МДМ это ужасно: когда решения безопасности наносят вред безопасности

К большому огорчению Blackberry, большинство людей не заинтересованы носить тяжелый рабочий телефон вместе с забавным смартфоном, который они сами выбрали. Вот почему крупные компании вкладывают значительные средства в управление мобильными устройствами (MDM). Но насколько безопасны эти инструменты безопасности? Недавняя демонстрация Black Hat имела удивительные ответы.

Для тех, кто не в крупных компаниях, MDM позволяет корпоративным ИТ-директорам иметь некоторый уровень контроля над личными телефонами сотрудников - с их согласия, конечно. MDM может, например, изолировать пространство для конфиденциальных данных и устанавливать специальные корпоративные приложения. Это очень важный инструмент безопасности, но Стивен Брин и Крис Камеджо из NTT Com Security считают, что нам следует задать несколько очень сложных вопросов о том, насколько он безопасен на самом деле.

Что в опасности

Докладчики заявили, что в настоящее время с помощью MDM насчитывается 180 миллионов устройств «принеси свои собственные», и ожидается, что эта цифра вырастет до 390 миллионов к 2015 году. Camejo заявил, что более 80 процентов компаний планируют внедрить решение MDM для своих сотрудники. Большинство из них для доступа к корпоративной электронной почте.

В ходе тестирования на проникновение пара обнаружила множество уязвимостей. Большинство из них были очень простыми, такими как игнорирование аутентификации, отправка токенов входа в систему без шифрования (и в некоторых случаях, настройка этих токенов, чтобы они никогда не истекли), и даже установка условий для более сложных атак.

Команда заключила, что без особых усилий злоумышленник может получить личную информацию или даже использовать сервер MDM, чтобы стереть невинные телефоны. Вероятно, худшая возможная атака, которую они обнаружили, имитировала подлинную личность телефона на устройстве злоумышленника. Телефон злоумышленника теперь может получить доступ ко всему, что только можно: к электронной почте, общим дискам, документам и т. Д.

Проблема усугубляется тем, что многие разные поставщики совершали одинаковые или похожие ошибки. Таким образом, проблемы являются эндемичными для разных поставщиков. Интересно, что основная часть презентации была посвящена iOS, потому что Apple устанавливает строгие требования, которым должны следовать разработчики MDM. По словам Брина, подход Apple выглядит обоснованным.

Небезопасная безопасность

Докладчики завершили свой разговор удивительным советом для аудитории. Прежде всего, компании должны были очень и очень тщательно обдумать, что они развернуты в своей сети. Возможно, они предложили, отказавшись от MDM все вместе.

«Все увеличивает поверхность атаки», - сказал Камехо. Это может показаться бессердечным, но если украдут телефон одного empolyee, воры имеют доступ только к информации этого сотрудника. Но MDM допускает гораздо больший урон. «Уязвимый сервер MDM хуже, чем мобильное устройство без MDM».

Он также взял на себя задачи MDM-компаний за то, что он назвал «безопасностью через неизвестность». По словам Камехо, проблемы, которые они нашли, обнаружить несложно. Это означает, что люди просто не ищут уязвимостей, вероятно, из-за высокой стоимости, связанной с приобретением программного обеспечения MDM.

Конечно, это не первый раз, когда мы видим, как МДМ используют для зла. Не так давно Skycure использовал так называемую атаку с использованием вредоносного профиля для захвата моего iPhone. Это одно из решений, которое может быть хуже, чем проблема, которую он стремится решить.