В этой статье речь пойдет о мобильных устройствах, которые сотрудники компаний используют как для решения служебных задач, так и в личных целях. Рыночный успех тезиса «одно устройство на все случаи жизни» не вызывает сомнений и полностью подтверждается практикой последних лет.
BYOD и BYOA – новая тенденция в корпоративной ИТ-культуре
Распространение смартфонов, планшетов и инструментов для их использования в корпоративных бизнес-процессах уже оказало огромное влияние на рынок информационных технологий, и эта тенденция несомненно получит развитие в будущем. Спрос на соответствующие решения порождает стремление отдельных сотрудников и целых коллективов к достижению мобильности. Грамотное применение мобильных технологий позволяет снизить офисные издержки бизнеса и повысить производительность труда сотрудников. При этом развитие широкополосного доступа в Интернет расширяет выбор облачных решений для корпоративной̆ среды.
Согласно данным аналитических агентств, сейчас в России более 30 млн человек выходят во всемирную сеть Интернет с мобильных устройств. Многие исследователи отмечают, что 2012-й стал годом BYOD («принеси свое собственное устройство») и даже BYOA («принеси свое приложение») – годом проникновения в офисы сторонних приложений и облачных сервисов. Эта тенденция окрепла в 2013 г., а обеспечение эффективного и безопасного управления BYOA становится главной̆ задачей̆ ИТ-директоров и системных администраторов на ближайшие годы. Вторым объектом их пристального внимания оказываются инструменты для совместной̆ работы в режиме реального времени.
По данным, доступным в Интернете, сегодня в России треть сотрудников компаний используют мобильные устройства в корпоративной инфраструктуре (корпоративные почта, портал, календарь событий и задач и др.). И это тенденция последних двух лет. Динамика роста настолько устойчива, что можно предположить: в ближайшие два-три года корпоративную инфраструктуру будут использовать почти все сотрудники, особенно если провести корреляцию данного показателя с развитием рынка мобильных устройств, – стабильный рост продаж смартфонов и почти полное вытеснение с рынка «обычных» телефонов, как стационарных, так и мобильных.
Информационная безопасность в мобильном мире
Сегодня рынок решений, построенных на мобильных технологиях, настолько широк, что по темпам роста и возможностям уже соперничает с облачными вычислениями. Однако такая широта выбора обернулась существенной сложностью – организациям все труднее разобраться в море платформ (как аппаратных, так и программных), чтобы найти верное мобильное решение для своего бизнеса, которое обеспечит достаточный уровень функциональности и безопасности.
Многие компании, которые раньше ограничивали для своих сотрудников применение мобильных технологий и устройств, открывают им дорогу. Внедрение новых популярных технологий помогает использовать мобильные платформы работников, так как многие организации не хотят заниматься закупкой устройств для своих служащих. Но в то же время большинство компаний пока не имеют внятных политик BYOD и тем более BYOA. Они уже допускают личные устройства в офис, но у них нет никаких правил управления этими устройствами, обеспечения безопасности и защиты данных.
К сожалению, лишь немногие компании и организации имеют реальный план применения мобильных устройств. В корпоративном и государственном секторах слабо развиты администрирование мобильных устройств и их поддержка.
Компании, производители критически важных для бизнеса ERP-приложений, такие как SAP, Oracle и другие, заранее подготовились к массовому использованию мобильных устройств своими клиентами и выпустили на рынок специализированные MDM- (Mobile Device Management) и MAM- (Mobile Application Management) системы. Мобильные устройства также широко применяются ремонтными бригадами в энергетике, линейным персоналом таможенных органов, полиции, пограничных войск и т. п.
Локомотивами развития мобильных сервисов являются банки, коммерческие организации, платежные системы и дилинговые центры. Указанные компании предоставляют своим клиентам разнообразные мобильные сервисы для проведения различных операций, в том числе с конфиденциальной информацией. Использование мобильных устройств в подобных сервисах требует обеспечения аутентификации всех сторон информационного обмена, конфиденциальности передаваемой информации пользователя и безопасности хранимых данных.
