Sicherheitsmechanismen von Apple iOS, Teil 2 Tipps für eine sichere iPhone-Konfiguration per Enterprise-Software

Was macht einen Blackberry gegenüber einem iPhone so sicher? Es ist der konsequente Einsatz von Verschlüsselung auf unterschiedlichsten Ebenen. Aber auch das iPhone bietet zusätzliche Verschlüsselungsoptionen und Sicherheitseinstellungen, die in einer Default-Konfiguration allerdings deaktiviert sind. Eine sinnvolle Nutzung dieser Funktionen vergrößert die Sicherheit der Geräte ungemein.

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

Cohesity GmbH

Rapid7 Germany

Um zusätzliche iPhone-Funktionen aus dem Dornröschenschlaf zu wecken, ist das Konfigurationsprogramm des Herstellers erforderlich. Dieses findet sich auf der Enterprise Landing Page von Apple. Im vorangegangenen Beitrag zum Härten von iPhones wurde schon beschrieben, wie mit diesem Programm die Passcode-Sicherheit angepasst werden kann. Jetzt geht es um verschiedene Optionen für Verschlüsselung und Remote-Zugriffe.

SSL erzwingen

SSL ist zu einem millionenfach eingesetzten Standard geworden, dessen Sicherheit aber allein von der Glaubwürdigkeit von Zertifikaten abhängt. In vielen Implementierungen, besonders bei öffentlich zugänglichen Diensten, verfügt nur der Server über ein Zertifikat. Damit sind Man-in-the-Middle-Angriffe über gefälschte Zertifikate möglich. Trotz dieser Einschränkung ist SSL empfehlenswert, solange Benutzer für mögliche Fallen sensibilisiert sind.

Auf dem iPhone können lediglich die Verbindungen zur E-Mail-Übertragung auf SSL umgestellt werden. Über das Konfigurationsprogramm ist das noch für viele andere Dienste möglich – vorausgesetzt, der Server auf der anderen Seite unterstützt SSL. Außer der Mail-ProtokolleSMTP, IMAP und POP lassen sich Exchange, LDAP, CalDAV (Remote-Zugriff auf Kalenderdaten mittels WebDAV), CardDAV (Remote-Zugriff auf Kontakte mittels WebDAV) sowie abonnierte Kalender auf SSL umstellen.

Import von Zertifikaten

Viele Dienste, die Verschlüsselungsverfahren mit öffentlichen und privaten Schlüsseln nutzen, basieren auf Zertifikaten. Über ein Zertifikat kann das iPhone prüfen, ob es sich bei der Gegenstelle um einen legitimen Server handelt. Falls es sich um einen Dienst handelt, für den ein eigener Server aufgesetzt wurde oder bei dem sich sowohl Client als auch Server authentifizieren, müssen entsprechende Zertifikate in das Smartphone importiert werden.

Für den Import von Zertifikaten stehen unterschiedliche Methoden zur Verfügung. Müssen nur wenige unveränderliche Zertifikate importiert werden, so kann das manuell geschehen. Mit dem Konfigurationsprogramm werden die Zertifikate dabei in ein Profil eingebunden. Wird das Profil auf das iPhone geschickt und dort aktiviert, lädt dieses die Zertifikate in den Zertifikatsspeicher. Sie können dann unmittelbar genutzt werden.

Bei rasch veränderlichen Infrastrukturen finden Wechsel von Zertifikaten zu häufig statt, als dass ein manuelles Einspielen noch sinnvoll ist. Für diesen Fall unterstützt das iPhone das Protokoll SCEP.

SCEP bedeutet Simple Certificate Enrollment Protocol und dient zur automatischen Verteilung wie Zurücknahme von Zertifikaten. Im Konfigurationsprogramm wird dazu ein SCEP-Server angegeben, bei dem sich das Telefon über neue oder abgelaufene Zertifikate informiert. Der Zugriff erfolgt über eine URL und gegebenenfalls eine Windows-kompatible Authentifizierung.

