In juli is het dan zover, de iPad wordt dan officieel in Nederland voor de verkoop aangeboden. Net als met de introductie van de iPhone zal ook nu het bedrijfsleven overspoeld worden met gebruikers die dit apparaat binnen het bedrijf willen gaan gebruiken. Hoe zit het met de beveiliging van de iPad en hoe kan er verantwoord binnen de onderneming mee om worden gegaan?
Ten eerste is het belangrijk om realistisch te blijven. De ene security-expert overschreeuwt de andere met nieuws over hoe slecht de beveiliging van de iPad wel niet is, welke grote gevaren we wel niet lopen, etc. Belangrijk is om met beide benen op de grond te staan en goed te beoordelen wat het apparaat voor impact heeft binnen de ict-omgeving. Vervolgens na een goede risicoanalyse die in proportie staat tot het apparaat een duidelijke richtlijn schrijven en daar waar mogelijk een technische aanpassing uitvoeren. In dit artikel zal naar een aantal aspecten met betrekking tot de beveiliging en aandachtspunten van de iPad worden besproken.
Connectiviteit
Met de iPad kan op verschillende manieren verbindingen voor datatransmissie worden gemaakt: 3G, wifi, bluetooth en via de usb-kabel met de computer. Vanuit een beveiligingsblik valt er van alles over te zeggen, maar belangrijker is om te beoordelen welke connectiviteit er toegestaan wordt en welke onder controle kan worden gehouden met de aanwezige componenten. Belangrijk is om na te gaan welke verkeersstromen de iPAd gaat gebruiken en hoe je deze verkeersstromen al mogelijk beveiligd hebt met een proxy/firewall/ips/antimalware.
Om op een beveiligde manier verbinding te maken met het bedrijfsnetwerk kan onder andere gebruik worden gemaakt van de ingebouwde Cisco VPN-client. Er kan gekozen worden voor de opties IPSec, PPTP en L2TP.
Databeveiliging
De datatransmissie kan beveiligd zijn door een tunnel op te zetten, maar wordt de data wel veilig opgeslagen op de iPad? Uit de praktijk blijkt dat het mogelijk is om deze encryptie te omzeilen. Er bestaat software die een versleutelde backup van een iPad kan lezen. Maar laten we eerlijk zijn, welke smartphones of netbooks hebben hun data versleuteld? Belangrijk is dus om te realiseren dat deze backups eveneens op jouw systemen binnen het bedrijf aanwezig kunnen zijn en welke data er zich in deze backup kan bevinden. Wist je bijvoorbeeld dat als je op de ‘Home'-button van de iPhone/iPad drukt, er een screenshot van die situatie wordt opgeslagen op het apparaat?
Als extra dataprotectie heeft Apple de mogelijkheid ingebouwd om de data te ‘wipen', dat wil zeggen de data op dusdanige manier verwijderen zodat deze niet meer te herstellen is. Dit kan door na een x-aantal verkeerde login-pogingen (default 10) de iPad gewiped wordt en na diefstal kan remote de data worden gewiped door de administrator in Exchange 2007 Management Console, de ActiveSync Mobile- administratiewebtool van Outlook Web Access.
Template/restricties
Om zakelijk gebruik van de iPad in combinatie met beveiliging te stimuleren, heeft Apple een aantal aardige opties aan de iPAd toegevoegd. Zo is het mogelijk om een configuratieprofiel te maken waarin de security policy en restricties, vpn-configuratie, wifi-settings, e-mailaccount en gebruikersgegevens worden ingesteld.
In bijvoorbeeld ‘Device restrictions' kan onder andere worden aangegeven of het toegestaan is om de Appstore te gebruiken, het gebruik van Safari en het gebruik van Youtube toe te staan. Door het aanmaken van een configuratieprofiel en de security-opties van Exchange, is het mogelijk om op een veilige manier de e-mail van het bedrijf op te laten halen.
