Sicherheitskonzepte mobiler Betriebssysteme QNX für RIM-Smartphones und Playbook – sicherer als Blackberry OS?

Der kanadische Hersteller Research in Motion (RIM) will neu durchstarten. Nichts weniger als ein komplett neues Betriebssystem plant der Konzern für seine Tablets und Smartphones. QNX soll das bisherige Blackberry OS ablösen und dabei moderner, schneller und sicherer sein. Security-Insider.de erläutert das Sicherheitskonzept des mobilen Betriebssystems.

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Arvato Systems

SEPPmail - Deutschland GmbH

BlackBerry Deutschland GmbH

Mit QNX will Blackberry-Hersteller RIM sein bisheriges Betriebssystem für mobile Geräte ablösen. Premiere hatte das neue Betriebssystem beim Tablet-PC „Blackberry Playbook“. Das bedeutet aber nicht, dass QNX ein neues Betriebssystem ist – im Gegenteil. QNX ist ein Unix-ähnliches Echtzeit-Betriebssystem, die erste Version wurde bereits 1982 von Gordon Bell und Dan Dodge veröffentlicht.

Im April 2010 hat RIM die Firma übernommen, das Playbook ist das erste Gerät des kanadischen Herstellers, das mit QNX ausgeliefert wird. Die Macher gaben sich anfangs zwar geschlossen, seit September 2007 steht der Kernel von QNX unter Open Source, jedermann kann den QNX-Kernel einsehen.

Die Mikrokernel-Architektur von QNX

QNX ist ein so genanntes Mikrokernel-System. Das bedeutet, dass nur ein minimaler Teil des Systems auf Kernel-Ebene geladen wird. Der weitaus größere Teil des Systems läuft auf der Benutzerebene, die über deutlich weniger Rechte verfügt. Zudem teilt QNX diese Teile des Systems zahlreiche kleinere Aufgaben, genannt Server. Das ist der größte Unterschied zu monolithischen Kernels, wie sie in etwa unter Windows zum Einsatz kommen.

Der erste Vorteil für Entwickler: Nicht benötigte Funktionen kann der Entwickler abschalten, ohne dass er am Betriebssystem selbst Änderungen vornimmt. Genau genommen laufen im Kernel selbst nur wenige wirklich wichtige Komponenten wie etwa CPU Scheduling, die Interprozess-Kommunikation, Interrupt Redirection und Timer.

Dieses Konzept ist auch die Grundlage für das Sicherheitssystem von QNX: Jeder Prozess läuft in einem eigenen, unabhängigen Speicher. Das bedeutet, dass ein kompromittierter Prozess keine anderen Prozesse infizieren kann.

Inhalt

• Seite 1: Die Mikrokernel-Architektur von QNX
• Seite 2: Kein Jailbreak per Browser möglich
• Seite 3: Prozesse und Dateisystem separiert

Kein Jailbreak per Browser möglich

Durch die Mikrokernel-Architektur ist es möglich, dass jeder Prozess außerhalb des Kernels neu gestartet werden kann, ohne dass andere Komponenten beeinflusst werden. Das gilt nicht nur für Anwendungen oder Systemkomponenten, sondern bezieht auch die verschiedenen Treiber mit ein.

Alle anderen Programme und Prozesse werden in den User-Space ausgelagert. Das betrifft auch die grafische Oberfläche. Dieser verschiedenen Arbeitsabläufe erhalten alle einen geschützten, von den anderen Prozessen separierten Speicherbereich.

Dadurch wird es schwierig bis unmöglich, sich einen Fehler in eine Programm zu Nutze zu machen, um damit eine Plattform für eine weiterführende Attacke zu erhalten. Einem Aushebeln des kompletten Sicherheitskonzeptes über eine Schwachstelle im Browser, wie es etwa mit Hilfe von JailbreakMe auf iOS-Geräten 4.0.x klappte, wird so ein Riegel vorgeschoben.

Im Playbook – und wohl auch in künftigen Blackberry Smartphones – ist auch die grafische Nutzeroberfläche im User-Space angesiedelt. QNX bringt mit Photon microGUI zwar eine eigenes grafisches Interface mit, für die Verwendung auf dem Blackberry-Tablet hat RIM aber eng mit Adobe zusammengearbeitet.

