www.hakin9.org

hakin9 Nr 6/2007

50

Obrona

N

owy model pracy wymaga zupełnie in-
nego spojrzenia na bezpieczeństwo
firmy. Osiągnięcie żądanego poziomu

bezpieczeństwa jest w tym wypadku dużo trud-
niejsze niż w przypadku hermetycznego środo-
wiska sieci firmy. Nie dość, że w firmach poja-
wia się coraz więcej sprzętu przenośnego, to
jednocześnie zwiększa się ilość danych, jaka
jest na nim przechowywana. Są to głównie da-
ne stanowiące własność intelektualną instytu-
cji, informacje niezbędne do prowadzenia biz-
nesu, dane klientów i pracowników.

Niniejszy artykuł kompleksowo ujmuje pro-

blem bezpieczeństwa komputerów przenośnych
oraz przedstawia środki i praktyki w zakresie ich
ochrony, a także dotyka kwestię minimalizacji
ryzyka wykorzystywania laptopów w instytucji.

Artykuł skierowany jest przede wszystkim

do osób zajmujących się zarządzaniem i admi-
nistracją bezpieczeństwem IT w firmach, choć
część podawanych tu informacji ma charakter
bardzo ogólny i z powodzeniem mogą być one
odniesione do użytku prywatnego.

Mobilne (nie)bezpieczeństwo

Zagrożenia związane z komputerami przeno-
śnymi w łatwy sposób można umownie podzie-

lić na: zagrożenia fizyczne, zagrożenia danych,
zagrożenia komunikacyjne oraz zagrożenia
osobowe.

Zagrożenia fizyczne to w przypadku laptopów

zwłaszcza możliwość utraty urządzenia. Laptopy
są szczególnie podatne na zniszczenie, zagubie-
nie, uszkodzenie, a przede wszystkim, wyjątkowo
często padają łupem złodziei, choćby ze względu
na stosunkowo wysoką cenę oraz możliwość ła-
twej odsprzedaży. Jeśli skradziony laptop zawie-
ra cenne dane, straty mogą być niewspółmierne
do wartości samego urządzenia. Jednocześnie

Mobilne

(nie)bezpieczeństwo

Piotr Błaszczeć, Tadeusz Calanca

stopień trudności

Praca mobilna to wielkie wyzwanie, jakim jest zapewnienie

odpowiedniego poziomu bezpieczeństwa firmowych zasobów,

które wraz z pracownikiem migrują poza obszar firmy. Niskie

i wciąż spadające ceny laptopów powodują, iż coraz częściej

wykorzystywane są one jako podstawowe narzędzie pracownika,

często też całkowicie wypierają tradycyjny komputer desktopowy.

Z artykułu dowiesz się

• dlaczego laptopy to ogromne niebezpieczeń-

stwo dla organizacji,

• jakie zagrożenia związane są z wykorzysta-

niem sprzętu przenośnego,

• jakie środki uchronią firmę przed wyciekiem

i utratą danych z urządzeń przenośnych.

Co powinieneś wiedzieć

• znać podstawowe zasady ochrony danych oraz

pojęć związanych z sieciami WAN/WLAN.

Mobilne (nie)bezpieczeństwo

hakin9 Nr 6/2007

www.hakin9.org

51

mogą być to straty nie tylko stricte ma-
terialne, ucierpieć może też wizerunek
danej instytucji i zaufanie do niej.

Przykłady takich incydentów moż-

na mnożyć, przytoczymy tu tylko naj-
głośniejsze sprawy z ubiegłego roku:

• z domu jednego z pracowników

United States Veteran’s Admini-
stration (urzędu zajmującego się
w USA sprawami weteranów),
skradziono służbowego laptopa,
na którym znajdowały się dane
osobowe 26,5 mln żyjących osób,

• z bagażnika samochodu pracow-

ników firmy Ernst & Young znik-
nął laptop, na którym – jak się
okazało wkrótce – znajdowały
się dane przeszło 230 000 osób,
głównie pracowników firm Sun,
IBM, Cisco, BP oraz Nokia.

Należy jednak zwrócić uwagę na fakt,
iż większość kradzieży nie jest w ogó-
le związana z wartością danych, jakie
znajdują się na urządzeniu. Działania
złodziei mają zwykle na celu jedynie
zdobycie korzyści majątkowych, z ty-
tułu odsprzedania urządzenia.

Zagrożenie danych ma miejsce

w sytuacji, w których bezpośrednio na-
rażamy dane na utratę lub dostęp osób
nieuprawnionych. Laptopy, tak samo
jak inne komputery, narażone są na
bezpośredni atak hakera, który uzyskał
fizyczny dostęp do urządzenia. Szcze-
gólnie zaś podatne na atak są systemy,
w których nie wykorzystuje się autory-
zacji, uprawnień, szyfrowania czy też
mechanizmów rozliczeniowych.

Zagrożenia komunikacyjne to

zagrożenia wynikające z faktu podłą-
czenia urządzenia do sieci telekomu-
nikacyjnych. Laptopy narażone są tu
na działanie wszelkiej maści malware
oraz na zdalne ataki hakerów.

Zagrożenia osobowe to zagrożenia

związane z personelem wykorzystują-
cym sprzęt bezprzewodowy. O tych za-
grożeniach zapomina się najczęściej,
a przecież użytkownik nie znający
zasad bezpiecznego posługiwania się
sprzętem przenośnym stanowi ogrom-
ne zagrożenie dla całej firmy.

Spektrum zagrożeń jest bardzo

szerokie. Istnieje wiele zagrożeń
mających ogólne zastosowanie do

systemów komputerowych, jak rów-
nież wiele źródeł niebezpieczeństw,
wynikających z zastosowania sprzę-
tu przenośnego. Można więc okre-
ślić ryzyko wykorzystania sprzętu
przenośnego jako bardzo wysokie.

Pilnuj swojego laptopa

Kluczowym ogniwem procesu za-
pewnienia bezpieczeństwa jest pełna
rozliczalność, co w praktyce oznacza,
że którekolwiek z zasobów firmy po-
winny być przypisane do pracownika.
Odnosząc to do laptopów i innych
urządzeń przenośnych, podstawo-
wym zadaniem jest ustalenie, kto jest
odpowiedzialny za urządzenie, nawet
w sytuacji, w której z danego urzą-
dzenia korzysta wiele osób.

Przykładowo, laptop może być

wykorzystywany jednocześnie przez
wiele działów firmy. Przed prezenta-
cją prowadzący pobiera urządzenie
od wyznaczonej osoby odpowiedzial-
nej za sprzęt. Zadaniem osoby odpo-
wiedzialnej jest przekazanie sprzętu
i odnotowanie tego faktu w formie pi-
semnej (np. w dzienniku), a następnie
odnotowanie zwrotu sprzętu.

Wykorzystanie laptopa powinno

być uzasadnione potrzebami wynikają-
cym z pełnionej funkcji czy stanowiska
w instytucji oraz być każdorazowo po-
twierdzone pisemną zgodą kierownika
jednostki. Zgoda ta powinna przenosić
na użytkownika obowiązek ochrony
powierzonego urządzenia. Obowiązek
ten powinien bezpośrednio wynikać
z przyjętej polityki bezpieczeństwa.

Polityka bezpieczeństwa powinna

w prosty sposób określać, co dany
użytkownik może robić, a czego po-
winien się wystrzegać. W szczegól-
ności powinna określać ona właściwe
praktyki w zakresie bezpiecznego
korzystania z laptopów:

• Proces zabezpieczania laptopa po-

winien rozpocząć się już na etapie
jego kupna: do firmy kupujmy urzą-
dzenia dedykowane, pochodzące
od uznanych producentów, zapew-
niające odpowiedni, możliwie szyb-
ki serwis u klienta oraz posiadające
odpowiednie zabezpieczenia.