Современные мобильные платформы не имеют средств, способных обеспечить требуемый уровень безопасности передаваемой и хранимой в персональном устройстве информации. Лишь некоторое ограниченное количество моделей мобильных устройств позволяет работать с SIM-модулем абонента напрямую. Использование SIM-карты в качестве основного контейнера решило бы вопрос хранения ключей. Однако из-за отсутствия поддержки данной технологии производителями такой вариант не нашел широкого применения. Следует учитывать, что любой оператор имеет право удаленного доступа к SIM-карте абонента. Хранение конфиденциальной информации в памяти персонального устройства в открытом или зашифрованном виде не имеет смысла, так как в случае потери или кражи устройства доступ к информации может быть получен физически при помощи широкого спектра средств.
Сетевая безопасность мобильных телефонов представлена реализацией протокола SSL. При этом обеспечивается только односторонняя аутентификация на стороне сервера. Используется предустановленный набор доверенных сертификатов. Аутентификация клиента проводится иным образом – на уровне приложения с помощью ввода логина и пароля.
Перед разработчиком средств безопасности мобильных решений стоят следующие проблемы:
- отсутствует возможность хранения секретной информации, в том числе ключевой, в памяти устройства в открытом виде, устройство может быть украдено или потеряно;
- отсутствует возможность чтения/записи в память SIM-карты непосредственно из специального прикладного ПО;
- встроенные протоколы безопасной связи имеют ограничения, обусловленные необходимостью обеспечить приемлемый уровень быстродействия персонального устройства;
- реализация прочих протоколов и криптографических алгоритмов часто ограничена вычислительной способностью процессора мобильного устройства.
Предлагаемые сегодня на рынке аппаратные и программные платформы позиционируются как основа построения бизнес-систем для мобильных пользователей на базе либо программного решения, либо дополнительного «железного» внешнего модуля для мобильного устройства, что нарушает парадигму компактности, не расширяя функциональности. Основой любой платформы является защищенный протокол, обеспечивающий регистрацию пользователя в системе, двустороннюю аутентификацию и конфиденциальность передаваемой информации. Таким образом, современная платформа должна быть ориентирована на использование в системах, где требуется обеспечение аутентичности пользователя и конфиденциальности данных. Перспективным является направление, основанное на разделении пользовательской и корпоративной зон на виртуальном либо физическом уровне.
Технологии по разграничению на аппаратном и программном уровнях корпоративных и персональных зон мобильного устройства
В современном мире выбор мобильной платформы и ее защита часто становятся проблемами для корпоративных и даже государственных структур. Подход основных вендоров в части общего и специального программного обеспечения (ОПО и СПО) основан на принципе – «железо» без программного обеспечения не функционально. Исходя из распространенности решений на рынке, список основных игроков выглядит так:
- Android (США);
- iOS (США);
- WindowsMobile (США);
- Symbian (ЕЭС);
- BlackBerry (Канада)
При этом две «неамериканские» системы в последние два года неуклонно теряют свою рыночную долю.
В мире ведутся разработки по созданию двухконтурных устройств на аппаратном уровне, но пока они не имеют практически никакого распространения. Аппаратных средств контроля и защиты информации, встроенных непосредственно в устройство, сегодня тоже нет. Разделение персональной и корпоративной частей происходит на уровне операционной системы или виртуализации на уровне специального программного обеспечения. Большая часть этих решений – зарубежные, следовательно, их сертификация на обработку категорированной информации, как отдельно, так и в составе программно-технических комплексов, сомнительна.
Перспективным решением, не зависящим от используемого оконечного устройства, является многослойная защита:
- на уровне предприятия – криптошлюз для обеспечения защищенного канала связи и защиты передаваемых данных;
- на уровне устройства – подконтрольная операционная система, защищенная виртуализацией программных криптосредств или интегрированных аппаратных, подконтрольное специальное программное обеспечение, установка на мобильное устройство системы борьбы с утечками, перенаправление всего трафика на корпоративные средства контентной фильтрации, перенаправление всего трафика в облако.
При этом все ОПО и СПО должно обеспечивать серьезную аутентификацию и авторизацию.
Схема, иллюстрирующая такую парадигму, показана на рис. 1. Она реализована в отечественных мобильных устройствах, производимых НПП «Системные ресурсы». В качестве операционной системы используется свободно распространяемый Linux с открытыми исходными кодами, что позволяет решить задачу сертификации программно-технического комплекса. Шифрование в криптоядрах мобильного устройства и криптошлюза реализуется на основе ГОСТ 28147-89. Ввод ключевой, конфигурационной и другой информации осуществляется с носителя флэш-USB через устройство ввода/вывода – порт USB. При работе с корпоративными данными мобильное устройство работает исключительно как терминал. При выходе из корпоративной сети это же устройство без нарушения требований конфиденциальности может использоваться для решения персональных задач пользователя.
