AirWatch et l enrôlement des appareils mobiles

Transcription

1 AirWatch et l enrôlement des appareils mobiles 1/ L application AirWatch a) Introduction L expansion de plus en plus rapide des usages mobiles pousse de nombreuses entreprises à avoir besoin d administrer, de contrôler la flotte d appareils mobiles de leurs employés, et depuis le début des années 2000, des solutions de MDM (Mobile Device Management ; en français gestion des terminaux mobiles») ont vu le jour. AirWatch est une de ces solutions. L enrôlement des terminaux mobiles par une MDM c est l assurance d un paramétrage rapide et uniforme des appareils mobiles, ainsi que d un déploiement automatique des messageries des employés. C est également extrêmement facile pour les utilisateurs (il suffit de télécharger une application, et de flasher un code QR). L enrôlement c est aussi assurer la sécurité des appareils mobiles, en effet certaines sociétés ont une politique très stricte vis-à-vis de la sécurité, compte tenu que certaines informations sont confidentielles et ne doivent pas sortir hors de l entreprise, ni ne tomber entre de mauvaises mains. Il faut donc que les informations soient toujours dans un environnement sécurisé et le MDM aide à forcer l utilisateur à respecter les critères de sécurité imposés par l entreprise. Il existe de nombreuses solutions de MDM, développées par différentes sociétés d envergures différentes (IBM, McAfee, Trend Micro ), avec plus ou moins de fonctionnalités, et une notion de sécurité qui diffère selon les solutions. La Caisse d épargne a opté pour AirWatch car il est reconnu mondialement comme un leader dans ce secteur, qu il correspond tout à fait aux attentes de la Caisse d Epargne (navigateur sécurisé, coffre-fort numérique, enrôlement des terminaux, etc.) et qu il a déjà une base de clients «prestigieux» qui sont satisfaits par cette solution (Air France, Renault, National Bank of Canada, etc.) AirWatch est une entreprise américaine dont le business est de développer des outils pour la gestion de la mobilité en entreprise (EMM : Entreprise Mobility Management). Elle produit des logiciels et des systèmes de gestion autonomes pour les applications, les

2 contenus et les e- mails. Fondée en 2003, l entreprise s est faite rachetée en 2014 par VMware pour plus d un milliards de dollars US. 1 AirWatch est une solution de Gestion de Terminaux Mobiles gérée par VMWare b) Systèmes d exploitation pris en charge Les produits créés par AirWatch sont compatibles avec les systèmes d exploitation suivants : - Android - ios - Apple TV - BlackBerry - Chrome OS - Mac OS X - Symbian - Tizen 1 Source: Site Web de Wikipédia

3 - Windows c) Applications prises en charge AirWatch propose une solution de gestion des terminaux mobiles MDM. Cette solution possède de nombreux outils supplémentaires qui permettent de compléter l application Agent afin d harmoniser l utilisation des terminaux mobiles au sein de l entreprise. Les applications mobiles AirWatch sont sécurisées par un chiffrement AES 256 bits. Il existe donc une multitude d applications mobiles AirWatch dont nous allons expliquer l utilité ici : -Agent : permet d effectuer l enrôlement de l appareil et d envoyer les rapports à la console (pour la version Android), cette application est fondamentale pour que les autres applications fonctionnent correctement et sans elle, la gestion du terminal ne peut pas se faire. -Catalog : Permet d installer des applications en OTA (Over The Air) c està-dire de manière automatique, sur le terminal mobile. - Inbox: C est une application qui sert à récupérer son courrier (de sa boite mail professionnelle) de manière sécurisée -Browser : C est un navigateur Internet qui permet à l utilisateur de surfer de manière sécurisée et qui permet de limiter l accès à certains sites Web.

