Samsung will zukünftig nicht nur Endgeräte im Consumerbereich verkaufen, sondern auch im Business-Bereich Fuß fassen. Da Unternehmen immer mehr auf den Bring-Your-Own-Device-Ansatz (ByoD) setzen, also Anwendern erlauben ihre privaten Geräte mit dem Firmennetzwerk zu verbinden, muss sich Samsung etwas einfallen lassen, um Android-Geräte salonfähig zu machen.
Android ist im Vergleich zu den anderen verbreiteten Smartphone-Systemen im Firmenbereich deutlich unsicherer, was nicht zuletzt an der starken Fragmentierung der Versionen liegt und der offenen Struktur des Betriebssystems.
Was ist Knox überhaupt?
Die grundsätzliche Sicherheitsfunktion von Samsung Knox basiert auf einem Security Enhanced Android (SE Android) und einem besonders gesicherten Bootloader; in Verbindung mit speziell abgesicherter Hardware. Knox unterstützt auch Secure Boot . Das heißt, bereits beim Starten des Gerätes lässt sich sicherstellen, dass keine Schadsoftware geladen wird, obwohl Knox noch gar nicht gestartet ist.
©Samsung
©Samsung
©Samsung
©Samsung
©Samsung
©Samsung
©Samsung
©Samsung
©Samsung
©Samsung
©Samsung
©Samsung
Samsung verwendet hierbei auch die Integrity Measurement Architecture TIMA . Das TIMA-Modul überwacht den Kernel des Betriebssystems auch ohne Knox-Aktivierung. Das Modul soll sicherstellen, dass keine Sicherheitsprobleme vorliegen. Auf Wunsch schaltet das Modul das Gerät ab, wenn der Kernel kompromittiert ist. Security Enhancements for Android lassen sich auch mit Knox nutzen. Diese sorgen dafür, dass wichtige Daten und Apps in isolierten Bereiche gespeichert werden. Das verhindert die Auswirkungen eines Angriffs auf das Gerät.
Knox ist eine Erweiterung von Samsung für Enterprise (SAFE), damit mehr Unternehmen auch dienstlich den Einsatz von Android-Geräten erlauben. Bestandteil der neuen Funktion ist zum Beispiel auch die Möglichkeit automatisch die Kamera im Smartphone zu deaktivieren, sobald der Anwender das Firmengelände betritt. Außerdem soll Knox verhindern, dass Viren auf den Endgeräten in das Firmennetzwerk eindringen oder wichtige Firmendaten auf den Endgeräten zerstören oder auslesen.
Knox nur auf bestimmten Galaxy-Geräten
Sinn des Systems ist es mehrere getrennte Bereich zu haben. Das funktioniert natürlich nur mit spezieller Hardware, zum Beispiel dem Galaxy Note 4 und dem neuen Galaxy Note 10.1.
Durch die Trennung auf den Geräten, kann ein Anwender Profile anlegen. So besteht die Möglichkeit ein privates System und ein abgesichertes berufliches Profil auf ein und demselben Gerät zu verwenden. Samsung will in Zukunft weitere Geräte kompatibel mit Knox machen, zum Beispiel das Galaxy S3 durch ein spezielles Update. Welche Android-Versionen und Samsung-Geräte zukünftig mit Knox zusammen arbeiten, ist aktuell noch nicht klar. Es ist aber zu erwarten, dass vor allem die Galaxy-Geräte und Note-Geräte kompatibel mit Knox gemacht werden. Samsung führt auf der eigenen Knox-Webseite alle unterstützten Geräte auf.
Obwohl Knox den beruflichen Teil vom privaten Teil trennt, schützt dies den Anwender allerdings nicht davor, sich unsichere Apps oder Viren auf dem Gerät zu installieren. Hier kann die Anwendung nicht eingreifen. Das heißt, Unternehmen, die Knox einsetzen wollen, müssen parallel noch für Sicherheit auf dem privaten Teil des Smartphones sorgen.
Ablauf bei der Anbindung von Knox
Der Ablauf bei der Anbindung eines Knox-kompatiblen Gerätes an das Firmennetzwerk ist folgender: Das Gerät des Anwenders wird in die MDM-Software (Mobile Device Management) des Unternehmens integriert und Knox installiert. Nach der Anbindung und der Installation von Knox findet der Anwender auf dem Homescreen seines Gerätes ein neues Icon für Knox.
