C'è un valore nel test delle app per iOS che funzionerà all'interno di un ambiente MDM?

Question

C'è un valore nel test delle app per iOS che funzionerà all'interno di un ambiente MDM?

#1 da (3 voti)
#2 da (1 voti)
#3 da (1 voti)

3

Sono uno sviluppatore iOS che cerca di ottenere di più dai test della penna di iOS. Per farlo desidero giustificare il valore aziendale per questo. Creo app per iOS interne per la mia azienda, che possono essere scaricate solo dai dipendenti utilizzando la nostra applicazione di gestione dei dispositivi mobili che garantisce che i telefoni non siano bloccati da un carcere.

Esiste un valore nelle applicazioni di test delle penne che si presume siano in un ambiente jailbreak libero e le applicazioni MDM sono a prova di proiettile quando impediscono che le app aziendali che possono essere scaricate tramite esse possano essere utilizzate su un telefono rotto da un carcere?

mobile ios appsec penetration-test

posta Declan McKenna 13.10.2016 - 18:28

fonte

3 risposte

1

Ho eseguito numerosi test delle penne sulle app per dispositivi mobili, sotto MDM, e ho identificato molti rischi per la sicurezza esposti a queste app. Il principale rischio esposto è la memorizzazione di dati sensibili in chiaro a riposo. Ok se il dispositivo viene perso / rubato è necessario un pin per l'accesso (ad esempio 1111), ma un trucco, quando si ha il pin, che può essere utilizzato è eseguire un backup dell'app e dei dati dal dispositivo MDM e quindi ripristinare questo su un dispositivo di root

risposta data 10.11.2016 - 04:30

fonte

1

Un MDM rende un dispositivo mobile meno sicuro. Espone una superficie di attacco maggiore, notevole tramite il certificato MDM che consente ad un vettore aggiuntivo di codice firmato non OEM di installarlo ed eseguirlo.

In particolare per i dispositivi iOS, le interfacce di rete GSM e WiFi non sono disponibili per la reimpostazione della password tramite un MDM se un dispositivo viene avviato da uno stato spento, tuttavia ciò non è vero se si può configura il dispositivo con un'interfaccia Ethernet fisica (ad esempio , su Lightning-to USB e quindi da USB a Ethernet).

A BlackHat US 2016, c'è stata una presentazione di Vincent Tan, di nome Bad For Enterprise: l'attacco alle soluzioni di sicurezza mobile BYOD Enterprise - video qui - link

A RSACon 2014, Michael Shaulov ha tenuto una presentazione su Practical Attacks Against MDM Solutions - slide deck qui - link

BitGlass ha anche rilasciato un video su MDMayhem: come MDM Software espone i dati personali - link

risposta data 10.11.2016 - 08:17

fonte

Leggi altre domande sui tag mobile ios appsec penetration-test

Quali controlli di sicurezza dovrebbero essere nel gateway API e cosa nei servizi web? Analisi costi-benefici dell'ASLR

score 3 · Accepted Answer

Riguarda la riduzione del rischio. MDM e test coprono diversi tipi di rischio. È necessario capire quali rischi saranno coperti dai test che non possono essere affrontati dall'MDM. Pensa: difesa in profondità.

Per esempio, ci sono perdite di informazioni? Le credenziali dell'utente sono state esposte? I dati sono accessibili dall'app allo storage in modo che l'utente possa scaricare? MDM potrebbe risolvere alcuni di questi problemi (a seconda di come è configurato), ma cosa succede quando MDM fallisce? O se qualcuno configura l'MDM in modo diverso per se stesso o per un exec (oh, l'ho visto troppe volte).