MDM

MDM składa się z trzech części: konsoli z serwerem, agenta albo profilu zarządzania na każdym urządzeniu i interfejsu zarządzania w systemie operacyjnym urządzenia. NIST SP 800-124 Rev. 2 (maj 2023 r.) opisuje enterprise mobility management (EMM), nazywane też unified endpoint management (UEM), jako rozwiązanie do wdrażania, konfigurowania i aktywnego zarządzania urządzeniami mobilnymi. Pakiet EMM może obejmować MDM, zarządzanie aplikacjami mobilnymi (MAM) i ochronę przed zagrożeniami mobilnymi. Na co dzień nazwą MDM określa się całą tę kategorię.

To system operacyjny wyznacza, co MDM może zrobić. Główne platformy mobilne udostępniają interfejsy zarządzania, których zwykłe aplikacje nie mogą wywołać: sterowanie zachowaniem aplikacji, konfigurację ustawień urządzenia i bezpieczeństwa, odczyt wrażliwych informacji o urządzeniu. Dostęp do nich może być ograniczony do programistów zweryfikowanych przez właściciela platformy, musi go zaakceptować użytkownik albo dział IT, a większość platform pozwala, żeby kontrolowało je tylko jedno MDM. W Androidzie częścią działającą na urządzeniu jest device policy controller (DPC), który Google opisuje jako pomost między konsolą EMM a urządzeniem.

Urządzenie zostaje zarejestrowane, dostaje polityki, co jakiś czas łączy się z serwerem, raportuje swój stan i wykonuje polecenia. NIST wymienia typowe mechanizmy kontroli:

• zarządzanie interfejsami bezprzewodowymi, takimi jak Wi-Fi, Bluetooth i NFC;
• ograniczanie dostępu do sprzętu, na przykład aparatu, i do funkcji takich jak kopiowanie i wklejanie;
• wykrywanie zmian zatwierdzonej konfiguracji bezpieczeństwa i blokowanie dostępu z urządzeń zrootowanych albo z nieaktualnym systemem;
• wyłączanie trybu programisty;
• wymaganie kodu dostępu, zdalne blokowanie urządzenia i zdalne wymazywanie danych (wipe) po zbyt wielu nieudanych próbach odblokowania albo po określonym czasie bez połączenia z serwerem;
• ograniczanie sklepów i aplikacji przez listę dozwolonych albo zabronionych oraz prowadzenie spisu zainstalowanych aplikacji.

Granice wyznacza model własności. NIST opisuje w pełni zarządzane urządzenia organizacji, urządzenia firmowe z dopuszczonym użyciem prywatnym (COPE) i model bring your own device (BYOD), w którym zamiast pełnego MDM można użyć MAM, żeby uszanować prywatność właściciela. W Androidzie profil służbowy oddziela aplikacje i dane służbowe od prywatnych. Gdy właściciel profilu wywoła wipeData, usuwany jest profil i jego dane, a część prywatna zostaje. Pełny reset do ustawień fabrycznych przez wipeDevice może wykonać tylko właściciel urządzenia albo właściciel profilu na urządzeniu należącym do organizacji.

Firma, która kupuje MDM dla standardowych telefonów, wybiera produkt pasujący do jej modelu własności urządzeń. Firma, która buduje własne urządzenie albo własny system operacyjny, ma zarządzanie w samym produkcie i wtedy obowiązują takie wymagania:

• Model własności jest jawny dla każdego urządzenia: firmowe, firmowe z użyciem prywatnym albo prywatne. Od niego zależy, co administrator może zobaczyć, ograniczyć i wymazać, a panel pokazuje go przy każdym urządzeniu.
• Polityka to wersjonowane dane dla organizacji i grupy, tak jak opisujemy przy haśle głęboka inspekcja pakietów, a konsola pokazuje urządzenia, które od niej odbiegają.
• Urządzenie egzekwuje politykę bez sieci. Interwał zgłoszeń, próg ostrzeżenia i próg automatycznego wymazania działają na samym urządzeniu, bo skradziony telefon nie połączy się z serwerem. Serwer wylicza ten sam stan na potrzeby konsoli.
• Każde zdalne polecenie jest potwierdzane i zapisywane: kto je wysłał, kiedy urządzenie je odebrało i jaki był wynik. Jeśli wymazanie po cichu się nie uda, operator jest przekonany, że danych już nie ma, choć wciąż są na urządzeniu.
• Konsola to najcenniejszy cel ataku w całym systemie. NIST wymienia wśród zagrożeń kradzież danych logowania administratora EMM i nieuczciwych pracowników, więc panel potrzebuje silnego uwierzytelniania, ról i dziennika zdarzeń.
• Integralność urządzenia jest sprawdzana. Zmiana karty SIM, tryby USB, debugowanie i zmienione pliki systemowe to sygnały, które urządzenie raportuje, a polityka na nie reaguje.
• Zarządzanie i aktualizacje idą w parze. Zmiany agenta i systemu trafiają na urządzenia kanałem OTA, a polityki synchronizują się z serwerem. Urządzenia na starych wersjach są widoczne w konsoli.
• Budowa na standardowym Androidzie ma ograniczenie: Android Enterprise nie przyjmuje już nowych rejestracji własnych DPC do Google Play EMM API. Produkt, który kontroluje własny build systemu, może umieścić zarządzanie w samym systemie.

W latach 2019-2021 zbudowaliśmy utwardzony system Raw Control oparty na Androidzie, z zarządzaniem wbudowanym w system operacyjny i panelem administracyjnym dla firm i grup.

Ochronę na wypadek braku połączenia konfigurowało się dla firmy albo grupy trzema czasami: jak często urządzenie zgłasza się do backendu, kiedy użytkownik dostaje ostrzeżenie o braku komunikacji i kiedy urządzenie samo wymazuje dane. Przy przykładowych wartościach 5, 60 i 120 minut konsola pokazuje OK, dopóki urządzenie zgłasza się co najmniej co 5 minut, WARNING po 5 minutach ciszy, CRITICAL po 60 minutach i WIPED po 120, razem z godziną planowanego wymazania. Późniejsze poprawki dotyczyły ostrzeżenia wyświetlanego przed wymazaniem i przypadku, w którym nieudana synchronizacja konta blokowała wymazanie.

Panel i API zarządzały listami dozwolonych i zabronionych urządzeń Bluetooth według adresu MAC i klasy urządzenia. Telefon je synchronizował, blokował połączenia z niezaufanymi urządzeniami i usuwał te, które były już sparowane. Gdy z zablokowanego telefonu wyjęto kartę SIM, startowało 10-minutowe odliczanie do resetu; zatrzymywało się, gdy użytkownik odblokował telefon z uwierzytelnianiem dwuskładnikowym albo włożył z powrotem tę samą kartę. Inne mechanizmy obejmowały dostęp do aparatu, mikrofonu, lokalizacji i innych czujników na poziomie systemu, limity transferu danych dla aplikacji z blokadą po ich osiągnięciu, atestację urządzenia (raporty integralności, które telefon wysyłał, a backend zapisywał i weryfikował) oraz tryby USB dopuszczone przez administratora.