Samsung Knox - jak zadbać o bezpieczeństwo firmowych danych?

W dzisiejszych czasach to już nie komputer stanowi centrum cyfrowej aktywności większości użytkowników - tę rolę coraz częściej przejmuje smartfon. Z perspektywy biznesu trend taki ma kilka istotnych zalet, w szczególności związanych ze zwiększoną mobilnością pracowników, którzy nie są już przykuci do biurek, a pracę umożliwia im urządzenie, które cały czas mają w swojej kieszeni. Niestety wysoka mobilność współczesnych smartfonów oznacza też, że są one o wiele bardziej podatne na włamanie, kradzież lub po prostu zgubienie niż tradycyjne komputery, natomiast wraz z coraz szerszym spektrum oferowanych przez nie możliwości rośnie także liczba danych, w tym poufnych, które sprawny haker może na nich odnaleźć. Z tego względu coraz większego znaczenia nabierają dodatkowe narzędzia, które administratorzy mogą wykorzystać do zabezpieczenia floty firmowych urządzeń mobilnych. Jednym z wiodących rozwiązań w tym zakresie jest dostępna na urządzeniach firmy Samsung platforma Knox.

Bezpieczeństwo mobilne: dwa światy w jednym smartfonie

Samsung Knox to obecnie jedno z najbardziej zaawansowanych i kompleksowych rozwiązań z zakresu cyfrowego bezpieczeństwa. Platforma przygotowana z myślą o smartfonach i tabletach, która pozwala na zabezpieczenie firmowych danych na wszystkich kluczowych etapach: począwszy od zagwarantowania bezpieczeństwa jądra systemu, aż po zarządzanie komunikacją z zewnętrznymi serwerami. O skuteczności Knoxa (jak potocznie mówi się o tych rozwiązaniach) świadczyć może fakt, że jest to pierwsza tego typu platforma , która uzyskała certyfikację National Information Assurance Partnership (NIAP), dzięki czemu urządzenia firmy Samsung zostały dopuszczone do pracy z poufnymi danymi w amerykańskich agencjach rządowych. Wiodącą pozycję Samsung Knox potwierdził także instytut Gartner, który wystawił mu bardzo wysoką ocenę w swoim ostatnim raporcie na temat bezpieczeństwa urządzeń mobilnych.

Samsung Knox - najważniejsze funkcje z zakresu bezpieczeństwa

Wysoka skuteczność Samsung Knox na tle konkurencji nie bierze się znikąd, za sukcesem platformy stoi kompleksowe podejście oraz zintegrowanie rozwiązań programowych z szeregiem mechanizmów na poziomie sprzętowym. Kluczowe elementy odpowiedzialne za zagwarantowanie bezpieczeństwa danych funkcjonują niezależnie od systemu operacyjnego i przechowywane są w tzw. bezpiecznym świecie aka TrustZone. Jest to element architektury procesorów ARM - w ang. nomenklaturze Secure World. Rozwiązania oparte o tę architekturę stosuje Samsung. Upraszczając świat bezpieczny to wydzielone zasoby procesora i pamięci, w których przetwarzane są najbardziej wrażliwe informacje, takie jak dane biometryczne czy klucze szyfrujące. Dane przetwarzane w świecie bezpiecznym są całkowicie odseparowane od pozostałych danych przetwarzanych w tzw. świecie normalnym (tu np. działa system operacyjny Android). W ten sposób żadna zewnętrzna aplikacja nie ma do nich dostępu, a to z kolei gwarantuje, że nawet po uzyskaniu przez hakera dostępu do urządzenia pozostaną one bezpieczne. Oprócz tego smartfony i tablety kompatybilne z Samsung Knox wyposażone są w zestaw indywidualnych kluczy sprzętowych (DUHK, DRK, SSBK, SAK) oraz mechanizmy bezpieczeństwa monitorujące i utrudniające nieuprawnioną modyfikację oprogramowania.

Jedną z kluczowych funkcji odpowiedzialnych za bezpieczeństwo współczesnych smartfonów jest szyfrowanie danych. Funkcjonalność taka wbudowana jest bezpośrednio w system Android, jednak jej implementacja ma pewne ograniczenia. Najważniejszym jest to, że po uruchomieniu urządzenia odszyfrowywane są wszystkie dane, niezależnie od tego czy w danym momencie są one wykorzystywane, czy nie. Oznacza to, że jeśli tylko hakerowi uda się uzyskać dostęp do włączonego urządzenia - co w przypadku kradzieży lub zgubienia telefonu ma miejsce bardzo często - to ochrona gwarantowana przez szyfrowanie pamięci wewnętrznej pryska niczym bańka. Knox rozwiązuje ten problem, umożliwiając niezależne szyfrowanie najbardziej wrażliwych danych, które przechowywane są w specjalnie wydzielonym kontenerze. Nie są one odszyfrowywane wraz z uruchomianiem urządzenia, a dopiero w momencie, kiedy zalogujemy się do kontenera usługi Samsung Knox. W ten sposób ryzyko uzyskania do nich dostępu przez osobę niepowołaną zostaje ograniczone właściwie do minimum.

