Sécurité des terminaux Windows Mobile 5

Sécurité des terminaux Windows Mobile 5

Thierry PicqManaging Consultant

Microsoft Services France

L’identité du Conseil MicrosoftRôle d’avant-gardeRôle d’avant-garde

Catalyseur du changement chez nos clients pour l’emploi des technologies Microsoft et Catalyseur du changement chez nos clients pour l’emploi des technologies Microsoft et l’adoption des nouvelles versionsl’adoption des nouvelles versionsEffet de levier maximum en début de cycle de vie des technologiesEffet de levier maximum en début de cycle de vie des technologiesEffacement progressif quand :Effacement progressif quand :

La technologie est installée dans le compteLa technologie est installée dans le compteLe savoir-faire et les compétences sont largement diffuséesLe savoir-faire et les compétences sont largement diffusées

Assistance aux partenaires mettant l’accent sur le transfert de compétences et Assistance aux partenaires mettant l’accent sur le transfert de compétences et de connaissances sur les technologies Microsoftde connaissances sur les technologies MicrosoftCadres méthodologiques éprouvés : Cadres méthodologiques éprouvés : Microsoft Solutions FrameworkMicrosoft Solutions Framework (MSF) et (MSF) et Microsoft Operations FrameworkMicrosoft Operations Framework (MOF) (MOF)Capacité d’engagement sur les projets stratégiquesCapacité d’engagement sur les projets stratégiques

Partenaires

Support

Risque

Adoption des Technologies

Conseil Microsoft

Architecture type

Serveur FE

Mailbox Server

Mailbox Server

Internet(Réseaux cellulaires :

GSM/GPRS)

Filaire

Sans fil

Légende

Wireless PDA

Smart phone

Wi-FiPDA Wi-Fi

Smart phone

Internet sans fil(802.11x - hotspots)

Wi-FiPDA

Wi-FiSmart phone

Wifi Interne

Frontières de l’Entreprise

DMZ

Accès unique “nom du server” = “monentreprise.com”Accès unique “nom du server” = “monentreprise.com” Pas de compte spécifiquePas de compte spécifique

InternetHaut débit(VPN, …)

Internet

Accès Distants (RAS)

POP FAI

Conclusion matinale(hors terminaux):

Serveur FE

Mailbox Server

Mailbox Server

Internet(Réseaux cellulaires :

GSM/GPRS)

Filaire

Sans fil

Légende

Wireless PDA

Smart phone

Wi-FiPDA Wi-Fi

Smart phone

Internet sans fil(802.11x - hotspots)

Wi-FiPDA

Wi-FiSmart phone

Wifi Interne

Frontières de l’Entreprise

DMZ

Accès unique “nom du server” = “monentreprise.com”Accès unique “nom du server” = “monentreprise.com”

InternetHaut débit(VPN, …)

Internet

POP FAISSL 128 bits

Analyse des flux

Segmentation

Je maîtrise et sécurise les communications Je maîtrise et sécurise les communications de bout en bout en maintenant un niveau de bout en bout en maintenant un niveau de sécurité élévéde sécurité élévé

Ce matin nous avons traité la sécurité des voies de communications et le contrôle des points d’accès mais:

Il faut sécuriser les terminaux en eux-Il faut sécuriser les terminaux en eux-mêmemême

Il faut gérer les données sur ces Il faut gérer les données sur ces terminauxterminaux

Il est nécessaire d’administrer ces Il est nécessaire d’administrer ces terminauxterminaux

TerminauxTerminaux

Risques de sécurité : Les terminaux mobiles doivent être considérés comme des ordinateurs à part entière…

EntrepriseEntreprise OpérateursOpérateursMobiles et FixesMobiles et Fixes

WLANWLAN

WANWAN

PANPAN

InfraredInfrared

LANLAN

WANWAN

ApplicationsApplications

Disposez-vous d’une politique de sécurité pour les terminaux Disposez-vous d’une politique de sécurité pour les terminaux mobiles ? Les ordinateurs portables, mais aussi les autres…?mobiles ? Les ordinateurs portables, mais aussi les autres…?