• Laptopy ze względu na swoją wa-

gę i rozmiary doskonale sprawują

się podczas podróży samolotem
lub innym środkiem lokomocji, ale
jednocześnie są przez to o wiele
łatwiejsze do zgubienia bądź ukry-
cia przez potencjalnego złodzieja.
Powierzony laptop powinno się
więc mieć zawsze możliwie blisko
siebie. W szczególności zabro-
nione powinno być pozostawianie
laptopa bez osobistego nadzoru
w samochodach, przedziałach ko-
lejowych, przechowalniach bagażu,
salach konferencyjnych oraz innych
miejscach, w których użytkownik
nie ma możliwości sprawowania
nad nimi skutecznego nadzoru.

• Urządzenie powinno być przeno-

szone w torbie, która nie zdradza
swojej zawartości, przykładowo:
jeśli korzystamy z oryginalnych
toreb producentów laptopów,
emblemat HP, czy Dell może
zachęcać złodzieja do podjęcia
kradzieży. Zamiast tego, lepiej
schować komputer w plecaku lub
w nie przyciągającej uwagi prze-
stępców torbie, która nie będzie
sugerowała cennej zawartości.

• Jeśli urządzenie będzie przez

dłuższy czas wykorzystywane
w jednym miejscu, pomocnym roz-
wiązaniem jest korzystanie z linek
zabezpieczających. Prawie każdy
laptop ma jedno miejsce (mały
owalny lub prostokątny otwór)
specjalnie wzmocnione, które służy
do podpięcia stalowej linki. Jeśli już
jesteśmy zmuszeni do pozostawie-
nia sprzętu bez dozoru w punktach
ogólnodostępnych np. biurze, pod-
pina się go do nogi stolika, grzejnika
czy czegokolwiek innego, co może
zapobiec próbie kradzieży.

• Każdy firmowy laptop powinien

być wyraźnie oznakowany. Najle-
piej posłużyć się rzucającym się
w oczy oznaczeniem, które będzie
trudne do usunięcia przez złodzie-
ja, np. wygrawerowanie numeru
inwentarzowego z nazwą firmy.
Takie oznaczenie może zniechęcić
złodzieja do kradzieży, gdyż ozna-
czony laptop dużo trudniej będzie
odsprzedać innej osobie.

• Osoba odpowiedzialna w firmie

za sprzęt komputerowy powinna
prowadzić ewidencję urządzeń

hakin9 Nr 6/2007

www.hakin9.org

Obrona

52

przenośnych, zawierającą przy-
najmniej: model, numer seryjny,
kopię dowodu zakupu oraz opis
laptopa.

Chroń swój system

Znając zasady ochrony fizycznej,
można przystąpić do zabezpiecze-
nia samego systemu i danych na nim
przetwarzanych. W tym miejscu na-
leży zwrócić uwagę, że laptop z za-
łożenia nie jest serwerem i właściwie
ilość danych kluczowych, jaka po-
winna być za jego pomocą przetwa-
rzana powinna być ograniczona do
absolutnego minimum. Można więc
rozważyć, czy laptop nie mógłby być
zupełnie pozbawiony danych i wy-
stępować w roli cienkiego klienta.

Podstawową ochroną każdego

komputera przenośnego jest mecha-
nizm autoryzacji użytkownika. Jed-
nakże, w obecnej erze script kiddies,
hasło zabezpieczające system nie ma
już praktycznie żadnego znaczenia.
Wcale nie trzeba specjalnej wiedzy,
by hasło obejść, poznać czy złamać.
Na popularnych portalach społecz-
nościowych można przeglądać filmy
instruktażowe: jak w prosty sposób za
pomocą programu Ophcrack wydobyć
hasło systemowe. Jak więc bezpiecz-
nie autoryzować użytkownika?

W tej sytuacji pomocne jest zasto-

sowanie haseł BIOS: jedno powinno
uniemożliwiać uruchomienie kompu-
tera, drugie natomiast zabezpieczać
dostęp do konfiguracji. W kompute-
rach przenośnych BIOS to newral-
giczne miejsce i nie jest prosto obejść
nawet podstawowe hasło np. poprzez
wyciągnięcie na chwilę baterii pod-
trzymującej napięcie, jak w przypadku
komputerów stacjonarnych (chociaż
zależy to w głównej mierze od produ-
centa oraz modelu sprzętu).

BIOS powinien być tak skonfigu-

rowany, aby bootowanie było możliwe
wyłącznie z dysku twardego. Powin-
na być też wyłączona możliwość wy-
wołania tzw. BOOT sequence przez
jakikolwiek przypisany klawisz. Za-
bezpieczenie to jest bardzo ważne,
ponieważ jak wspomnieliśmy już
wcześniej, w ten sposób zamykamy
drogę wszystkim, którzy chcą dostać
się do naszych danych za pomocą

różnego rodzaju systemów LiveCD.
Oczywiste jest, że hasło konfiguracji
BIOS powinno być znane wyłącznie
administratorowi i w żadnym wy-
padku nie powinno być przekazane
użytkownikowi.

Jednak najlepszym rozwiązaniem

jest ustawienie hasła dostępowego
do dysku twardego. Niestety, nie jest
to rozwiązanie dostępne we wszyst-
kich laptopach, stosuje się je raczej
w droższych modelach. Od strony
użytkownika wygląda to podobnie, jak
hasło startowe ustawiane w BIOS. Je-
śli ktoś ukradnie komputer, wymontuje
dysk i podłączy do nowego kompute-
ra, to nie uzyska dostępu do żadnych
danych, gdyż zadziała mechanizm
szyfrujący. Hasło można obejść, ale
tylko kontaktując się z producentem
sprzętu. Po weryfikacji, pozwalają-
cej na ustalenie, czy dzwoniący jest
prawowitym posiadaczem laptopa,
zostanie mu przekazane hasło za-
stępcze, które jest indywidualne dla
każdego dysku. Hasło takie ustala się
na podstawie numeru seryjnego lap-
topa. Oczywiście kluczowy jest tutaj
proces weryfikacji osoby dzwoniącej.
Producenci laptopów przywiązują
szczególną wagę do spraw bezpie-
czeństwa i prowadzą bazę danych
klientów oraz kupionych przez nich
produktów. Jeśli firma zgłosi kradzież
laptopa, to taka informacja zostaje
odnotowana w bazie. Jeśli do pro-
ducenta zadzwoni złodziej lub osoba
nieuprawniona z prośbą o usunięcie
hasła, a została zgłoszona uprzednio
kradzież, to do siedziby, jaką poda
dzwoniący, przyjedzie serwisant
w asyście Policji, która zweryfikuje,
czy rzeczywiście komputer ten został
nabyty w sposób legalny.

Dobrym pomysłem, szczegól-

nie gdy laptop pozbawiony jest
możliwości autoryzacji dostępu do
dysku twardego, jest wykorzystanie
zewnętrznego oprogramowania, szy-
frującego dostęp do całych dysków
lub partycji. Programy te wykorzystują
mechanizm Pre-boot authentication,
który polega na tym, że uprawnienia
użytkownika są weryfikowane, za-
nim jeszcze zostanie uruchomiony
system operacyjny. Programy takie
pozwalają także na zastosowanie

dwustopniowego

uwierzytelnienia

przy wykorzystaniu tokenów lub kart
kryptograficznych. Proces szyfrowa-
nia i deszyfrowania danych odbywa
się w locie i są to operacje niezauwa-
żalne dla użytkownika.

Zupełną nowością w dziedzinie

szyfrowania jest wprowadzanie tych
mechanizmów do samej konstrukcji
dysku twardego. Dzięki temu dane bę-
dą chronione niezależnie od systemu
operacyjnego, zastosowanego opro-
gramowania czy możliwości BIOS-u.

W przypadku braku możliwości

wykorzystania zaawansowanego
oprogramowania szyfrującego moż-
na się posłużyć narzędziami wbudo-
wanymi w sam system. W przypadku
Windows XP mamy do dyspozycji
całkiem bezpieczny mechanizm
EFS, zaś w nowym systemie Vista
zastosowano mechanizm Bitlocker.