Das Ergebnis ist eine Nutzeroberfläche, die zum größten Teil auf Adobe-Techniken wie Flash basiert. Perfide daran: Wird eine Sicherheitslücke in Flash gefunden, muss diese tief im Playbook-System korrigiert werden. Anders als etwa bei Android kann die Flash-Komponente nicht einfach über den Marktplatz nachgeladen und aktualisiert werden, sie ist integraler Bestandteil des Playbooks.

Der Vorteil: Der modulare Aufbau von QNX sorgt scheinbar dafür, dass Patches schnell entwickelt und verteilt werden können. Das zeigte sich, als RIM Anfang Juni 2011 ein Update für eine Flash-Schwachstelle ausrollte, die erste wenige Tage vorher bekannt wurde.

Inhalt

• Seite 1: Die Mikrokernel-Architektur von QNX
• Seite 2: Kein Jailbreak per Browser möglich
• Seite 3: Prozesse und Dateisystem separiert

Separierte Prozesse – separiertes Dateisystem

Die Philosophie der Aufteilung führt RIM im Dateisystem des Playbooks fort: Der verfügbare Platz wird in mehrere Partitionen aufgeteilt: Neben einem kleinen Bereich für das Betriebssystem gibt es die Nutzer-Partition und die so genannte Work-Partition.

Letztere wird in erster Linie für die Blackberry Bridge genutzt: Der größte Unterschied zwischen Nutzer- und Work-Partition ist, dass die Arbeitspartition und alle Daten darauf per AES 256 verschlüsselt werden. Zudem können dort nur Anwendungen installiert werden, die der Administrator vorgesehen hat. Aktuell geht das noch nicht, die Funktion soll aber Teil der künftigen Verwaltungsservern für das Playbook und die kommenden Blackberry Smartphones werden. Security-Insider.de hat sich bereits ausführlich mit Aufbau und Sicherheitskonzept der Blackberry Bridge befasst.

Die andere Partition ist für den Nutzer vorgesehen: Dort lassen sich ebenfalls Apps installieren und Daten ablegen. Der Vorteil allerdings: Während Daten von der Nutzer- auf die Work-Partition kopiert werden können, ist die andere Richtung nicht vorgesehen. So fügt sich QNX in eine andere angekündigte Blackberry-Funktion ein – Blackberry Balance. Damit soll es möglich werden, dass Nutzer ihre Firmen-Smartphones auch für private Zwecke nutzen, ohne dass die sensiblen Firmendaten abfließen können.

Fazit: Security by Design?

Ohne Frage: Vergleicht man QNX mit anderen populären Systemen wie Android oder iOS merkt man, dass das neue Blackberry-OS von Beginn an auf einem deutlich durchdachteren Fundament steht. Kein Wunder, schließlich konnten die Macher von QNX ihre Erfahrungen in deutlich sensibleren Bereichen sammeln – das Betriebssystem wird unter anderem im Automotive-Bereich oder bei Kernkraftwerken eingesetzt.

Das allein bedeutet aber noch nicht, das QNX damit automatisch vor allen Angriffen gefeit ist. Der Sicherheitsanbieter Secunia listet für das QNX Neutrino RTOS aktuell 13 Sicherheitslücken, zwei Drittel davon sind bereits behoben. Zum Vergleich: Unter Apple iOS 4.x für iPad sind Secunia 63 Schwachstellen bekannt, von denen keine einzige behoben wurde.

Ein Problem, an dem RIM aber arbeiten muss, ist die Update-Prozedur. Auch wenn QNX modular aufgebaut ist, die Updates sind es offenbar nicht. Der kanadische Hersteller liefert zwar relativ regelmäßig neue Versionen, dies sind aber meist mehrere hundert Megabyte groß – selbst wenn wie in Version 1.0.6 eigentlich nur kleinere Änderungen und Sicherheits-Patches für Flash eingespielt wurden.

Ansonsten bleibt für RIM zu hoffen, dass der Markt die zusätzliche Investition in die Sicherheit wahrnimmt und zu schätzen weiß. Denn wenn sich die Produkte nicht verkaufen, hilft auch das sicherste Betriebssystem nicht mehr.

Inhalt

• Seite 1: Die Mikrokernel-Architektur von QNX
• Seite 2: Kein Jailbreak per Browser möglich
• Seite 3: Prozesse und Dateisystem separiert

(ID:2052224)