Apfelinsel

Apple => Thema gestartet von: warlord am April 08, 2008, 22:12:33

Titel: Apple und die Sicherheit
Beitrag von: warlord am April 08, 2008, 22:12:33
Apple schneidet schlecht ab bei der Behebung von Sicherheitslücken: http://www.nzz.ch/nachrichten/medien/mehr_luecken_als_ein_windows-pc_1.702487.html
Titel: Re: Apple und die Sicherheit
Beitrag von: FOX am April 08, 2008, 22:25:38
Ist schon immer komisch, dass OSX da scheinbar immer schlecht abschneidet. Ich habe noch nie von einem Virenbefall oder ähnlichen Problemen bei einem Apple-User gehört, geschweige denn selbst ein Problem damit gehabt.

Ihr?

Damit sind diese Berichte für mich immer eher Stimmungsmache.
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am April 08, 2008, 22:49:12
Unter den Berichten hat es durchaus Stimmungsmache. Es ist aber nicht nur Stimmungsmache. Ich bin durchaus auch der Meinung, dass Apple ein Einstellungsproblem bzw. ein Problem im Umgang mit Partnern hat. Und das wirkt sich unter anderem auch bezüglich Sicherheit negativ aus.
Titel: Re: Apple und die Sicherheit
Beitrag von: fränk am April 09, 2008, 06:46:20
Ich kann solche Meldungen auch nicht richtig einordnen.

Ich habe noch keine Sicherheitsprobleme gehabt. Der Großteil der Mac-User ebenfalls nicht.
Es gibt also scheinbar nichts auf das Apple reagieren müsste.

Die Folge davon kann eigentlich nur bedeuten: Die Sicherheit sinkt dramatisch!
Apple wird wohl kaum mehr Kohle in die Sicherheit investieren als unbedingt nötig. Da es scheinbar keine Unsicherheitsfälle gibt, werden sie ihr Engagement so lange zurückschrauben, bis es kracht.

Mac OS wurde so oft für seine "Unverwundbarkeit" gelobt, daß es mich nicht wundern würde, wenn "MS-Verbündete" den Großteil der Meldungen, bei denen es sich um die Unsicherheit von Mac OS dreht, einfach nur erlogen und dann geschickt platziert hätten.

Ich habe mir die Tage wieder von einem "Super-Sicherheits-Fachmann" anhören müssen wie "relativ sicher" Windows und wie "relativ unsicher" Mac OS ist.
Nein, Mac OS kennt er nicht wirklich.
Und natürlich ist ein Mac nur sicher, weil es keiner nutzt und weil sich ein Angriff nicht lohnt.
Als ich bemerkte, daß die Mac-User Zahlen steigen, kam die nächste "Super-Sicherheits-Fachmann-Plattheit": Dann wird es demnächst die ersten großen und erfolgreichen Angriffe geben. (also die Angriffe, die am Beginn des Gesprächs, immer schon erfolgreich waren ;))

Ich habe keine Ahnung wie sicher Mac OS wirklich ist, bin aber ohne zusätzliche Schutzmassnahmen seit Jahren problemlos unterwegs.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am April 09, 2008, 08:50:57
Ich stimme da warlord zu.
Die Berichte sind aktuell eine Stimmungsmache.
Aber auch die Behauptungen, ein Mac sei grundsätzlich sicher oder "unverwundbar", sind Unsinn.
Es gab und gibt auch beim Mac Sicherheitslücken, die ausgenutzt werden könnten. Und Apple würde gut daran tuen, bekannte Lücken noch schneller zu schliessen und bei einigen Punkten von Anfang an die Sicherheit zu berücksichtigen. Und ich fürchte auch, Apple wird sich erst dann bessern, wenn es mal zu einem echten Virus gekommen ist.

Warum gibt es aber bislang keine Viren?
- Ein Punkt ist sicherlich die geringere Verbreitung, allerdings halte ich das für relativ bedeutungslos. Viel wichtiger halte ich:
- Die Anzahl an ungepatchten Rechnern ist erheblich kleiner. Ich kenne viele, viele Windows-User, die nahezu nie Updates von MS einspielen, aus verschiedenen bekannten Gründen. Dort lohnt es sich erheblich eher einen Angriff zu starten, weil man auch noch monatelang (teilweise sogar Jahre) nach Erscheinen eines Sicherheitspatches genügend Opfer findet. Beim Mac ist es eher umgekehrt. Da installieren viele Leute nur wenige Minuten nach Erscheinen eines Updates, ohne evtl. abzuwarten ob es auch negative Folgen hat.
- Viele Benutzer unter Windows haben absichtlich Sicherheitsfeatures abgeschaltet (z.B. die UAC) bzw. unter XP sind die fast alle Admins.

@fränk: Ja, "Super-Sicherheits-Fachmann" und Mac OS kennt er nicht, weiss aber warum und wie unsicher das ist. War bei einer Bank beschäftigt und bei ihm kann es prinzipiell keine Sicherheitsprobleme geben, richtig?  ;D
So etwas kann ich nicht ernst nehmen.
Titel: Re: Apple und die Sicherheit
Beitrag von: mbs am April 09, 2008, 10:01:35
Hierzu sollte man erwähnen, dass das Stichwort "Viren" nur begrenzt etwas mit Sicherheitslücken zu tun hat.