W dalszej kolejności, konieczne

jest ustawienie hasła do systemu, któ-
rego posiadanie jest oczywistym wy-
mogiem, tak samo jak zdefiniowanie
czasu, po którym w przypadku bez-
czynności komputer zostanie zabloko-
wany. Co także oczywiste, użytkownik
powinien korzystać wyłącznie z upraw-
nień podstawowych i nie powinien – tak
jak to się niestety zwykle zdarza, pra-
cować jako lokalny administrator. Naj-
lepszą praktyką jest, gdy zwykły użyt-
kownik pracuje na koncie zdefiniowa-
nym w sieci (np. za pomocą Active Di-
rectory) swojej firmy z określonym cza-
sem dzierżawy – czyli logowanie się na
konto sieciowe off-line.

Zasady tworzenia haseł, czas

blokowania stacji i inne parametry
związane z bezpieczeństwem po-
winna regulować przyjęta polityka
bezpieczeństwa.

Jak każdy komputer, tak i laptop po-

winien być wyposażony w system anty-
wirusowy, a sam system oraz aplikacje
powinny być regularnie patchowane.
Konfiguracja systemów powinna za-
kładać maksymalną możliwą automa-
tyzację tych operacji, gdyż nie można
liczyć na to, że użytkownik zadba o to
sam. Oczywiście wielkim błędem jest
wykorzystanie systemów plików, nie
zapewniających właściwej autoryzacji
i rozliczenia dostępu zasobów, jak np.
FAT. Nie zaszkodzi też wyłączenie

Mobilne (nie)bezpieczeństwo

hakin9 Nr 6/2007

www.hakin9.org

53

niepotrzebnych urządzeń, takich jak
np. porty podczerwieni, i ograniczenie
możliwości wykorzystania nośników
wymiennych takich jak pen-drive.

Najbardziej

znaną

praktyką

ochrony danych jest wykonywanie
kopii zapasowych. Niestety, w prakty-
ce bardzo często się o tym zapomina,
szczególnie w stosunku do danych
zawartych na urządzeniach przeno-
śnych. W tym wypadku nie chodzi
zwykle o dostęp osób trzecich, ale
o zwykły, częsty przypadek uszko-
dzenia urządzenia czy dysku. Tak
więc, mimo tego, iż jest to oczywista
praktyka, należy stworzyć procedury
zapewniające regularne wykonywa-
nie kopii zapasowych z urządzeń
przenośnych oraz ich testowania.

Do wykonywania kopii powinny

także zachęcać incydenty z bate-
riami. Ostatnie miesiące pokazują,
że baterie mogą być bardzo niebez-
pieczne, co potwierdzają przypadki,
w których bateria spowodowała
wybuch, czy też zapalenie się kom-
putera. Wybuchy były spowodowa-
ne błędami konstrukcyjnymi, więc
producenci takie baterie szybko
wymieniali. Niestety, jeśli już nastą-
piła eksplozja baterii, to zagrożeni
byli nie tylko użytkownicy, ale także

dane na urządzeniach. Bez kopii
zapasowej w tym wypadku nic się
nie zdziała, choć można oczywiście
wynająć specjalistyczną firmę, która
podejmie próbę odzyskania danych.

Łącz się bezpiecznie

To, co jest szczególnym problemem
w pracy mobilnej, to zrealizowanie
bezpiecznej komunikacji z Internetem
oraz dostęp do sieci firmowych. Pod-
stawową sprawą jest ustalenie tego,
czy w ogóle, i na jakich zasadach urzą-
dzenie przenośne musi się komuniko-
wać z siecią. Choć praktyka wskazuje
na to, że czasem wcale nie ma takiej
potrzeby, to prawie wcale nie bierze się
tego pod uwagę, a pracownikowi w tej
kwestii pozostawia się wolną rękę.

Jeśli jednak pracownik istotnie mu-

si mieć dostęp do Sieci, warto zorien-
tować się, na jakich zasadach ma to
się odbywać. Najlepszym podejściem
do sprawy jest tu wykorzystanie kana-
łów VPN do zestawienia połączenia z
firmowym systemem firewall, przy jed-
noczesnym zablokowaniu możliwości
uruchomienia jakiegokolwiek innego
połączenia. Uzyskuje się wtedy kon-
trolę nad ruchem do, i z laptopa. Z dru-
giej strony eliminuje się większość pro-
blemów związanych z łącznością bez-
przewodową.

