Bearbeiten von „Samsung/Knox“

[[Datei:Samsung Knox.png|mini|Logo von Samsung Knox]]
'''Samsung Knox''' (Eigenschreibweise: '''Samsung KNOX''') ist eine Sammlung Buniness-orientierte Sicherheitsfunktionen für Android-Geräte von Samsung. Das System, welches auf SE for Android basiert, ist speziell auf die Bedürfnisse von Unternehmen in Hinsicht auf die Sicherheit der Endgeräte ausgerichtet. Knox soll die Geräte von Samsung damit konkurrenzfähiger zu BlackBerry-Geräte machen<ref>https://en.wikipedia.org/wiki/Samsung_Knox</ref>.

== Bestandteile ==
Im groben umfasst Samsung Know 3 Bereiche und bildet damit eine komplette Sicherheitslösung für die Verwendung von (privaten) Android-Geräten im Unternehmensumfeld. Samsung selbst bezeichnet die einzelnen Elemente von Know wie folgt<ref>http://www.samsung.com/global/business/mobile/solution/security/samsung-knox</ref>:
* Platform Security
* Application Security
* Mobile Device Management (MDM)

In diesen Elementen sind widerum verschiedene Funktionen und Features enthalten.

=== Platform-Security ===
Der Bereich Platform-Security umfasst insgesamt 3 Features:
* Customizable Secure Boot
* ARM® TrustZone®-based Integrity Measurement Architecture (TIMA)
* Security Enhancements for Android (SE for Android)

Diese Features bilden so die erste Sicherheitsschicht des Androidsystems und arbeitet auf den tiefsten Ebenen des Gerätes (Hardware, Linux-Kernel).

'''Customizable Secure Boot''' bezeichnet eine Sicherheitsfunktion von Geräten mit Samsung Knox. Wird das Gerät gestartet, kann lediglich signierte, und somit autorisierte, Software geladen werden. Dies betrifft jegliche Art von Software, egal ob komplette Firmware oder nur Bestandteile<ref>http://www.samsung.com/global/business/business-images/resource/white-paper/2013/06/Samsung_KNOX_whitepaper_June-0.pdf</ref>. Die Sicherheit des Systems basiert auf einem, während der Produktion im Read-Only Memory (ROM) gespeicherten, Hash-Wert eines Sicherheitszertifikates. Dieser Hash muss mit dem im Bootloader hinterlegten Sicherheitszertifikat überein stimmen. Das Sicherheitszertifikat basiert auf dem Standard ITU X.509, welche eine Public-Key-Infrastruktur beschreibt. Software, die vom Bootloader aus geladen werden soll (Firmware bspw.), muss über eine gültige digitale Signatur verfügen. Ist eines dieser Voraussetzungen (korrekter Hashwert im ROM, ungültiges Zertifikat der Software) nicht erfüllt, wird der Bootvorgang abgebrochen. Ein Zugriff auf das Gerät ist somit nicht mehr möglich. Diese Funktion von Knox ist erst dann aktiviert, wenn MDM (Mobile Device Management) aktiviert und verwendet wird.

'''ARM® TrustZone®''' ist ein für ARM-Cortex-A-Prozessoren verfügbares Feature, welches im groben einen ''sicheren'' und einen ''normalen'' Bereich für die Ausführung von Software bereit stellt.

'''ARM® TrustZone®-based Integrity Measurement Architecture''' (kurz TIMA) ist standardmäßig in der ''sicheren'' Zone des Smartphones aktiviert und lässt sich nicht abschalten. Das Feature überprüft die Integrität des Linux Kernels und erkennt somit Abweichungen vom Grundzustand des Systems. Ist dies der Fall, wird über das MDM ein Hinweis an den IT Verwalter gesendet, welcher anschließend mittels Richtlinien reagieren kann. So wird unter anderem verhindert, dass SE for Android durch Veränderung des Kernels ausgeschalten oder umgangen werden kann.

'''SE for Android''' ('''S'''ecurity '''E'''nhancements for Android) ist ein auf SE Linux basierendes System, welches grundsätzlich dazu gedacht ist, die auf dem Gerät vorhandenen Informationen und Daten (bspw. Apps) voneinander zu trennen. Somit wird ein Schaden aus einem möglichen Angriff auf einen Bereich so gering wie möglich gehalten. SE for Android wurde, wie auch SELinux, zu einem großen Teil von der NSA (National Security Agency) entwickelt und portiert.