Analyse des risques Des défis pour tous…

Opérateur Opérateur MobileMobileUtilisateur finalUtilisateur finalEntrepriseEntreprise

Protection des Protection des données de données de l’entreprisel’entrepriseSécurité et Sécurité et intégrité du réseau intégrité du réseau interneinterneGestion des Gestion des terminauxterminauxGestion des Gestion des applicationsapplications

Simplicité Simplicité d’usaged’usageDiversité et Diversité et richesse des richesse des applicationsapplicationsCapacité à Capacité à développer des développer des applications applications complexescomplexesSécuritéSécurité

Intégrité et Intégrité et disponibilité du disponibilité du réseau Opérateurréseau OpérateurGestion des Gestion des terminauxterminaux““Branding”Branding”Déployer des Déployer des applications et des applications et des services à valeur services à valeur ajoutéeajoutéeMinimiser les coûts Minimiser les coûts de supportde support

Intégrité et disponibilité du terminal, prévention des Intégrité et disponibilité du terminal, prévention des “malware”“malware”

Voix et accès aux données sont des besoins communsVoix et accès aux données sont des besoins communs

Sécurité au niveau du terminal Modèle de sécurité Modèle de sécurité

PérimètrePérimètre

Protection des donnéesProtection des données

Sécurité du réseau (PAN) Sécurité du réseau (PAN)

Sécurité matérielleSécurité matérielle

Sachant que sur un terminal mobile, Sachant que sur un terminal mobile, l’ergonomie est l’ergonomie est fondamentalefondamentale::

Usage avec seule main, en mouvement, clavier limitéUsage avec seule main, en mouvement, clavier limité

Pas de Smartcard, pas de clefs USB, la biométrie peu Pas de Smartcard, pas de clefs USB, la biométrie peu répandue, etc.répandue, etc.

Et que Et que Les utilisateurs vont naturellement rejeter ou Les utilisateurs vont naturellement rejeter ou contourner des mesures de sécurité limitant ce qu’ils contourner des mesures de sécurité limitant ce qu’ils souhaitent faire.souhaitent faire.

……ou si ces mesures représentent «trop de travail »ou si ces mesures représentent «trop de travail »

Ne jamais sous estimer la « créativité » des Ne jamais sous estimer la « créativité » des utilisateurs…utilisateurs…

Première défense contre les programmes Première défense contre les programmes malveillantsmalveillantsCombinaison de la signature électronique Combinaison de la signature électronique du code et la configuration du terminaldu code et la configuration du terminal

Les terminaux sont configurés selon deux modes:Les terminaux sont configurés selon deux modes:1-tier1-tier2-tier2-tier

La signature défini les permissions pour une applicationLa signature défini les permissions pour une application

Ces applications/codes peuvent être signés par Ces applications/codes peuvent être signés par Mobile2Market (M2M): programme de signatureMobile2Market (M2M): programme de signatureLes Opérateurs MobilesLes Opérateurs MobilesLes EntreprisesLes Entreprises

La révocation de code signé est plus efficaceLa révocation de code signé est plus efficace

Modèle de sécurité de Windows Mobile Contrôle d’exécution du code (Code Execution Control)

Trusted (Privileged) Code GroupTrusted (Privileged) Code GroupAccès complet au terminal: toutes les APIs, la base de Accès complet au terminal: toutes les APIs, la base de registre, le système de fichiers, les interfaces matérielles, le registre, le système de fichiers, les interfaces matérielles, le Kernel modeKernel mode

Normal (Unprivileged) Code GroupNormal (Unprivileged) Code GroupAccès limité au terminal: la plupart des APIs, des segments Accès limité au terminal: la plupart des APIs, des segments de la base de registre et du système de fichiers ne sont de la base de registre et du système de fichiers ne sont accessibles qu’en lecture seule.accessibles qu’en lecture seule.Ce mode doit être celui privilégié pour la conception et la Ce mode doit être celui privilégié pour la conception et la réalisation d’applicationsréalisation d’applications

Blocked Code GroupBlocked Code GroupLes applications ne peuvent fonctionnerLes applications ne peuvent fonctionner

Ces Ces Code GroupsCode Groups sont assignés lors du chargement sont assignés lors du chargement du code, basés sur la signature de ce dernier.du code, basés sur la signature de ce dernier.

