Sommertips for mobil sikkerhet

Sommerferien nærmer seg og mobiltelefonen vil gjerne bli brukt enda flittigere enn vanlig. Vi vil derfor poste en liten oversikt over det mobile trusselbildet i dag, samt hvordan en beskytter seg, fordelt på de mest aktuelle plattformene.

Det finnes enda svært lite malware til mobiltelefoner som sprer seg fra telefon til telefon eller som kan infisere mobiltelefonen ved besøk på websider, ved å lese MMS og lignende. Når en telefon blir infisert, skyldes det nesten uten unntak at brukeren selv har installert denne programvaren.

iPhone fra Apple
En iPhone kan kun installere programvare fra Apples egen App Store. Applikasjoner her er gjennomgått av medarbeidere fra Apple, men det er tvilsomt om malware gjemt i en ellers legitim applikasjon vil bli oppdaget. Phishing-applikasjoner vil ganske sikkert bli stoppet. Nøyaktig hvordan prosessen foregår er ukjent, men det har har vært få eller ingen tilfeller med malware på App Store. Dersom malware skulle snike seg inn, har også Apple muligheten til å fjernslette applikasjoner fra telefonene.

Det meldes stadig om svakheter i iOS og spesielt i nettleseren Safari. Kode for å utnytte slike svakheter har også blitt utviklet og prøvd, men har heldigvis hittil kun blitt brukt i kontrollerte miljøer. Foreløpig kan du altså være trygg i Safari og andre applikasjoner. Applikasjonene kjører også i egne ”sandkasser” som hindrer dem i å kommunisere direkte med hverandre.

Android fra Google
En Android-telefon kan fra produsenten kun installere programmer fra Android Market. Dette er imidlertid en innstilling som kan skrus av, slik at programmer kan installeres fra tilfeldige Internett-adresser. Vi anbefaler å kun installere applikasjoner fra Market. Android har ikke en like avansert godkjenningsprosess som Apple har for sin iPhone, men det har hittil vært meldt om få eller ingen tilfeller av malware på Android Market. Det kan imidlertid lønne seg å holde seg til de mest populære og seriøse applikasjonene som har fått god kritikk.  Ikke installer helt ferske applikasjoner som få enda har testet.

Når en skal installere en applikasjon får en også opp en oversikt over hvilke funksjoner og data i telefonen applikasjonen vil ha tilgang til. Dette kan være noe vanskelig å forholde seg til, men kan gi en pekepinn om hva applikasjonen kan foreta seg på telefonen. Applikasjoner skal gå i sin egen ”sandkasse”, og en svakhet i én applikasjon skal dermed ikke kunne gå ut over andre funksjoner i mobilen. Også for Android meldes det stadig om svakheter i forskjellige deler av operativsystemet, uten at noe av dette har blitt utnyttet i stor grad enda.

Google har, i likhet med Apple, muligheten til å slette applikasjoner både i selve markedet og ved fjernsletting ute på hver enkelt mobil. Dersom malware skulle bli oppdaget, bør det derfor bli fjernet relativt raskt, så lenge applikasjonen er installert via det offisielle markedet.

Symbian fra Nokia
På Symbian har det inntill nylig vært vanlig å installere applikasjoner direkte fra sidene til utviklerne, eller å hente ned applikasjonene på en PC, og deretter overføre applikasjonen til telefonen. I fjor kom imidlertid Ovi Store for Nokia-telefoner. Vi anbefaler at applikasjoner installeres fra denne offisielle butikken. Nokia har også et system med kryptografisk signering av applikasjoner, men det er relativt enkelt å skaffe en slik signatur.

På Symbian-plattformen har det vært flere tilfeller av malware. Det har for eksempel forekommet malware som har spredd seg selv som en orm. Ved installering på en telefon spammer den ut linker til nedlasting av seg selv via SMS spredd til hele kontaktlisten til den infiserte brukeren. Det har også vært flere tilfeller av rene trojanere til plattformen. Flere av disse har sendt SMS-meldinger til dyre numre i utlandet. De fleste problemer unngås lett ved ikke å installere programvare fra ukjente kilder.

