iOS_8_3_Security_WP_RS
.pdfОграничения устройства
Администраторы могут ограничить возможности устройства, установив профиль конфигурации. Доступны следующие ограничения:
•Разрешение устанавливать программы
•Разрешение использовать камеру
•Разрешение использовать FaceTime
•Разрешение делать снимки экрана
•Разрешение голосового набора
•Разрешение автоматической синхронизации в роуминге
•Разрешение делать покупки из программ
•Разрешение синхронизировать недавнюю почту
•Требование пароля для магазина при любой покупке
•Разрешение многопользовательских игр
•Разрешение добавлять друзей в Game Center
•Разрешение использовать Siri
•Разрешение использовать Siri при заблокированном устройстве
•Разрешение использовать YouTube
•Разрешение уведомлений Passbook при заблокированном устройстве
•Разрешение использовать iTunes Store
•Разрешение воспроизводить ненормативный контент
•Разрешение эротики из iBooks Store
•Разрешение документов из управляемых источников в неуправляемых местах назначения
•Разрешение документов из неуправляемых источников в управляемых местах назначения
•Разрешение Связки ключей iCloud
•Разрешение обновлять базу данных доверия сертификатов по беспроводной сети
•Разрешение показывать уведомления на экране блокировки
•Обязательное использование паролей создания пары для соединений AirPlay
•Разрешение Spotlight показывать пользовательские материалы из Интернета
•Разрешение предложений Spotlight в Safari
•Разрешение предложений Spotlight в Spotlight
•Разрешение использовать Handoff
•Разрешение резервного копирования корпоративных книг
•Разрешение синхронизации заметок и закладок в корпоративных книгах на все устройства пользователей
•Ограничение рейтингов фильмов
•Ограничение рейтингов телешоу
•Ограничение рейтингов программ
•Разрешение использовать Safari
•Разрешение автозаполнения в Safari
•Обязательная выдача предупреждения о фальшивом сайте
•Включение JavaScript
•Ограничение трекинга рекламы в Safari
•Блокирование всплывающих окон
Обзор безопасности iOS | Июнь 2015 г. |
51 |
•Принятие файлов cookie
•Разрешение резервного копирования iCloud
•Разрешение синхронизации документов и данных «ключ-значение» iCloud
•Разрешение Медиатеки iCloud
•Разрешение Общего доступа к фото iCloud
•Разрешение фотопотоков
•Разрешение общих фотопотоков
•Разрешение отправлять диагностические данные в Apple
•Разрешение принимать непроверенные сертификаты TLS
•Обязательное шифрование резервных копий
•Ограничение материалов по рейтингу
•Разрешение использовать Touch ID
•Разрешение доступа к Пункту управления с экрана блокировки
•Разрешение доступа к виду «Сегодня» с экрана блокировки
•Требование распознавания запястья для Apple Watch
Ограничения только для сопровождаемых устройств
•Разрешение использовать iMessage
•Разрешение использовать Game Center
•Разрешение использовать iBooks Store
•Разрешение удалять программы
•Использование фильтра нецензурной лексики для Siri
•Разрешение вручную устанавливать профили конфигурации
•Глобальные сетевые прокси для HTTP
•Разрешение устанавливать пару с компьютерами для синхронизации материалов
•Ограничение подключений AirPlay с «белым списком» и дополнительные пароли подключения
•Разрешение использовать AirDrop
•Разрешение использовать Подкасты
•Разрешение изменять функцию «Найти друзей»
•Разрешение автономного режима одной программы для конкретных управляемых программ
•Разрешение изменять учетные записи
•Разрешение изменять использование сотовых данных
•Разрешение создавать пару с хостом (iTunes)
•Разрешение блокировки активации
•Предотвращение стирания всего контента и настроек
•Предотвращение включения ограничений
•Фильтр стороннего контента
•Режим одной программы
•VPN всегда включена
Обзор безопасности iOS | Июнь 2015 г. |
52 |
Удаленное стирание
Администратор или пользователь может выполнить удаленное стирание данных с устройств iOS. Мгновенное удаленное стирание реализуется путем надежного удаления ключа шифрования блочного хранения из стираемого накопителя,
в результате чего все данные становятся недоступными. Удаленное стирание может быть запущено MDM, Exchange или iCloud.