Modèle de sécurité de Windows Mobile Code Groups (CG)

Terminologie décrivant les permissions associées Terminologie décrivant les permissions associées au codeau codeTerminaux Terminaux 2-tier2-tier

Fonctionne en Fonctionne en Code Groups Code Groups ‘‘TrustedTrusted’ et ‘’ et ‘NormalNormal’’Uniquement les Smartphone (Uniquement les Smartphone (configuration par défautconfiguration par défaut))

Terminaux Terminaux 1-tier1-tierToutes les applications fonctionnent avec le Toutes les applications fonctionnent avec le Code Group Code Group ‘‘TrustedTrusted’’Le code ‘Le code ‘NormalNormal’ est associé au code ‘’ est associé au code ‘TrustedTrusted’’Smartphone et PocketPCSmartphone et PocketPCPocketPC (PocketPC (configuration par défautconfiguration par défaut) )

Configuré via des politiques de sécuritéConfiguré via des politiques de sécurité

Modèle de sécurité de Windows Mobile Contrôle d’éxecution: terminaux 1-tier ou 2-tier

Modèle de sécurité de Windows Mobile Définir l’équilibre

AccessibilitéAccessibilité Applications variéesApplications variées Plus simple pour les Plus simple pour les

utilisateursutilisateurs

SécuritéSécurité Protection renforcée contre Protection renforcée contre

les codes malveillantsles codes malveillants Accroissement de la gestionAccroissement de la gestion

Pas de sécuritéPas de sécurité NotificationNotification Signé par Signé par tierce partietierce partie VerrouilléVerrouillé

Toutes les Toutes les applications applications fonctionnentfonctionnent

Utilisateur Utilisateur notifié pour notifié pour l’exécution l’exécution

de code non de code non signé ou signé ou inconnuinconnu

Le code Le code doitdoit être être

signé pour signé pour s’exécuters’exécuter

Le code Le code doitdoit être signé être signé

pour pour s’exécuter. s’exécuter. Signature Signature contrôléecontrôlée

CG: TrustedCG: Trusted CG: Trusted, CG: Trusted, Normal ou Normal ou BlockedBlocked

CG: Trusted, CG: Trusted, Normal ou Normal ou BlockedBlocked

CG: Trusted, CG: Trusted, Normal ou Normal ou BlockedBlocked

Modèle de sécurité de Windows Mobile Recommendations

Le modèle Le modèle SANSSANS sécurité n’est sécurité n’est PASPAS recommandé !recommandé !

QuiQui Configuration du terminalConfiguration du terminal SécuritéSécurité ISVsISVsSécuritSécurit

éé

élevée élevée LORGLORG

VerrouilléVerrouilléSignatures OM, Entreprise, OEM Signatures OM, Entreprise, OEM

uniquementuniquement

ExpériencExpérience e

“complexe“complexe””

S/S/MORGMORG

Signature par tierce partieSignature par tierce partieSignature M2M acceptée, non signé Signature M2M acceptée, non signé

bloquébloqué Favorise la Favorise la communautcommunaut

é des é des développeudéveloppeu

rsrs

OpérateuOpérateurr

MobileMobile

(Default(Default))

SmartphoneSmartphone

2-tier 2-tier notificationnotification

Pocket PCPocket PC

1-tier 1-tier notificationnotification

Notification: code inconnu, utilisateur Notification: code inconnu, utilisateur prévenuprévenu

Démonstration

Démonstration

Code Groups

Sécurité du périmètre

Mots de passe:Mots de passe:PocketPC: PocketPC: 4 digit pin, mots de passe forts4 digit pin, mots de passe fortsSmartphone: Smartphone: > 4 digit pin> 4 digit pin

Mots de passe stockés dans une partie sécurisée Mots de passe stockés dans une partie sécurisée (privilégiée) de la (privilégiée) de la RegistryRegistryAccroissement exponentiel des délais en cas de Accroissement exponentiel des délais en cas de mauvais mot de passe mauvais mot de passe Partenariat Activesync protégé par mot de passePartenariat Activesync protégé par mot de passe

Protocoles:Protocoles:PAP, CHAP, MS-CHAP, TLS, NTLM support PAP, CHAP, MS-CHAP, TLS, NTLM support SSL 3.0 SSL 3.0

Exchange ActiveSync & IE MobileExchange ActiveSync & IE Mobile

Local Authentication Subsystem (LASS): Local Authentication Subsystem (LASS): mécanismes flexibles d’intégration de Plug-ins mécanismes flexibles d’intégration de Plug-ins d’authentificationd’authentification ((Local Authentication Plug-ins / LAP)Local Authentication Plug-ins / LAP)

BiométrieBiométriePotentiellement très pratiquePotentiellement très pratiqueIdentifiant ou authentifiant?Identifiant ou authentifiant?