Schemat przedstawia 3 scenariusze (od lewej): użytkownik jest całkowicie wylogowany, użytkownik zalogowany do telefonu, ale bez dostępu do bezpiecznego kontenera, użytkownik zalogowany i do telefonu, i bezpiecznego kontenera.

Wspomniany wcześniej specjalny kontener to jednak znacznie więcej niż tylko przestrzeń, w której można przechowywać poufne dane. Jest to tak naprawdę kompletne, odizolowane od reszty systemu środowisko użytkownika funkcjonujące wewnątrz tego samego urządzenia. Przechowywane w niej aplikacje pozostają w pełni niezależne od kopii znajdujących się poza kontenerem. Dzięki temu firmowe konwersacje czy kontakty nie będą mieszały się z prywatnymi, a dzięki dodatkowej warstwie zabezpieczeń pozostaną one bezpieczne nawet w przypadku włamania do pamięci wewnętrznej urządzenia. Dodatkowym plusem jest to, że administrator ma pełną kontrolę nad ustawieniami i zabezpieczeniami kontenera, w związku z czym może decydować o zainstalowanych wewnątrz kontenera aplikacjach, zakresie interakcji między nimi a resztą urządzania oraz o tym czy mają one dostęp m.in. do Bluetooth, karty pamięci i USB.

Wydzielenie specjalnej przestrzeni dedykowanej dla danych i aplikacji firmowych przynosi w środowisku biznesowym szereg korzyści i to zarówno po stronie pracownika, jak i pracodawcy. Dla pracownika jest to przede wszystkim wygoda, ponieważ nie musi korzystać z dwóch urządzeń – służbowego i prywatnego. Do obydwu zastosowań może wykorzystywać jeden telefon, a obydwie sfery pozostaną od siebie rozdzielone. Dla pracodawcy jest to natomiast gwarancja spokoju, że dane firmy pozostaną bezpieczne nawet jeśli pracownik sam przez swoją nieostrożność ułatwi włamywaczom dostęp do urządzenia, np. poprzez korzystanie z funkcji zapamiętywania haseł lub instalację aplikacji z niezaufanych źródeł.

Schemat działania RKP, który chroni kluczowe elementy systemu przed modyfikacją.

Kluczową rolę dla funkcjonowania opisanych wyżej mechanizmów ma natomiast funkcja monitorowania jądra systemu w czasie rzeczywistym. Funkcjonuje ona wewnątrz środowiska ARM TrustZone, dzięki czemu jest odizolowana od systemu operacyjnego. Pozwala to na monitorowanie pracy jądra systemu i przeciwdziałanie popularnym atakom opartym m.in. o modyfikację jego kodu źródłowego oraz wykorzystanie istniejących wcześniej podatności. Jest to przykład funkcji platformy Knox, która znakomicie działa dzięki integracji rozwiązań programowych ze sprzętowymi – działa skutecznie z poziomu wspomnianego bezpiecznego świata na zewnątrz dzięki zastosowanej architekturze sprzętowej i przemyślanym algorytmom działania.

Zdalne zarządzanie bezpieczeństwem w ramach Samsung Knox

Zagwarantowanie bezpieczeństwa na poziomie pojedynczych urządzeń to jednak tylko połowa medalu. Wewnątrz firmy równie istotna jest możliwość zarządzania całą flotą telefonów i tabletów, z których każdy może się potencjalnie stać źródłem wycieku poufnych danych lub wektorem ataku na wewnętrzną sieć przedsiębiorstwa. Także i tutaj rozwiązania oferowane w ramach Samsung Knox przychodzą administratorom z pomocą. Wraz z platformą udostępniany jest rozbudowane oprograowanie do zarządzania (Knox Mange), dzięki któremu możliwe jest zdalne monitorowanie i zarządzanie firmowymi urządzeniami. Jego funkcjonalność obejmuje m.in.:

• monitorowanie stanu poszczególnych urządzeń,
• blokowanie urządzeń, w przypadku których doszło do naruszenia bezpieczeństwa,
• konfigurację firewalla,
• wprowadzanie szczegółowych reguł m.in. w odniesieniu do możliwości wykonywania połączeń głosowych, wysyłania wiadomości tekstowych, dostępu do USB i microSD,
• zdalne instalowanie lub usuwanie aplikacji,
• zdalne przejmowanie kontroli nad urządzeniem.