Eine Sicherheitslücke - wie sie in allen Studien, hier z.B. der ETH Zürich, gemeint ist - liegt auch immer dann vor, wenn zum Beispiel

Diese Aspekte haben zunächst mal wenig mit Viren zu tun. Sie machen es unter Umständen höchstens leichter, Viren zu entwickeln oder Viren "noch schlimmere" Dinge tun zu lassen.

Ich war in der Vergangenheit schon öfter von Sicherheitslücken in Mac OS X unmittelbar betroffen, und zwar in der Form, dass ein Benutzerprogramm unbeabsichtigte Nebenwirkungen im Systemkern ausgelöst hat, was zu Abstürzen geführt hat. Und damit meine ich, dass es tatsächlich zu konkretem Ärger, Schäden und Kosten für mich und Kunden kommt.

Nachdem ich den Kontakt zu Apples Sicherheitsabteilung schon erleben durfte, ist mein Eindruck: Früher waren sie nur langsam in der Behebung von Sicherheitslücken, aber bemüht. Heute (möglicherweise nach dem Weggang von Avie Tevanian, aber das ist Spekulation) sind sie noch langsamer und dazu noch arrogant.

Ich sehe das wie warlord: Das größte Problem von Apple ist deren Einstellung und der Umgang mit Partnern außerhalb. Völlig egal, ob das nun Kunden, Entwickler, Open Source-Quellen, Systembetreuer oder Händler sind.
Titel: Re: Apple und die Sicherheit
Beitrag von: fränk am April 09, 2008, 11:05:09
Ja, "Super-Sicherheits-Fachmann" und Mac OS kennt er nicht, weiss aber warum und wie unsicher das ist. War bei einer Bank beschäftigt und bei ihm kann es prinzipiell keine Sicherheitsprobleme geben, richtig?  ;D
So etwas kann ich nicht ernst nehmen.

Yepp!

Wobei ich sogar glaube, der Mensch plappert das nicht einfach so dahin, er glaubt leider auch noch daran.
Und erst das macht es dann besonders gefährlich.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am April 09, 2008, 11:22:22
@mbs:
Ja, das Wort "Viren" habe ich ziemlich lax synonym für Sicherheitslücken, wie Du sie genauer definierst, gebraucht, auch wenn das natürlich nicht direkt zutrifft.

Wobei man auch noch erwähnen muss, dass es genügend "Viren" gibt, die keine Sicherheitslücke im Computersystem benötigen. Sie benötigen einzig und alleine einen gutgläubigen Menschen, der ein schädliches Programm startet und dann noch absichtlich oder unabsichtlich mit entsprechenden Rechten ausstattet.
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am April 09, 2008, 11:30:19
Wenn man spitzfindig sein will, ist es dann aber kein Virus, sondern ein Trojaner.  ;)
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am April 09, 2008, 11:33:56
Deshalb ja die Anführungszeichen.  :P
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am April 09, 2008, 12:17:23
Um besonders spitzfindig zu sein, ist es ganz eigentlich weder Virus noch Trojaner, sondern Grieche.

Abstürze sind natürlich immer ein Graus. Schlimmer noch, würde ich meinen, allerdings echte Überwachungsprogramme, eben sinnwidrig Trojaner genannt. Und da gab es unter OS X bisher nullkommanull. Dafür viele „Erfolgsmeldungen", die dann doch wieder aktives Zutun des Benutzers erforderten.

Ist der Mac sicherer? Vielleicht nicht per se. Aber ich sehe das wie Macflieger: Das durchschnittliche Nutzerverhalten ist auf jeden Fall ein anderes. Zumindest bis jetzt.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am April 09, 2008, 13:14:24
Wobei es ja schon einen "Griechen" gab.
Es waren angeblich Screenshots von Leopard, als es den noch nicht gab. In Wirklichkeit war es ein Programm, welches alle Programme im Applications-Ordner befiel, so man denn Schreibrechte hatte. D.h. wer als Admin unterwegs war infizierte seine Programme durch Öffnen (Starten) des angeblichen Screenshots. Wer, wie ich immer empfehle, nur als normaler Benutzer arbeitet, bekam eine Aufforderung, sein Admin-Kennwort einzugeben. Spätestens da sollte es klingeln.
Bei Windows-Nutzern sind die Art von Schädlingen meist nicht analog dazu Screenshot von Vista oder Folgeprodukten, sondern angebliche Nacktbilder von Sternchen xy etc.  ;D
Trotzdem: In beiden Fällen wird keine Sicherheitslücke des Systems ausgenutzt, sondern nur der Anwender getäuscht.
Titel: Re: Apple und die Sicherheit
Beitrag von: fränk am April 09, 2008, 13:30:20
Bei Windows-Nutzern sind die Art von Schädlingen meist nicht analog dazu Screenshot von Vista oder Folgeprodukten, sondern angebliche Nacktbilder von Sternchen xy etc.  ;D

Aber wir sollten auch den Mumm aufbringen und klipp und klar sagen:

Einer der Vorteile von Windows (neben der vielen verfügbaren Software und den günstigen Preisen) sind die vielen Titten, die so imPostfach landen.

