Full fart på seminariet om mobil säkerhet

Publicerad 2012-08-11

Det var ovanligt mycket diskussion under ISOC-seminariet om mobil säkerhet. Föreläsaren Robert Malmgren (en känd säkerhetsexpert) körde på fri hand utan ”snuttefilt” (=Powerpoint-presentation), och lät i stor utsträckning deltagarna styra vilka ämnen som skulle tas upp.

Resultatet blev en ovanligt ”blandad” diskussion som handlade om många aspekter av mobil IT och mobil säkerhet. Det var så många frågor att vi drog över tiden med nästan en timme. Däremot blev det inte lika tekniskt som somliga av våra andra seminarier.

Robert berörde ett potpurri av olika ämnen inom området mobilitet för att seminariedeltagarna skulle se hur många helt skilda typer av problem som vi kan drabbas av idag när vi bär omkring utrustning som innehåller mer information och har fler metoder för att komma åt system och information som tidigare var oåtkomliga.

Han inledde med en kort historisk exposé som visar hur snabbt utvecklingen gått. För några år sedan var det vanligt med att majoriteten av trådlösa nät var öppna. Nu har de flesta tillverkarna av WLAN-utrustning ändrat sina inställningar och folk som använder dem blivit smartare. För några år sedan så vägrade företagen att införa WLAN på grund av osäkerhetsfaktorer, nu finns de hos i princip alla företag. För några år sedan så var angrepp mot GSMnågot otänkbart och något som bara utländsk underrättelsetjänst skulle kunna tänkas utföra. Idag är tekniken allmänt tillgänglig.

En av publikfrågorna var om det finns lika många virus för mobiler som för datorer. Robert Malmgrens svar var ”inte än, men det kommer”. Han tillade ”frågan är om det blir ett sådant Armageddon som våra kära antivirusleverantörer säger, de vill ju sälja sina produkter”….”och de har pratat om mobilvirus i sina trendspaningar de senaste 10 åren”.

Det blev en diskussion om risker med appar till mobila enheter, bland annat vilka sårbarheter, bakdörrar som finns i dessa, och tillverkarnas olika tillvägagångssätt för att bygga in skydd i sin utrustnings operativsystem. Appar läcker ofta information, både via nätet och det som sparas på de mobila utrustningens filsystem. Ett exempel som gavs var GPS-funktionen i Android som har en debug-funktion påslagen och automatiskt sparar ner GPS-värden i en fil, som andra sedan i efterhand skulle kunna använda för att spåra telefonägarens fysiska förehavanden.

Han påpekade att de företag och organisationer som hakar på den mobila trenden genom att ansluta de senaste mobila enheterna till sina nätverk i praktiken släpper in konsumentelektronik i nätet. Ipad till exempel är ju än så länge i första hand en konsumentplattform.

Ett problem med de smarta telefonernas och plattornas intåg i organisationer är att de går på tvären mot de standardinstallationer ochden kontroll som IT-avdelningen av tradition haft på all utrustning. Inte minst på grund av att många gånger så tas telefoner och plattor in på privat initiativ av olika anställda, inte via de officiella kanalerna.

Ett av de största hoten mot mobil säkerhet är att mobilen eller den bärbara datorn kommer bort eller kanske blir stulen. Även om man har till exempel lösenordsskydd så finns det verktyg att köpa för att gräva fram informationen. Det är samma typ av verktyg som polisen använder vid sina utredningar. Man bör även tänka på att det kan finnas flera vägar in till informationen. Även om mobiltelefonen är skyddad så kanske SIM-kortet går att läsa utan problem, bara man tar ut det.

Även när det gäller avlyssning i olika former så har förutsättningarna förändrats de senaste åren, numera är det mycket enklare. Under flera års tid har olika typer av avlyssningsmetoder beskrivits på säkerhetskonferenser runt om i världen. Vad det gäller röstkommunikation så har GSM och DECT-kryptering i olika omgångar blivit utsatt för mer avancerad analys och knäckning. För några månader sedan demonstrerades praktisk GSM-avlyssning på CCC-konferensen i Berlin medhjälp av en linux-laptop, ett par anslutna telefoner som fungerade som nätverkskort i inspelningsläge samt fri programvara. Robert påpekade att det dock är skillnad på krypteringarna som används i GPRS och 3G, vilka idag inte är knäckta på samma sätt, men tillade ”du som telefonanvändare har vanligtvis inte kunskap om när och hur din telefon automatiskt ställer om sig från 3G till GSM”.

Robert Malmgren rekommenderar alla som är intresserade att googla efter projekten A51, Open BTS, Open BSC eller Open Moku.

Strax under 20 personer deltog på plats hos .SE i Stockholm. Vi direktsände via Bambuser (utom de sista minuterna), och där hade seminariet 22 ”views”. Bambuser-sändningen finns kvar, se nedan. Även Twitter användes under seminariet, med hashtaggen #robsak. Där blev det nio inlägg från tre personer.

Robert tipsar om några länkar som är relevanta för ämnet och olika detaljer som berördes under dragningen: