Embed Size (px)
DESCRIPTION
Vous connaissiez Windows Mobile ? Comment Windows Phone 7 aborde le thème de la sécurité et quels sont les éléments à connaitre pour estimer le périmètre de risques liés à ces usages mobiles
Citation preview
palais des congrès Paris
7, 8 et 9 février 2012
7
Thierry PicqBusiness Development Manager – Innovation Opérateurs & MédiaMicrosoft France
Windows Phone et la sécurité(SEC2210)
Windows Phone3
Environnement
Windows Phone
“Consumérisation” de l’ IT
ITLa mobilité (Smartphones /
Tablettes) amplifie le phénomène
UTILISATEURFINAL
“Consumer IT will affect every enterprise. Attempts by enterprises to deny this are doomed to failure, just as previous attempts to deny Wi-Fi, 'smart' mobile phones, the Internet, and even the PC itself failed.”
– David Mitchell Smith, VP & Gartner Fellow, Gartner Inc.
Windows Phone
Cercles d’influences
Entreprise
Personnel
Social
Windows Phone
Utilisateurs
iTunes
AppStore
MarketPlace
Zune
Windows Phone
Favoriser la création de valeur pour l’Entreprise Anticiper et gérer les risques Répondre aux attentes utilisateurs
Entreprise
And bad guys know this and are taking advantage NOW
Mobile threats on the rise
Source: Kaspersky Lab January 2011
H2 2004 H1 2005 H2 2005 H1 2006 H2 2006 H1 2007 H2 2007 H1 2008 H2 2008 H1 2009 H2 2009 H1 2010 H2 2010
0
200
400
600
800
1000
1200
1400
1600
1800
Windows Phone
De multiples risques
Windows Phone
Des sujets récurrents de conversation avec l’IT
Chiffrement du terminal / RMS Marketplace Entreprise Gestion des terminaux Communications unifiées Productivité Accès au SI …
Windows Phone11
Stratégie en matière de mobilité
Windows Phone
Capitaliser sur ses “expériences”
Netmeeting Lync
Stratégie et investissements long terme
XBOX Kinect
Windows Phone
Trois écrans et le Nuage
370 millions de comptes actifs
Plus de 600 millions de comptes actifs
Plus de 6 millions de morceaux au catalogue
25 millions d’abonnés
10 milliards de messages par jour
Plus de 4 milliards de requètes chaque mois
7Windows Phone (et la
mobilité) Focalisons sur la sécurité…
Windows Phone
Gérer les risques avec Windows Phone
15
Protéger les données locales
Sécuriser les accès
Se prémunir des malwares
Sécuriser les applications
business critiques
Windows Phone
Modèle de sécurité
ArchitectureLogicielle
ModèleApplicati
f
Intégration des Services
Privés / Cloud
FondationMatérielle
ModèleInterface
s
Windows Phone
Modèle de sécurité
ArchitectureLogicielle
ModèleApplicati
f
Intégration des Services
Privés / Cloud
ModèleInterface
s
FondationMatérielle
Windows Phone
Un ensemble de capacités matérielles communes définies par Microsoft
80
0
480
• Ecran capacitif: 4+ points de contact• Capteurs: A-GPS, Accéléromètre,
Compas, Lumière, et Proximité• Caméra: 5+ méga pixels• Multimédia: Spécifications communes
(y compris codecs)• Mémoire: 256MB+ RAM, 8GB+ Flash• GPU: accélération DirectX 9• CPU: ARMv7 Cortex/Scorpion ou mieux
• Boutons: Retour, Démarrer et Rechercher
Plate-formeCohérente
Matériel Windows
Phone
Eléments matériels communs
Emphase sur la qualité
Windows Phone
Modèle de sécurité
ModèleApplicati
f
Intégration des Services
Privés / Cloud
FondationMatérielle
ModèleInterface
s
ArchitectureLogicielle
Windows Phone
Architecture Logicielle
NoyauMatériel (Board Support Package)
Modèle Applicatif
Modèle d’interfaces
Intégration Cloud
Applications
App managementLicensingChamber isolationSoftware updates