©Samsung
Klickt der Anwender dieses Icon an, öffnet sich die sichere Umgebung von Knox, inklusive einem eigenen App-Store . Die Technik ist ähnlich zu Blackberry Balance. Andere Einstellungen auf dem Endgerät ändern sich nicht, der Anwender kann, wie zuvor auch, problemlos weiterhin parallel mit seinem Gerät arbeiten.
Knox wird nicht als paralleles Betriebssystem genutzt. Anwender müssen für die Verwendung von Knox also nicht ihr System neu starten, sondern die Knox-Umgebung stellt ein “Unterbetriebssystem” dar, welches im laufenden Betrieb gestartet und auch wieder beendet werden kann. Die Firmendaten bleiben ausschließlich im entsprechend abgesicherten Bereich gespeichert. Die Knox-Umgebung, gestartet durch ein neues Icon auf dem Homescreen, verfügt dann wiederum über einen eigenen Homescreen mit eigenem Launcher, eigenen Apps und eigenen Widgets.
Privates und Geschäftliches auf einem Smartphone
Durch die strikte Trennung der beiden Systeme, können Anwender ihr Smartphone privat und beruflich nutzen. Bestandteil der Security Enhanced Edition von Android ist auch eine Verschlüsselung. Da das System eigentlich von der NSA entwickelt wurde, bleibt natürlich ein Beigeschmack bezüglich der Abhörsicherheit.
Auf der anderen Seite handelt es sich bei SE Android um eine Open-Source-Linux-Lösung. Das heißt, Hintertürchen für die amerikanischen Geheimdienste wären mittlerweile entdeckt worden. Im Fokus der NSA stehen im Bereich Android im Übrigen vor allem die Absicherung von Android vor gegnerischen Spionageangriffen, weniger die eigenen Abhörmöglichkeiten. Nach ersten Tests soll keine Backdoor enthalten sein. Verlassen sollte man sich allerdings darauf nicht, denn die NSA ist nicht gerade dafür bekannt, sichere Anwendungen für externe Nutzer zu programmieren.
SE-Android ist allerdings auch Bestandteil des AOSP (Android Open Source Project). Das heißt, Sicherheitslücken oder Hintertüren werden normalerweise durch Entwickler erkannt und beseitigt, sollten welche vorhanden sein.
Knox und das Rooten
Viele Android-Anwender, vor allem Profis rooten ihr Gerät. Dadurch erhalten sie mehr Zugriff auf die Funktionen von Android und dessen Dateisystem. Das ist auch beim Einsatz von Knox möglich. Allerdings lässt sich zum einen nur der private, nicht der von Knox abgesicherte Teil rooten. Zum anderen erkennt der Knox-Teil den Root-Vorgang und protokolliert diesen auch.
©Samsung
Die Hardware von Knox-kompatiblen Geräten erkennt einen Root-Vorgang in den meisten Fällen an einer durchgebrannten E-Fuse. Das heißt, bei Hardware-Problemen mit einem gerooteten Endgerät, kann Samsung die Garantie für solche Geräte ausschließen. Die Administratoren im Unternehmen erkennen außerdem solche Vorgänge und können gerootete Geräte von der Firmenumgebung ausschließen.
Standardmäßig blockiert Knox den Zugriff auf den verschlüsselten Teil der Daten, sobald das Gerät einen Root-Zugriff erkennt. Auch hier wird der Root-Vorgang durch die durchgebrannte E-Fuse erkannt. Das heißt, hier sollten sich Anwender vor der Anbindung an Knox mit den Administratoren des Unternehmens absprechen.
Private und berufliche Daten nutzen
Knox beeinträchtigt Smartphones oder auch Tablets ansonsten nicht. Die Anwender können ihr Gerät uneingeschränkt privat und beruflich nutzen. Auch Apps aus Google Play lassen sich weiterhin problemlos installieren. Allerdings stehen diese Apps nicht in der Knox-Umgebung zu Verfügung.