Wymienione powyżej przykłady nie wyczerpują wachlarza możliwości oferowanych przez platformę Samsung Knox w zakresie zarządzania firmowymi smartfonami i tabletami, to tylko próbka, a oferowanych funkcji i reguł jest kilkaset – warto sprawdzić czy jest tam to czego potrzebuje dana firma. Ważna jest też funkcjonalność i prostota zarządzania – podstawa dla administratora takiego rozwiązania. Przykładem może być tutaj chociażby coś tak błahego jak dystrybucja nowej wersji stosowanej wewnątrz przedsiębiorstwa aplikacji lub konieczność identyfikacji urządzenia, które zostało zrootowane przez użytkownika i jako takie może okazać się zagrożeniem dla bezpieczeństwa firmowej sieci. W obydwu przytoczonych przypadkach skuteczny system do zarządzania flotą urządzeń mobilnych jest wręcz koniecznością, w szczególności kiedy wspomniana flota obejmuje nie kilka, a kilkadziesiąt lub kilkaset telefonów i tabletów.

E-FOTA - pełna kontrola nad aktualizacjami oprogramowania

Potężnym narzędziem w rękach administratorów jest również funkcja zdalnego zarządzania aktualizacjami systemu na urządzeniach (E-FOTA). Została ona wprowadzona w celu wyeliminowania jednej z największych bolączek systemu Android - olbrzymiej fragmentacji wywołanej obecnym modelem aktualizacji systemu. W standardowych przypadkach to producent sprzętu oraz - w przypadku urządzeń brandowanych - operator mają pełną kontrolę nad tym kiedy udostępniona zostanie aktualizacja. Użytkownik ma co prawda wybór czy danej aktualizacji chce dokonać, jednak ze względu na zdawkowy charakter informacji o zmianach w każdej kolejnej wersji nie jest to decyzja podejmowana świadomie. W tym miejscu trzeba zdać się na zaufanie do producenta, że każda kolejna wersja oprogramowania jest lepsza od poprzedniej i choć w większości przypadków rzeczywiście tak jest, to zdarzają się wyjątki, kiedy jej instalacja skutkuje pojawieniem się nowych, czasem bardzo poważnych, błędów. Zazwyczaj ma to miejsce po aktualizacjach większego kalibru związanych np. z wprowadzeniem nowszej wersji systemu Android, jednak trudno mówić tu o jakiejkolwiek regule. Bardziej istotne jest to, że po instalacji takiego nowego oprogramowania użytkownik zazwyczaj nie ma możliwości by w prosty sposób wrócić do starszej, stabilnej wersji i jest zmuszony czekać na rozwiązanie problemu przez producenta. W tym wszystkim najmniej do powiedzenia ma administrator sieci, który nie ma kontroli nad tym jaka wersja oprogramowania znajduje się na urządzeniach pracowników. Może to rodzić szereg poważnych problemów, związanych m.in. z kompatybilnością wykorzystywanych wewnątrz firmy aplikacji czy zagrożeniem bezpieczeństwa sieci na skutek występowania niezałatanych luk.

Funkcja E-FOTA umożliwia ograniczenie fragmentacji oprogramowania wewnątrz firmy poprzez instalację na poszczególnych urządzeniach jednej, przetestowanej wersji systemu.

W przypadku urządzeń firmy Samsung i funkcji E-FOTA sytuacja wygląda troszeczkę inaczej, ponieważ to administrator ma pełną kontrolę nad tym, które aktualizacje i kiedy trafią na smartfony użytkowników. Najważniejsze opcje oferowane w ramach omawianego narzędzia to:

• możliwość wymuszenia aktualizacji bez ingerencji ze strony użytkownika,
• wybór wersji systemu operacyjnego, na której mają pracować urządzenia,
• możliwość zaplanowania aktualizacji na konkretną datę.

W praktyce korzystanie z E-FOTA gwarantuje, że cała mobilna flota korzysta z jednej wersji systemu operacyjnego, która wcześniej została przetestowana pod kątem bezpieczeństwa, niezawodności i kompatybilności z firmowymi narzędziami, a w razie konieczności ich aktualizacji cały proces może być przeprowadzony szybko i sprawnie, tak aby nie kolidował z funkcjonowaniem przedsiębiorstwa. Pozwala to wyeliminować większość przytoczonych wcześniej problemów, gwarantując pełną kontrolę nad oprogramowaniem wykorzystywanym wewnątrz firmy.