Ich bekomme nur irgendwelche trögen Textfiles mit "Penisentlargern".
Ich will auch Möpse!
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am April 09, 2008, 14:19:41
Ich bekomme nur irgendwelche trögen Textfiles mit "Penisentlargern".
Ich will auch Möpse!

Die wissen halt besser was Du brauchst.  :P ;D
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am April 09, 2008, 16:21:38
Einer der Vorteile von Windows (neben der vielen verfügbaren Software und den günstigen Preisen) sind die vielen Titten, die so imPostfach landen.

Was da in Deinem Postfach landet hat ja nix mit dem verwendeten OS zu tun.

Ach ja, gerade in diesem Zusammenhang vergaß ich ja auch noch den Porno-"Griechen" für OS X. Auf einschlägigen Webseiten wurde vorgegaukelt, dass man einen zusätzlichen Codec zum schauen benötigt. Bei der Installation dieses "Codecs" wird natürlich nach Admin-Passwort gefragt und schwupps, werden DNS-Einträge verbogen und Phishing gefördert.
Das ist aktuell der einzig wirkliche Schädling für OS X.
Aber auch hier wie so oft: Eine Sicherheitslücke im System wird nicht ausgenutzt/benötigt.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am April 09, 2008, 17:34:53
Vielleicht ist ja in diesem Zusammenhang auch diese Seite (http://osx.realmacmark.de/osx_security.php) mit vielen weiterführenden Links interessant. Ob das alles so stimmt, kann ich nicht beurteilen. Es liest sich recht schlüssig.
Titel: Re: Apple und die Sicherheit
Beitrag von: Rantanplan am April 09, 2008, 18:39:39
Der gute MacMark :-) Ja, der weiß schon wovon er spricht. Damit will ich nicht sagen, daß er sich nicht auch mal irren könnte, aber ich kenne ihn noch gut aus meiner Zeit bei ... äh, so einem Mac-Forum, in dem er auch lange Zeit aktiv war. Ach ja, das waren noch Zeiten ...
Titel: Re: Apple und die Sicherheit
Beitrag von: Patrick am April 12, 2008, 04:53:10
Um das Thema nochmal aufzugreifen: generell sind "Viren" kaum mehr ein Thema (ebenso wie Würmer), es geht vor allem um Trojaner, sprich irgendwelche verkappte Dateien, die ein unbedarfter User öffnet und die Schadsoftware auf dem betroffenen System installiert. Mittlerweile wird in den meisten Fällen ein Client für ein Spam-Bot-Netzwerk installiert. Für den User hat das nur insofern Auswirkungen, als daß unter Umständen die Performance seiner Internetanbindung zusammenbricht, ansonsten merkt er von dem Schädling nix. Attacken auf das Hostsystem sind eigentlich Kinderkram.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am April 12, 2008, 07:57:15
Du glaubst gar nicht, wie oft ich schon zu hören bekam: "Dann ist mir das egal. Wenn der Rechner doch normal weiterläuft, für DSL habe ich eine Flatrate..."
Titel: Re: Apple und die Sicherheit
Beitrag von: MacMark am April 12, 2008, 09:23:25
Hierzu sollte man erwähnen, dass das Stichwort "Viren" nur begrenzt etwas mit Sicherheitslücken zu tun hat. …

Das ist leider nur noch wenigen bewußt. :) Viren benötigen keine Sicherheitslücke, denn um sich an eine weitere Datei (des Benutzers) zu hängen, bedarf es keiner Lücke.

Es gibt jedoch Betriebssystemeigenschaften, die virale Aktivität behindern, unter anderem:
- Benutzer haben keine Schreibrechte auf andere Userverzeichnisse oder im System. Diese Schranke war beispielsweise mit FAT-Dateisystemen nicht möglich. Bei Windows kam das erst mit NTFS und ACLs. Bei UNIX gab es diese Behinderung schon "immer". Daher waren Viren auch ein typisches Windows-Problem.
- Warnung vor Ausführung von scheinbaren Daten: Wenn ein MP3, das man runtergeladen hat, ausführbaren Code enthält, warnen manche Systeme (auch Leopard) den Benutzer.
Titel: Re: Apple und die Sicherheit
Beitrag von: Thyrfing am April 12, 2008, 10:20:31
Hallo und herzlich willkomen, MacMark.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am April 12, 2008, 10:39:43
- Benutzer haben keine Schreibrechte auf andere Userverzeichnisse oder im System. Diese Schranke war beispielsweise mit FAT-Dateisystemen nicht möglich. Bei Windows kam das erst mit NTFS und ACLs. Bei UNIX gab es diese Behinderung schon "immer". Daher waren Viren auch ein typisches Windows-Problem.

Wobei diese Behinderung bei den allermeisten XP-Nutzern auch nicht genutzt wurde, weil sie ständig als Admin (!= Admin auf dem Mac) unterwegs waren...
Titel: Re: Apple und die Sicherheit
Beitrag von: MacMark am April 13, 2008, 08:28:18
Mit einem FAT-Dateisystem hat jeder User auf alle Dateien alle Rechte, weil es keine "Rechte" gibt. Egal ob man Admin ist oder "normaler Benutzer", alle können auf der Platte lesen und schreiben was und wo sie wollen und ein Virus kann sich ungehindert ausbreiten. Das ist wohl auch der Grund, warum Vista auf NTFS besteht.

