Skärp säkerheten för iPhone och iPad

Apples mobila plattform drogs länge med ett rykte om att vara bristfällig när det gällde säkerheten. Sedan dess har man lagt manken till för att produkterna ska leva upp till företagens hårda säkerhetskrav och bli ett reellt alternativ på jobbet. Samtidigt ökar den så kallade ”byod”-trenden (byod utläses ”bring your own device”): de anställda, och särskilt den yngre generationen, vill kunna använda egna datorer, telefoner och läsplattor på jobbet och det ställer helt nya krav på företagen i fråga om support, infrastruktur och säkerhet. Vare sig företaget vill omfamna byod-trenden eller införa iPhone och iPad som ett alternativ till befintliga mobila produkter är den viktigaste frågan för de flesta företag den om produkternas säkerhet.

 

Så sent som i maj i år släppte Apple ett dokument riktat till företag som beskriver iOS-plattformens upp­byggnad i fråga om säkerhet. Här beskrivs arkitekturen i relativt sakliga ordalag utan att man vare sig slår sig för bröstet eller gör ner konkurrenterna. Flera bedömare, bland annat den amerikanska tekniksajten CNet, tolkar detta som en ökad vilja från Apple att lätta på det hemlighetsmakeri de gjort sig kända för och som verkar vara effektivt för att bygga upp hajp kring deras produkter i medierna, men som samtidigt funkar dåligt när du ska ha en fungerande relation till stora organisationer och företag.

 

Fredrik Klasén, säkerhetsspecialist på F-Secure.

 

Enligt Fredrik Klasén, som är säkerhetsspecialist på F-Secure, handlar det om ”first mover advantage”:

 

– Länge var Blackberry standard för de större företagen, särskilt de som opererar internationellt med bas i USA.

 

– Det kan vara det som Blackberry byggt på: att man var tidigt ute på marknaden och kunde erbjuda mobiler anpassade till stora företag. Jag kan också tänka mig att de blivit stora i USA på grund av att man där har man väldigt strikta regler för storföretagen, menar han.

 

Per Hellqvist på Symantec tror snarare att det handlar om att Blackberry gjort det lätt för sig och helt enkelt inte erbjuder så många ”attackytor”.

 

– Blackberry har en bra säker­hets­historik mycket på grund av att de inte har så många funktioner. De anställda kan i princip kolla mejlen och där har de en krypterad överföring mellan enheten och e-postservern, säger han och fortsätter:

 

Per Hellqvist, säkerhetsexpert på Symantec.

 

– De flesta andra funktioner, som webbläsare, är i lightversion, de anställda ska inte kunna göra så mycket annat på sin jobbmobil. Ofta är det ju så att de som tillåter flest funktioner och inställningar även är de som tillåter mest skadlig kod. Det gäller ju till exempel Android jämfört med iOS, förklarar Per Hellqvist.

 

Nasdaq OMX är ett internationellt företag med extrema krav på säkerhet och de använder i dag Blackberry som standardtelefon för sina anställda.

 

– Det beror på att vi opererar på den allra yttersta flanken av säkerhetskrav, och säkerhet är ju deras nisch, säger Carl-Magnus Hallberg som är CIO på Nasdaq OMX.

 

– Men vi jobbar med både Apples och Microsofts lösningar, och även mot Android-plattformen, med några specialistleverantörer som kan lägga på ett mjukvarubaserat skydd.

 

Lösningen för dem som vill använda Appleprodukter hos Nasdaq OMX är en virtuell miljö uppbyggd med hjälp av virtualiserings­tjänsten Citrix.

 

– Du kommer åt i princip allt via Citrix i dag, däremot kan det gå snabbare att jobba direkt med företagsdatorn på kontoret, berättar Carl-Magnus Hallberg.

 

Carl-Magnus Hallberg, CIO på Nasdaq OMX.

 

Medarbetare på Nasdaq OMX kan komma åt sin arbetsyta var som helst i världen, antingen via gästnätverket på kontoret, en dator på en flygplats eller ett internetkafé. Lösningen bygger på att ingen information lagras på enheten och att det är Citrix som är bärare av användargränssnittet.

 

Lars Bohm som är ansvarig för technology consulting på Accenture gör bedömningen att iOS är en tillräckligt säker plattform för deras verksamhet:

 

– Vår uppfattning är att iPhone är en säker produkt och att den har en acceptabel säkerhetsnivå för oss. Men man får ju ta detta från fall till fall, säger han.