Appstore/iTunes
De grootste showstopper om een iPad in het bedrijfsleven te gebruiken ligt mogelijk in het feit hoe Apple omgaat met de gebruikersdata. Onlangs heeft men de voorwaarden veranderd zodat Apple toestemming heeft om de locatiegegevens van de Apple-apparatuur te registreren en te delen met adverteerders. Uit de voorwaarden blijkt dat Apple en zijn partners exacte locatiegegevens verzamelen, gebruiken en uitwisselen, inclusief de realtime geografische locatie van een Apple-computer of -apparaat. Apple zegt dat te doen om locatiegebonden producten en diensten aan te bieden. Deze gegevens worden geanonimiseerd zodat ze niet naar een persoon te herleiden zijn.
In de praktijk echter blijkt dat dit vaak wel mogelijk is. Uit eigen onderzoek blijkt dat diverse apps statististische gegevens bijhouden en doorsturen. Deze gegevens gecombineerd met locatiegegevens kunnen wel degelijk gekoppeld worden aan een individu. Indien een gebruiker deze voorwaarden niet accepteert, kan men geen content vanuit de Appstore of iTunes downloaden. Inmiddels worden er vanuit diverse regeringen vragen gesteld aan Apple.
Tot slot
Of je nu wel of niet een voorstander bent van een iPad, er zal een moment komen dat er binnen jouw bedrijf de vraag komt om dit apparaat te ondersteunen. Is jouw securitypolicy hier soepel in of vraagt het om aanpassing? Door een goede analyse van de risico's en de gewenste functionaliteit af te wegen, kan een iPad zakelijk ingezet worden met behulp van wat technische aanpassingen. Daarbij is het wel te hopen dat Apple een balans vindt tussen het ontwikkelen van nieuwe diensten versus de privacy van zijn klant.
Christiaan Beek, ik ben geen security specialist, maar als een apparaat zoals de iPad klaar zou zijn voor veilig bedrijfsgebruik, dan moet het voldoen aan twee beveiligingsvereisten. De gegevens erop moeten goed beveiligd kunnen worden en moet er een goed beveiligde verbinding mee opgebouwd kunnen worden.
Het kunnen versleutelen van data op een iPad is nog belangrijker dan bij Notebooks omdat ze zo gemakkelijker vergeten worden, net als USb sticks. En omdat vooral jongeren privé en werk nogal mixen, gaat het niet alleen om bedrijfsgegevens die men rond laat slingeren. Een beetje slimme beheerder of gebruiker zal daar op toezien. Gegevens kunnen secuur kunnen wipen is een vereiste.
Remote een iPad kunnen wipen is een goede aanvullende optie. Je moet een dief of een te nieuwsgierige vinder niet de gelegenheid bieden rustig de versleutelde data te kopiëren en dan te ontcijferen.
Voor een goed beveiligde verbinding is het ook belangrijk dat de juiste VPN tunnelprotocollen ondersteund worden. En vooral de modernere. De genoemde PPTP zonder eigen encryptie en verouderde authenticatie (gebaseerd op oude MS-CHAP) lijkt me niet erg veilig voor wireless gebruik. Ook de optie L2TP biedt niet meer dan het oude PPP voor IP en heeft dezelfde beperkingen. Voor veel bedrijfssituaties lijken die protocollen me achterhaald. De volledige IPSec tunnel en encrypty protocolset is beter, maar niet zo goed als SSL.
SSL is inmiddels ook al tien jaar oud en vele jaren de standaard. Maar dit protocol wordt gek genoeg niet genoemd en ik kan deze ook niet bij de specs vinden. Dat geldt ook voor TLS die waarschijnlijk de nieuwe standaard gaat worden. Ze behoren – neem ik aan – dus niet bij de opties. OpenVPN (kan wel bij Mac OS X) wordt dus ook niet ondersteund. Dat is jammer.
Kortom, ik ben er niet van overtuigd dat de iPad standaard is voorzien van alle benodigde opties voor veilig bedrijfsgebruik. Bedrijfsgebruik van privé iPads kan dus te gemakkelijk voor problemen zorgen, want de meeste gebruikers zijn geen ICT’ers.
Zolang de IPad niet volledig centraal beheerd kan worden, is het niet geschikt voor zakelijk gebruik.
Dat er bedrijven zijn die geld verdienen met dit soort adviezen is een ander verhaal, maar uit het oogpunt van beheer en beveiliging is de IPad niet geschikt in een zakelijke omgeving.
Op zich is het ook niet vreemd, aangezien Apple de IPad in de markt zet als consumentenproduct.