Beveiliging van gegevens op mobiele apparatuur

De scheidingslijn tussen desktopcomputers en mobiele apparatuur vervaagt. Dat biedt een heleboel mogelijkheden; de keerzijde van de medaille is dat je meer moet nadenken over de veiligheid en het mogelijk verlies van gegevens die op die apparatuur worden bewaard.

Smartphones en tablets: als je ze in één zin zou moeten omschrijven, komt ‘pc op zakformaat’ wellicht het dichtst in de buurt. Fabrikanten doen er alles aan deze mobiele apparaten zo compact mogelijk te maken, maar die compactheid heeft een keerzijde. De apparaten kunnen des te gemakkelijker uit je zak glijden of worden gestolen, met als gevolg dat de gegevens ‘op straat’ liggen. Potentieel gevoelige gegevens kunnen terechtkomen bij personen van wie u liever niet heeft dat ze over die gegevens beschikken. Voorbeelden van situaties waarin het verlies van een gegevensdrager heeft geleid tot gezichtsverlies van de eigenaar halen regelmatig de media. 


En voor bedrijven gelden deze risico’s natuurlijk nog meer.
Mobiele apparatuur wordt meer en meer een onderdeel van de IT-infrastructuur van de organisatie en beschikt over steevast grotere geheugens, zodat gebruikers altijd zo veel mogelijk data paraat kunnen hebben. Hoewel sommige organisaties nog zullen proberen hun data zo veel mogelijk binnen de deur te houden, is het onrealistisch om te verwachten dat ze die strategie vol kunnen houden, omdat technologie nu eenmaal steeds mobieler wordt. Slimmer is het om mobiele technologie als positieve ontwikkeling te beschouwen en een beleid te hanteren waarin alle mogelijkheden worden benut, zij het op gecontroleerde wijze. Door je te verdiepen in de tekortkomingen en de toegevoegde waarde van de apparatuur, kan mobiele technologie veel voor een bedrijf betekenen.

Gezichtsverlies van de organisatie is één reden om extra voorzichtig om te gaan met mobiele apparatuur. Net zo schadelijk voor een organisatie, zo niet schadelijker, is het wanneer uw gevoelige gegevens in handen komen van bijvoorbeeld concurrenten, die uw gegevens kunnen misbruiken voor zakelijk gewin. 
 

Verlies en diefstal


Verlies is de grootste bedreiging bij het gebruik van mobiele apparatuur. Daarnaast bestaat de kans dat iemand vanaf een afstand op het apparaat inbreekt. Preventieve maatregelen tegen verlies of diefstal zijn dus belangrijk. Anderzijds beschikt de nieuwste mobiele apparatuur over uitgebreide encryptietechnieken om de gegevens en dataverkeer te beveiligen.


De meest voor de hand liggende manier om je te beschermen tegen verlies van gegevens op mobiele apparatuur is geen gevoelige informatie op het apparaat op te slaan. Als er toch gevoelige informatie op de telefoons moet worden bewaard, dan is het verstandig beleid te ontwikkelen omtrent de toepassing van beveiligingstechnieken en om procedures op te stellen voor het geval een mobiel apparaat verloren raakt of wordt gestolen.


De eerste stap in het opstellen van een beveiligingsbeleid is altijd het bepalen van de risico’s. Vervolgens moet worden afgewogen hoe groot de kans is dat de bedreiging zich daadwerkelijk voordoet en hoe groot de potentiële schade in dat geval is. De schade kan soms wel, maar vaak ook niet in bedragen worden uitgedrukt. Het is immers lastig om de schade als gevolg van bijvoorbeeld gezichtsverlies te kwantificeren. Het risico is het product van kans en schade. Is het risico groot, dan is het verstandig riscobeperkende maatregelen te treffen, bijvoorbeeld door extra te beveiligen.