Когда MDM или iCloud отдают команду удаленного стирания, устройство отправляет подтверждение и выполняет стирание. При запуске удаленного стирания через Exchange устройство сначала регистрируется на сервере Exchange, а затем выполняет стирание.
Для стирания данных со своего устройства пользователи могут использовать программу «Настройки». И как уже упоминалось, устройства можно настроить на автоматическое выполнение стирания после ряда неудачных попыток ввода пароля.
Функция «Найти iPhone» и блокировка активации
Если устройство потеряно или украдено, важно отключить его и стереть
с него данные. Если на устройстве с iOS 7 или более поздней версии включена функция «Найти iPhone», для повторной активации устройства необходимо будет ввести учетные данные Apple ID владельца. Организациям рекомендуется либо контролировать свои устройства, либо отключить использование функции
«Найти iPhone» с помощью политики, чтобы эта функция не помешала организации передать устройство другому лицу.
Если пользователь включает функцию «Найти iPhone» в iOS 7.1 или более поздней версии, совместимое решение MDM может включить блокировку активации
на контролируемых устройствах. Для управления блокировкой активации для функции «Найти iPhone» администраторы MDM могут контролировать устройства с помощью Apple Configurator или Программы регистрации устройств. После этого при включении блокировки активации решение MDM может сохранять обходной код, а затем использовать этот код для автоматического снятия блокировки активации, если устройство необходимо очистить и назначить другому пользователю. Подробную информацию см. в документации используемого решения MDM.
Внимание! По умолчанию блокировка активации на контролируемых устройствах остается отключена, даже если пользователь включает функцию «Найти iPhone». Однако сервер MDM может извлечь обходной код и разрешить блокировку активации на устройстве. Если сервер MDM включает блокировку активации, когда функция «Найти iPhone» включена, блокировка включается незамедлительно. Если сервер MDM включает блокировку активации, когда функция «Найти iPhone» выключена, блокировка включается, как только пользователь активирует функцию
«Найти iPhone».
Обзор безопасности iOS | Июнь 2015 г. |
53 |
Настройки конфиденциальности
Компания Apple отличается серьезным подходом к конфиденциальности покупателей и предлагает множество встроенных настроек и параметров, используя которые пользователи iOS могут указать, как и когда программы могут использовать их информацию, а также определить круг используемой информации.
Службы геолокации
Для определения приблизительной геопозиции пользователя службы геолокации используют GPS, Bluetooth, а также краудсорсинговую базу данных точек доступа Wi Fi и вышек сотовой связи. Можно полностью отключить службы геолокации, выключив один переключатель в Настройках, или разрешить отдельным программам использовать эти службы. Можно разрешить программам запрашивать информацию о местоположении только во время использования программы пользователем или в любое время. При желании пользователи могут запретить такой доступ и в любое время изменить свой выбор в Настройках. В Настройках также можно выбрать вариант доступа — не разрешать никогда, разрешать во время использования или разрешать всегда — в зависимости от запрошенного программой варианта использования геопозиции. Кроме того, если программа, которой разрешено использовать данные о местоположении в любой момент
времени, пытается использовать это разрешение в фоновом режиме, пользователь получает напоминание о своем разрешении и может изменить уровень доступа программы.
Пользователи получают детальный контроль над тем, как системные службы используют информацию о местонахождении. Например, пользователи могут исключить информацию о местонахождении из данных, собираемых службами диагностики и анализа использования Apple, которые предназначены для усовершенствования iOS, работы Siri, использования геопозиции для предложений Spotlight, оценки местной дорожной обстановки и использования часто посещаемых мест для расчетов приблизительного времени в пути.