 

På Accenture har de anställda tillgång till bland annat e-post via sin iPhone, men företaget har kontroll över hur den hanteras så att den till exempel inte kopieras till en hemdator eller en molntjänst.

 

– Det kan vara ett problem för vissa organisationer, men vi tillåter inte att man lagrar vår information hos tredjepartsleverantör. Den möjligheten är spärrad hos oss. Vi har full kontroll över vår e-post och man kan inte replikera mejl på någon annan enhet, säger Lars Bohm.

 

Det här är en av de två saker som företagen framför allt oroar sig för när det gäller mobila enheter: risken att känslig information från enheten förs över till en dator, tredjepartsmolntjänst eller till något annat som ligger utanför företagets kontroll. Det andra är vad som händer om den anställde tappar mobilen eller får den stulen.

 

– Om jag tappar min mobila enhet så måste vi säkerställa att ingen kan komma åt informationen i den. I normala fall är det inget problem, för vi har säkerhetsprogram som gör att man kan radera enheten, men om den som stjäl enheten medvetet tar ur simkortet så att man inte kommer åt den via nätverket så måste man ha bra kryptering på enheten för att tjuven inte ska kunna ta fram informationen, förklarar säger Carl-Magnus Hallberg på Nasdaq OMX. 

Lars Bohm, ansvarig för technology consulting på Accenture.

 

Informationen i iOS är skyddad i flera steg. Först är själva flash-minnet krypterat med en 256-bitars AES-kryptering, sedan kan varje apptillverkare välja att skydda data i sin app med ytterligare kryptering. Ovanpå detta ligger lösenordsskyd­det av själva enheten, som går att ställa in så att den låser sig helt, eller till och med raderas, när tillräckligt många felaktiga lösenord matats in. Allt detta är naturligtvis lönlöst om inte företaget kräver att deras anställda har lösenordsskyddet aktiverat på sina enheter.

 

Och många har inte lösenord på sina telefoner och iPad.

 

– En av de första punkterna på en säkerhetspolicy för mobila enheter är att kräva att lösenord är påslaget, säger Per Hellqvist på Symantec.

 

Den funktionen, och många andra, kan it-avdelningar fjärrstyra via ett mobile device management- eller remote management-system.

 

– Ha det som policy på företaget: ska folk ta med sig egna enheter måste företaget få kontrollera enheten på ett eller annat sätt, till exempel kunna låsa den eller styra vilka funktioner som ska tillåtas. Apple Configurator är Apples gratisprogram för remote management och redan på gratisnivån har man ganska många möjligheter. Oavsett om det är ”byod” eller en kontrollerad miljö är remote management ett måste i dagens läge, avslutar Fredrik Klasén på F-Secure.

 

Apple Configurator, Apples gratisprogram för remote management.

 

8 starka säkerhetstips!

 

• 1. Diskutera igenom vad ni vill uppnå med företagets mobila strategi och lägg säkerhetsribban därefter.
• 2. All mobil datahantering innebär risker och det finns inget system som är till 100 procent säkert. Man måste alltid väga riskerna mot fördelarna.
• 3. Använd alltid mdm-system (mobile device management). För många räcker det med Apples egna, som dessutom är gratis. Sök efter ”Apple Configurator” i Mac App Store. Här kan du göra allt från att ställa in vilka appar som företagets telefoner ska få använda till att centralt uppgradera firmware.
• 4. Informera de anställda om företagets säkerhetspolicyer och varför ni infört dem så slipper ni ha så mycket tekniska begränsningar.
• 5. Det är lättare att ha en solid säkerhetspolicy för mobila enheter om företaget bara har en plattform och helst även samma version på telefonerna. Då är det lättare att centralt styra firmware-uppdateringar, inställningar, rättigheter och så vidare.
• 6. En fördel med iOS-produkter som man kanske inte tänker på direkt är att de har ett skyhögt andrahandsvärde jämfört med konkurrerande produkter. Det kan innebära en besparing när det är dags att uppgradera. 
• 7. En iOS-enhet som är upplåst, ”jailbreakad”, av ägaren är per definition mindre säker, även om det inte måste innebära någon drastisk risk (kom bara ihåg att byta root-lösenord!). De större säker­hetslarm som rört iPhone och iPad har dock i princip ute­slutande drabbat jailbreakade enheter. 
• 8. En risk med Apple-produkter är att de på grund av sin popularitet är extra eftertraktade av tjuvar, även om tjuven inte i första hand är ute efter att stjäla några företagshemligheter.