Smartphones hebben een intern geheugen van enkele tientallen megabytes tot enkele gigabytes. Dat geheugen kan vaak nog verder uitgebreid worden met behulp van geheugenkaartjes, die op hun beurt ook vaak gigabytes aan gegevens kunnen bevatten. Net als op computers kunnen op deze interne geheugens en op de geheugenkaartjes bestanden en e-mails worden bewaard. Die informatie kan natuurlijk vertrouwelijk zijn. 


Om die informatie te beveiligen kan ervoor worden gekozen om de gegevens op de telefoons en op de geheugenkaartjes te versleutelen door middel van gegevensencryptie. Alle belangrijke smartphoneplatforms bieden gegevensencryptie aan. Het toepassen van gegevensencryptie op zich is overigens niet voldoende om de data die op het apparaat is opgeslagen te beveiligen. Pas wanneer ook een authenticatiemechanisme wordt toegepast, zijn de gegevens beschermd bij verlies of diefstal van het apparaat. Een wachtwoord dat moet worden ingetoetst voordat het toestel kan worden gebruikt, is daar een voorbeeld van.
 

Dataverbindingen


Mobiele apparaten zouden niet bijzonder mobiel zijn als ze niet zouden beschikken over draadloze communicatiemogelijkheden. Vrijwel alle smartphones, tablets en laptops beschikken over wififunctionaliteit, en veel van deze apparaten zijn uitgerust met bluetoothchips. Smartphones en sommige tablets kunnen daarnaast een internetverbinding opbouwen via het gsm-netwerk. In de nabije toekomst zullen smartphones steeds vaker worden voorzien van NFC (Near Field Communication)-functionaliteit, waarmee ze kunnen worden gebruikt voor mobiele betalingen. Voor de beveiliging van deze communicatietechnologieën worden bekende protocollen en technieken toegepast.


Publieke wifihotspots zijn gemeengoed. Op luchthavens, in hotels, restaurants en andere openbare locaties wordt, vaak gratis, draadloze internettoegang aangeboden. Ook thuis en op kantoor is het natuurlijk erg handig om uw laptop te kunnen openklappen en meteen met internet verbonden te zijn, zonder dat u daarvoor kabels hoeft in te pluggen.


Inherent aan het gebruik van wifiverbindingen is dat het netwerkverkeer dat het mobiele apparaat genereert draadloos naar het accesspoint wordt verstuurd. Daardoor is het gemakkelijk af te luisteren door iemand die zich in de buurt bevindt. Met de juiste apparatuur en programmatuur van nog geen honderd euro kan een nieuwsgierig persoon al uw netwerkverkeer opvangen. Als dat netwerkverkeer niet beveiligd zou zijn, zouden alle e-mails, documenten, foto’s, webverkeer en andere informatie kunnen worden bekeken zonder dat u het doorheeft. 
 

Protocollen


Voor het beveiligen van draadloze netwerkverbindingen bestaan verschillende beveiligingsprotocollen. De meeste wifiapparatuur ondersteunt de WEP-, WPA- en WPA2-protocollen, die een oplopende mate van bescherming bieden. Deze protocollen verschillen behoorlijk van elkaar op het gebied van de beveiligingsalgoritmen waarop ze zijn gestoeld. Wat ze met elkaar gemeen hebben, is dat ze het draadloze netwerkverkeer versleuteld versturen, zodat de inhoud van het netwerkverkeer niet leesbaar is wanneer het door een niet-geautoriseerd persoon wordt opgevangen. WEP wordt tegenwoordig niet meer gezien als een veilig beveiligingsprotocol, omdat het met de juiste hardware en software binnen enkele minuten kan worden gekraakt. WPA, met name WPA2, biedt wel afdoende bescherming voor de meeste toepassingen.


Beveiliging van draadloos netwerkeer door middel van WEP-, WPA- en WPA2-encryptie is niet mogelijk wanneer men gebruikmaakt van zogeheten open publieke hotspots. Wanneer men van die hotspots gebruikmaakt, wordt het netwerkverkeer dus niet op de netwerklaag van de TCP/IP-stack versleuteld. Men doet er verstandig aan om geen gevoelige informatie middels een dergelijk netwerk te versturen, tenzij het netwerkverkeer wordt versleuteld op de applicatielaag van de TCP/IP-stack.


