Apple und die Sicherheit

[radneuerfinder]

http://heise-online.mobi/mac-and-i/meldung/Mac-OS-X-patzt-bei-Zertifikatsueberpruefung-1336211.html

[Florian]

Vorschau: Man markiert und kopiert in einem PDF eine Textstelle in die Zwischenablage. Versteckt kopiert Vorschau aber die ganze Seite mit!
http://www.heise.de/mac-and-i/meldung/Apples-Vorschau-transportiert-unbemerkt-Datenfragmente-1337813.html

[Florian]

Die Situation bleibt problematisch. Am Mac kann man das DigiNotar-Root-Zertifikat löschen oder das Vertrauen entziehen (Rechtsklick/Informationen/Vertrauen/Nie).
Aber auf dem iPhone oder Android-Phone? Da muss man auf Apple bzw. Google warten. Und warten….

[radneuerfinder]

Niederländische Behörden und Gerichte akzeptieren bis auf weiteres, ab sofort keine elektronischen Zertifikate mehr - nur mehr Briefpost und Fax:
http://www.golem.de/1109/86286.html

[Florian]

Die Situation bleibt problematisch. Am Mac kann man das DigiNotar-Root-Zertifikat löschen oder das Vertrauen entziehen (Rechtsklick/Informationen/Vertrauen/Nie).

Vertrauen entziehen reicht wegen eines Bugs nicht, wie ich eben lese (auch sonst interessant). Also löschen.

[mbs]

Inzwischen ist offenbar auch der Zertifikatsaussteller GlobalSign von Sicherheitsproblemen betroffen und sieht darin einen weltweiten Angriff gegen das gesamte SSL-Konzept. GlobalSign führt interne Überprüfungen durch und stellt bis Montag den Betrieb ein: http://www.globalsign.com/company/press/090611-security-response.html

Mozilla zeigt sich progressiv und hat allen Stammzertifikatsausstellern ein Ultimatum bis nächsten Freitag gestellt, bestimmte Schutzmaßnahmen zu ergreifen. Wer sich nicht daran hält, wird aus der Stammzertifikatsliste von Firefox herausgeworfen: http://groups.google.com/group/mozilla.dev.security.policy/browse_thread/thread/bf2deb09824418fb?pli=1

[Florian]

Ja, jetzt steht womöglich das ganze System auf dem Spiel.

Mozillas Schritt empfinde ich als sehr gerechtfertigt und sinnvoll.
Apple dagegen bezieht Schelte:
http://www.macworld.com/article/162214/2011/09/researcher_raps_apple_for_not_blocking_stolen_ssl_certificates.html#lsrc.rss_main

[radneuerfinder]

Apple hat ein Sicherheitsupdate veröffentlicht, das sich um die ZertifikateProblematik kümmert:
http://www.apfelinsel.de/forum/index.php/topic,5263.msg72531.html

[radneuerfinder]

http://heise-online.mobi/security/meldung/Mac-OS-X-Lion-macht-es-Passwortknackern-unnoetig-leicht-1345451.html

[radneuerfinder]

http://www.heise.de/mac-and-i/meldung/In-App-Einkaeufe-des-App-Store-geknackt-1354296.html

[radneuerfinder]

According to security researchers at F-Secure, “Flashback.C” is potentially capable of disabling the auto-update component of Apple’s built-in XProtect anti-malware application:
http://www.appleinsider.com/articles/11/10/19/fake_adobe_flash_malware_seeks_to_disable_mac_os_x_anti_malware_protection.html

[MacFlieger]

Ist üblich bei Malware, dass sie versucht deren Gegenspieler zu deaktivieren. Entweder indem sie die komplett lahm legt oder die Zugriffe auf Updates verhindert oder...

Und solange man selber jede Software installieren und das System verändern kann, wird es dagegen auch keinen Schutz geben.

[radneuerfinder]

http://www.giga.de/macnews/software/wie-man-os-x-sicherer-machen-konnte-zertifikate-fur-alle-statt-sandbox-250515

Gibt's das nicht bei Windows? "Dieses Programm hat kein Testat von Microsoft - trotzdem installieren?" Oder so ähnlich.

[warlord]

Ja, ganz toll. Selten so einen Schmarrn gelesen. Apps werden in erster Linie sicherer durch sicheres Programmieren. Und dazu anregen kann, wenn überhaupt, Sandboxing viel eher als irgendwelche Zertifikate.

Weil sich Apple schon schwer tut, den Umgang der Apps im MAS mit der Sandbox ausreichend zu kontrollieren, sollten sie zur Abhilfe dieses "Engpasses" nun gleich den Kill-Switch sämtlicher Mac-Anwendungen in Händen halten? Wie unlogisch ist das denn?

Wenn der *piep* so Freude an einer allmächtigen Kontrollinstanz hat, die entscheidet, was Benutzer laufen lassen dürfen und was nicht, soll er doch einfach für iOS programmieren und ansonsten die Schnauze halten. 

[MacFlieger]

Da schliesse ich mich ganz warlord an.
Diese Zertifizierung ist großer Blödsinn.
Das Sandboxing hingegen finde ich prinzipiell nicht unsinnig und auch eine gute Idee. Nur an der Umsetzung hapert es noch. siehe auch die Erklärungen von mbs im Thread "Sandbox im Mac AppStore".