4 -Secure Content Locker : Permet de protéger le contenu sensible dans un conteneur d entreprise. Ici on pourra ouvrir des documents, des images, des pièces jointes, et les conserver à l abri dans cette application. -VMWare Identity Manager : Permet la gestion des identités via l authentification unique SSAO -Telecom : permet de voir la durée des appels, les SMS -Vidéo : permet de diffuser et de recevoir des vidéos d entreprise. En effet dans cette application on retrouvera les vidéos que d autres personnes, de l entreprise, auront postées. Cela peut-être par exemple des vidéos de formation, d informations etc. -SocialCast : SocialCast est une plateforme de partage. Les utilisateurs peuvent converser en passant par cette plateforme, ils peuvent d y échanger des idées, des projets tout cela dans un seul et même endroit, centralisé, et de manière sécurisée. AirWatch dispose d un large panel d applications, pour répondre aux besoins des entreprises d) Fonctionnalités d AirWatch

5 Avec AirWatch, il est possible d importer la structure fonctionnelle des services d annuaires de l entreprise, tels qu Active Directory et LDAP. Importer ces services d annuaires dans la console AirWatch permet de : - Garder la structure existante telle qu elle est dans Active Directory - S assurer que les utilisateurs aient les accès appropriés Ainsi, avec l enrôlement, les appareils des utilisateurs sont associés avec les comptes d utilisateurs qu ils ont dans l entreprise. Les administrateurs peuvent alors créer des groupes avec des autorisations d accès différentes selon les utilisateurs. Et si un utilisateur se voit retiré ses accès à une ressource, immédiatement AirWatch retirera l autorisation d accès à la ressource via son appareil mobile. L enrôlement permet aussi de d intégrer les certificats de sécurité de l utilisateur sur son appareil mobile, ainsi que sa messagerie Outlook. 2 Grâce à l application Agent, on peut contrôler les appareils mobiles, et depuis la console AirWatch, on a le contrôle sur tous les appareils mobiles enrôlés. On peut notamment ; - Voir si l appareil est en ligne ou la dernière fois qu il s est connecté - Connaître l identité du propriétaire de l appareil - Connaître la position GPS de l appareil - Gérer les applications installées sur l appareil. - Voir le journal d évènements de l appareil - Effacer le mot de passe de l appareil mobile - Effacer le contenu de l appareil - Envoyer un message de type pop-up sur l appareil mobile - Verrouiller l appareil - Streamer le flux vidéo et audio depuis l appareil mobile sur la console AirWatch - Effacer les données de l entreprise de l appareil. (effacer seulement le contenu professionnel) - Synchroniser l appareil mobile AirWatch devient administrateur de votre appareil 2 Source: Site Web d AirWatch

6 e) Les accès donnés à AirWatch les droits suivants peuvent être donnés à la console AirWatch : Pour les ipads : - Effacer données et réglages - Verrouiller l appareil et supprimer son code - Avoir accès et pouvoir modifier les profils de configuration - Avoir accès aux informations de l appareil - Avoir accès à la liste des données du réseau - Avoir accès à la liste des applications installées/pouvoir les modifier - Avoir accès à la liste des informations de sécurité - Appliquer des réglages - Installer des applications, des données. Pour les appareils Android : - Appeler directement des numéros de téléphone - Connaître l état du téléphone et son identifiant - Intercepter des appels sortant - Prendre des photos et des vidéos - Accès à la position GPS - Créer des favoris et un historique Web - Lire l historique Web et des favoris - Modifier/Supprimer le contenu du stockage USB (de la microsd) - Tester l accès à la mémoire protégée - Désactiver le verrouillage du clavier - Ajouter ou supprimer des comptes Google et connaître leurs paramètres - Avoir un accès complet à Internet (peut créer des sockets réseau)

7 - Afficher, modifier l accès du réseau et du Wi-Fi - Recevoir des données sur Internet - Créer des connexions Bluetooth - Démarrer automatiquement des processus au démarrage - Arrêter les processus en arrière-plan - Récupérer les applications en arrière-plan - Contrôler le vibreur - Empêcher le téléphone de passer en mode veille - Définir un fond d écran - Lire les statistiques de synchronisation - Créer des raccourcis - Modifier les paramètres de système global - Supprimer des raccourcis - Supprimer les données de cache d applications - Effacer toutes les données - Modifier le mot de passe de déverrouillage de l écran - Définir les règles de mot de passe - Contrôler les tentatives de déverrouillage de l écran - Verrouiller l écran - Définir le chiffrement de l appareil - Gérer les applications - Configurer le compte exchange - Configurer les comptes de messagerie - Configurer le VPN On constate donc que la console AirWatch à beaucoup plus d autorisations sur Android que sur ios. Peut-être est-ce parce que sur ios ce n est que des ipads et que l on a moins à connaître les statistiques du réseau.

