Модель угроз мобильного устройства

Аватар пользователя alukatsk
Автор: Лукацкий Алексей,
(26)
()
Заказывали у меня тут курс по безопасности мобильной и беспроводной инфраструктуры, для которого, очевидно, надо было составить модель угроз мобильным устройствам, от которой затем отталкиваться в самом материале, описывая для каждой угрозы соответствующие меры нейтрализации. Решил поделиться полученной моделью угроз.


Пока не систематизировал полученный перечень угроз, как и не расставлял их приоритеты и актуальность. Понятно, что у каждого специалиста будет свое видение этого вопроса.


Постарался учесть все, что пришло в голову, касающееся и программных и аппаратных угроз, а также такие вещи, как кража легитимного ПО и контента (нечастая проблема, наверное), ПЭМИН (очень специфическая угроза) и т.п.


Вспоминая про регулярную подмену данных геолокации около Кремля, не мог не включить и эту угрозу. В отдельных случаях это может привести к направлению жертвы по ложному пути/адресу.


На днях прошла новость о том, что можно узнать пароль (PIN) от смартфона по тепловому следу на клавиатуре/экране мобильного устройства. Угрозу инфракрасному каналу тоже включил, хотя давно не видел устройств с таким интерфейсом.


Ну и следуя модным тенденциям, не забыл включить угрозы со стороны инфраструктуры производителей (несанкционированное обновление, несанкционированное/случайное копирование данных с устройства в облако производителя и т.п.). Спецслужбы (несмотря на скандал с ЦРУ / Vault 7) не включал, так как они являются источником угроз, а сами угрозы реализуют те, что в модели перечислены.


Жизнь постоянно преподносит сюрпризы, показывая возможность реализовать угрозы, которые раньше считались или теоретическими или вообще невозможными. Поэтому, не претендуя на полный список всех угроз, я посчитал нужным включить два слайда с архитектурой мобильного устройства и экосистемой их взаимодействия с внешним миром. Эти слайды позволяют увидеть угрозы, которые я по каким-то причинам не включил.


Слайд с экосистемой очень общий и в каждом конкретном случае может быть расширен. Например, уточнен список облачных сервисов приложений, которые могут добавить ряд новых угроз, отсутствующих изначально в списке.


ЗЫ. Если что-то не включил, то буду рад дополнить и обновить слайды.
Оцените материал:
Total votes: 119
 
Комментарии в Facebook
 

Комментарии на сайте

Аватар пользователя Атаманов Геннадий

Читал-читал, но так и не понял, кто кому угрожает: мобильное устройство кому-то (а как иначе трактовать фразу «модель угроз мобильного устройства»?) или кто-то мобильному устройству. Правда, я ни разу не слышал, чтобы кто-нибудь когда-нибудь угрожал мобильному устройству. Это как? «Я убью тебя, мобила!»? Или: «А я всё равно подсмотрю через плечо твоего хозяина, чё у тебя на экране!»?

Много лет назад был свидетелем такой ситуации: воспитатель детсада говорит мамаше: У вашего сына признаки шизофрении: он на вопрос психолога «чем отличается бабочка от самолёта?» сказал, что «бабочка машет крыльями, а самолёт нет», а должен был сказать: «бабочка одушевлённый предмет, а самолёт – нет».

Получается, что по мнению психологов и «угроза мобильному устройству», «угроза информации», «угроза персональным данным» и прочие угрозы неодушевлённым предметам – это признак шизофрении. По моему мнению – признак методологической безграмотности. Угрожают всегда только субъекту! В данном случае – владельцу мобильного устройства (которым, кстати, может быть не только телефон, но и радиоприёмник, навигатор, радиомаяк и прочие носимые/возимые штучки).

up
13 users have voted.
Аватар пользователя Атаманов Геннадий

Продолжение:

Почти всё, что перечислено в статье в качестве угроз, на самом деле не угрозы, а способы их реализации. Способов может быть миллион, а угрозы могут быть только трёх типов:

1) деструкции (повреждение, уничтожение);

2) дисфункции (нарушение функциональности);

3) дискомфорта (ухудшение условий использования).

Об этом более подробно здесь: http://gatamanov.blogspot.ru/2014/09/blog-post_24.html.