=== Application Security ===
Der Bereich Application Security bietet folgende drei Sicherheitsfunktionen:
* ApplicationContainers
* On-device Data Encryption
* Virtual Private Network Support

'''ApplicationContainers''' ist quasi ein Android im Android und bezeichnet einen gesicherten, separaten Bereich (Container) auf dem Gerät. Dieser Bereich hat einen eigenen Homescreen, eigene Anwendungen und eigene Daten. Diese Funktion ist damit vergleichbar mit einer Art Dual-Boot-Variante. Anwendungen außerhalb des Containers haben dabei keinerlei Zugriff auf die Daten oder Prozesse innerhalb des Containers. Anwendungen innerhalb des Containers haben grundsätzlich keinen Zugriff auf Daten außerhalb des Containers. Mittels Richtlinienkonfiguration kann der IT-Verwalter des Gerätes einen read-only (nur lesen) Zugriff für bestimmte Anwendungen im Container auf Daten außerhalb des Containers einrichten. Umgekehrt besteht diese Möglichkeit allerdings nicht. Daten innerhalb des Containers werden dabei mit einem Verschlüsselungsalgorithmus und einem AES-256 Bit Schlüssel geschützt. Ein Zugriff ist erst nach Eingabe eines Passwortes möglich.

'''On-device Data Encryption''' (kurz '''ODE''') ist ein im Know enthaltenes Feature zur Verschlüsselung von Daten. Dabei kann sowohl der sichere Container als auch der ''normale'' Bereich, sowie [[Interner Speicher|interner]] als auch [[Externer Speicher|externer]] Speicher verschlüsselt werden. Verwendet wird ein AES Algorithmus mit einem 256 Bit starken Schlüssel. Die Verschlüsselungsfunktion kann vom User selbst unter dein Einstellungen oder vom IT Administrator durch eine Richtlinie aktiviert werden.

Samsung Knox liefert ebenso eine '''VPN'''-Lösung mit, welche das Gesamtpaket für die Verwendung von [[Bring your own device]] (BYOD) abrundet. Vorteil der Lösung gegenüber der Android-eigenen ist, das durch den IT Administrator festgelegt werden kann, das bspw. der sichere Container über das VPN auf das interne Firmennetzwerk zugreift und der persönliche, offene Bereich für den Anwender direkt auf das Internet zugreift.

=== Mobile Device Management ===
[[Datei:Samsung Knox Knox.png|mini|Gegenüberstellung von Unternehmensanforderungen und Knox-Features]]
Mit '''MDM''' ('''M'''obile '''D'''evice '''M'''anagement) bietet Samsung Know der IT Abteilung des Unternehmens die Möglichkeit eine integrierte Lösung zur Verwaltung und Administration von Samsung-Geräten vorzunehmen, ohne dabei auf Drittanbieter zurückgreifen zu müssen. Der Nachteil dabei ist die ausschließliche Verwendung mit Samsung-Geräten, welche über Samsung Knox verfügen. Der Funktionsumfang umfasst grundsätzlich nahezu alle Anforderungen eines MDM Systems für Unternehmen, unter Anderem:
* Remotesteuerung von Konnektivitätselementen (WLAN, Bluetooth, etc.), Browsereinstellungen, E-Mail-Konten und mehr
* Lokalisierung des Gerätes (GPS)
* Geräteinventar (installierte Anwendungen)
* Einstellungen für Mobilfunknetz (APN, Roaming, etc.)
* Container Management (sicherer Bereich)

== Kritik ==
Aufgrund der hohen Sicherheitsansprüche sollen bspw. beim [[Samsung/Galaxy Note 3|Samsung Galaxy Note 3]] ein sogenannter eFUSE Chip verbaut sein, welcher sich bei Veränderung der Software selbst unbrauchbar macht<ref>http://www.androidnext.de/news/samsung-galaxy-note-3-knox-efuse/</ref>. Des Weiteren soll ein, durch ein Softwareupdate mit Knox ausgerüstetem, Gerät ein eindeutiges Flag nach der Veränderung der Software gesetzt werden. Dadurch soll es für Unternehmen möglich sein zu erkennen, ob die Sicherheit kompromittiert wurde. Kritik gibt es an dieser Methode allerdings in der Richtung, dass diese Tatsache dazu genutzt werden könne, Garantieansprüche abzulehnen<ref>http://www.androidnext.de/schwerpunkt/samsung-knox-android-basierte-sicherheitsloesung-erklaert/</ref><ref>http://www.appdated.de/2013/10/root-bei-samsung-knox-geraeten-kann-zu-garantieverlust-fuehren/</ref>.

== Einzelnachweise ==
<references />