Publikation von Christoph Puppe
E-Fort: Wie Samsungs KNOX BYOD-Smartphones sichert
Smartphones organisieren Privatleben und Arbeitstag, und dank Bring Your Own Device landen die vertraulichen Daten beider Welten auf demselben Gerät. Container-Apps von SiMKo3 bis BlackBerry 10 teilen einen Schwachpunkt: Eine App ist nur eine App, die dem Betriebssystem vertrauen muss; Malware kann Speicher auslesen oder schlicht einen Screenshot machen. KNOX separiert dagegen mit den SE-Linux-Erweiterungen eines einzigen Android-Kernels Geschäfts- und Privatwelt als getrennte Security-Domains mit Mandatory Access Control; selbst Malware mit Root-Rechten kommt nicht an die Daten der anderen Domain. Die Kette beginnt in der Hardware: ARMs TrustZone bootet einen eigenen Sicherheitskernel, TIMA überwacht den Kernelspeicher auch im laufenden Betrieb. Die Daten verschlüsselt eine FIPS-140-2-zertifizierte AES-256-Implementierung, bis zu fünf VPN-Kanäle laufen gleichzeitig, und das Smartcard-Interface mit Bluetooth-Kartenleser bringt endlich Zwei-Faktor-Authentisierung samt Single Sign-on aufs Smartphone. Über 500 Policies kann eine MDM-Software setzen, deutlich mehr als bei BlackBerry oder iPhone; die Administratoren sehen dabei nur die Daten im Container, die Privatsphäre bleibt gewahrt. Das Fazit: Samsung macht Container sicherer, auf Augenhöhe mit BlackBerry 10 und um einiges besser als andere Android-Varianten oder das iPhone; KNOX wurde als erstes Smartphone seit dem BlackBerry 7 für die Netze des US-Verteidigungsministeriums zertifiziert. So viel Sicherheit in einem preiswerten, weit verbreiteten Gerät gab es bisher nicht zu kaufen.