Моих коллег особенно впечатлил в качестве угрозы мобильному устройству «социальный инжиниринг». Меня – «смена SIM-карт». Круто же!? Берешь это свою мобилу и так с нотками металла в голосе ей: а я тебе сейчас SIM-карту поменяю! Мобила от страха в крик. А ты ей: а я сейчас видео-запись происходящего включу! От такой угрозы, я думаю, она точно ёжика родит. А может, посмеётся? Поди, пойми её, мобилу, как она на угрозы отреагирует.

up
25 users have voted.
Аватар пользователя alukatsk

Вот именно по причине такой манеры ведения дискуссии (или это не дискуссия, а демонстрация собственного превосходства?) к вашему мнению никто и не прислушивается - ни в отрасли, ни у регуляторов

up
7 users have voted.
Аватар пользователя rohoguna

Согласен с Алексеем. Даже самое правильное мнение, высказанное неподобающе может отталкивать. 

Проблема к подходу анализа угроз существует и это факт. Мне кажется, что это более комплексная проблема и она выходит далеко за рамки защиты информации. Неумение пользоваться терминами приводит к вполне реальным ошибка. В данном случае перепутан субъект воздействия или не совсем корректно выражена позиция автора. 

Если рассматривать человека, как субъект воздействия, то и угрозы будут получаться другие, а также и подходы к защите меняются. Например, "угроза" доступа посторонних к смс:

1. Если рассматривать её с позиции, определённой в статье, то она актуальна всегда и надо что-то делать (покупать дорогостоящее ПО, антивирусы, использовать криптофон и многое другое);

2. Если рассмотреть с точки зрения человека, то можно определить является для него это угрозой или нет. Для кого-то это совсем не проблема, максимум который могут увидеть злоумышленники - это "купи хлеба". В данном случае и делать ничего не надо и угрозы нет никакой. 

Или же можно рассмотреть с позиции существования этой угрозы в принципе. Заголовок в газете: "Хакеры угрожаю клиентам банка ... украсть деньги через мобильные телефоны". Получается конкретная угроза, адресованная конкретным лицам. Если я не являюсь клиентом банка ..., то и угрозы для меня нет. 

Скорее всего описанное в данной статье является уязвимостями или же способами воздействия. Если можно, хотелось бы поподробнее узнать о цели данного материала.

up
8 users have voted.
Аватар пользователя Атаманов Геннадий

Г-н Аноним, что неподобающего Вы нашли в моём комментарии? Я что, обозвал кого-то земляным червяком? Или по Вашему мнению приведенная в посте т.н. "модель угроз" составлена методологически грамотно? Или Вы считаете, что размещать в открытом доступе методологически не очень состоятельные материалы это подобающе, а указывать на это их автору - неподобающе? Странно!
Я же считаю (и писал об этом неоднократно), если ты выкладываешь материал в открытый доступ, то должен быть готов к критике, в т. ч. и жесткой. Главное - не огульной и не хамской. Надеюсь, вывод о том, что данный материал методологически безграмотен, это не хамство? А то, что он не огульный подтверждает и Ваш комментарий.

up
14 users have voted.
Аватар пользователя alukatsk

В заметке вроде как написано, что приоритеты и актуальность я не определял - они у каждого свои

up
11 users have voted.
Аватар пользователя rohoguna

Всё правильно, они у каждого свои, если субъект - человек, но одинаковы, если субъект - мобильное устройство

up
8 users have voted.
Аватар пользователя alukatsk

Они тоже могут быть разными - зависит от типа устройства. У одного устройства может не быть IR, у другого SD-слота. Но угрозы также зависят от цели применения устройства. И не стоит забывать (про это часто забывают), что мобильное устройство может вообще не иметь человека, как пользователя, и быть субъектом самим по себе

up
9 users have voted.
Аватар пользователя rohoguna

Как можно определить актуальность для таких устройств? Получается, это должно делать само устройство? 

up
12 users have voted.
Аватар пользователя alukatsk

Нет, конечно :-) Владелец процесса, в котором участвует устройство. Только владелец не является субъектом в данном случае

up
9 users have voted.
Аватар пользователя rohoguna

Натыкался на классификацию: индивид, корпорация, государство. Думаю, она подошла бы в данном случае

up
12 users have voted.
Аватар пользователя alukatsk

Классификацию чего? Корпорация не может быть субъектом в данном контексте

up
8 users have voted.
Аватар пользователя rohoguna

Классификация субъектов согласно гражданскому праву. Пытаюсь для себя понять, кто может представлять такое устройство и куда его можно отнести.

