Bezpečnost mobilních zařízení a služeb

Tak, jak se ale dnes mobilní prostor rychle rozšiřuje do světa internetu, děje se to samé i s mobilními aplikacemi a službami. Uživatel si už prakticky nemůže být jist, že aplikace, která běží na jeho telefonu, je ze spolehlivého a prověřeného zdroje.

Výsledkem je stále se zvyšující ohrožení uživatelů mobilních zařízení hackerskými aktivitami, jako jsou krádež identity, phishing, pharming, a dalšími útoky, které jsou zaměřeny na zneužití osobní dat nebo na průnik do bankovních kont.

To všechno má značně škodlivé následky na obchodní modely poskytovatelů mobilních služeb. Pokud uživatel nevidí aplikaci jako bezpečnou a důvěryhodnou, jeho zájem o ní rapidně upadá. Cena za nabízenou službu by ale také měla být přímo úměrná ke stupni bezpečnosti a důvěryhodnosti. – Pokud je tedy přístup ke službám bezpečný a důvěryhodný, může to být i konkurenční výhodou na trhu mobilních aplikací.

Tento díl seriálu o mobilní bezpečnosti se zabývá typickými službami a aplikacemi, na které se zákeřné aktivity hackerů nejvíce zaměřují. Vyjmenuje postupy a metody, které jsou pro různé služby typické a měly by uživatele ochránit. Zároveň zdůrazní klíčové požadavky pro bezpečné a důvěryhodné mobilní aplikace.

Základní mobilní bezpečnost

Současný globální systém mobilní komunikace narostl do obrovského systému již druhé generace. Původní varianta zformovala výchozí bod vývoje hlavních bezpečnostních rysů pro sítě následujících generací.

Základním cílem pro standardizaci GSM bezpečnosti bylo totiž stanoveno zajištění správného vyúčtování služeb. Toho bylo dosaženo díky přesné autentizací uživatele, která je v GSM založena na tajném kódu uloženém na SIM kartě uložené v mobilním telefonu.

Přístupový šifrovací algoritmus pak slouží k ochraně této autentizace. Další kódovací mechanizmy jsou využity při ochraně mobilního hovoru prostřednictvím rozhraní OTA ( Over the Air), kdy základní komunikační zdroje jsou využity pouze pro přenos hovoru od uživatele, který byl identifikován již na začátku hovoru. Vlastní GSM bezpečnostní systém tak poměrně dobře zajišťuje požadavky na ochranu korektního účtování.

Pro srovnání ztráty vzniklé například klonováním SIM karet jsou naprosto zanedbatelné ve srovnání se ztracenými nebo padělanými platebními kartami. Uživatelé díky tomu svému operátoru důvěřují v tom, že správně účtuje využívání hlasových nebo datových služeb. Další generace bezpečnostní architektury GSM sítí mají za úkol ochránit množství dalších komunikačních služeb a aplikací.

Bezpečnost mobilních aplikací

Infrastruktura 3GSM je velmi vhodná pro různé finanční aplikace díky robustním autentizačním mechanizmům, které slouží buď pro přístup k mobilní síti, nebo k údajům na SIM kartě uživatele. Na druhou stranu zneužití finančních aplikací je pro narušitele nejlákavější, a čelí proto největšímu ohrožení a neustálým systematickým útokům.

Mezi finanční aplikace patří například různé bankovní a platební mobilní systémy, převody peněz, kontroly účtů, mobilní kupony a vstupenky případně různé věrnostní programy.

• Mobilní bankovnictví

Se službami mobilního bankingu může uživatel přistupovat ke svému účtu přímo z mobilního telefonu. Aplikace mohou kontrolovat účet, provádět elektronické převody, dobít kredit pro předplacené služby, případně získat hotové peníze z bankomatů. Aplikace využívají zpravidla buď vlastní javovské aplety, nebo aplikace SIM Toolkit, které jsou pevnou součástí SIM.

Mobilní platby

Systém mobilních plateb, někdy označovaných jako mPayment nebo mCommerce, zahrnuje mnoho typů platebních transakcí. Existují zavedené příklady – různé digitální služby nebo prodej obsahu, jako jsou třeba zvonění a tapety, hudba, video nebo hry.

Dále tyto služby mohou být nabízeny například ve spolupráci s LBS službami (Local Based Services) nabízejícími informace o poloze uživatele, o lokálním silničním provozu, o místním počasí apod.

Tyto nákupy jsou pak agregovány na konečném měsíčním účtu uživatele, i když platba je realizována v průběhu transakce. Platby také mohou být odečteny z kreditu předplacené služby, jejíž bezpečnostní ověření probíhá na SIM kartě uživatele.

Mobilní platby mohou být dále rozděleny do dvou kategorií jako tzv. mikroplatby nebo makroplatby, které se jednak odlišují řádovým rozdílem placených částek, jednak také uplatněním bezpečnostních pravidel. U mikroplateb nejsou mnohdy vyžadovány pro dokončení operace uživatelské autentizace.

• eTicketing

eTicketing představuje rychle rostoucí oblast mobilních finančních aplikací. Stejně jako technologie NFC (viz níže) si nejrychleji získává přízeň v dopravě a pozemních dopravních systémech.

Typicky mohou mobilní přístroje obsahovat předplacenou peněženku, ze které je strháváno při každé platbě, nebo mohou fungovat na bázi měsíčního předplatného (NFC pak ověřuje platnost uložených oprávnění).