Die Frage, warum ein Virus Systeme mit FAT-Dateisystemen angreift, kann leicht beantwortet werden: Weil er es kann. Und da FAT circa 30 Jahre das hauptsächliche Dateisystem auf PCs (auch vor Windows) war, hat man sich damit eine große Fangemeinde von Virenschreibern aufgebaut. Die Sicherheitslücke "FAT" ist eigentlich keine Lücke, sondern ein Designfehler, weil Zugriffs-Rechte darin überhaupt nicht vorkommen. Bill Gates hat das in den 70ern selbst "verbrochen" während UNIX zur gleichen Zeit schon die üblichen Rechte nutzte.

Ich finde 30 Jahre für einen Security-Fix ziemlich langsam :P

NTFS ermöglicht Zugriffssteuerung durch Access Control Lists. ACLs ermöglichen sehr detaillierte Einstellmöglichkeiten, sie werden daduch aber auch komplex und haben damit zwei Nachteile: Man kann leicht Mist konfigurieren und es ist recht schwierig, alles wirklich sicher einzustellen.

Die gewöhnlichen UNIX-Rechte (POSIX) sind einfach und sicher. Bei Leopard (und Tiger) kann man optional ACLs zusätzlich nutzen. ACLs werden hier zuerst geprüft und wenn keine ACL dranhängt oder kein Eintrag darin zutrifft, dann gelten die UNIX-Rechte. Leopard nutzt für einige private User-Verzeichnisse ACLs, um den Benutzer vom versehentlichen Löschen der Verzeichnisse "Dokumente" und "Bilder" etc. abzuhalten.
ls -led Documents/
drwx------+ 51 macmark  staff  1734 Mar 21 11:42 Documents/
 0: group:everyone deny delete
Die Regel "0", also die erste, sagt: Jeder ("group:everyone" heißt: die Gruppe "everyone") darf "Documents" nicht löschen, also niemand. Wenn mehrere Regeln dranhängen, gilt die erste, die auf den Akteur paßt.

… kenne ihn noch gut aus meiner Zeit bei ... äh, so einem Mac-Forum, in dem er auch lange Zeit aktiv war …
Dito :)
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am April 13, 2008, 12:07:58
Man darf den Namen durchaus aussprechen bzw. ausschreiben. :)

À propos: warlord hat zu ACLs mal einen längeren Artikel geschrieben (http://www.apfelinsel.de/forum/index.php/topic,2501.0.html).

Schönen Sonntag an alle alten und jungen Hasen! :)

Florian, einstmals RollingFlo. :)
Titel: Re: Apple und die Sicherheit
Beitrag von: Rantanplan am April 14, 2008, 21:28:42
Hi MacMark! *eineträneimknopflochausdrück*  ;D Freut mich, dich mal wieder in den Weiten des Netzes zu treffen  :D
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Mai 21, 2008, 10:50:38
"I recently communicated 3 security issues in the Safari browser to Apple":
http://www.oreillynet.com/onlamp/blog/2008/05/safari_carpet_bomb.html
Titel: Re: Apple und die Sicherheit
Beitrag von: //e am Mai 22, 2008, 06:48:13
Hmm...

Was bezeichnet Ihr als "langsam"? Im Grundsatz stimme ich vielen Aussagen zu, aber ich sehe auch die andere Seite. Dankenswerter Weise gibt es eben jene Organisationen und Individualisten, die den lieben langen Tag nichts besseres zu tun haben (und das meine ich mitnichten ironisch!), als eine neue Version des Mac OS so lange auf Schwachstellen hin zu durchforsten, bis eine "Lücke" gefunden wurde. Gegenüber steht Apple, ein grosser Konzern, der ein mittlerweile ziemlich grosses und umfangreiches OS entwicklet hat und dieses auch noch weltweit in mehreren Sprachen pflegt und weiter entwickelt, gleichzeitig aber auch dieses OS natürlich an neue Hardware anpasst oder kompatibel sowohl zu älterer, als auch neuer Hardware machen muss.
Zugegeben: mittlerweile nervt es mich auch, alle drei bis vier Wochen ein Update vom Update vom Update einzupflegen, insbesondere dann, wenn die verlinkten Fachinformationen auf den Apple-Seiten nicht den geringsten Aufschluss über die eigentlichen Aktualisierungsinhalte geben, aber das ist aus meiner Sicht immer noch besser, als gar nichts.

Deswegen nochmal die Frage, was Ihr als "langsam" bezeichnet.

//e
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am Mai 22, 2008, 08:16:10
Ich würde mal sagen, zur Bestimmung dieser Geschwindigkeit gibt es zwei wichtige Bezugspunkte:

1) Die Konkurrenz. Wenn man durchschnittlich länger braucht, um Sicherheitslücken zu beheben, als jener noch grössere Konzern, der sich mit einem noch... ähm... unhandlicheren OS rumschlägt, dann muss man sich wohl das Etikett "langsam" gefallen lassen.