up
8 users have voted.
Аватар пользователя rohoguna

Классификация субъектов согласно гражданскому праву. Пытаюсь для себя понять, кто может представлять такое устройство и куда его можно отнести.

up
10 users have voted.
Аватар пользователя Атаманов Геннадий

Алексей, а я это не для Вас написал. Вам я писал много раз, указывал (очень и очень тактично) на ошибки в терминологии и подходах. Вы не устранили ни одной из них. Из чего я уже давно сделал вывод, что Вы меня не слышите и не видите того, что я Вам пишу. Писать Вам перестал. Но когда прочитал этот пост, не выдержал: сколько же можно глумиться над логикой и здравым смыслом? Поэтому этот мой комментарий не для Вас, а для читателей этого поста. И, опять же, не для всех, а только для думающих.

up
13 users have voted.
Аватар пользователя Атаманов Геннадий

Что касается демонстрации превосходства, то мы это уже обсуждали, в т.ч. и в Вашем блоге. Превосходство в чём? Там, где я претендую на истину в последней инстанции, я это заявляю открыто. Там, где я сомневаюсь, я откровенно об этом пишу. Там, где я некомпетентен, я честно в этом признаюсь. У кого-то есть доказательства обратного? Напишите.
С декабря 2012 года (с открытого письма Селину) меня периодически пытаются обвинить то в самопиаре, то в демонстрации превосходства, то ещё бог знает в чём. А по существу? По существу разработанных мной концепции безопасности и концепции информационной безопасности, начиная с 2006 г. (момента защиты диссертации), – ни одного замечания. И то, что кто-то не видит их достоинств, это не моя вина, это – беда тех, кто не видит или не хочет видеть.

Имеющий уши – услышит, имеющий глаза – увидит, но только имеющий мозги – поймёт.

up
13 users have voted.
Аватар пользователя alukatsk

А какие вы замечания хотите при вашей манере общения? Я вам еще несколько лет назад написал, что комментариев не будет. Их и нет. Вы получаете ровно такую реакцию, которую сами и формируете своими заметками и комментариями. Удачи вам и дальше вести себя также

up
10 users have voted.
Аватар пользователя Атаманов Геннадий

Алексей, открою вам страшную тайну: когда я учился на курсах переподготовки кадров в далёком 2000-м году, на психологии меня подвергли тестированию и сделали удивительный для многих вывод: я – гений компромисса. Если бы вы не только писали, но ещё и читали, что пишут другие, в частности я, вы бы обнаружили то же самое. А с вами у нас диалог не получается не потому, что я такой, а потому, что вы никого не слышите и не видите. Посмотрите свой блог. Мои – абсолютно корректные – комментарии и по делу. И вашу реакцию на них.
Теперь про этот пост. Я в чём-то не прав? По существу. Или я вас чем-то оскорбил? Чем, если не секрет? Если оскорбил, извините! Не хотел. Меня, например, оскорбляет откровенное пренебрежение логикой. В этом вашем посте её нет. Или мы все – я, Аноним, Ржавский – не правы? А если мы правы, может быть вам тоже следует извиниться? Или хотя бы признать, что данная модель ошибочна?
Про свои посты и комментарии. Прежде, чем их разместить, я их по сто раз вычитываю: нет ли грамматических ошибок, логических, методологических, не обидел ли я кого. И, несмотря на это, они (т.е. ошибки) всё равно встречаются. Я их исправляю. Даже через годы. А замечаний не бывает в трёх случаях:
1) когда читателю «до фени»;
2) когда читатель ничего не понял и ему нечего сказать;
3) когда есть, что сказать, но страшно (в психологии называется «комплекс несостоятельности»).
Отсюда, чтобы писать замечания, нужно: 1) быть неравнодушным; 2) иметь соответствующие знания; 3) обладать смелостью. Согласно логике, замечаний не будет, когда нет хотя бы одного из этих компонентов.

up
10 users have voted.
Аватар пользователя Атаманов Геннадий

Когда писал свою максиму, забыл один из важнейших компонентов – совесть. Поэтому в развёрнутом виде максима будет выглядеть так:

Имеющий уши – услышит, имеющий глаза – увидит, имеющий мозги – поймёт, имеющий совесть – оценит.

up
13 users have voted.
Аватар пользователя ser-storchak

Имеющий совесть послал бы автору личное сообщение о несогласии, а не публиковал бы комментарии с насмешками.

up
7 users have voted.
Аватар пользователя Атаманов Геннадий

А что? Правильная мысль: материал публикуем для всех, а замечания автору – в личку. Зачем знать всем, что материал … (как бы корректно выразиться, чтобы не обидеть) … содержит ошибки?
Чтобы писать … с ошибками, совесть иметь не надо, а чтобы писать комментарии – нужно иметь совесть, и чтобы без насмешек.
Про совесть – мысль правильная. И иметь её нужно. Всегда. Про насмешки – тоже согласен. В принципе. Но из каждого принципа есть исключения.
В личку не писал, но без насмешек – неоднократно. Радетелям за чистоту нравов могу посоветовать: почитайте мои комментарии здесь и на блоге Алексея. Думаю, будете неприятно удивлены.

up
10 users have voted.
Аватар пользователя ser-storchak

Блог личный, поэтому автор сам решает, как ему реагировать на комментарии: захочет - ответит, не захочет - проигнорирует. Я для себя выделил авторов двух типов: те, кто соглашаются с критикой и корректируют статью; те, кто считает, что читатель должен прочитать комментарии к статье и самостоятельно сделает соответствующие выводы. В последнем случае можно  увидеть ход мыслей  (доводы) каждого из сторон.

up
8 users have voted.
Аватар пользователя Атаманов Геннадий

Судя по тексту, Вы посмотрели то, о чём я написал выше, и поняли, кто есть кто? В смысле, к какой категории по Вашей классификации отношусь я, и к какой автор этого поста. Уточнять не буду, дабы не породить новых (никому не нужных) дебатов.

К Вам, и ко всем потенциальным читателям: претензии не по стилю, а по сути моих замечаний есть? Есть те, кто считает предложенную автором поста «модель» логически верной, а мои комментарии логически неверными?

А что касается стиля, то он тоже оказался верным и (для тех, кто не понял) навеян идеями, изложенными в http://bis-expert.ru/blog/660/54909. Беру на вооружение лучшие практики по совету ведущих экспертов.  Напиши я как всегда, никто и внимания не обратил бы, и пошла бы гулять эта … логически не очень верная … «модель» по миру. А теперь может кто и задумается.

up
11 users have voted.
Аватар пользователя ser-storchak

Я согласен с Вами, что Алексей описал реализацию атак на мобильное устройство, а не модель угроз. Но то, как вы высказали свое мнение, повлияло на решение Алексея о принятии Вашей позиции. Человеку свойственно игнорировать людей, которые ему неприятны.

up
5 users have voted.
Аватар пользователя Атаманов Геннадий

Я думал, что мы уже расставили все точки над i, но видимо, ошибся.
Алексей-то как раз и не проигнорировал, а в очередной раз перешёл на личности. Это я писал этот комментарий не для него, а для читателей этого поста. Как он и советовал – в картинах. Чтобы ошибочность данной модели стала наглядной.
Один вопрос, на который можно не отвечать: это Алексей поручил Вам разъяснить мне его позицию? Спасибо, конечно. Учту. Но маленькая ремарка: не нужно путать людей и их мнение. У нас с Алексеем «шапочное» знакомство и вряд ли он успел воспылать ко мне неприязнью (во всяком случае, он мне об этом не сказал, хотя имел такую возможность), а вот к критике – допускаю. На эту тему даже есть такой анекдот: наш шеф любит критику, но не любит критикующих. Так бывает, когда эмоции превалируют над рассудком. А, как известно, эмоции не лучший советчик.

up
12 users have voted.
Аватар пользователя ser-storchak

Я ждал этого вопроса =)

Это не позиция Алексея, это моя личная позиция. Мне самому приходится сталкиваться с агрессивной критикой в свой адрес, поэтому ваш комментарий задел меня по касательной.

up
7 users have voted.
Вы сообщаете об ошибке в следующем тексте:
Нажмите кнопку «Сообщить об ошибке», чтобы отправить сообщение. Вы также можете добавить комментарий.