Обзор безопасности iOS | Июнь 2015 г. |
54 |
Доступ к персональным данным
iOS не позволяет программам получать доступ к персональной информации пользователя без его разрешения. Кроме того, пользователь может открыть Настройки и посмотреть, какие программы имеют доступ к определенной информации, а также предоставить или отменить доступ на будущее. Пользователь может настроить доступ к следующим элементам:
• Контакты |
• |
Микрофон |
• Календари |
• |
Камера |
• Напоминания |
• |
HomeKit |
• Фото |
• |
HealthKit |
• Двигательная активность на iPhone 5s |
• |
Общий доступ Bluetooth |
или более поздней версии |
|
|
• Учетные записи социальных сетей, |
|
|
таких как Twitter и Facebook |
|
|
Если пользователь входит в iCloud, программы по умолчанию получают доступ к iCloud Drive. Пользователи могут управлять доступом отдельных программ
в разделе «iCloud» в Настройках. Кроме того, iOS позволяет настроить ограничения, чтобы не допустить перемещения данных между программами и учетными записями, которые установлены MDM, и теми, которые установлены пользователем.
Политика конфиденциальности
Политика конфиденциальности Apple размещена в Интернете на странице https://www.apple.com/ru/legal/privacy.
Обзор безопасности iOS | Июнь 2015 г. |
55 |
Заключение
Всегда на страже безопасности
Компания Apple делает все возможное для защиты клиентов, предлагая передовые технологии обеспечения конфиденциальности и безопасности для защиты персональной информации, а также комплексные методы для защиты корпоративных данных в корпоративной среде.
Безопасность заложена в основу iOS. В iOS предприятия найдут все, что им нужно — от платформы и сети до программ. Вместе эти компоненты
обеспечивают непревзойденную безопасность iOS без ущерба для удобства работы пользователей.
Apple использует согласованную, интегрированную инфраструктуру безопасности в рамках iOS и всей цифровой среды программ для iOS. Аппаратное шифрование хранилища позволяет выполнять удаленное стирание, если устройство потеряно, а также полностью стирать всю корпоративную и личную информацию при продаже или передаче устройства другому владельцу. Диагностическая информация собирается анонимно.
При разработке программ для iOS компания Apple учитывала самые последние требования к безопасности. Safari предлагает безопасный просмотр веб-страниц с поддержкой протокола статуса онлайнового сертификата (OCSP), сертификатов EV и предупреждений о проверке сертификатов. Mail использует сертификаты для аутентификации и шифрования почты. Благодаря поддержке сертификатов S/MIME, которые в iOS 8 настраиваются на уровне сообщений, пользователи S/MIME могут настроить автоматическое подписание и шифрование всех сообщений или же выборочно настраивать защиту отдельных писем. iMessage
и FaceTime также обеспечивают шифрование от клиента до клиента.
Для программ сторонних разработчиков используется сочетание обязательной подписи кода, «песочницы» и прав. Пользователи получают надежную защиту от вирусов, вредоносных программ и других уязвимостей, которые ставят под угрозу безопасность других платформ. Чтобы дополнительно оградить
пользователей от этих рисков, все программы для iOS проходят проверку, прежде чем появиться в App Store.
Чтобы максимально эффективно использовать обширные функции безопасности, встроенные в iOS, компаниям рекомендуется проанализировать свои политики в области ИТ и безопасности и убедиться, что они задействуют все возможности многоуровневой системы безопасности, предлагаемой этой платформой.
В Apple есть специальная команда по безопасности, которая отвечает
за поддержку всех продуктов Apple. Эта команда проводит аудит безопасности
и тестирование продуктов, находящихся в стадии разработки, а также выпущенных продуктов. Команда Apple предоставляет необходимые инструменты, проводит обучение и активно отслеживает сообщения о новых проблемах и угрозах безопасности. Компания Apple является членом форума FIRST, который объединяет группы по безопасности и реагированию на инциденты. Информацию о том, как сообщить о проблемах в Apple и подписаться на уведомления о безопасности,
Вы найдете на странице apple.com/ru/support/security.