2) Andere eigene Aktivitäten. Wenn einem das nächste spielerische Feature, das nächste Lifestyle-Gadget, der nächste Eye-Catcher für die nächste Keynote wichtiger sind und mit mehr Effort angegangen werden, als die Behebung von sicherheitskritischen Fehlern im schon verkauften Produkt, dann ist man bei letzterem langsamer, als man es sein könnte. (Und gleichzeitig wirkt es etwas unehrlich, wenn man dann noch mit dem Stichwort "Sicherheit" Marketing betreibt.)
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Mai 22, 2008, 11:57:52
Ob MS schneller ist, kann ich nicht beurteilen. Das müsste man mal genau vergleichen, anhand ähnlicher Lücken und selbst dann wird es wohl noch sehr schwierig sein, wirklich ein faires Urteil zu fällen.

Bei Deinem zweiten Punkt muss ich einwenden, daß man diese tollen, sichtbaren Features eben so stark bewirbt, weil man sie bewerben kann. Jobs wird sich wohl kaum auf die Bühne stellen und schwärmen, man habe zweihundert Sicherheitslücken gestopft.
Welcher Aufwand jeweils betrieben wird ist daran m.E. jedenfalls nicht ablesbar.


Als normaler Nutzer kann ich mich nun auf Expertenmeinungen verlasse oder nicht. Es bleibt ein ungesicherter Eindruck.
Auch ist natürlich jedes Sicherheitsproblem eins zu viel und die Hersteller immer hinten dran, daß schafft natürlich Unzufriedenheit.
Titel: Re: Apple und die Sicherheit
Beitrag von: mbs am Mai 23, 2008, 14:24:56
Hier ein hochaktuelles Beispiel: MULTIPLE VULNERABILITIES IN ICAL (http://www.coresecurity.com/?action=item&id=2219)

Die Lücken sind Apple seit dem 30. Januar bekannt. Die Firma, die die Lücken gemeldet hat, wurde mehrmals mit falschen Informationen abgespeist, wann das Problem korrigiert wird. Wenn man die Report Timeline liest, wird offensichtlich, dass Apple das Problem seit mindestens Ende April behoben zu haben scheint. Offenbar aus Marketing-Gründen will man aber wohl vermeiden, "zu viele" Sicherheitspakete in zu kurzen Abständen zu veröffentlichen.

So kann man zum Beispiel das Sicherheitsupdate im 10.5.3-Update verstecken. Die technisch nicht beonders kompetente Mac-Presse wird dann über neue Features wie "Time Machine sichert Notebooks jetzt auch im Batteriebetrieb" berichten, und die Behebung der Sicherheitslücken tritt publikumswirksam in den Hintergrund. Genau wie warlord denke ich auch, dass diese "Show" inzwischen eine wesentlich höhere Priorität bei Apple hat, als wirklich funktionierende Produkte auf den Markt zu bringen.

Und beim ersten Punkt muss sich Apple auch an Linux messen lassen, ein Produkt, das sehr viel billiger ist, wo aber fast jede Sicherheitslücke - wenn man das will - innerhalb von 24 Stunden gestopft wird.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacMark am Mai 23, 2008, 18:02:05
Ein Teil der Bugs ist mit einem Security-Update behoben worden:
http://support.apple.com/kb/HT1249
Core Security wird dort als Quelle genannt. Core Security schreibt nichts von "Falschinformationen", sondern daß Apple darauf hinwies, daß der Fehler nicht im iCal-Server, sonder im Wiki-Server lag.

Die ausstehenden Bugs werden mit dem nächsten Apple-Security-Update behoben laut Core Security. Wie immer mit Bugbeschreibung und Quelle. Nix mit "Verstecken" in irgendwas anderem.
Titel: Re: Apple und die Sicherheit
Beitrag von: mbs am Mai 23, 2008, 18:27:15
Zitat
Core Security schreibt nichts von "Falschinformationen"

Bitte lies genauer: Ich schrieb "wurde mehrmals mit falschen Informationen abgespeist, wann das Problem korrigiert wird."

Zitat
Die ausstehenden Bugs werden mit dem nächsten Apple-Security-Update behoben laut Core Security. Wie immer mit Bugbeschreibung und Quelle. Nix mit "Verstecken" in irgendwas anderem.

Wir werden sehen ...
Titel: Re: Apple und die Sicherheit
Beitrag von: Patrick am Mai 24, 2008, 00:05:03
Die ausstehenden Bugs werden mit dem nächsten Apple-Security-Update behoben laut Core Security. Wie immer mit Bugbeschreibung und Quelle. Nix mit "Verstecken" in irgendwas anderem.
Naja, es ist aber schon merkwürdig, daß einer von 3 Bugs im März gepatcht wird, die anderen beiden dann Mitte April auch soweit behoben sind (so liest es sich zumindest in der Timeline), Apple es aber nicht für nötig erachtet, diesen Patch zu veröffentlichen. Statt dessen wird Mitte April von Ende April, später dann von Anfang Mai, dann von Mitte Mai und schliesslich von Ende Mai als Veröffentlichungstermin gesprochen. Und ist was passiert? Nö.

Wenn das nicht hinhalten ist, weiß ich auch nicht.

