, rien n empêcherait de : Activer un code de verrouillage et un délai de verrouillage automatique en accord avec la politique de l Entreprise Activer le chiffrement des données locales ou stockées Activer les fonctionnalités de contrôle des applications de l OS (interdire l AppStore, Facetime ) Activer les fonctionnalités de nettoyage à distance Si les outils de management proposés par l éditeur le permettent Mais «politiquement» L utilisateur acceptera-t-il un code de verrouillage alors qu il donne facilement son smartphone personnel à ses enfants friands des derniers jeux à la mode? L utilisateur acceptera-t-il que les réseaux WIFI autorisés soient uniquement ceux de l entreprise? L utilisateur acceptera-t-il un WIPE de son téléphone s il pense l avoir perdu (et le retrouve tout aussi rapidement car tout juste oublié sur le lieu de vacances?) 14

15 L utilisateur serait donc le dernier rempart L utilisateur reste donc le maillon faible, il convient de le sensibiliser aussi sur les risques d usage de son smartphone Et de lui rappeler de Ne pas s éloigner de son équipement mobile, de ne pas le perdre des yeux, Être vigilant aux oreilles indiscrètes et aux personnes derrière son épaule, Ne pas installer n importe quelle application dont il ne maîtrise pas la source Ne pas connecter son mobile sur des équipements tiers non maîtrisés Désactiver toute fonctionnalité qu il n utilise pas sur son mobile (bluetooth, wifi ) Avertir l IT en cas de comportement anormal de son smartphone (perte du code de verrouillage, tentatives d accès bluetooth externes ) 15

16 En conclusion OUI nos smartphones sont des cibles privilégiées Ils détiennent des données sensibles et «money-able» Ils permettent des accès au SI de l entreprise où encore plus de données attractives sont présentes Ils sont sur des OS et des applications détenant des failles ou des fonctionnalités «cachées» qui peuvent favoriser intrusion et compromission des données OUI nos smartphones vivent une double vie et participent au flou ambiant entre «vie personnelle» et «activité professionnelle» OUI l utilisateur est le premier concerné par ces nouveaux risques mobiles Doit-on agir ou laisser faire? Quelle est votre position face à cela? 16

17 MERCI POUR VOTRE ATTENTION Document confidentiel - Advens 2011