Интересная, но редкая функция защиты мобильного устройства – контроль его защищенности перед подключением к корпоративным ресурсам. Это известная технология NAC, перенесенная на мобильные устройства. Если обычно контроль защищенности осуществляется на периметре, то в случае с мобильным NAC (конфигурация ОПО и СПО, состояние антивирусной защиты, настройки внутренней защиты, включая уровень ядра, и пр.) это происходит на персональном мобильном устройстве.
Сегодня у основных вендоров отсутствует бóльшая часть желаемых компонентов обеспечения безопасной работы с мобильными устройствами, что затрудняет их выход на корпоративный и государственный рынки в России. Не лучшую службу доверию к надежности западных технологий сослужила информационная кампания вокруг известного «шереметьевского жильца».
Способы атак на персональные устройства двойного назначения
Способов атак на персональные устройства великое множество, причем оно ежедневно пополняется. При этом задачи и методы их организации не изменяются десятилетиями. Средства тоже динамично развиваются и меняются качественно. К наиболее распространенным средствам атак можно отнести:
- внедрение вредоносного программного обеспечения;
- использование каналов связи и инфраструктуры;
- физический контакт с устройством.
Кроме примитивного хулиганства основной целью атак является организация утечки корпоративных или персональных данных при проведении, например, очень популярных сегодня оперативно-розыскных мероприятий в интересах «некой» службы. Рассмотрим каждое из перечисленных средств отдельно, но в аспекте видов и способов воздействия.
Вредоносное программное обеспечение может быть «забыто или не замечено» вендором устройства или ОПО и СПО. Его основные задачи:
- обеспечение скрытности для пользователя, ОПО и СПО (включая антивирусное);
- мониторинг и фиксация событий (например, нахождение в географической точке или поблизости от устройства иного объекта наблюдения), в том числе передача любых данных и действий пользователя (например, получение почты или сообщения по интересуемым критериям наблюдения);
- удаленное принудительное снятие и фиксация данных с периферии персонального мобильного устройства, включая звуковую, фотографическую и видеоинформацию (в совокупности с геолокацией и распознаванием лиц, образов и речи дает мощный «шпионский» инструментарий) – рис. 2;
- обеспечение удаленного управления персональным устройством (например, для организации сети подчиненных «зомби»-устройств – бот-нет).
Отметим, что в перспективе значимую роль для мобильных устройств, видимо, будут играть системы интеллектуального видеонаблюдения. С одной стороны, они позволяют организовать дополнительную линию защиты от несанкционированного использования, с другой – используемые как закладки обеспечивают удаленный съем и анализ видеоинформации. Имеющиеся в настоящее время специализированные программные средства сжатия – оптимизации видеотрафика – дают возможность использовать для передачи изображения очень слабые и неустойчивые каналы связи либо отложенную загрузку, до момента появления широкополосного доступа.
В части каналов связи используются спутниковые, сотовые, межстанционные, Wi-Fi, Bluetooth и др. Основная задача при атаках – перехват трафика данных. Основными способами можно считать:
- пассивный̆ перехват для обеспечения поиска, регистрации, фиксации, анализа сеансов связи, пакетов данных и служебной информации;
- ложная базовая станция сотовой или спутниковой связи либо точка доступа, получаемая развертыванием локального, например мобильного, комплекса, для обеспечения скрытого принудительного захвата идентификационной информации в сетях;
- активное воздействие на устройство вещания (например, взлом шифра или пароля) для обеспечения несанкционированного доступа к данному устройству вещания, а также к устройствам, ОПО и СПО сети.
Физический контакт с устройством позволяет анализировать его «содержимое» и обеспечивать сохранность изначального его состояния, т. е. скрытность контакта. Основная цель – это, как правило, получение доступа к информации в памяти устройства, данным SIM-карты, данным ОПО и СПО.
Но самое главное – необходимо помнить, что если вы потеряете персональное устройство, нашедший его сможет быстро получить много информации. Например, ваш домашний адрес из Google Maps, банковский аккаунт, почтовый ящик. Злоумышленники могут сменить все пароли, если получат доступ к вашему e-mail, могут зайти в Dropbox и найти там все, что угодно.