Seite 2: VPN mit Zwang

VPN mit Zwang

Ein großer Vorteil von Blackberry-Smartphones in Unternehmensumgebungen ist die zwangsweise Aktivierung einer VPN-Strecke ins lokale Netzwerk. Apple bietet zwar keinen VPN-Endpunkt an, der dem Blackberry Enterprise Server wirklich Paroli bieten könnte. Ein Zwangs-VPN lässt sich aber über das Konfigurationsprogramm einrichten. Als Protokolle werden IPsec, SSL, L2TP und PPTP unterstützt. Am anderen Ende der VPN-Strecke wird ein Proxy aufgesetzt, der den Netzwerkverkehr von und zu den iPhones kritisch untersucht und in Einklang mit den eigenen Sicherheitsrichtlinien bringt.

Abhängig vom gewähltem Protokoll muss darauf geachtet werden, dass auch wirklich der gesamte Datenverkehr über das VPN geroutet wird. Sonst kann der Proxy ohne großen Aufwand umgangen werden. Falls die Authentifizierung über einen zuvor ausgetauschten Schlüssel (Pre-Shared-Secret) stattfindet, sollte dieser mindestens 32 Zeichen lang sein. {VPN2}

WiFi – aber sicher

Im Gegensatz etwa zu Windows Phone OS kann ein iPhone über USB keine transparente Verbindung ins lokale Netzwerk aufbauen. So ist es meist erforderlich, innerhalb des Unternehmens ein WLAN zum Datenaustausch und zur Konfiguration der Geräte einzurichten. Viele IT-Verantwortliche sehen das nicht gerne und erwarten, dass bei diesem Funknetz das Maximum an Sicherheit eingerichtet wird.

Ein wichtiger Punkt bei der Einrichtung dieses WLANs ist eine weit gehende Transparenz für Benutzer. Es ist kontraproduktiv, wenn sich Benutzer mit WLAN-IDs und ellenlangen Passwörtern herumschlagen müssen – und diese womöglich noch irgendwo notieren. Im Idealfall ist der WLAN-Zugriff fix und fertig konfiguriert. Das iPhone-Konfigurationsprogramm unterstützt diesen Ansatz. Dabei sollten folgende Punkte beachtet werden:

• Das interne Netzwerk ist „unsichtbar“, d.h. seine ID wird nicht per Broadcast verteilt.
• Es wird ausschließlich WPA2 eingesetzt.
• Falls ein Pre-Shared-Secret genutzt wird, ist dieses mindestens 32 Zeichen lang.

Weiterhin sollte beim Anbringen von Access-Points und deren Antennen darauf geachtet werden, dass außerhalb des Firmengeländes keiner oder nur minimaler Empfang möglich ist.

Informationen zur IT-Sicherheit

Zu guter Letzt soll noch die iPhone-App securityNews vorgestellt werden, die regelmäßig Informationen zum Thema Sicherheit sammelt. Dabei beschränkt sie sich nicht nur auf das iPhone, sondern liefert News zu ganz verschiedenen IT-Systemen. Die App securityNews wurde vom Institut für Internet-Sicherheit (IFIS) an der Fachhochschule Gelsenkirchen entwickelt und wird von dort auch mit Daten gefüllt.

Das Institut prüft die aus aller Welt eingehenden Meldungen über IT-Sicherheit und bewertet sie mit einem Farbcode. Wer sich an dem Dienst anmeldet, kann Filter für die ihn interessierenden Systeme definieren und erhält dann nur einen Teil der Nachrichten. Für jede Meldung wird ein Link zum originalen Dokument mitgeliefert, über den auf tiefer gehende Informationen zugegriffen werden kann.

Diese App ist ein Muss für jeden, der für seine tägliche Arbeit Informationen über IT-Sicherheit auf dem iPhone benötigt.

(ID:2051033)