Jeśli powyższe rozwiązanie nie

jest możliwe, dobrą praktyką będzie
unikanie publicznie dostępnych hot-
spotów lub rezygnacja z połączeń
bezprzewodowych w standardzie
WLAN. Połączenia te narażone są na
wiele, stosunkowo łatwych do prze-
prowadzenia ataków. Nie zaszkodzi
też instalacja programowego firewalla.

Pomimo problemów z sieciami

WLAN, są one często wykorzystywa-
ne w ramach organizacji. Jeśli istnieje
konieczność podłączenia laptopa do
takiej sieci, należy zadbać o szyfrowa-
nie takiego połączenia np. protokołem
WPA. W dużych sieciach pomocny
będzie także protokół RADIUS.

Zasady bezpiecznego komuni-

kacji powinny mieć odzwierciedlenie
w przyjętej polityce bezpieczeństwa.

Użytkownicy

Najważniejszą jednak sprawą w pro-
cesie budowania bezpieczeństwa jest

uświadamianie i szkolenie użytkowni-
ków. Użytkownik urządzenia, na któ-
rym znajdują się jakiekolwiek dane
istotne dla instytucji, musi sobie zdać
sprawę z odpowiedzialności, jaką na
siebie przyjmuje. Musi wiedzieć, że
całe zabezpieczenie, jakie stosuje fir-
ma nie będzie miało znaczenia, jeśli
on nie będzie stosował zasad bez-
piecznego wykorzystywania urzą-
dzenia. Zasady te, opracowane na
potrzeby firmy, powinny być przed-
stawione użytkownikom w możliwie
łatwy i przejrzysty sposób, tak aby
wiedzieli oni, w jaki sposób się za-
chować w określonych sytuacjach.
Ważne jest przy tym, aby nie było to
jednostkowe zakomunikowanie, ale
regularne przypominanie i szkolenie.

Podsumowanie

Według raportu IDC, w ubiegłym roku
sprzedano 82 mln. sztuk laptopów, to
jest o 26 % więcej niż w 2005r. IDC
prognozuje, że do 2011 roku laptopy
będą stanowiły ponad połowę sprze-
danych komputerów. Jasno widać, że
mamy do czynienia z globalną zmianą
profilu użytkownika komputera. Do-
tychczas użytkownik przywiązany był
do swojego stanowiska pracy, teraz
coraz częściej stanowisko wędruje
wraz z nim. Coraz więcej firm rezy-
gnuje z tradycyjnych biur i pomiesz-
czeń, a pracowników zatrudniają na
zasadzie telepracy w domach.

Mając to wszystko na uwadze,

należy prognozować, iż problemy
bezpieczeństwa w zakresie urządzeń
przenośnych będą się pojawiać coraz
częściej, a jednocześnie problemy,
które nie zostały jeszcze w firmach
rozwiązane będą się nawarstwiać.
Wszystko to pokazuje, że najcen-
niejszy zasób jakim dysponują firmy
– czyli zasoby danych - będą w coraz
większym niebezpieczeństwie. Dlate-
go też bezsprzecznie konieczne jest
ustalenie wyższego priorytetu dla
wysiłków firmy mających na celu za-
pewnienie bezpiecznej pracy za po-
mocą urządzeń przenośnych. Mamy
nadzieję, iż niniejszy artykuł pozwolił
Państwu na określenie działań, które
należy podjąć i praktyk, które należy
wprowadzić, aby lepiej chronić Wa-
sze dane. l

Rysunek 1.

Kensington microsaver

O autorach

Piotr Błaszczeć – specjalista ds.

bezpieczeństwa IT, audytor systemów
IT, biegły sądowy, na co dzień Główny
Specjalista Bezpieczeństwa w jednej
z agencji rządowych, członek ISACA
International e-mail:[e-mail]

Tadeusz Calanca – specjalista IT,

audytor IT, biegły sądowy, na co dzień
administrator bezpieczeństwa informa-
cji e-mail:[e-mail]