Обзор безопасности iOS | Июнь 2015 г. |
56 |
Глоссарий
Boot ROM |
Самый первый код, исполняемый процессором устройства при первой загрузке. Этот код |
|
является неотъемлемой частью процессора и не может быть изменен компанией Apple или |
|
злоумышленником. |
ECID |
Уникальный 64-битный идентификатор процессора, установленного в устройстве iOS. |
|
Используется как часть процедуры персонализации и не считается секретным. |
iBoot |
Код, загружаемый LLB и, в свою очередь, загружающий XNU как часть безопасной |
|
последовательности загрузки. |
|
|
JointTest Action Group (JTAG) |
Стандартное средство отладки оборудования, используемое программистами |
|
и разработчиками микросхем. |
|
|
XNU |
Ядро, лежащее в центре операционных систем iOS и OS X. Это ядро считается доверенным |
|
и обеспечивает применение специальных средств безопасности, таких как подпись кода, |
|
«песочница», проверка прав и ASLR. |
Аппаратный модуль системы |
Специализированный, устойчивый к взлому компьютер, который защищает цифровые |
безопасности (HSM) |
ключи и управляет ими. |
Защита данных |
Механизм защиты файлов и связки ключей для iOS. Это понятие также относится |
|
к API, используемым программами для защиты файлов и элементов связки ключей. |
Защита ключа |
Шифрование одного ключа с помощью другого ключа. iOS использует защиту ключей |
|
с помощью шифрования NIST AES по алгоритму RFC 3394. |
Идентификатор группы (GID) |
Похож на UID, но совпадает для всех процессоров одного класса. |
|
|
Интегральная микросхема (IC) |
Также известна как микрочип. |
|
|
Ключ файла |
256-битный ключ AES, используемый для шифрования файла в файловой системе. |
|
Ключ файла защищается с помощью ключа класса и хранится в метаданных файла. |
|
|
Ключ файловой системы |
Ключ, используемый для шифрования метаданных каждого файла, включая его ключ |
|
класса. Ключ файловой системы хранится в стираемом накопителе для обеспечения |
|
быстрого стирания в ущерб конфиденциальности. |
Низкоуровневый загрузчик (LLB) |
Код, загружаемый Boot ROM и, в свою очередь, загружающий iBoot как часть безопасной |
|
последовательности загрузки. |
Обновление прошивки устройства (DFU) |
Режим, в котором код Boot ROM устройства ожидает восстановления через USB. В режиме |
|
DFU экран остается черным, однако при подключении к компьютеру с запущенной |
|
программой iTunes отображается следующее сообщение:«iTunes обнаружила iPad в режиме |
|
восстановления. Необходимо восстановить этот iPad перед использованием с iTunes». |
Привязка |
Процесс превращения пароля пользователя в криптографический ключ и его усиления |
|
с помощью UID устройства. В результате атака методом перебора должна обязательно |
|
выполняться на конкретном устройстве, что ограничивает скорость перебора |
|
и не позволяет выполнять его параллельно. В качестве алгоритма привязки используется |
|
PBKDF2:в качестве псевдослучайной функции на каждой итерации используется AES, |
|
согласованный с UID устройства. |
Профиль обеспечения |
Файл plist, который подписан компанией Apple и содержит набор субъектов и прав, |
|
позволяющих устанавливать и тестировать программы на устройстве iOS. Профиль |
|
обеспечения разработки содержит список устройств, выбранных разработчиком для |
|
специализированного распространения, а профиль обеспечения распространения |
|
содержит идентификатор корпоративной программы. |
Связка ключей |
Инфраструктура и набор API, используемые iOS и программами сторонних разработчиков |
|
для хранения и извлечения паролей, ключей и других конфиденциальных учетных данных. |
|
|
Обзор безопасности iOS | Июнь 2015 г. |
57 |
Система на кристалле (SoC) |
Интегральная микросхема (IC), которая объединяет несколько компонентов на одном |
|
кристалле. Secure Enclave — это SoC с центральным процессором Apple A7 или более |
|
поздней версии. |
Служба идентификации (IDS) |
Каталог Apple, в котором хранятся открытые ключи iMessage, адреса APNs, а также номера |
|
телефонов и адреса электронной почты, используемые для поиска ключей и адресов |
|
устройств. |
Служба Apple Push Notification (APNs)
Доступная по всему миру служба Apple, которая обеспечивает доставку push-уведомлений на устройства iOS.
