Tag Archives: sikkerhet

Det er sikkerheten som teller

I går var launch day for PRIV by BlackBerry og har blitt dermed også beste tidspunkt for å snakke om sikkerheten på smarttelefonen, og hvordan BlackBerry sikrer denne.

Og så er det BlackBerry som publiserer «BlackBerry PRIV security guide». Blant annet er det snakk om arkitektur, startprosessen, leferansekjeden, koding av en eller annen del og kodingsprosessen.

Arkitekturen:

arkitektur_priv_by_blackberry

Hele verdikjeden er sikker og produsentens partnere implementerer krypto nøkler direkte inn i maskinvaren slik at oppstart og bruk av enheten blir sikret.

I tillegg anser BlackBerry hvert eneste nivå for seg selv og sikrer hverteneste. Derfor er startprosessen litt annerledes enn ved vanlige Android telefoner.

Startprosessen har flere stasjoner:

  1. I CPU-en ligger første bootladeren som skrivebeskyttet, og sjekker enhetsnøklen etter RSA-2048 med SHA-256.
  2. Mellom første bootladeren og andre bootladeren sitter BlackBerry Security Shim som sjekker kryptosignaturen i andre bootladeren etter ECC-251 og SHA-512. BlackBerry Security Shim er lagret på første bootpartisjon av eMMC, er skrivebeskyttet og forhindrer nedgraderinger.
  3. Den andre bootladeren er delen av programvarebildet. Den sjekker tredje bootladeren og BlackBerrys sikkerhets forbundt per RSA-2048 med SHA-512. I programvarebildet er programbilder – hovedbilde i brukerpartisjonen som ikke er skrivebskyttet, og skrivebeskyttet backup bilde.
  4. Den tredje bootladeren arbeider i eksterne minne mens de to andre arbeider i intern minne. Det er kun tredje bootladeren som kan oppstarte hele bootbilde etter at dette ble sjekket etter ECC-521 og SHA-256. Også den er to ganger sikret som andre bootladeren.
  5. Bootbildet er den aktuelle systemkjern, lokalisert i brukerområdet til eMMC på bootpartisjonen. Hele skrivebeskyttet filesystem blir verifisert etter RSA-2048 med SHA-256 før systemet blir integrert og Android programvare blir oppstartet.

I begynnelsen blir PRIV by BlackBerry levert med Android 5.1.1, men får hver måned sikkerhetsoppdatering og senere Android 6. I Android 5.1.1 er allerede flere sikkerhetsfunksjoner integrert blant annet minnekryptering, Android sandboks via SELinux, web view uten OTA og oppdatert kryptografi til http og https.

Linuxkjernen på PRIV by BlackBerry er harded som betyr at unødvendige deler ble fjernet, ubrukte deler ble deaktivert og flere andre deler ble skrivebeskyttet for å forhindre angreper før de oppstår.

Videregående informasjoner til sikkerheten på PRIV by BlackBerry får man på BlackBerry hjelp webside.

Desverre fikk vi ikke enda en av PRIV by BlackBerry for å lage norsk gjennomgang slik at vi er fortsatt i nød å bruke engelske videoer. Vi håper det beste slik at vi også kan tilby deres en norsk versjon snart.

[youtube id=»3d0bqe2Z7pI» align=»center» mode=»normal» autoplay=»no» grow=»yes»]

Pakistan vil slå av BlackBerry e-poster pga. sikkerhetens skyld

Husker dere dagene da regjeringer truet med å skjære av BlackBerrys sikker-epost-tjenester fordi de ikke kunne spionere på meldingene?

Tiden er åpenbart tilbake – i det minste i Pakistan.

Pakistans teletilsynet har pålagt at lokale mobiltjenesteleverandører skal stenge BlackBerry Enterprise Service på grunn av «sikkerhetenshensyn» fra og med 30. november 2015. Mens etaten er ikke konkret om hva disse bekymringene dreier seg, BES typisk krypterer meldinger på en slik måte at en utenforstående vanligvis ikke kan avskjære dem i midt-fly, er Pakistan mest sannsynlig bekymret for at gjenger og terrorister vil bruke Blackberry-telefoner for å chatte i hemmelighet.

Bevegelsen er ikke helt overraskende for landet som har gått så langt, som å kreve fingeravtrykk som en betingelse for mobiltelefon service. Men det er spørsmål om både potensielle overgrep og effektivitet. Som observatører Privacy International har advart er Pakistans etterretnings antrekk ikke kjent for å være samvittighetsfull – de har spionert på journalister, dommere, politikere og andre dristig for å utfordre status quo.

Hvis Blackberry finner en måte å tilby tilgang til e-post, kan dette true til mange uskyldige mennesker. En slik måte fra regjering viser at man ikke har tenkt veldig langt. Når man stenger ut sikker kommunikasjon kun pga. sikkerhetstanke om gjenger og terrorister, så stenger man også ut bedrifter og regjeringen selv. Når en bedrift taper sine utviklinger, patentsutviklinger, tilbuder eller interne kalkulasjoner så er det fort gjort at bedriften blir nedkjørt. Eller tenker vi på sikkert kommunikasjon ved forsvaret, politi eller regjeringen selv. Hvordan skal man observere farlige individuer, gjenger eller terrorister når disse kan også innbrude seg i kanaler til tilsvarende myndigheter? Det er også fort gjort at forsøkene å ta disse gjengene, terroristene eller hvem som helst løper ut i sanden da gjensiden er like informert om tilstandene.