Voor het versleutelen van dataverbindingen op de applicatielaag is SSL een veel toegepaste technologie. SSL biedt de mogelijkheid de inhoud van TCP/IP-pakketten te versleutelen door middel van gegevensencryptie. Daardoor is deze inhoud niet zichtbaar wanneer het draadloze netwerkverkeer wordt afgeluisterd. SSL wordt toegepast voor de beveiliging van uiteenlopende toepassingen. Websites en webservices passen het HTTPS-protocol toe voor het versleutelen van websessies. De POP3S- en SMTPS-protocollen zijn de ‘veilige versies’ van respectievelijk het POP3 en SMTP-protocol. SSL wordt in talloze andere toepassingen gebruikt voor de bescherming van de gegevens die deze toepassingen via netwerkverbindingen uitwisselen.
 

Virussen
 

Worms, trojans en virussen die het op mobiele apparaten hebben gemunt, bestaan al jaren. Ze kunnen zich verspreiden middels sms-berichten, e-mail en andere communicatiemethoden. Toch hebben weinig berichten over virusuitbraken op telefoons en tablets het nieuws gehaald. Een belangrijke reden daarvoor is de diversiteit in smart­phone- en tabletplatforms, waardoor virusuitbraken nooit epidemische vormen aan hebben kunnen nemen. De verwachting is dat met de forse toename van het aantal gebruikers van mobiele apparaten en het groeiende marktaandeel van Google Android en Apple iOS een toename van virussen en virusuitbraken niet uit zal blijven.


Een bekend virus dat het op de Apple iPhone had gemunt, heeft wel enige aandacht gekregen van de pers. De worm verspreidde zich via iPhones waarvan de beveiliging was uitgeschakeld middels de zogeheten jailbreakmethode. Eigenaars van iPhones die vergaten daarna het root-wachtwoord van de ingebouwde SSH-server te wijzigen, liepen gevaar slachtoffer te worden van de worm, doordat reeds besmette iPhones het virus via die SSH-poort verspreidden.


Er zijn verschillende versies van de worm bekend. Een relatief onschuldige versie van het virus veranderde de achtergrondafbeelding van het slachtoffer in een foto van Rick Astley. Een schadelijker versie stelde hackers in staat de telefoon op afstand te besturen en zo gegevens te stelen.


Als de beveiliging van de iPhone niet was verwijderd, was in het genoemde geval besmetting voorkomen. Maar andere virussen gebruiken mogelijk andere zwakheden om het apparaat te besmetten en zich te verspreiden. Fabrikanten van beveiligingssoftware zijn daar handig op ingesprongen; de meeste verkopen tegenwoordig ook antivirussoftware voor telefoons en tablets. 


 Het mobiele platform


De veiligheid van besturingssystemen is al jaren voer voor discussie, en dan met name de vraag of open source hier veiliger is dan closed source. Die discussie werd voorheen gevoerd over server- en desktopbesturingssystemen. Smartphones en tablets kunnen nu aan het lijstje worden toegevoegd. 
Apple, RIM en Nokia installeren zelfgeschreven besturingssystemen op hun smart­phones en tablets. Microsoft verkoopt zelf geen mobiele telefoons, maar levert een volledig zelfontwikkeld, closed-sourceproduct aan zijn afnemers.

Google volgt een andere strategie met het Android-besturingssysteem. Android is gebaseerd op de Linux-kernel. Bovendien worden delen van het besturingssysteem geschreven door derden. In 2009 werd een lek in het OS ontdekt dat hackers in staat stelde de internetbrowser op afstand over te nemen en zo controle over het apparaat te krijgen. Het lek bevond zich in een door een derde partij geschreven onderdeel van de programmacode voor de webbrowser. Sindsdien heeft Google een sandboxingtechniek ontwikkeld waardoor applicaties geen directe toegang meer hebben tot het mobiele apparaat. 