Shell frame Session managerDirect3DCompositor
Xbox LIVEBingLocationPush notificationsWindows Live ID
Vos Applications
A-GPS Accéléromètre Compas Luminosité ProximitéMedia Wi-Fi Radio Graphiques
SécuritéRéseauStockage
Frameworks
Silverlight XNA HTML/JavaScript
CLR
Fondation Matériel
Windows Phone
Modèle de sécurité
ArchitectureLogicielle
Intégration des Services
Privés / Cloud
FondationMatérielle
ModèleApplicati
f
ModèleInterface
s
Windows Phone22
Modèle applicatifProtection native
Code managé uniquement Applications en “bac à sable” Principe de privilèges Certification et vérification Distribution centralisée via Windows®
Phone Marketplace uniquement Isolement d’Internet Explorer® Mobile Application des méthodes de
développement communes aux équipes de développement produits: SDL (http://www.microsoft.com/security/sdl/default.aspx)
Windows Phone
LicenseObjet
cryptographiquement vérifiable pour accorder
des droits à une application
DéploiementPlusieurs étapes incluant
la certification et la signature de l’application
Modèle Applicatif: ConceptsApplication
Identification unique, gestion des licences et
des modes de consommations,
packagée sous forme de XAP
(format commun aux applications et jeux,
basé sur un manifeste déclaratif)
Windows Phone Marketplace
Windows Phone Marketplace
Game Studio
Windows Phone
Cycle de vie d’un application
WP installe uniquement des applications (.xap) signées par Marketplace WP prend en charge tous les aspects de l’installation d’un .xap basés sur les
informations présentes dans le manifeste (déclaration explicite des capacités de l’application, exposées lors de l’installation) Les applications ne peuvent engendrer de modification de manière
arbitraire durant cette installation L’utilisateur contrôle l’installation, la mise à jour et la désinstallation.
Marketplace contrôle la révocation de l’application Les applications ne contrôlent pas leur propre cycle de vie sur le
téléphone.
+Windows Phone Marketplace
Windows Phone
Cycle de vie d’une application
Non active
Démarrage
En exécution
Sortie
« Obscurcie » par l’interface (shell) lors d’un appel par exemplePassée en arrière planL’interface de l’appel est alors active
Windows Phone
Cycle de vie: Obscurcissement
Active
“Obscurcie”
Active
“Réactivée”
• Appel• Notification• Batterie
faible
L'application est automatiquement suspendue (interface obscurcie par le système)Fin de l'appel
L’application doit permettre à l’utilisateur de la réactiver
Windows Phone
• Le « multi-tâches » est dans WP 7.5
Cycle de vie: Désactivation et activation
Active
Désactivée
Suspendue
Active
Application potentiellement terminée
Etat sauvegardé pour usage futur
Chargement de l’état pour reprendre au point d’arrêt
Restauration de l’état au moment de la désydratation
• Appui sur démarrage
• Notification• Ecran verrouillage
Windows Phone
“Muti-tâches” contrôlé avec WP 7.5 Lecture audio en arrière-plan
Média locaux et streaming Tâches séquencées
Background agents - http://msdn.microsoft.com/en-us/library/hh202942(v=VS.92).aspx
Tâche périodique : typiquement toutes les 30 mins. pour 25 sec. (limitation de la mémoire utilisée – 6Mo / 15Mo pour l’audio), contrainte sur le niveau de batterie, etc.
Tâche intensive : typiquement 10 mins, terminal connecté à une source d’énergie (et si le niveau de batterie > 90%), en Wifi, si terminal non verrouillé, etc.