Ich denke, daß Core das genauso gesehen hat, schliesslich wurde der Bug veröffentlicht, bevor es einen offiziellen Patch von Apple gab, nachdem man sich fast 6 Wochen hat hinhalten lassen.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacMark am Mai 24, 2008, 08:38:25
Ist immer wieder lustig, daß Externe glauben, es besser als Apple zu wissen. Da steht nichts von behoben. Ich sehe allerdings, daß "Core Security" mit seiner Fehleranalyse falsch lag und im Laufe der Zeit durch Apples eigene Untersuchung korrigiert wurde:
• Vendor (Apple) states …  The root cause of the crash is a NULL pointer de-reference and not an integer overflow.
• Core confirms that the two first bugs can be considered crasher only due to null-pointer dereference. Upon further research it is confirmed that integer overflows are detected and do not cause the actual crashes.
Core hat also erst einen qualitativ minderwertigen Bugreport geliefert, der Apple zusätzliche Analysearbeit bescherte, dann haben sie sich korrigieren lassen und machen anschließend auf dicke Hose, wann ein Patch käme.

Core hat bei seinen Bugreports mehrmals diverse Fehler gemacht: Falsche Komponenten angegeben, falsche Ursache angegeben etc. Das ist weder kompetent noch hilfreich. Aber auf ein Fixdatum pochen. Das paßt doch nicht zusammen.
Titel: Re: Apple und die Sicherheit
Beitrag von: mbs am Mai 24, 2008, 10:19:39
Zitat
Ist immer wieder lustig, daß Externe glauben, es besser als Apple zu wissen.

Das ist nicht lustig, das ist leider die Realität. Apple ist auf externe Hilfe angewiesen.

Zitat
Da steht nichts von behoben.

Natürlich nicht, denn diese Information steht normalerweise unter NDA.

Zitat
Ich sehe allerdings, daß "Core Security" mit seiner Fehleranalyse falsch lag und im Laufe der Zeit durch Apples eigene Untersuchung korrigiert wurde:

Ja, aber diese Korrektur ist falsch. Erstens ist es zwangsläufig, dass unterschiedliche Ansichten über die Einstufung dieser Fehler bestehen, da es sich nicht um ein quelloffenes Produkt handelt. Zweitens ist in diesem Kontekt auch ein Crasher eine Sicherheitslücke, da damit ein lokaler Denial-of-Service-Angriff möglich ist. Drittens argumentiert Core über den Satz von Rice, dass bei einem Produkt dieser Komplexität die Frage nach der Ausnutzbarkeit der Sicherheitslücke formal unentscheidbar ist.

Zitat
Core hat also erst einen qualitativ minderwertigen Bugreport geliefert, der Apple zusätzliche Analysearbeit bescherte,

Nein, das ist eine bornierte Beurteilung.

Zitat
Core hat bei seinen Bugreports mehrmals diverse Fehler gemacht: Falsche Komponenten angegeben, falsche Ursache angegeben etc.

Du scheinst wenig Erfahrung mit Bugreports zu haben, sonst würdest Du das anders einschätzen.

Zitat
Aber auf ein Fixdatum pochen.

Die Fixdaten wurden von Apple genannt und mehrmals nicht eingehalten.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacMark am Mai 24, 2008, 15:11:43
… Apple ist auf externe Hilfe angewiesen.
Witzig, dann schreibt "Core Security" sicher heimlich auch OS X und nicht Apple.
… Ja, aber diese Korrektur ist falsch.
Lesen ist nicht Deins, hm? Ich hatte oben sogar die Stelle zitiert, in der "Core Security" Apples Korrektur akzeptiert und seine eigene Version als falsch verwirft: "Core confirms that the two first bugs can be considered crasher only due to null-pointer dereference. Upon further research it is confirmed that integer overflows are detected and do not cause the actual crashes" Die von "Core Security" hatten erst behauptet, es wären Integer-Overflows, Apple sagte, es sind nur Null-Pointer, dann hat "Core Security" nochmal "geforscht" und bestätigt, daß es keine Integer-Overflows, sondern wie Apple sagte Null-Pointer sind.
Der Unterschied ist sicherheitstechnisch relevant, weil das eine (Overflow) gefährlich sein kann, das andere (Null-Pointer) aber kein Code-Einschleusen ermöglicht.

Vielleicht ist Dein Englisch auch nicht hinreichend gut?

… Die Fixdaten wurden von Apple genannt und mehrmals nicht eingehalten.
Sie mußten sich ja bis vor kurzem mit "Core Security" über Art und Relevanz der Bugs streiten.

… Du scheinst wenig Erfahrung mit Bugreports zu haben, sonst würdest Du das anders einschätzen. …
Ich sehe es genau andersherum, aber das kannst Du ja nicht wissen :-p
Titel: Re: Apple und die Sicherheit
Beitrag von: mbs am Mai 24, 2008, 18:48:13
Zitat
Witzig, dann schreibt "Core Security" sicher heimlich auch OS X und nicht Apple.

Nein, Core Security sicher nicht, aber ein sehr großer Teil von Mac OS X wird außerhalb von Apple entwickelt. Und in Sicherheitsfragen sind externe Audits üblich.

Zitat
Lesen ist nicht Deins, hm? Ich hatte oben sogar die Stelle zitiert, in der "Core Security" Apples Korrektur akzeptiert und seine eigene Version als falsch verwirft

Du blamierst Dich gerade, denn Du hast den Artikel offensichtlich nicht zu Ende gelesen.

