Mobilité et sécurité Pierre-Yves DUCAS
Les menaces sur les mobiles Typologie des menaces et de leur sources Perte Vol Dysfonctionnement Altération Appareil Utilisateur Voleur Panne Fonctions Panne Erreur(*) Malware Voleur Erreur(*) Erreur(*) Malware Malware Malware Données Panne Erreur(*) Malware Voleur Malware Panne Erreur(*) Malware (*) l erreur a toujours pour origine l utilisateur
Les vulnérabilités exploitées L inattention du propriétaire; Le manque de prise de conscience du propriétaire; Le choix des données stockées ou de leur protection; Les applications qui demandent trop de droits; La qualité des développements; Les applications malicieuses, même sur les sites officiels; L absence de contrôle d accès aux données par l utilisateur; L absence de contrôle d accès aux API par l utilisateur.
Les conséquences possibles Conséquences directes (perte d usage) Ne plus pouvoir disposer des fonctions de l appareil (passer des appels, envoyer/recevoir des mails, consulter Internet, accéder aux données d entreprise, ) Conséquences indirectes (usage frauduleux) Usurpation de droits sur les fonctions Utilisation du téléphone, accès à vos comptes, achat en votre nom, Utilisation frauduleuse des données et fonctions Carnet d adresse, agenda, données d entreprise, données personnelles,
Les vecteurs d attaque Vecteurs d attaque distants WIFI Lecteurs de fichiers PDF Navigateur & Applications Réseaux 3G/GPRS (Baseband) Application (Jeux "trojanisés") Backup Port de connexion USB Coffre fort numérique Carte SIM Vecteurs d attaque locaux
Scenarios d attaque Vol/Perte d une tablette non verrouillée (Vol à l arrachée) Déconnexion du réseau avant ordre de «wipe» Accès aux applications de l entreprise Suppression / Modification du mot de passe Récupération des mots de passe dans les backups Accès à l interface de débogage Jailbreak / Root Attaque de type social engineering Trojan Exfiltration de données Ecoute Rebonds vers le réseau de l entreprise Surfacturation
Les mesures génériques à prendre Menace Sur Type mesure Perte ou vol Appareil Dysfonctionnement Perte, Dysfonctionnement, Altération Vol Perte, Altération Vol Appareil Prev Fonction Récup Réinstallation Fonction Fonction Données Données Prev Récup Prev Récup Mot de passe, chiffrement des données sensibles Effacement, blocage et localisation à distance Sauvegarde ection physique, Garantie, Assurance Sauvegarde / Synchronisation Firewall, Anti-malware, contrôle des API Sauvegarde système et programmes Réinstallation Authentification renforcée Sauvegarde / synchronisation Restauration / synchronisation Prev Firewall, Anti-malware, contrôle des API Chiffrement e des données sensibless es
Le modèle technico-économique Androïd / Google Volonté d ouverture, avec accès aux API Plus de vulnérabilités?? mais plus de moyen de les contrer Sources de programmes non officielles IOS / Apple Volonté de contrôle du système par Apple Contrôle absolu des applications installées (sauf si jailbreak) Moins de vulnérabilités, mais moins de moyens de les contrer Windows / Microsoft Modèle identique à Apple RIM / Blackberry Modèle identique à Apple
Les avis d expert divergent Le paradoxe : plus de sécurité et plus de malware
Quel système intéresse les attaquants?
Les solutions personnelles pour Andoïd Rooter la machine et installer à minima 2 programmes L un Lun comme firewall Grand éditeur tel que AVAST, Kaspersky, MacAfee, Spécialiste gratuit comme DROIDWALL L autre comme contrôle d accès aux API (données et répertoires) LBE hyper complet mais origine chine Androïd tuner + Xposed Installer (XDA) Les autres fonctions (antimalware, ) peuvent venir de l un des 2 ou d un 3 ième programme. Un programme qui fait à la fois firewall et contrôle des API ne permet pas de mettre des règles Firewall pour lui- même. La prudence veut donc qu on ne confie pas les 2 fonctions au même programme.
Les solutions d entreprise pour Andoïd 01001101010 10010111001 00110101010 01011100100 11010101001 01110010011 01010100101 MDM MCM MAM
Les solutions d entreprise pour Andoïd TEOPAD est une solution de sécurisation des applications professionnelles sur les smartphones et les tablettes, développée par Thales et destinée au monde de l entreprise et des administrations. i ti Cloisonnement des environnements professionnels et personnels. ection des données professionnelles stockées et échangées. Sécurisation des applications professionnelles. ection des communications téléphoniques. Compatible avec la plupart des terminaux du marché (sous Androïd). Compatible avec les applications du marché et les applications métiers. Maintien de l ergonomie utilisateur. https://www.thalesgroup.com/fr/teopad-solution-de-securite-pour-smartphones-et-tablettes
Conclusion Avant d exploiter les failles logiques des systèmes, il faut commencer par exploiter la vulnérabilité de son utilisateur ou celles qu il a sciemment ou inconsciemment ouvertes. C est sans doute le point le plus important, le reste n est que risque systémique lié à ce risque majeur.