Transferts de fichiers en arrière-plan - http://msdn.microsoft.com/en-us/library/hh202955(v=VS.92).aspx
Limites suivant le mode de connexion (Wifi, 3G, etc.), tant en volume qu’en débit
Notifications planifiées : alarmes et rappels - http://msdn.microsoft.com/en-us/library/hh202946(v=VS.92).aspx
Commutation rapide entre applications (Fast app Switching) Capacité par l’utilisateur de naviguer entre les
applications lancées de manière transparente (préservation du contexte applicatif)
Windows Phone
Aucune application chargée via Marketplace n’a d’activité en arrière plan (ajouts avec depuis WP7.5: multi-tâches contrôlé).- Plus difficile d’écrire un malware caché (mais aussi une application de
management…)
L’utilisateur dispose du contrôle
En matière de sécurité…
Windows Phone
Isolation et Execution
Seules les applications disposant d’une licence Marketplace s’exectuent Les applications sont isolées (bacs à sable) dans des chambres installées lors de
l’exécution. La gestion de l’allocation des ressources garantit la réactivité des applications de
premier plan (mono-tâche) La gestion des ressources garantit que l’utilisateur peut toujours démarrer une
application valide (les applications « obscurcies » sont susceptibles de disparaitre pour libérer des ressources)
Applications &
licences
Répertoires applicatifs
Applications
Windows Phone31
“Chambres” Principe d’isolation et de moindre privilège
Chaque Chambre est un périmètre de sécurité dont la politique est définie par l’OS qui contrôle aussi les capacités des processus s’y exécutant
Une capacité représente un élément de vie privée, sécurité, coût, etc. (ex: localisation géographique, caméra, réseau, capteurs, appels tel., accès Web, etc.)
Trusted Computer Base (permissions fixes) Privilèges maximums - Drivers en mode noyau Contrôle la mise en œuvre des politiques de sécurité Composants limités fonctionnant dans la TCB
Elevated Rights Chamber (permissions fixes) Drivers en mode utilisateur Pas d’accès aux politiques de sécurité Conçu pour les services partagés de l’OS
Standard Rights Chamber (permissions fixes) Toutes les applications en ROM: Outlook, etc.
Least Privileged Chamber (permissions variables) Toutes les applications installées via le Marketplace. Accès basés sur le manifeste déclaratif Chaque LPC est isolée et ne peut communiquer avec les autres Chaque LPC dispose de son propre stockage isolé uniquement accessible par l’application
Windows Phone
KernelHardware BSP
App Model UI Model Cloud IntegrationApp management
LicensingChamber isolationSoftware updates
Shell frame Session managerDirect3DCompositor
Xbox LIVEBingLocationPush notificationsWindows Live ID
SecurityNetworkingStorage
Hardware Foundation
Capacités des applications
Chaque application s’exécute dans un processus isolé bénéficiant du principe de moindre privilègeChaque application dispose d’un code conforme CLS (Common Language Specification)
Les Frameworks (Silverlight, XNA, etc.) permettent l’interaction entre les modèles (App, UI) et les fonctionnalités du téléphone.
Le “bac à sable” est instancié sur les bases des capacités déclarées via le manifeste (toute capacité non déclarée est inaccessible)
Le system provisionne l’environnement d’exécution pour l’application
App Domain
XNA Game Object
CLR
App Model Host
Silverlight XNA HTML/JavaScript
Silverlight Application Object
Frameworks
Push Notifications
Location
A-GPS Accelerometer Compass Light ProximityMedia Wi-Fi Radio Graphics
CompasA-GPS
Windows Phone
Aucune application chargée via Marketplace n’a d’activité en arrière-plan (ajouts avec depuis WP7.5: multi-tâches contrôlé).- Plus difficile d’écrire un malware caché (mais aussi une application de
management…)- Les seules activités
L’utilisateur dispose du contrôle. Chaque application est isolée des autres (bac à
sable) et dispose de privilèges réduits ainsi que de capacités utilisées explicitement (interdit de solliciter des capacités non déclarées).