De wijze waarop de ontwikkelaars van de mobiele besturingssystemen met het aanbieden van applicaties omgaan, verdient vanuit beveiligingsoogpunt ook enige aandacht. Apple volgt een strikt vrijgavebeleid voor applicaties van derde partijen. Het controleert alle applicaties die door ontwikkelaars worden aangeboden alvorens ze in de applicatiewinkel voor de iPhone en iPad verschijnen. Dankzij dit beleid zijn eigenaars van Apple-apparaten tot nu toe beschermd gebleven tegen kwaadaardige programmatuur. Google volgt een minder streng beleid. Ontwikkelaars kunnen hun applicaties aanbieden zonder dat daar controle aan voorafgaat. Gebruikers van het Android-OS doen er dus goed aan om alleen applicaties te installeren van vertrouwde aanbieders en goed te letten op de mate van toegang tot onderdelen van de telefoon of tablet die de applicatie aangeeft nodig te hebben. 

Social engineering


Gebruikers van mobiele apparatuur zijn niet minder kwetsbaar dan gebruikers van 
computers voor aanvallen via e-mail en websites, zoals phishing- en andere social-engineeringmethoden. De werkwijze van kwaadwillenden is daarbij niet anders dan bij gebruikers van laptops en desktop-pc’s. Middels een link in een e-mail kan een gebruiker naar een namaakwebsite van bijvoorbeeld zijn bank of e-mailprovider worden gestuurd en kan hem gevraagd worden zijn inloggegevens op te geven. Zo kan een hacker zichzelf toegang verschaffen tot gevoelige informatie en flinke schade aanrichten.


Er zijn daarnaast enkele gevallen bekend waarbij sms-berichten werden gebruikt in een poging gebruikers naar een website te lokken om daar kwaadaardige programmacode te downloaden. Deze programmacode kan door een hacker worden gebruikt om de controle over het apparaat over te nemen of om gegevens te stelen die op de telefoon zijn opgeslagen. Ook wordt sms ingezet voor phishingaanvallen. Een hacker kan een sms-bericht ‘vermommen’, zodat het lijkt alsof het afkomstig is van een bank of mobiele provider, zodat het bericht geloofwaardig overkomt. Wanneer in een dergelijk bericht om bijvoorbeeld creditcardgegevens wordt gevraagd, spreken we van smishing.


Gewone mobiele telefoons


Steeds meer mensen beschikken over smartphones. Toch zijn ‘gewone’ mobiele telefoons, waarmee kan worden gebeld en ge-sms’t, nog alom aanwezig. Ze zullen voorlopig ook niet verdwijnen. Hoewel deze telefoons over het algemeen niet worden gebruikt voor het versturen van e-mails en het bewerken van documenten, kunnen ze toch gevoelige informatie bevatten. In het telefoonboek en de sms-inbox en -outbox kunnen gegevens staan die door kwaadwillenden kunnen worden misbruikt. Ook bij deze apparaten moet dus voorzichtig worden omgegaan met opslag en uitwisseling van vertrouwelijke informatie.


Met name de high-end traditionele mobiele telefoons worden vaak uitgerust met een Java-engine, zodat Java-applets op de telefoons kunnen worden gebruikt. Er zijn gevallen bekend van oplichters die deze functionaliteit misbruiken door Java-applets te verspreiden die automatisch sms-berichten versturen naar dure betaalnummers, zodat men met dure telefoonrekeningen wordt geconfronteerd. Doordat het gebruik van Java op mobiele telefoons nooit echt van de grond is gekomen, vormt dergelijke malware geen bijzonder grote bedreiging. Het toont wel aan dat zelfs eenvoudige mobiele apparaten ten prooi kunnen vallen aan slimme hackers.