Oblíbenost mobilních zařízení, jakou jsou chytré telefony a tablety, je stále na vzestupu. Nemusíme ani číst v žebříčcích prodejnosti, vidíme to na vlastní oči ve svém okolí. Stačí se rozhlédnout po svém stole nebo kanceláři a hned je jasné, kam svět těchto zařízení míří. Obrovský rozmach chytrých telefonů s sebou nese i nové otázky ohledně jejich zabezpečení a případné správy. Pojďme se podívat na to, jaké možnosti máme při řešení těchto problémů ve firmě. V tomto článku se budeme věnovat zařízením s operačním systémem iOS, tedy zařízením od firmy Apple iPhonu a iPadu.

Pokud zde budu hovořit o iPhone, mám na mysli téměř vždy i iPad, protože jsou to zařízení z hlediska operačního systému prakticky stejná. Nejprve je třeba si uvědomit, že iOS je nový operační systém s odlišnou koncepcí, než který známe z „velkých“ počítačů a celá řada věcí, na které jsme zvyklí, jednoduše nefunguje tak, jak bychom možná čekali. Druhou důležitou věcí je i historie produktů, protože pokud se podíváme na raná zařízení iPhone s prvními verzemi systému, byla jednoznačně určena domácím uživatelům. Teprve až novější verze iOSu zareagovaly na využívání ve firemním prostředí. Dnes se již můžeme běžně setkat se situací, kdy firma nakoupí několik stovek či tisíců tabletů pro svoje zaměstnance. Stále častěji se i v Česku setkáváme s tím, že si zaměstnanci kupují zařízení svoje a chtějí je používat ve firemním prostředí. To samo o sobě nese některé specifické požadavky na správu. Ale začněme postupně, a to bezpečností.

Pilíře bezpečnosti iOS

Apple přihlédl k požadavkům firemní sféry a přidal do iOS zařízení mechanismy, které umožňují nastavení bezpečnosti i dalších vlastností pomocí profilů. Profil je podepsaný XML soubor, který je možné doručit na zařízení i vzdáleně. Proto, aby ho iPhone přijal, je třeba, aby měl instalovaný příslušný certifikát, který ověří podpis XML souboru. Bezpečnost iOS se opírá o čtyři základní pilíře. Jsou to device security, data security, network security a app security. Pojďme si je rozebrat trochu detailněji.

Device security

Základem device security je zabezpečení přístupu k zařízení a využívání některých funkcí. Pro zabezpečení přístupu je využito možnosti nastavit přístupový kód, kterým se iPhone odemyká. Lze též nastavit pravidla pro kvalitu kódu, jako je jeho délka, čas vypršení jeho platnosti a požadavek na zadání kódu nového. S tím samozřejmě souvisí také historie zadávaných kódů a nezapomeňme také na možnost vymazání celého přístroje po určitém počtu špatně zadaných kódů. Další vlastností device security je blokovat například kameru, iTunes, screenshoty nebo zálohy do iCloud. Všechna tato pravidla jsou nastavitelná jak přímo na zařízení, tak i vzdáleně pomocí některého z komerčních řešení pro mobile device management.

Data security

V případě ztráty nebo odcizení chytrého telefonu či tabletu samozřejmě vzniká škoda ve výši ceny zařízení. Ta je však mnohdy nesrovnatelně nižší než ta, která vzniká únikem informací, jež s sebou zařízení nese. Ochrana dat, nikoli iPhonu, je tedy zásadní kritickou součástí celkové bezpečnosti. iOS jako základní prvek datové bezpečnosti má šifrované úložiště pomocí 256bitového AES algoritmu. V současné době je právě šifrování celého zařízení základem pro funkci vzdáleného smazání. Postačí, když je smazán klíč, kterým se k datům přistupuje. iOS nabízí i další šifrovací mechanismy. Prvním je šifrování souborů, které je dostupné skrze API vývojářům aplikací. Druhým je keychain, který slouží k transparentnímu přihlašování k aplikacím. Poté, co je uživatel ověřen celkovým klíčem k zařízení, nemusí následně zadávat hesla přímo do jednotlivých aplikací.