En matière de sécurité…
Windows Phone
Windows Phones updateMicrosoft fourni un mécanisme de mise à jour du terminal après l’achat
Windows Phone Update
Mises à jour de l’OS
Permet à Microsoft et ses partenaires des mises à jours de Windows Phone via le client Zune sur le PC
MicrosoftUpdates
• Applications Microsoft• OS de base et améliorations• Bug et problèmes de sécurité
OEMUpdates
• OEM, MO, Qualcomm & IHV updates• Fichiers, BdD, drivers, paramètres, etc.• Applications pré-chargées (1ere exécution)
Windows Phone Marketplace
Mises à jourApplicatives
Permet aux partenaires de diffuser des mises à jours pour les applications disponibles via MarketPlace
OEM/MO Updates
• Applications pré-chargées (après la 1ere exécution)
• Applications acquises via Marketplace
ISVUpdates
• Applications acquises via Marketplace
Windows Phone
Windows Phones update
Pre-Planning AcceptationTechnique
Planning & Développement Publication
1. Notification OTA
2. Téléchargement
3. Installation via Zune PC
Service Microsoft Update
Windows Phone
Modèle de sécurité
ArchitectureLogicielle
ModèleApplicati
f
FondationMatérielle
ModèleInterface
s
Intégration des Services
Privés
Windows Phone37
Hub Office
Tous les documents Office dans un seul endroit Prenez des notes et synchronisez les avec votre
PC Editez et synchronisez facilement vos documents
Office
Windows Phone
Windows® Phone 7 et l’Entreprise
38
Protection des informations de l’entreprise
Politiques de mots de passe Exchange ActiveSync®
Effacement à distancePas de transfert de données (hors média/ Zune) depuis le PC ou la micro SDCard.Support du DRM (IRM) depuis WP 7.5
Intégrité des données
L’isolation des applications empêche le partage des ressources inter-applicationsCertification des applications via Marketplace Internet Explorer® Mobile aide à vous protéger de codes malicieux sur Internet (LPC)
Transmission des données sécurisée / Authentification
Chiffrement SSL (128/256 bits)Wi-Fi : - WEP, WPA (PSK, ENT) and WPA2 (PSK, ENT)
- PEAP-MSCHAPv2 pour l’entreprise
NTLM pour Outlook, SharePoint &IE
Pilote Microsoft pour le Bluetooth 2.1 : certifié SDL
Accès sécurisé à SharePoint Forefront™ Unified Access Gateway (UAG) –VPN SSL pour l’accès à SharePoint / Publication de ressources.
Windows Phone
Direct Access
Architecture UAG
DataCenter / Réseau Corporate
Sous-traitants Lecture/écriture ciblées sur les sites Sharepoint
Internet
AD, ADFS,RADIUS, LDAP….
HTTPS (443)
UAGMaison/ Kiosque en lecture seule
Machines gérées par l’ITAccès total suivant rôles(Direct Access)
Mobile
•Exchange•CRM•SharePoint•IIS based•IBM, SAP, Oracle
TS / RDS
Non web
HTTPS / HTTP
Windows Phone
Support Exchange ActiveSync
40
Exiger un mot de passe (simple autorisé / complexe obligatoire)
Contraint l’utilisateur à définir un mot de passe d’accès au terminal (sauf appel d’urgence).
Longueur du mot de passe
Délivre un message d’erreur si le mot de passe est trop court.
Délai avant le verrouillage automatique
Autorise un délai avant verrouillage jusqu’à 5 minutes.
Nombre de tentatives avant effacement
Prévient l’utilisateur d’un nombre de tentatives maximum. Efface le téléphone lors du dernier essai infructueux.
Accepter des valeurs simples
Empêche l’utilisateur de définir un mot de passe simple
Expiration du mot de passe
Rappelle à l’utilisateur de changer le mot de passe avant expiration. Ensuite, verrouille le téléphone jusqu’à ce que le mot de passe soit changé.
Historique des mots de passe
Mémorise tous les mots de passe, empêche l’utilisateur de réutiliser le même mot de passe.
http://blogs.technet.com/b/jribeiro/archive/2010/08/06/comparison-of-exchange-activesync-clients-windows-phone-windows-mobile-android-nokia-apple-palm.aspx
Windows Phone41
Les bases de la configurationMoins de complexité
Synchronisation des mails OTA ou Wi-Fi uniquement Pas de synchro locale (Zune uniquement pour
le multimédia)
Gestion des certificats (authentification utilisateurs uniquement dans un contexte Exchange)
Transmission des données OTA ou Wi-Fi uniquement Ni via Bluetooth ni via IrDA
(infrarouge) Ni via micro SDcard
APN configurable
Windows Phone
Windows Phone 7 – Chiffrement
Communications et données Chiffrement des communications via Mobile IE et Web Services - SSL
Algorithmes supportés par WP 7 (utilisables via des applications Silverlight) AES HMACSHA1 HMACSHA256 Rfc2898DeriveBytes SHA1 SHA256
Isolation du stockage Chiffrez vos données sensibles
Windows Phone
Modèle de sécurité
ArchitectureLogicielle
ModèleApplicati
f
FondationMatérielle
ModèleInterface
s
Intégration des Services
Cloud
Windows Phone
Concepts Cloud
Windows Phone
Services clients d’intégration Cloud
Interfaces (API) et services utilisateurs intégrés avec les services Microsoft (Localisation, notification, Live, etc.)