Der einzige Unterschied ist der Sachverhalt, dass ein zweites System auf dem Gerät verfügbar ist, welches Anwender aus ihrer Standard-Umgebung heraus starten können. Über ein Icon auf dem Homescreen lässt sich die sichere Umgebung schnell und unkompliziert starten. Die Daten der beiden Systeme sind voneinander getrennt. Das heißt, der berufliche und durch Knox abgesicherte Teil, hat keinen Zugriff auf die privaten Daten und umgekehrt. Die beiden Systeme sind komplett voneinander abgeschottet. Allerdings erscheinen die privaten Termine im Knox-Kalender. Umgekehrt sind die geschäftlichen Termine aus dem Knox-Container aber nicht im privaten Kalender zu sehen. Auch der lesende Zugriff auf Kontaktdaten, die außerhalb des Containers liegen, ist möglich. Diese Vorgänge muss der Anwender aber erst erlauben.
©Samsung
Die beruflichen Daten verweilen in einem so genannten Knox-Container. Dieser soll, laut Samsung, auch vor Malware, Phishing und physischem Zugriff auf das Endgerät geschützt sein. Das heißt, auch beim Verlust oder Diebstahl des Gerätes sollen die durch Knox geschützten Daten sicher sein. Die Daten in diesem Container sind durch eine AES-256-Verschlüsselung gesichert. Die Prozesse im Knox-Container können nicht mit außenliegenden Apps oder Prozessen interagieren.
Administratoren haben die Möglichkeit, den Knox-Container und dessen Daten vom Endgerät des Anwenders zu entfernen. Die privaten Daten des Anwenders sind davon nicht betroffen.
MDM und mehr mit Knox
Samsung unterstützt mit Knox viele Verwaltungslösungen (MDM). Mit Knox können Unternehmen außerdem VPN-Szenarien darstellen, auf Verwaltungslösungen Dritter setzen und auf Basis von Exchange ActiveSync die gesicherte Android-Version auch an Exchange anbinden. Alle Daten in der Knox-Umgebung sind AES-verschlüsselt. Die Umgebung erlaubt es Administratoren, die Einrichtung von VPNs für einzelne Apps in Knox zu konfigurieren.
©Samsung
Auch hier bleiben die gesicherten Daten in der Knox-Umgebung. Im Rahmen dieser zentralen Verwaltung können Administratoren remote auch Apps auf den Endgeräten installieren oder entfernen. Allerdings unterstützt die Knox-Umgebung hier nicht die offiziellen Android-Apps aus Google Play, sondern nur die besonders abgesicherten und signierten Knox-Apps von Samsung .
Auch die Absicherung von Daten und die Anpassung von Rechten sind möglich. Knox kann nicht nur von Anwendern manuell aktiviert werden, sondern kann sich in bestimmten Szenarien auch automatisch aktivieren, zum Beispiel wenn ein Anwender ein Firmengebäude betritt. Wie bei solchen Anwendungen üblich, lassen sich mit Knox auch Hardware-Funktionen, wie die Kamera oder Speicherkarten deaktivieren. Darüber hinaus besteht die Möglichkeit, Knox-abgesicherte Geräte remote zurückzusetzen.
Fazit
Dass Android für Unternehmen nicht gerade die sicherste Umgebung ist, stellt kein Geheimnis dar. Samsung will auf der anderen Seite als Marktführer bei Android-Geräten auch im Business-Bereich punkten. Hier muss jedoch Sicherheit und Verwaltbarkeit her.
Knox stellt hier einen interessanten Ansatz dar, vor allem angesichts der Tatsache, dass Android derzeit das mit Abstand verbreitetste Smartphone-System ist. Unternehmen, die einen ByoD-Ansatz verfolgen, kommen daher um die Anbindung von Android-Geräten kaum herum. Hier kann Knox durchaus sinnvoll sein. Allerdings ist die Umgebung auch stark eingeschränkt und erfordert einiges an Sicherheitswissen von den Anwendern. Knox blendet nämlich immer Informationen ein, wenn das System denkt, eine App würde Zugriff auf das System nehmen. Das kann Anwender schnell überfordern. Einen Blick ist die Lösung in jedem Fall wert. (cvi)