Nieuwe platforms bieden nog weinig beveiligingsbewustzijn

Update 12 – Inzicht- Mobile - Zomer 2011

Met het slimmer worden van telefoons is de wereld een stuk interessanter geworden. We kunnen foto’s die met de camera op de telefoon zijn gemaakt, direct online zetten, we kunnen kijken of we de bus bij de dichtstbijzijnde halte nog kunnen halen dankzij de gps-ontvanger en we kunnen boze vogels met een katapult afschieten naar kleptomane varkens.

Dit wordt allemaal mogelijk gemaakt door software en zoals we al jaren iedere dag weer merken: software zorgt voor risico’s.

Nu zou het niet zo’n probleem zijn als we met onze telefoon alleen het spelletje Angry Birds zouden spelen, of wat surfden op het web om de laatste roddels over een BN’er te bekijken, maar we gebruiken onze telefoon ook voor zaken waarbij gevoelige informatie een rol speelt. Het is dus belangrijk dat we ons bewust zijn van de risico’s die het gebruik van een smartphone met zich meebrengt. Eén van de voordelen van de smartphone is het bedieningsgemak. Iedereen kan de basis functies van een telefoon wel gebruiken en als ons kleine neefje heeft uitgelegd hoe je moet websurfen of dat leuke spelletje moet spelen, dan lukt het ook wel om de telefoon geavanceerder te gebruiken. Dit bedieningsgemak is tegelijkertijd een valkuil, omdat mensen niet kunnen zien of begrijpen wat er ‘onder water’ gebeurt.

Veiligheid
De diverse fabrikanten van smartphone platforms vertellen ons vaak dat hun platform veilig is; maar zelfs al klopt die bewering, dan is deze bescherming beperkt. Een iPhone app is bijvoorbeeld alleen te installeren na goedkeuring van Apple. Diverse applicaties zijn al geweigerd omdat ze informatie van de telefoon zouden stelen. Maar hoe betrouwbaar is deze controle? Uit eigen ervaring weet ik hoe ingewikkeld het kan zijn om een applicatie te onderzoeken op veiligheid en dat een programmeur een achterdeur in een programma er onschuldig uit kan laten zien. Het Android platform doet niet aan dergelijke controles, maar legt de verantwoordelijkheid bij de gebruiker. Applicaties moeten voor het installeren vertellen welke permissies ze willen hebben (‘deze applicatie wil het telefoonboek kunnen lezen’) en de gebruiker dient dit goed te keuren. Het probleem daar is tweeledig: aan de ene kant is het permissiemodel niet nauwkeurig genoeg. Je kunt een applicatie bijvoorbeeld wel toegang geven tot het telefoonboek, maar wat er met deze gegevens gebeurt weet je niet. Aan de andere kant snappen veel gebruikers niet wat deze permissies inhouden of lezen er vluchtig overheen. Het nog complexer maken van het permissiemodel zal ze niet helpen.

Tot zover zijn dit niet echt nieuwe problemen. We zien deze zaken immers ook bij gewoon computergebruik en dat vertrouwen we ook, dus waarom zouden we nu ineens extra voorzichtig moeten doen met onze smartphones?

Vertrouwen
Er is een aantal redenen waarom we extra moeten opletten. Ten eerste bieden de smartphone platforms expliciet de mogelijkheid om data te delen tussen applicaties, meer dan bij het PC-platform zoals we dat kennen. Het is daardoor aantrekkelijk voor applicatiebouwers om van deze functionaliteit gebruik te maken. Daarnaast hebben de mobiele platforms een voor veel programmeurs nieuw beveiligingsmodel, waardoor er weinig ervaring is op het gebied van het maken van veilige applicaties. Een ander beveiligingsmodel geeft een ander soort aanvallen, waarvan men zich nog niet bewust is.

Ten derde zien we op desktopcomputers virusscanners en persoonlijke firewalls. Vooralsnog zijn deze nog geen gemeengoed op smartphones. Hoewel ze wel bestaan, wordt het gebruik ervan niet afgedwongen. Voor desktop PC’s zien we in een organisatie vaak een beveiligingsbeleid, maar een beleid opstellen voor smartphones is een stuk lastiger. De gebruikte smartphone is immers vaak eigendom van de gebruiker zelf en daarom is het moeilijk eisen te stellen aan de installatie hiervan. Daarnaast is er nog weinig bekend over de technische risico’s van een smartphone. Als deze al worden genoemd, dan betreft het vaak maatregelen die voorkomen dat informatie lekt wanneer men het toestel verliest. Over virusscanners en het gebruik van beveiligde netwerkverbindingen wordt niet gesproken. Dat brengt ons bij het laatste kenmerk van mobiele apparatuur: de netwerkomgeving is in principe niet te vertrouwen. Het goed controleren van de netwerkbeveiliging is daarom nog belangrijker dan we zijn gewend op onze PC. Het feit dat ik op mijn Nokia telefoon de lijst van vertrouwde certificaten niet makkelijk kan zien (als ik het al kan zien), geeft aan hoe vaak gebruikers deze functionaliteit willen gebruiken.

Kortom, we zien weliswaar de risico’s die we al kenden, maar de omgeving en de platforms zijn zodanig nieuw dat er nog weinig beveiligingsbewustzijn is op dit gebied. Vooralsnog dienen we de makers van programma’s te vertrouwen dat zij geen kwaadaardige handelingen uithalen op onze telefoons en dat ze hun applicaties goed beveiligen. En uiteraard dienen we hier zelf ook goed op te letten. Bijvoorbeeld door het interpreteren van QR-codes.

QR code

TIP
Zorg dat u een applicatie gebruikt die de inhoud van de QR-code eerst op het scherm toont, zodat u kunt kiezen wat u met deze QR-code doet.
 

@Secura 2018
Webdesign Studio HB / webdevelopment Medusa