Случайное расположение в адресном |
Технология, используемая iOS для того, чтобы значительно усложнить использование |
|
пространстве (ASLR) |
программных ошибок для злоумышленников. Поскольку предсказать адреса памяти |
|
|
и смещения невозможно, вредоносный код не может задать для них конкретные значения. |
|
|
В iOS 5 и более поздних версиях расположение всех системных программ и библиотек |
|
|
задается случайным образом. Если программы сторонних разработчиков скомпилированы |
|
|
как переместимые исполнимые файлы, их адреса также задаются случайным образом. |
|
|
|
|
Смарт-карта |
Интегрированная, встроенная цепь, которая обеспечивает безопасную идентификацию, |
|
|
аутентификацию и хранение данных. |
|
|
|
|
Стираемый накопитель |
Выделенная область в хранилище NAND, используемая для хранения криптографических |
|
|
ключей и поддерживающая прямую адресацию и безопасное стирание. Стираемый |
|
|
накопитель не обеспечивает защиту, если злоумышленник физически завладевает |
|
|
устройством, однако хранящиеся в нем ключи могут быть использованы как часть иерархии |
|
|
ключей для обеспечения быстрого стирания и повышения безопасности. |
|
Угловое представление |
Математическое представление направления и толщины линий дактилоскопического узора, |
|
дактилоскопического узора |
полученное из части отпечатка пальца. |
|
Универсальный идентификатор |
Символьная строка, которая идентифицирует веб-ресурс. |
|
ресурса (URI) |
|
|
Уникальный идентификатор (UID) |
256-битный ключ AES, вшитый в процессор на этапе производства. Этот ключ не может |
|
|
быть считан прошивкой или программой и используется только аппаратным AES-модулем |
|
|
процессора. Для получения фактического ключа злоумышленнику необходимо провести |
|
|
крайне сложную и дорогостоящую физическую атаку на микросхему процессора. |
|
|
UID не связан ни с каким другим идентификатором на устройстве, включая UDID. |
|
Хранилище ключей |
Структура данных, используемая для хранения коллекции ключей класса. Все типы (система, |
|
|
резервное копирование, передача и резервное копирование iCloud) имеют одинаковый |
|
|
формат: |
|
|
• Заголовок, содержащий следующие элементы: |
|
|
– версия (имеет значение 3 с iOS 5); |
|
|
– тип (система, резервное копирование, передача или резервное копирование iCloud); |
|
|
– UUID хранилища ключей; |
|
|
– HMAC, если хранилище ключей подписано; |
|
|
– способ защиты ключей класса: привязка к UID или PBKDF2, а также случайное значение |
|
|
(«соль») и число повторений. |
|
|
• Список ключей класса: |
|
|
– UUID ключа; |
|
|
– класс (класс защиты данных файла или связки ключей); |
|
|
– тип защиты (ключ на основе только UID; ключ на основе UID и пароля); |
|
|
– защищенный ключ класса; |
|
|
– открытый ключ для асимметричных классов. |
|
|
|
|
|
© 2015 Apple Inc. Все права защищены. Apple, логотип Apple, AirDrop, AirPlay, Bonjour, FaceTime, iBooks, iMessage, iPad, iPhone, |
|
|
iPod, iPod touch, iTunes, Keychain, Mac, OS X, Passbook, Safari, Siri, Spotlight и Xcode являются товарными знаками Apple Inc., |
|
|
зарегистрированными в США и других странах. Lightning и Touch ID являются товарными знаками Apple Inc. |
|
|
iCloud и iTunes Store являются знаками обслуживания Apple Inc., зарегистрированными в США и других странах. App Store |
|
|
и iBooks Store являются знаками обслуживания Apple Inc. IOS является товарным знаком или зарегистрированным товарным |
|
|
знаком Cisco в США и других странах и используется по лицензии. Словесный товарный знак и логотипы Bluetooth® являются |
|
|
зарегистрированными торговыми знаками Bluetooth SIG, Inc. и используются компанией Apple по лицензии. Java является |
|
|
зарегистрированным товарным знаком Oracle и/или ее дочерних компаний. Другие названия продуктов и компаний, |
|
|
упомянутые в этом документе, могут являться товарными знаками соответствующих компаний. Характеристики продуктов |
|
|
могут быть изменены без уведомления. Июнь 2015 г. |
|
Обзор безопасности iOS | Июнь 2015 г. |
58 |