Mobilní zařízení mohou být využity k získání a prokázání nákupu například letenek, vstupenek, parkovací lístků apod. V „off-line“ podobě může být zobrazen voucher na obrazovce mobilního telefonu třeba formou kódu QR nebo Matrix.

• NFC (Near Field Communication)

Finanční transakce mohou ale také probíhat vzdáleně mimo bankovní účet, a to při stále diskutovanějším využití NFC technologií – ať se jedná o on-line nákupy nebo o platby v místě prodeje.

Technologie NFC, která nachází relevantní uplatnění při mobilních platbách, mobilním bankingu i eTicketingu, je vyvíjena jako klíčový poskytovatel mobilních platebních služeb. Díky NFC může mobilní telefon bezdotykově komunikovat s „čtečkou karet“ a realizovat platbu v místě prodeje „point-of-sale“, nebo pověří majitele zařízení k získání práv na nabízené služby, jako je například využití veřejné dopravy. Na vývoji dalších obchodních modelů se dále pracuje.

Mobilní NFC ekosystém sestává z následujících prvků:

• Mobilní telefon s NFC chipsetem a bezpečnostními prvky

• Mobilní operátor MNO

• Poskytovatel služeb

• Důvěryhodný Service Manager – jednotné kontaktní místo mezi poskytovateli služeb a mobilním operátorem

Současná GSM infrastruktura již poskytuje množství finančních aplikací, které využívají UMTS/HSPA nebo NFC, případně kombinaci obou technologií.

Přístupové aplikace

Přístupové aplikace jsou takové aplikace, které spojují uživatele s dalšími službami operátorů nebo jiných poskytovatelů prostřednictvím hesla, přihlášením nebo jiným ověřením uživatele. Typicky jde o Secure pass (obsahují uživatelská hesla, přihlašovací ověření), Protected SMS (chráněný messaging), On-time password (časově omezená hesla pro přístup k souborům služeb/aplikací) a konečně VPN (chráněný přístup do podnikových intranetů prostřednictvím veřejné domény).

• Secure pass

Secure pass bezpečně ukládá hesla zaměstnanců, ID a osobní informace do jedné složky. Tím zabraňuje vytváření a používání vícenásobných a komplexních bezpečnostních úrovní pro přístupy a autorizačních kódy.

Tato aplikace umožňuje zaměstnancům ukládat důvěrné informace ve speciálních složkách, které jsou ochraňovány jedním hlavním heslem. To může být samozřejmě kdykoli doplňováno, měněno nebo rušeno. Aplikace rovněž ukládá například čísla bankovních kont, hesla k internetovému bankovnictví, data kreditních karet, PINy, údaje e-mailových účtů a další.

• Protected SMS

Chráněné SMS poskytují uživateli chráněnou „one-to-one“ komunikaci prostřednictvím binárních SMS. SMS zprávy jsou šifrovány a ukládány ve zvláštních složkách, které jsou přístupné po zadání PINu nebo hesla.

• One time password (OTP)

Jednorázové heslo s omezenou časovou platností umožňuje velmi bezpečnou autentizaci, kterou uživatelé vyžadují pro bezpečný přístup ke službám s důvěrnými informacemi, například k bankovním nebo mobilním účtům.

Při identifikaci uživatele se využívá hesla spolu s mobilním telefonem uživatele – třeba pro každou finanční transakci nebo nastavení nových služeb. Když uživatel vstoupí do zabezpečené oblasti, je mu zasláno heslo, které vygeneroval validační server. Pokud jím následně zadané heslo souhlasí, úkon je proveden. OTP může pracovat třemi základními způsoby.

• Hlasový kanál – Hovor s číslem uživatele je směřován k žádosti o přídavek OTP. Při spojení s cílovým číslem je hovor a OTP heslo validováno.

• SMS kanál – To je standardní kanál pro výměnu šifrovaných informací.

• MMI kanál – OTP heslo je zasláno formou SMS na telefon uživatel. Po umístění do webového formuláře a odeslání probíhá validace a následné zpřístupnění přístupu.

Další bezpečnostní rozhraní může být vytvořeno například pomocí technologie SCWS (aplikace jsou spouštěny přímo ze SIM karty) nebo prostřednictvím různých grafických kódů (čarové, QR, Matrix).

VPN

Firemní síť, která obsahuje citlivá data, je díky připojení k internetu extrémně ohrožena. V potenciálním nepřátelském prostředí internetu VPN (Virtual Private Network) umožňuje zajistit bezpečnost vzdáleného přístupu k firemní síti díky množství šifrovacích technologií a validačních metod. Koncovým uživatelům tak VPN dovoluje přímý bezpečný přístup k podnikovým datům z mobilních zařízení (smartphony, PDA).

Dostatečná bezpečnost a důvěryhodné služby jsou skutečnou noční můrou uživatelů. Více či méně úspěšné pokusy o kompromitaci služeb a aplikací pak omezují byznys i služby, které jsou poskytovány.

GSM technologie je naštěstí od počátku vyvíjena s ohledem na klíčové bezpečností prvky. To je rozhodující výhoda oproti jiným přístupovým technologiím. Autentizační mechanizmy, které jsou využívány na SIM kartě uživatelů, jsou považovány za průmyslové bezpečnostní standardy a síťové platformy používané ke vzdálenému přístupu k utajeným datům jsou kompatibilní s ostatními přísnými bezpečnostními standardy, které GSM, UMTS a HSPA operátoři dnes využívají.

Autor pracuje jako Senior Systems Engineer ve firmě Ness Czech.

Tento článek vyšel v tištěném SecurityWorldu 2/2009