Даже если вы используете двухэтапную аутентификацию (ввод логина, пароля и специального кода, который приходит на ваш номер телефона), но не используете элементарного пароля к устройству, это вам не поможет, потому что у злоумышленников будет доступ к паролям через само устройство.
Формирование культуры безопасного использования персональных устройств в корпоративных целях
Вне зависимости от того, применяются мобильные устройства в вашей компании официально или нет, формирование культуры их безопасного использования является сегодня одной из наиболее важных проблем организации информационных технологий.
Вот сегодняшняя реальность: руководители, бравирующие именитыми планшетами и телефонами, сотрудники отделов сопровождения с «форточными» смартфонами или рядовые сотрудники, желающие быть в «тренде» и пользующиеся «ягодами» или «азиаДскими чудами», – все они так или иначе будут подключать свои устройства к корпоративным компьютерам либо выходить в корпоративную сеть по беспроводным каналам связи. Закрывать на это глаза, значит, не учитывать современных реалий.
Как правило, пользователи видят большую разницу между своим компьютером и телефоном. Они иногда заботятся о защите компьютера, но практически никогда не задумываются о возможных атаках на мобильное устройство. Хотя, например, не так давно был баг ОС Apple, который позволял удаленно получить все защищенные данные с помощью открытых точек Wi-Fi (в том числе в общественных местах), а владельцы устройств об этом даже не подозревали.
Звучит несколько параноидально, но достаточно всего одного злоумышленника на улице, в кафе или разъезжающего в тонированном микроавтобусе по улицам и дворам, чтобы вы лишились своих паролей, секретной информации или денег на счету в банке. И поскольку ваше устройство всегда с вами, гораздо легче скачать информацию с него, чем с компьютера.
Классическое правило информационной безопасности – безопасность системы равна безопасности самого слабого звена. Соответственно, можно с уверенностью сказать, что игнорирование данной проблемы несомненно скажется на уровне защищенности предприятия и рано или поздно на защите важной информации.
Перспективы персональных устройств двойного назначения
Теперь о перспективах. Для их объективного восприятия вернемся к фактам – что было и как стало. Несколько цифр по 2011 г.:
- 36% рабочих звонков поступает на сотовые телефоны;
- 26% писем обрабатывается на мобильных устройствах.
Наиболее используемые приложения:
- 81% – электронная почта;
- 62% – календарь;
- 17% – внутренний̆ портал.
Содержание 32% устройств:
- корпоративные презентации;
- финансовые документы;
- счета;
- контракты;
- конфиденциальные планы.
Основные ИТ-инфраструктурные тенденции 2013–2014 гг. в корпоративном сегменте:
- отказ от классических настольных ПК в пользу терминальных станций, которые хотя и претерпели значительную модернизацию, но сохранили подходы, хорошо известные нам по таким древним системам, как ЕЭС ЭВМ (терминал + «тонкий клиент»);
- переход на мобильный̆ стиль работы – использование смартфонов, планшетов, гибридных устройств нового поколения Smart PC, ноутбуков и т. д.;
- все более широкое использование облачных сервисов и приложений, которые их применяют, т. е. их взаимопроникновение.
Мобильность – понятие общее, описывающее, как компании изменяют принципы ведения бизнеса, осваивая новые технологии, будь то BYOD или удаленное сотрудничество. В зависимости от специфических нужд компаний мобильность будет пониматься ими по-разному, но очевидно, что данный процесс охватит всех. С другой стороны, те, кто уже вложился в эти технологии, начнут искать новые возможности, чтобы предоставить еще больше творческой свободы своим сотрудникам.
В ближайшее время многие компании из всех сегментов рынка станут инвестировать в инструменты, необходимые для организации полноценной̆ мобильности сотрудников и управления инфраструктурой (MDM/MAM). Можно ожидать усиления интеграции мобильных приложений и облачных сервисов – «облака + мобильность». Это может принести пользователям гораздо больше, чем просто сумма составляющих.
Сферы применения мобильных технологий и устройств с каждым годом будут расширяться. В ближайшие годы они распространятся на государственный и оборонно-промышленный секторы. В связи с этим возрастет актуальность задач обеспечения информационной безопасности, причем не только технических, но и организационно-правовых.