App security

Aplikace jsou to, co z chytrého telefonu vytváří zajímavé zařízení. Apple Appstore nabízí aplikace snad na vše, na co se dá pomyslet. I ostatní mobilní platformy disponují s obchody, které nabízejí stovky tisíc aplikací. Celá řada z programů je již nainstalována v základním nastavení zařízení a další je možné stahovat. Pro bezpečnost zařízení je implantováno několik mechanismů. Veškeré aplikace jsou od sebe navzájem izolované, tudíž není možné, aby jedna aplikace jakkoliv přistupovala napřímo k aplikaci jiné. Veškeré takovéto interakce se musí stát přes API, které poskytuje iOS. To prakticky znemožňuje situaci, aby někdo nainstaloval škodlivý kód v kernel módu. Na druhou stranu je třeba si uvědomit, že tento princip izolace neochraňuje aplikaci jako takovou před kompromitací. Zlomením aplikace se však útočník nedostane k celému zařízení, jak je tomu v mnoha případech v klasických operačních systémech. Nicméně existuje celá řada informací, ke kterým aplikace přistupovat mohou, jako například unikátní ID přístroje, telefonní číslo či telefonní seznam a některá další data. Tyto informace jsou některými aplikacemi odesílány jejich výrobcům a dál používány například k marketingovým účelům. Každá aplikace je podepsaná certifikátem vývojáře, takže je v případě škodlivého chování programu možné autora jednoznačně určit. Podpis slouží i k uchování integrity binárního kódu. I když útočník úspěšně aplikaci napadne, nedokáže ji pozměnit na úložišti zařízení, protože podpis je testován vždy při každém spuštění.

Network security

Síťová komunikace je pro každé chytré mobilní zařízení zásadní. Velice často se tato zařízení připojují k firemním sítím, a proto je důležité, aby jejich komunikace byla dostatečně zabezpečená. iOS nabízí hned několik možných zabezpečených komunikací pro realizaci VPN spojení, ať už je to IPsec, L2TP, PPTP nebo SSL-VPN. K dispozici je i ověřování pomocí x.509 certifikátů nebo hardwarových či softwarových tokenů různých výrobců. V případě komunikace s Microsoft Exchange pro přístup k e-mailu a kalendáři je možné konfigurovat použití 128bitového šifrovaného SSL spojení.

Relativní novinkou v komunikaci jsou zprávy iMessage, které umožňují výměnu nejen krátkých textových zpráv, ale také sdílení videa či fotografií mezi jednotlivými iOS zařízeními nebo počítači s MacOS. I tato komunikace je zabezpečena pomocí šifrování a certifikátů. iMessage může poslat zprávu též v podobě SMS nebo MMS, zde však již s bezpečností, kterou zajišťuje daný operátor.

Žádný software není bezchybný

Z uvedených řádků vše vypadá poměrně ideálně. I v iOS ale bylo objeveno na několik stovek více či méně závažných zranitelností. Zejména zařízení, na kterých proběhl takzvaný jailbreak, jsou značně náchylná na některé z nebezpečných útoků.

Bezpečnost iOS zařízení je velice dobře navržená tak, aby odolávala tradičním hrozbám. Sandboxig (izolování aplikací) a restriktivní přístup k distribuci aplikací, podepisování aplikací certifikáty vývojářů, jsou dobrým základem bezpečnosti. Pokud je však tento mechanismus vyřazen právě například jailbreakem, stává se iOS mnohem snadnější kořistí.

Architektura iOS neumožňuje snadné šíření klasických hrozeb, ale stejně tak neumožňuje nasazení klasických bezpečnostních aplikací, jakými jsou antivirus, osobní firewall nebo systém prevence narušení. Pro dosažení bezpečnosti mobilního zařízení je tedy třeba spíše sáhnout po nástrojích, které dokážou využít bezpečnostních mechanismů daného operačního systému, v našem případě tedy iOS. Těchto nástrojů je na trhu již celá řada a pomocí nich můžete na dálku nastavit kvalitu přihlašovacího hesla, povolit nebo zakázat kameru či vynutit přístup přes vámi nastavené VPN spojení. Jak vyplývá z výše uvedeného, důležitá je také detekce telefonů a tabletů, na kterých proběhl jailbreak. Řešení pro správu mobilních zařízení toho umožňují daleko více, vždy však s omezeními, která specifikuje Apple.

Martin Meduna
Autor pracuje jako bezpečnostní konzultant ve společnosti Symantec.