SmaSA: un progetto di ricerca finanziato dal BMBF
Smartcard-Based Security Anchors for Android (Ancoraggi di sicurezza basati su smartcard per Android)
Motivazioni
L'utilizzo sempre più diffuso di dispositivi mobili intelligenti, quali smartphone e tablet, a scopo sia privato sia professionale, causa elevati rischi per le aziende. Se questi dispositivi vengono utilizzati da persone non autorizzate o subiscono danni dovuti al malware o a errori dell'utente, l'intera rete aziendale potrebbe risentire del problema, anche con la perdita irreversibile dei dati aziendali. Queste minacce possono essere evitate utilizzando un ancoraggio di sicurezza hardware che consenta di avviare in sicurezza il dispositivo, creare e memorizzare chiavi crittografiche e identificare le applicazioni come sicure. Nei computer desktop e notebook, questo concetto viene comunemente implementato tramite moduli TPM (Trusted Platform Module). Il progetto "Smartcard-Based Security Anchors for Android" (SmaSA, Ancoraggi di sicurezza basati su smartcard per Android) è incentrato sull'applicazione di questa tecnologia ai dispositivi mobili intelligenti in maniera praticabile.
Approccio e obiettivi
L'obiettivo di questo progetto è sviluppare metodi e componenti software per migliorare gli ancoraggi di sicurezza basati su hardware per i sistemi operativi Android. Poiché i dispositivi mobili non sono dotati di un TPM, è necessario utilizzare come ancoraggio una smartcard microSD aggiuntiva. Qualora non sia possibile realizzare i singoli componenti di sicurezza su questa scheda, è possibile ricorrere in alternativa a concetti hardware e software come ARM TrustZone o Java Card. Queste tecnologie consentono l'avvio sicuro per i dispositivi Android autenticando l'utente prima dell'avvio vero e proprio (si parla di "autenticazione pre-avvio"). Se l'accesso non riesce, il dispositivo mobile rimane completamente crittografato anche a livello di applicazioni, dati e sistema operativo. Inoltre, è possibile verificare l'integrità dello smartphone tramite l'attestazione remota, ossia chiedendo a un'autorità centrale di controllare lo smartphone dell'azienda (componente di gestione dei dispositivi mobili). Sebbene l'attestazione remota sia ben conosciuta nel campo dei computer, non è ancora stata utilizzata per i dispositivi mobili né adattata alle loro necessità. Grazie a questo progetto, le applicazioni di sicurezza basate su smartcard possono essere utilizzate anche su Android, aprendo nuovi campi di applicazione per questo tipo di tecnologia.
La crittografia dell'intero sistema e l'avvio sicuro basato su smartcard contribuiscono a contrastare molti rischi per la sicurezza. Il livello di sicurezza può essere aumentato integrando nel processo l'autenticazione pre-avvio, che protegge anche contro l'accesso non autorizzato. Gli strumenti sviluppati in questo progetto sono in grado di risolvere questo problema per i dispositivi mobili tramite una smartcard o un modulo di sicurezza comparabile.
Gli obiettivi principali del progetto SmaSA includono i seguenti:
- Sviluppo di metodi e componenti software per migliorare gli ancoraggi di sicurezza e proteggere sia le chiavi sia l'avvio dei dispositivi mobili intelligenti
- Integrazione di smartcard come componenti di sicurezza basati su hardware, poiché a differenza dei computer i dispositivi mobili non contengono moduli di sicurezza hardware (come i TPM)
- Esternalizzazione di quei componenti di sicurezza funzionali che non possono essere realizzati nella smartcard ad ARM TrustZone e Java Card
- Attuazione dell'avvio sicuro con l'autenticazione pre-avvio su BizzTrust
Organizzazione del progetto
SmaSA è un progetto di ricerca congiunto di Rohde & Schwarz Cybersecurity GmbH e dell'Università di scienze applicate della Vestfalia con l'Istituto per la sicurezza Internet (Prof. Dr. Norbert Pohlmann). Il progetto è finanziato dal titolare dello stesso, il Ministero Federale per l'Istruzione e la Ricerca (BMBF) tedesco.
- Gestione del progetto: VDI/VDE Innovation + Technik GmbH
- Consorzio: Rohde & Schwarz Cybersecurity GmbH, Università di scienze applicate della Vestfalia - Istituto per la sicurezza Internet
- Durata del progetto: 04/2014-09/2017
Maggiori informazioni sul progetto sono disponibili all'indirizzo www.smasa.de