Sikkerheten i selve operativsystemet er god og det er lenge siden det har blitt meldt om store svakheter. Applikasjoner kan ikke fjernslettes av Nokia, men signaturen som er brukt til å signere applikasjoner kan svartelistes. De fleste telefoner er dessverre ikke konfigurert til å sjekke denne svartelisten ved installering av applikasjoner. Det tryggeste er derfor nok en gang å holde seg til den offisielle butikken for programvare, i dette tilfellet Ovi Store.

Windows Mobile (v6.x) fra Microsoft
På denne plattformen har det også, på lik linje med Symbian, også vært vanlig å installere applikasjoner direkte fra utviklernes sider eller via en PC. Sent i fjor kom imidlertid Windows Marketplace for Mobile, som er en offisiell applikasjonsbutikk fra Microsoft for platformen.

Windows Mobile er den plattformen som har vært mest plaget av trojanere. I år har for eksempel noen pakket sammen en trojaner og et legitimt spill. Den ferdige pakken ble spredt via flere kjente sider for nedlasting av applikasjoner til Windows Mobile. Malwaren ringte opp et dyrt utenlandsk nummer, uten at brukeren av applikasjonen kunne merke noe.

Applikasjoner som skal publiseres på Marketplace for Mobile må gå gjennom en godkjenningsprosedyre hos Microsoft. Det er også muligheter for å fjernslette applikasjoner, dersom malware skulle klare å snike seg gjennom godkjenningsprosessen.

Det er ikke meldt om store svakheter i Windows Mobile i det siste, og det er også lenge siden svakheter har blitt utnyttet.

Felles for alle platformer
Det farligste uansett mobilplattform er fortsatt å miste mobilen sin. Dette kan være ekstra alvorlig dersom mobilen er satt opp til å synkronisere e-posten mot jobben. For å beskytte seg mot dette er det fornuftig at mobilen spør om en PIN-kode hver gang den skal brukes/låses opp, selv om dette kan være irriterende i lengden. Dette vil hindre de fleste fra å få tak i informasjonen. Angripere kan imidlertid få tilgang til dataene på minnekortet i mobilen, dersom ikke dette er kryptert. Det gjelder derfor å ta godt vare på telefonen og eventuelt kryptere minnekortet, dersom mobilen inneholder data som ikke bør komme på avveie. Det kan også være fornuftig å bruke programvare for å kunne spore eller fjernslette mobilen, dersom den skulle komme på avveie.

Dersom du bruker Bluetooth, sett telefonen til ”Non discoverable” for å minimere sjansen for utnyttelse av svakheter.

Unngå WLAN-soner som er åpne eller som bruker den svært svake WEP-krypteringen. Uvedkommende kan lett snappe opp informasjon som brukernavn og passord til forskjellige tjenester ved å lytte på den ukrypterte trafikken.

Oppsummering
I fremtiden vil det sikkert dukke opp exploits også til mobiltelefoner som kan føre til automatisk installering av malware ved å besøke web-sider, spille av filmer og lignende. Dette skjer jo til stadighet på Windows-plattformen på vanlige PCer. Hittill er dette heldigvis et problem som er lite eller ikke-eksisterende på mobiltelefoner.

Det viktigste for alle plattformene er å kun installere programvare fra leverandørens offisielle butikk for distribusjon av programvare. Både leverandøren av mobiltelefonen og tusenvis av andre brukere har da gjerne testet den aktuelle applikasjonen før du som bruker henter den ned. Det er også viktig å ikke miste mobilen, dersom den ikke er beskyttet av passord og kryptering. Hvis du først skal miste den, er det sikkerhetsmessig best å miste den fra en båt eller brygge og ned i saltvann. ;)