MDM (zarządzanie urządzeniami mobilnymi)

MDM (Mobile Device Management, zarządzanie urządzeniami mobilnymi) to system centralnego zarządzania telefonami, tabletami i laptopami pracowników, który narzuca im polityki bezpieczeństwa i pozwala zdalnie zablokować lub wyczyścić urządzenie. Apple opisuje taką usługę jako sposób na bezpieczną, zdalną konfigurację urządzeń przez wysyłanie do nich konfiguracji, profili i poleceń, niezależnie od tego, czy urządzenie należy do użytkownika, czy do organizacji ^[2]. NIST w wytycznych SP 800-124 Rev. 2 z maja 2023 roku zalicza scentralizowane zarządzanie urządzeniami do podstawowych technologii zabezpieczania urządzeń mobilnych w firmie, zarówno służbowych, jak i prywatnych ^[1].

Jak działa

Na urządzeniu instaluje się profil zarządzania albo agenta, który łączy je z serwerem MDM-a. Serwer przechowuje polityki i wysyła polecenia, a urządzenie je wykonuje i raportuje swój stan. Apple wymienia jako typowe funkcje aktualizację oprogramowania i ustawień, monitorowanie zgodności z politykami organizacji, zdalne czyszczenie lub blokowanie urządzenia oraz dystrybucję aplikacji ^[2].

Przebieg typowego polecenia po zgubieniu telefonu pokazuje schemat poniżej.

RYS. 1Zdalna blokada zgubionego telefonu

Polityki zwykle obejmują wymuszenie blokady ekranu i szyfrowania urządzenia, minimalną wersję systemu, listę dozwolonych aplikacji i konfigurację sieci VPN. Urządzenie niespełniające polityki może zostać odcięte od poczty lub aplikacji firmowych, co łączy MDM z mechanizmem dostępu warunkowego.

Odmiany

Zakres kontroli zależy od tego, kto jest właścicielem urządzenia. Apple rozróżnia rejestrację użytkownika, w której ustawienia dotyczą jednego użytkownika, i rejestrację urządzenia, obejmującą wszystkich jego użytkowników; urządzenia nadzorowane pozwalają ponadto instalować aplikacje automatycznie ^[2]. W modelu BYOD ważne jest oddzielenie danych firmowych od prywatnych. Android realizuje to przez profil służbowy: administrator kontroluje osobne środowisko z aplikacjami i danymi firmy, a użytkownik zachowuje prywatne aplikacje i profil ^[3]. Oba profile mają osobne obszary pamięci, a intencje domyślnie nie przechodzą między nimi ^[3].

Szerszą kategorię, obejmującą także komputery stacjonarne i laptopy, rynek nazywa UEM (Unified Endpoint Management). MDM bywa uzupełniany przez EDR, który zbiera telemetrię z urządzeń i wykrywa działania napastnika.

W WordPressie

WordPress nie ma własnego MDM-a, ale telefon administratora jest częścią powierzchni ataku strony. Na nim działa aplikacja z kodami uwierzytelniania dwuskładnikowego (2FA), skrzynka odbierająca linki resetu hasła i przeglądarka z zalogowaną sesją panelu. Utrata takiego urządzenia bez blokady i szyfrowania może skończyć się przejęciem konta administratora.

WordPress daje dwa narzędzia na tę sytuację. Na ekranie profilu przycisk „Log Out Everywhere Else” wylogowuje użytkownika z innych urządzeń, na przykład telefonu albo publicznego komputera ^[7]. Od wersji 5.6 aplikacje mogą logować się do REST API i XML-RPC przez hasła aplikacji (application passwords), a nie przez główne hasło konta ^[8]. Każde z nich można odwołać osobno, a WordPress zapisuje, kiedy było ostatnio użyte ^[8]. Hasłem aplikacji nie da się zalogować do panelu, bo służy wyłącznie programom, a nie interaktywnym sesjom ludzi ^[8]. Po utracie telefonu z aplikacją mobilną wystarczy więc unieważnić jego hasło aplikacji i sesje, a zdalne wyczyszczenie przez MDM usuwa resztę danych.

Zagrożenia i skutki

Serwer MDM-a ma uprawnienia do każdego zarządzanego urządzenia, więc jego przejęcie jest groźniejsze niż włamanie na pojedynczy telefon. CISA opisała w lipcu 2023 roku ataki na Ivanti Endpoint Manager Mobile, dawniej MobileIron Core ^[4]. Grupy APT wykorzystywały lukę CVE-2023-35078 jako zero-day co najmniej od kwietnia do lipca 2023 roku, zbierając informacje z kilku norweskich organizacji i włamując się do sieci norweskiej agencji rządowej ^[4]. Napastnicy uzyskiwali dostęp do danych osobowych, zmieniali konfigurację, wysyłali pakiety na urządzenia mobilne i instalowali webshelle ^[4]. Poprawki Ivanti wydało 23 i 28 lipca 2023 roku ^[4].

Wcześniejszy przypadek opisał Sekurak we wrześniu 2020 roku. Badacz Orange Tsai znalazł w MobileIron zdalne wykonanie kodu (RCE) bez uwierzytelnienia, oparte na niebezpiecznej deserializacji danych ^[5]. Facebook nie wdrożył poprawek przez 15 dni od ich wydania, więc badacz uzyskał powłokę na jego serwerze MDM i otrzymał nagrodę w programie bug bounty ^[5].

Brak MDM-a oznacza z kolei brak wiedzy o stanie urządzeń. Według raportu firmy Netology, omawianego przez Niebezpiecznika w czerwcu 2020 roku, systemami MDM zabezpiecza urządzenia 38% badanych ^[6].

Dobre praktyki

NIST zaleca zarządzanie bezpieczeństwem w całym cyklu życia urządzenia: od wdrożenia, przez użytkowanie, po wycofanie ^[1]. W praktyce oznacza to:

• traktowanie serwera MDM-a jak systemu krytycznego: szybkie zarządzanie poprawkami, bo w obu opisanych przypadkach napastnik wykorzystał lukę w samym serwerze ^{[4] [5]};
• zasadę najmniejszych uprawnień dla kont administratorów konsoli MDM;
• na urządzeniach prywatnych zarządzanie tylko profilem służbowym, bez wglądu w dane osobiste ^[3];
• procedurę zgłaszania utraty urządzenia i zdalnej blokady ^[2];
• dla kont WordPressa: osobne hasło aplikacji na każde urządzenie i wylogowanie wszystkich sesji po utracie telefonu ^[7].