Dagens løsninger for å låse opp mobiltelefoner, for eksempel skjermmønster, pin-koder eller reelle passord, oppleves av mange som upraktiske når man kanskje nødt til å gjøre dette 50 til 100 ganger om dagen. Derfor kom Motorola nylig med Skip, en NFC-basert klemme som låser opp skjermen når mobilen beveges i nærheten av klemmen.
En annen metode som ventes å bli utbredt i året som kommer, er fingeravtrykkleser. Alle solemerker tyder på at etterfølgeren til iPhone 5 vil utstyres med en slik leser, men også andre er ventet å følge etter.
Digi.no har spurt den norske IT-sikkerhetsrådgiveren Per Thorsheim om hans syn på disse nye metodene.
Thorsheim vil ikke gå så langt som å fraråde bruk av NFC-baserte løsninger som Motorola Skip, men han mener at det alltid er viktig å gjøre en viss sikkerhetsvurdering.
Det er tre scenarier Thorsheim ser for seg, hvor Skip eller tilsvarende løsninger kan utgjøre en økt sikkerhetsrisiko.
Det ene er i forbindelse ran, hvor noen blir tvunget til å gi fra seg mobilen. Det er trolig langt enklere for tyven å få med seg også NFC-enheten, enn å greie å overtale offeret til å oppgi pin-kode eller passord.
Det andre scenariet handler om at mange låser mobilen også fordi de ikke ønsker at familiemedlemmer, kolleger eller venner skal få tilgang til den personlige informasjonen som er lagret på den. Dersom man legger fra seg både mobilen og NFC-enheten på nattbordet, kan andre utnytte dette. Fastmonterte NFC-klistremerker, som Skip dots, øker risikoen for slik adgang.
Det tredje scenariet Thorsheim nevner, handler om justismyndighetene. Dersom en siktet person nekter å oppgi pin-kode eller passord til mobilen sin, kan det være langt enklere for politiet å få tilgang til å granske innholdet på den personen også har en NFC-basert nøkkel som Skip på seg under innbringelsen.
Thorsheim regner i tillegg med at enkelte er vil være totalt tankeløse når det gjelder mobilsikkerheten, ved at de fester NFC-klemmen til for eksempel mobildekslet, slik at mobilen forblir ulåst.
Videoen ovenfor er laget av Engadget og viser hvordan Motorola Skip fungerer.
– Slik dette fungerer, blir jo NFC-muligheten en ren «usability feature» sett fra Motorolas og brukerens ståsted. Sett fra angriperens ståsted blir det nok en angrepsvektor, som attpåtil lar seg duplisere, i tillegg til «backup-metoder» som for eksempel mønster, pin eller passord, skriver Thorsheim i en e-post til digi.no.
Fingeravtrykkleser
– Fingeravtrykk på mobile en interessant. Vil det kun lagres lokalt, eller vil det lastes opp til Apple? Sistnevnte variant regner jeg med Datatilsynet kan ha meninger om. I mange sammenhenger og produkter så langt er fingeravtrykk en ekstra «usability feature», og ikke en dypt integrert sikkerhetsfunksjon. Med det mener jeg at dens primære mål er å forenkle brukeropplevelsen (akkurat som Moto X med NFC), ikke for å øke sikkerheten på noen måte, skriver Thorsheim.
Han legger til at mobiltelefoner (og nettbrett) med fingeravtrykkleser allerede finnes på markedet, slik som disse Android-enhetene fra Taztag. Det er likevel først nå at slike løsninger kan være i ferd med å bli aktuelle for massemarkedet.
«Bakdør»
– Vi som forbrukere «krever» at det skal finnes en backup. Det er nok av dem som ikke vil akseptere en løsning, hvor feil begått av brukeren selv (glemt passord, skåret seg i fingeren) resulterer i at dataene er 100 prosent tapt. Microsoft skrøt for eksempel av sitt bildepassord i Windows 8 (basert på matematikk), men dataene på harddisken ligger som standard ukryptert og tilgangskontrollen kan lett forbigås gjennom fysisk tilgang til maskin/disk, skriver Thorsheim.
– Det samme kan komme til å gjelde her også, men det gjenstår å se hva Apple velger å gjøre. Deres introduksjon av 2-faktor autentisering høstet også kritikk. Mine venner i russiske Elcomsoft avslørte at Apple 2FA beskyttet kontoen din, ikke dataene dine.
– Jeg venter i spenning på hva som blir kunngjort. Kommer de ut med fingeravtrykkleser på ny iPhone, så får endelig biometri et enormt markedspotensial i forbrukermarkedet, men jeg vil bli overrasket om ikke Apple vil tilby backupløsninger som er relativt enkle. Dette er og blir angrepsvektorene for skurkene, mener Thorsheim.
Slik gjør han det selv
På spørsmål om hvordan Thorsheim selv håndterer mobilsikkerheten i dag, svarer han at han har en Android-basert Samsung Galaxy S4-telefon hvor han har apper til en rekke vanlige tjenester som krever passord – slik som Facebook, Google+, Instagram, Twitter, e-post, nettbank, Dropbox, Linkedin, Norwegian, SAS også videre.
– Jeg har informasjon på selve telefonen samt gjennom de nevnte tjenester som jeg definitivt ikke vil ha på avveie, så jeg har laget meg et passord på telefonen. Dette har han gjort på en tilsvarende måte som det han viser på en iPhone i videoen under.
– I tillegg har jeg kryptert telefonens minne + lagringskort, slik at data lagret der ikke kan åpnes uten å vite passordet som jeg har satt. Det går raskt å taste inn passordet på måten jeg har illustrert over, og jeg har satt en lang «timeout» før telefonen låser seg. Unntaket er om jeg trykker på «av/på»-knappen – da låses telefonen umiddelbart, og krever passord for å låses opp igjen. Det er en balanse mellom sikkerhet og brukervennlighet som jeg klarer å leve med. Sist men ikke minst har jeg eierinformasjon på låseskjermen, slik at ærlige sjeler lett kan identifisere eier og returnere den til meg dersom jeg har glemt/mistet den, forteller Thorsheim.
– Når det gjelder nivået for sikkerhet på smartmobiler så er ovenstående «godt nok». Muligheten for å spore telefonen, fjernsletting, visning av «tapt telefon»-melding og eventuell alarmlyd, er også mulig i mange tilfeller, og bør også tas med i vurderingen til organisasjoner og bedrifter, avslutter han.
Les også:
- [20.08.2013] Endelig noe å bruke NFC til
- [30.07.2013] – Klart for biometrisk sensor
- [10.05.2013] Jubel i Idex
- [27.02.2013] Venter gjennombrudd til høsten