Interfaces (API) “familières” pour consommer des services Web 2.0
Frameworks
Votre Service WebAzure & Web services
privés
Application
Windows Phone 7
Services Web tiers
Microsoft Services
Service Notificatio
n
Service Localisatio
n
Windows Phone
Windows Phone MarketplacePlace de marché permettant l’achat et l’installation l’applications sécurisées• Période d’essai
• Très simple d’achat et de téléchargement
• Flexibilité de paiement
• Mises à jours simplifiées
Zone privée (annoncée avec WP 7.5) permettant la publication d’applications « Entreprises »• Applications certifiées avant distribution
• Applications “cachées” pouvant devenir “publiques” à volonté
• Les développeurs peuvent mettre à jour les applications.
• Pas de limite sur le nombre d’utilisateur
• Pas de contrôle d’accès sur la distribution (deeplink), payante ou gratuite
46 Windows Phone
Soumission d’applications sur Marketplace
Windows Phone 7 Application Certification Requirements
Windows Phone
Windows Live Services
DÉMONSTRATION
http://windowsphone.live.com/
Windows Phone
Windows Phone52
Enfin, les utilisateurs… Consumérisation de l’IT
Un minimum « d’éducation » est indispensable (social engineering, comportements, etc…)
53 Windows Phone
Les risques du Cloud
Windows Phone
Pas de chiffrement des cartes de stockage (mais il n’y en a pas – mécanisme de verrouillage via paire de clefs 128 bits).
Pas de chiffrement du terminal dans son ensemble (mais alternatives via chiffrement applicatif)
Pas de synchronisation avec le PC en dehors des contenu média via Zune (Activesync PC / RAPI n’existe plus)
Pas d’IrDA
Pas de support des applications non signées (signature Marketplace obligatoire et pas de “side loading”).
- Toute application « externe » est signée et déclare ses « capacités » de manière déterministe
Pas de “White list” / “Black list” applicative (seules les applications signées s’installent, et l’ouverture du MarketPlace privé permet de contrôler la diffusion d’applications entreprises).
Pas de mise à jour OTA (mais notification et usage de Zune PC)
Pas de multitâches (expérience utilisateur n’en souffre pas. Multi-tâches contrôlé avec WP 7.5), mais aucune application chargée via Marketplace n’a d’activité « cachée »
Un outil de management « Entreprise »???
Finalement que manque-t’il à Windows Phone 7 ?
Windows Phone
Coté gestion des terminaux
System Center Configuration Manager 2012 (MDM)
Prise en charge les appareils Android, iOS, Symbian et Windows Phone 7, connectés à Exchange Serveur (gestion « légère ») Politiques liées à EAS :
Code PIN pour accès à la synchronisation Exchange. Durée d’e validité (expiration) d’un code PIN Longueur minimum PIN Durée d’inactivité avant verrouillage par code PIN Nombre de tentatives infructueuse pour la saisie du code PIN. Etc.
En plus de la réinitialisation automatique, l’administrateur Exchange et/ou l’utilisateur peuvent la provoquer (OWA).
Les terminaux Windows CE/Mobile 5.0, 6.x profitent d’un management plus large Déploiement d’applications Inventaire Etc.
Windows Phone
Ressources
56
Windows Phone IT Pro Blog: http://blogs.technet.com/b/windows_phone_for_it_pros/
Windows Phone IT Pro Articles:http://go.microsoft.com/fwlink/?LinkId=207799 http://www.microsoft.com/download/en/details.aspx?id=27743
System Center Configuration Manager:http://www.microsoft.com/en-us/server-cloud/system-center/default.aspx
Windows Phone
© 2010 Microsoft Corporation. All rights reserved. Microsoft, Windows, and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries.
The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the
date of this presentation. MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION.
