MDMはひどい：セキュリティソリューションがセキュリティを傷つけるとき

ブラックベリーの悔しさの多くに、ほとんどの人は、自分が選んだ楽しいスマートフォンと一緒に、ずんぐりした職場の電話を持ち歩くことに興味がありません。 そのため、大企業はモバイルデバイス管理（MDM）に多額の投資を行っています。 しかし、これらのセキュリティツールはどれほど安全ですか？ 最近のBlack Hatのデモには驚くべき答えがありました。

大企業ではない人のために、MDMを使用すると、企業のITディレクターが従業員の個人の電話をある程度制御できます。 たとえば、MDMは機密データ用のスペースを隔離し、特別な企業アプリをインストールできます。 これは重要なセキュリティツールですが、NTT Com SecurityのStephen Breen氏とChris Camejo氏は、それが実際にどれだけ安全であるかについて非常に難しい質問をするべきだと考えています。

危険にさらされているもの

プレゼンターは、MDMを使用する1億8千万台の持ち込みデバイスが現在あり、その数値は2015年までに390ミリオンに増加すると予想されていると述べました。従業員。 それらのほとんどは、企業の電子メールにアクセスします。

侵入テストを通じて、このペアは無数の脆弱性を発見しました。 それらのほとんどは、認証を無視し、暗号化なしでログイントークンを送信し（場合によっては、これらのトークンを無期限に設定する）、さらに複雑な攻撃のステージを設定するなど、非常に基本的なものでした。

チームは、わずかな労力で個人情報を入手したり、MDMサーバーを使用して無実の電話をワイプしたりできると結論付けました。 おそらく、彼らが発見した最悪の攻撃は、攻撃者のデバイスで正当な電話のIDを模倣することでした。 攻撃者の電話は、合法的なものすべてにアクセスできるようになりました：電子メール、共有ドライブ、ドキュメントなど。

問題を悪化させているのは、多くの異なるベンダーがすべて同じまたは同様の間違いを犯していることです。 したがって、problemsはさまざまなプロバイダーに固有です。 興味深いことに、AppleはMDM開発者が従うべき厳しい要件を設定しているため、プレゼンテーションの大部分がiOSに焦点を当てています。 Breenによると、Appleのアプローチは健全に見えます。

安全でないセキュリティ

発表者は、聴衆に対するいくつかの驚くべきアドバイスで講演を締めくくった。 何よりもまず、企業は自社のネットワークに展開するものについて非常に慎重に考える必要があるということでした。 おそらく、彼らはMDMをすべて一緒に控えることによって提案した。

「すべてが攻撃対象領域を拡大します」とカメジョは言いました。 無情に聞こえるかもしれませんが、一人の従業員の電話が盗まれた場合、泥棒はその従業員の情報にしかアクセスできません。 ただし、MDMはより多くの損傷を許容します。 「脆弱なMDMサーバーは、MDMのないモバイルデバイスよりも劣っています。」

彼はまた、MDM企業を、彼が説明したものを、あいまいさによるセキュリティと見なしました。 彼らが見つけた問題は、発見するのが難しくなかったとカメジョは言った。 これは、おそらくMDMソフトウェアの入手に伴う高コストのために、人々は単に脆弱性を探していないことを意味します。

もちろん、MDMが悪に使われるのを見るのはこれが初めてではありません。 Skycureがいわゆる悪意のあるプロファイル攻撃を使用して私のiPhoneを制御したのは、それほど昔ではありませんでした。 これは、解決しようとしている問題よりも悪い可能性のある1つのソリューションです。