Zitat
Sie mußten sich ja bis vor kurzem mit "Core Security" über Art und Relevanz der Bugs streiten.

So, Du meinst also das Schreiben von drei E-Mails blockiert die gesamte Entwicklungsabteilung von Apple?

Es dürfte jedem klar sein, warum Du mit solch einer Argumentationsweise aus einem gewissen anderen Mac-Forum verbannt wurdest.
Titel: Re: Apple und die Sicherheit
Beitrag von: Thyrfing am Mai 24, 2008, 18:54:42
Hallo zusammen,

das Thema ist sicherlich brisant, da es hier um die SIcherheit unseres OS der Wahl geht, gerade dahalb würde ich bitten, dabei im sachlichen Bereich zu bleiben. Für mich ist das ganze Thema so schon schwierig genug, als dass ich noch zwischen den Zeilen und nun ganz offensichtlich filtern muss, geschweige denn könnte.

Ich danke für die Einsicht allerseits.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacMark am Mai 25, 2008, 06:56:16

Zitat
Lesen ist nicht Deins, hm? Ich hatte oben sogar die Stelle zitiert, in der "Core Security" Apples Korrektur akzeptiert und seine eigene Version als falsch verwirft

Du blamierst Dich gerade, denn Du hast den Artikel offensichtlich nicht zu Ende gelesen.

Wieder falsch :) "Core Security" sieht auch am Schluß noch ein, daß es nicht die von ihnen behaupteten "Integer-Overflows" sind, sondern Null-Pointer, wie Apple ihnen erklärte. Damit läßt sich kein Code einschleusen. Dann sagt "Core Security" noch: "Ach Menno, das sind aber wollja Sicherheitsbugs, menno wollja so." Das ist peinlich, vor allem weil sie das auch noch selbst veröffentlichen.

Aber man sieht, daß - ähem - "Sicherheitsfirmen" bei OS X sogar aus nicht-ausnutzbaren Programmierfehlern einen Elefanten machen können.

Plus: Was bilden die sich überhaupt ein, Forderungen an Apple zu stellen, wann Apple was wie und warum fixt? Wedelt der Schwanz mit dem Hund, oder was?

… aus einem gewissen anderen Mac-Forum verbannt wurdest.
Man muß halt Prioritäten setzen: Die Wahrheit ist mir wichtiger als der Verlust eines Accounts.
http://www.macmark.de/mtn.php
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am Mai 25, 2008, 08:13:21
Mit der "Wahrheit" ist das immer so eine Sache. Gesucht wird sie von den meisten. Das Finden einer absoluten Wahrheit ist aber wohl kaum möglich. Zumindest nicht als menschliches Wesen. Für verschiedene Menschen wird es immer wieder verschiedene "Wahrheiten" geben.

Meinungen, auch kontroverse, sind hier jederzeit willkommen. Wahrheiten eher nicht. Denn in der Regel können nur Meinungen fair vertreten werden, ohne persönlich zu werden. Bei Wahrheiten ist das wohl fast unmöglich. Denn schliesslich wohnt schon der Auffassung, die eigene Sicht sei die absolute Wahrheit, eine Herabwürdigung des anderen inne.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacMark am Mai 25, 2008, 08:42:51
Mit der "Wahrheit" ist das immer so eine Sache. Gesucht wird sie von den meisten. Das Finden einer absoluten Wahrheit ist aber wohl kaum möglich. Zumindest nicht als menschliches Wesen. Für verschiedene Menschen wird es immer wieder verschiedene "Wahrheiten" geben.

Meinungen, auch kontroverse, sind hier jederzeit willkommen. Wahrheiten eher nicht. Denn in der Regel können nur Meinungen fair vertreten werden, ohne persönlich zu werden. Bei Wahrheiten ist das wohl fast unmöglich. Denn schliesslich wohnt schon der Auffassung, die eigene Sicht sei die absolute Wahrheit, eine Herabwürdigung des anderen inne.
Ich halte beispielsweise "1+1=2" für eine wahre Aussage.

Man kann bei vielen Dingen beweisen, ob sie wahr sind oder nicht. Das wird nicht aufgefaßt, sondern bewiesen. Man kann zum Beispiel nachweisen, daß "Core Security" sich geirrt hat, von Apple korrigiert wurde und es unter Rückzugsgefechten einsah. Denn es ist halt wahr, daß "Null Pointer" keine "Integer-Overflows" sind und auch nicht deren Gefahrenpotential in Form von Ausführung eingeschleusten Codes haben.

Meinungen hingegen können den größten Unfug und Märchen darstellen. Wenn man wissenschaftlich arbeitet, dann haben Meinungen keinen Platz, sondern nur eine sachlich korrekte Untersuchung.