8 Après l obtention de certaines informations au sein de la CEPAL, on apprend que certains utilisateurs possèdent des téléphone sous IOS donc on pourrait penser que les autorisations sur IOS et Android devraient être les mêmes puisque ios se trouve aussi sur des téléphones mobiles. Ceci-dit, après avoir fait un tour sur la console AirWatch, on constate que l on a accès aux données sur Android de la même manière que sur ios (comprendre que l on n a pas moins ou plus d accès selon l OS de la plateforme mobile. En effet les autorisations sur Android sont là, mais elles ne sont pas exploitées sur la console AirWatch. 2/ Utilisation à la CEPAL a) L enrôlement «Over The Air» L enrôlement d un appareil mobile avec AirWatch est une procédure facile à mettre en œuvre ; dans la console AirWatch, on ajoute le terminal que l on veut enrôler en entrant les informations de l utilisateur. La console AirWatch va alors envoyer à l utilisateur un avec un QR-code (un code barre comportant n importe quel type d information) que l utilisateur devra flasher avec son terminal mobile via l application Agent qu il aura au préalablement téléchargé sur son magasin d application (Google Play Store, App Store d Apple, etc.) Alors, l application va demander à installer des certificats afin que le serveur MDM (accessible via la console AirWatch) puisse gérer le périphérique sans interaction de la part de l utilisateur. Pour l enrôlement, les appareils mobiles utilisent un protocole spécifique appelé SCEP (Simple Certificate Enrolement Protocol) qui sert à automatiser le déploiement des certificats X509 (qui eux-mêmes servent à authentifier l appareil ou l utilisateur). Sur ios, l application Agent demande d installer un «profil» ; qui est une sorte de «paquet» dans lequel plusieurs certificats sont, ainsi que des règles de restrictions et un clip Web (un raccourci sur l écran d accueil vers une ressource Internet). Ce «profil» est construit par le serveur MDM, et il n est pas le même selon l utilisateur, puisque tous les utilisateurs n ont pas les mêmes droits. (Plus ou moins de restrictions, des règles de mot de passe plus ou moins dur ) A savoir que l on peut modifier dans le futur le profil que l on injecte dans l ios.

9 " Sur Android, la chose est un peu différente car le système de «profil» n existe pas comme sur ios. Ici c est quand on installe l application que l on lui donne les permissions d administrer l appareil. En l occurrence elle a pratiquement le droit de tout faire. Cette application est aussi définie comme «administrateur de l appareil» pour avoir accès au système et pouvoir le modifier. Ainsi l application AirWatch a le droit de modifier des règles de mot de passe, crypter la carte SD, redémarrer le téléphone, passer des appels "

10 On notera qu à la Caisse d Epargne, l utilisation de son appareil mobile personnel pour son travail (BYOD ; Bring your own device) n est pas mis en place et est interdit. c) Les applications utilisées à la CEPAL Concrètement, dans le contexte de la Caisse d épargne, la solution de MDM AirWatch est utilisée comme suit : Application Utilisation par la Caisse d Epargne AirWatch Agent - Enrôlement des appareils mobiles professionnels - Supervision des appareils mobiles professionnels (géolocalisation, conformité ) - Configuration automatique des appareils mobiles pour correspondre aux exigences de sécurité de la société Content Locker - Stocke de manière sécurisée les contenus professionnels de l utilisateur (au standard de sécurité FIPS-140) - Donne accès aux ressources partagées, aux espaces partagés (le transport des données est chiffré par le protocole SSL 256-bit)

11 Inbox - Sécurisation complète des infrastructures d s professionnels - Configuration pour l accès aux s professionnels : - Soit par l application Inbox d AirWatch - Soit par le client Mail natif du système d exploitation (Android ou ios) - Forcer l ouverture des pièces jointes dans une application tolérée (par la politique de sécurité de l entreprise) comme par exemple Content Locker. AirWatch Browser - Accéder à l intranet Local de l entreprise - Limiter l accès à certains sites/ certaines ressources - Authentification automatique sur certains sites Web grâce aux identifiants d enrôlement.

12