Structuring and enhancing IT security in core mobile phone use cases

Abstract

Mobile phones are emerging to personal mobile devices, which can already replace a personal computer in many use cases. But their overall security mechanisms are not sufficient. The data stored in today's devices are much more personal then data stored on any other device we use.<br />The focus in this thesis are operating systems and additional installed applications. The mobile phone attack surface is examined and based on it, possible and by researchers documented examples of threats are summarized. Since the mobile and fixed environments have their differences, these are outlined as the consideration for improvement approaches. Because of the human factor, some results of awareness surveys are presented and discussed.<br />Due to limited resources of mobile phones (mainly power supply and size and/or weight), the current research in this field mainly concentrates on off-device (cloud) security services. These off-device security services are now the only solution to save power supply consumption while inferring possible attacks. Another focus is the virtualization and problems interconnected with installation of new applications.<br />Summing up, this thesis proposes a mobile phone attack surface including open problems, which have to be solved to improve the overall security of mobile phones.<br />

Mobiltelefone entwickeln sich zu pers¨onlichen Mobilger¨aten, die den PC in vielen t¨aglichen Anwendungsbereichen jetzt schon ersetzen k¨onnen. Aber deren Sicherheitsmechanismen sind oft nicht ausreichend. Daten, die in den Mobiltelefonen gespeichert werden, sind oft mehr personenbezogen als Daten in einem anderen Ger¨at, das im Alltag verwendet wird. Im Fokus dieser Diplomarbeit steht die vergleichende Analyse von Betrieb- systemen im Mobiltelefonbereich und zus¨atzlich installierten Applikationen. Eine Klassifikation der Angriffsfl¨ache von Mobiltelefonen wird vorgeschla- gen und darauf basierend werden relevante Sicherheitsl ¨ ucken aufgezeigt, wobei grundlegende Unterschiede zwischen mobilen und fixen Umgebungen ber¨ ucksichtigt werden. Weil die BenutzerInnen einen menschlichen Faktor darstellen, werden Erhebungen ¨ uber Sicherheitsbewusstsein pr¨asentiert. Aufgrund der limitierten Ressourcen mobiler Ger¨ate (meistens wegen der Energieversorgung und Gr¨oße) konzentriert sich die aktuelle Forschung in diesem Bereich vor allem auf (Cloud) Sicherheitsdienste außerhalb des Mo- biltelefons. Diese Sicherheitsdienste, die außerhalb des Ger¨ats bereitgestellt werden, sind heute mittlerweile die einzige L¨osung, um m¨ogliche Angriffe festzustellen, ohne dabei zu viel Energie zu verbrauchen. Weitere Schwer- punkte der Arbeit sind Virtualisierung und Probleme, die mit der Instal- lation von neuen Applikationen verbunden sind. Zusammenfassend bietet diese Diplomarbeit eine Klassifizierung der Angriffsfl¨achen von Mobiltelefo- nen und zeigt Schwachstellen auf, deren Beseitigung die allgemeine Sicher- heit von Mobiltelefonen erheblich verbessern w¨urde.<br />