HP iPAQ série 5400 avec lecteur HP iPAQ série 5400 avec lecteur d’empreintes digitalesd’empreintes digitales

Lecteurs de cartes à puces Lecteurs de cartes à puces ApplicationsApplicationsAccès réseauAccès réseauSolutions tiercesSolutions tierces Pointsec SoftwarePointsec Software

Protection des donnéesPlus exposé qu’un PC traditionnelPlus exposé qu’un PC traditionnel

Intégration des services de crypto pour les Intégration des services de crypto pour les applicationsapplications

Certification FIPS 140-2 (WM 5.0)Certification FIPS 140-2 (WM 5.0)

S/MIME (WM 5.0)S/MIME (WM 5.0)

128-bit Cryptographic services128-bit Cryptographic services: Crypto API v2: Crypto API v2

Signature de code (limite l’installation : SP)Signature de code (limite l’installation : SP)

API Anti-virus: ces virus peuvent exister et se propager (cf. API Anti-virus: ces virus peuvent exister et se propager (cf. Cabir Cabir (fin 2004)(fin 2004) et Commwarrior.A et Commwarrior.A (mars 2005)(mars 2005) pour Symbian se pour Symbian se propageant via une combinaison de Bluetooth et MMS)propageant via une combinaison de Bluetooth et MMS)A ce jour nous ne connaissons pas de virus pouvant se A ce jour nous ne connaissons pas de virus pouvant se propager d’une plateforme PC vers un PDA/Smarphone.propager d’une plateforme PC vers un PDA/Smarphone.

SQL-CE fourni un chiffrement 128-bits (PPC SQL-CE fourni un chiffrement 128-bits (PPC uniquement)uniquement)

Nombreux outils tiers pour chiffrer les données:Nombreux outils tiers pour chiffrer les données:Computer Associates; F-Secure; McAfee; Symantec; SOFTWIN; Computer Associates; F-Secure; McAfee; Symantec; SOFTWIN; Trend Micro; Trend Micro; Bluefire Security Technologies; Check Point VPN-1 Bluefire Security Technologies; Check Point VPN-1 SecureClient.SecureClient.

Sécurité réseauClient VPN intégréClient VPN intégré

PPTP, L2TP, L2TP/IPSEC (PSK, ou certificat)PPTP, L2TP, L2TP/IPSEC (PSK, ou certificat)IPSEC: le mode tunnel nécessite un client tiersIPSEC: le mode tunnel nécessite un client tiers

WirelessWirelessWEP, 802.1X (EAP-TLS, PEAP), WPA (incluant PSK) WEP, 802.1X (EAP-TLS, PEAP), WPA (incluant PSK)

Secure Browsing: HTTP (SSL), WAP (WTLS), Secure Browsing: HTTP (SSL), WAP (WTLS), ZonesZones de de SécuritéSécuritéCertification FIPS 140-2Certification FIPS 140-2OTA device management security: OTA device management security: OMA DM OMA DM provision provision settings & certssettings & certsWindows CE 5.0 : Stockage persistantWindows CE 5.0 : Stockage persistantOffres tierces:Offres tierces:

VPN VPN Checkpoint, Bluefire, Funk Software, Certicom Movian VPNCheckpoint, Bluefire, Funk Software, Certicom Movian VPN (OEM uniquement)(OEM uniquement)

Authentification à deux facteursAuthentification à deux facteursRSA SecureIDRSA SecureID (supporte la synchronisation Exchange EAS) (supporte la synchronisation Exchange EAS)

Sécurité du PAN : BluetoothSécurité du PAN : Bluetooth““Bluesnarfing”: Vol de données personnelles via Bluesnarfing”: Vol de données personnelles via une connexion Bluetooth.une connexion Bluetooth.VirusVirusRecommandation de Microsoft aux OEM de Recommandation de Microsoft aux OEM de désactiver BT par défaut.désactiver BT par défaut.

Windows CEWindows CE

Windows XP Windows XP EmbeddedEmbedded

Windows Windows MobileMobile

Sécurité: gestion des terminaux System Management Server 2003 feature pack

XP EmbeddedAdvanced Client

Device Management Feature Pack

CE Device Management Client

Inventaire matériel & Inventaire matériel & logiciellogiciel

Collecte de fichiersCollecte de fichiers

Distribution logicielDistribution logiciel

ScriptsScripts

Gestion des configurations (mots de Gestion des configurations (mots de passe, etc.)passe, etc.)

