Australië verbiedt Touch ID voor beveiligen beschermde overheidsdata
Australische ambtenaren en overheidsinstanties mogen geen Touch ID of Face ID gebruiken om "beschermde overheidsdata" te beveiligen, zo heeft het Australische Cyber Security Centre (ACSC) bepaald. Het ACSC publiceerde onlangs een beveiligingsconfiguratiehandleiding voor iOS-toestellen.
Met de handleiding wil het ACSC overheidsinstanties op de risico's van iOS-toestellen wijzen voordat ze binnen instanties in gebruik worden genomen. De informatie is echter ook te gebruiken door bedrijven en organisaties. In de handleiding staan aanbevolen configuraties vermeld voor onder andere beheerdersrechten, applicatiewhitelisting, back-ups, patches en macro-instellingen voor Microsoft Office.
Daarnaast gaat de handleiding in op het omgaan met vertrouwelijke data. Voor vertrouwelijke gegevens kent de Australische overheid vijf niveaus, waarbij top secret en secret de hoogste twee zijn. Hierna volgt informatie met het label "Protected". Het gaat dan om informatie die wanneer gelekt schade aan nationale belangen, organisaties en individuen kan toebrengen.
Deze informatie mag niet worden beveiligd met de Touch ID- en Face ID-functies van de iPhone. De biometrische authenticatie van iOS is namelijk niet door de Australische geheime dienst geëvalueerd. "En de beveiligingsclaims van de feature zijn lastig te beoordelen", aldus het ACSC. Het gebruik van Touch ID en Face ID om beschermde overheidsdata te beveiligen is dan ook niet toegestaan. In plaats daarvan moet er een voldoende lange en complexe passcode worden gebruikt. Data die als "Official: sensitive" is bestempeld, waarvan het lekken een veel kleinere impact heeft, mag wel met biometrische authenticatie worden beveiligd.
Overigens denk ik dat dergelijke gevoelige informatie helemaal niet op smartphones aanwezig moet zijn.
want Apple zal deze propriety-knowledge wel niet vrijgeven.
Veel belangrijker: identificatie is niet geschikt al identificatie.
Veel belangrijker: identificatie is niet geschikt al identificatie.
Identificatie bij forensische wetenschap is het bewijs leveren over welke voorheen onbekende persoon het gaat.
In cyberveiligeid iam hebben we identificatie ofwel de bewering over welke persoon het gaat met authenticatie waarbij het bewijs geleverd moet worden dat het de juiste persoon bij die bewering is.
Je hebt de false positives en de false negatives om de betrouwbaarheid weer te geven.
Als je de betekenis in dd context niet begrijpt zal het nooit wat worden. Apple is toch gewoon open source....tenminste hier in nl met het paspoort via nfc Android of Ios gaan lopen.
En voor de nitpickers: ja, ik weet dat wanneer je de informatie op je smartphone ziet/waarneemt, dan is de informatie ook op je smartphone aanwezig. Maar die aanwezigheid is van voorbijgaande aard (transient). Uit het oog, uit het hart, zeg maar.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