Distribution automatique via le PC Distribution automatique via le PC (sous SMS)(sous SMS)

SécuritéSécurité::

Credant Mobile Guardian-Credant Mobile Guardian- Enterprise Edition Enterprise EditionIntégration AD et groupesIntégration AD et groupesGestion des mots de passe, synchronisation PC, chiffrement, Gestion des mots de passe, synchronisation PC, chiffrement, Firewall, autorisations et accèsFirewall, autorisations et accèsLoggingLogging

Bluefire SecurityBluefire SecurityLoggingLogging Firewall et politiques de mots de passeFirewall et politiques de mots de passe

GestionGestion de bout en bout de bout en boutAfaria & Extended Systems (Sybase), Intellisync, JP MobileAfaria & Extended Systems (Sybase), Intellisync, JP Mobile

Exchange 2003 SP2Exchange 2003 SP2SécuritéSécurité

Support S/MIME, Support S/MIME, CertificationCertification FIPSFIPSCentralisation de la sécurité des terminauxCentralisation de la sécurité des terminaux

Garantie d’application des politiques de sécurité: PIN code (complexité, Garantie d’application des politiques de sécurité: PIN code (complexité, longueur), effacement des données après X tentatives, impossible de longueur), effacement des données après X tentatives, impossible de synchroniser si les politiques ne sont pas suiviessynchroniser si les politiques ne sont pas suiviesPossibilité de forcer une mise à jour régulière des politiques de sécurité Possibilité de forcer une mise à jour régulière des politiques de sécurité ““Formatage” à distanceFormatage” à distanceIntégration des certificats x509Intégration des certificats x509

Fonctionnel Fonctionnel Direct Push TechnologyDirect Push Technology: AUTD sans SMS, indépendant du média de connexion, : AUTD sans SMS, indépendant du média de connexion, recherche dans la GAL, Synchronisation des Taches, etc…recherche dans la GAL, Synchronisation des Taches, etc…

Sécurité: gestion des terminaux

Gestion distante des terminaux et politiques de sécurité

Device Security SettngsDevice Security Settngs

Enable PIN on device

4

Require both numbers and letters

Wipe device after failed (attempts): 4

Exceptions...Specify an exception list of users that are except from the setting enforcement

OK Cancel Help

Minimum PIN Length (digits):

Refresh settings on the device (hours): 24

Allow access to devices that do not support PIN settings

Inactivity time (minutes): 5

Réinitialisation à distanceRemarque: Réinitialisation complète du Remarque: Réinitialisation complète du terminal uniquement (ne concerne pas le terminal uniquement (ne concerne pas le stockage amovible)stockage amovible) Géré par un outil Web (IIS 6 nécessaire)Géré par un outil Web (IIS 6 nécessaire)Peut être délégué au centre de supportPeut être délégué au centre de supportHistorique (Transaction log)Historique (Transaction log)

Microsoft Exchange ActiveSync Mobile Web Microsoft Exchange ActiveSync Mobile Web Administration toolAdministration tool ::

http://www.microsoft.com/downloads/details.aspx?familyid=E6851D23-D145-4DBF-A2CC-E0B4C6301453&displaylang=en

Démonstration

Démonstration

Application de politiques de sécurité avec Exchange 2003

SP2

Conclusion :

Serveur FE

Mailbox Server

Mailbox Server

Internet(Réseaux cellulaires :

GSM/GPRS)

Filaire

Sans fil

Légende

Wireless PDA

Smart phone

Wi-FiPDA Wi-Fi

Smart phone

Internet sans fil(802.11x - hotspots)

Wi-FiPDA

Wi-FiSmart phone

Wifi Interne

Frontières de l’Entreprise

DMZ

Accès unique “nom du server” = “monentreprise.com”Accès unique “nom du server” = “monentreprise.com”

InternetHaut débit(VPN, …)

Internet

POP FAISSL 128 bits

Analyse des flux clients& serveurs

Segmentation

Je peux capitaliser sur mes investissements pour Je peux capitaliser sur mes investissements pour gagner en productivité tout en restant sécurisé et en gagner en productivité tout en restant sécurisé et en maîtrisant les coûtsmaîtrisant les coûtsdans un environnement ouvert …dans un environnement ouvert …

Microsoft FranceMicrosoft France18, avenue du Québec18, avenue du Québec

91 957 Courtaboeuf Cedex91 957 Courtaboeuf Cedex

www.microsoft.com/france

0 825 827 8290 825 827 829

msfrance@microsoft.commsfrance@microsoft.com