Und wenn jemand in seiner "Meinung" groben Unfug verzapft, dann weise ich ihm das nach, wenn mich das Thema interessiert. Es steht ihm dann frei, weiter "Menno, das ist aber meine Meinung!" zu sagen. Nachweislich falsch bleibt nachweislich falsch. Aber super gemeint ;)

Man kann auch "meinen", Wasser wäre nicht naß. Aber spätestens, wenn Du ins Meer fällst, wirst Du die Wahreit kennen.
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am Mai 25, 2008, 08:54:05
Ich glaube, Du hast mich schon verstanden.  ;)

Und nur noch kurz zum aktuell brennenden Streitpunkt: Der Streit dreht sich doch einzig um die Interpretation von Verlautbarungen zweier Firmen. Dass sich allein aus diesen Informationen mit einer sachlich korrekten Untersuchung die absolute Wahrheit ableiten lässt, das bezweifle ich.  ;)
Titel: Re: Apple und die Sicherheit
Beitrag von: MacMark am Mai 25, 2008, 09:33:23
…Dass sich allein aus diesen Informationen mit einer sachlich korrekten Untersuchung die absolute Wahrheit ableiten lässt, das bezweifle ich.  ;)

Daß "Core Security" seine Fehler auf eigener Web-Seite selbst zugibt, erleichtert die Sache doch. Ich hatte die Stellen bereits mehrmals zitiert.
Das kann man auch im Quellcode nachweisen. Dort gibt es nichts zu interpretieren. Quellcode ist eindeutig. Und die Wahrheit läßt sich spätestens daran glasklar feststellen. "Core Security" hat es dann ja auch bemerkt, daß es kein "Integer-Overflow", sondern wie Apple ihnen klarmachte ein "Nullpointer" war.

Ich kann "Security"-Firmen nicht leiden, wenn sie sich aufspielen und aus harmlosen Bugs durch selbst dazu-erfundene Unwahrheiten gefährliche Sicherheits-Bugs phantasieren. Am Ende glaubt das der unbedarfte User und vor allem die Presse noch …
Titel: Re: Apple und die Sicherheit
Beitrag von: //e am Mai 25, 2008, 09:43:13
Höchst interessantes Thema.

Zunächst einmal zu "Foren", Ausschluss aus diesen und Gebaren von Usern und Administratoren. Ich beobachte schon seit langer Zeit eine zunehmende Willkür, die oft genug durch nichts anderes begründet ist, als blanke Abneigung gegenüber bestimmten Personen, je nach Position entsprechend gelagert. Hier möchte ich MacMark unterstützen und mich der Position anschliessen, dass "Wahrheit" (momentan noch nicht näher betrachtet) immer wichtiger sein sollte, als blanke Unterordnung um Zugehörigkeit zu einem solchen Forum zu sichern.
So lange die Art und Weise einer Formulierung nicht die Persönlichkeit(en) Dritter angreift, so lange gibt es absolut keinen trifftigen Grund, jemanden auszuschliessen. Kompetente Administration sollte eine sachbezogene Auseinandersetzung mit der Thematik unter peinlichster Vermeidung von irgendwelchen persönlichen Angriffen beinhalten. Nach Lektüre betreffender Beitragsketten bin ich zu dem Schluss gekommen, dass auch MacTechNews hier auf ganzer Linie versagt hat. "Wahrheiten" - besser: "Argumente" können immer (wenn man sich Mühe gibt) mit Gegenargumenten beantwortet werden. Ein Ausschluss ist kein Argument, sondern immer die schlechteste Variante einer Notbremsung.

Zum Thema "Wahrheit". Ich denke, dass eine durchaus allseits anerkannte Wahrheit von einem anderen Standpunkt aus betrachtet immer noch eine Wahrheit sein kann, allerdings mit vollkommen verschobenen Inhalten. Es ist nichts Neues, dass von der jeweiligen Seite entsprechend viel Argumentations- und "Beweis"-Material vorhanden sein wird, um eine Wahrheit als solche zu untermauern. In den meisten Fällen sind solche Auseinandersetzungen wenig ertragreich, da sie oft genug nur als Mittel zum Zweck der Abgrenzung dienen, nicht aber der produktiven Erweiterung und Zusammenarbeit (und das betrifft eben auch Verhaltensweisen in Foren!). Anstatt die Chance zu nutzen, gemeinsam mehr zu erreichen, wird abgegrenzt, da Ruf und Reputation mehr zählen, als Erfahrung und Horizonterweiterung.
In diesem Zusammenhang kann man die "Wahrheiten" der beteiligten Firmen durchaus in ihrem kleinen Rahmen als "gültig" betrachten und wird so kaum Berührungspunkte finden.
Die Essenz liegt aber irgendwo in der Mitte zwischen diesen Wahrheiten, nur DIESE Wahrheit, die ist eben zu Teilen für jede Seite unangenehm. Und solchen Blössen gibt sich heutzutage kaum noch jemand hin.

Für meine Begriffe ist das das grosse Manko, auch in Bezug auf die Sicherheitspolitik Apples.

//e
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am Mai 25, 2008, 10:43:49
Hier möchte ich MacMark unterstützen und mich der Position anschliessen, dass "Wahrheit" (momentan noch nicht näher betrachtet) immer wichtiger sein sollte, als blanke Unterordnung um Zugehörigkeit zu einem solchen Forum zu sichern.

Ich hoffe nicht, dass mein Votum nun so verstanden worden ist, dass ich für irgend eine "Unterordnung" plädiert hätte. So war es nämlich nicht gemeint und ich schrieb ja, kontroverse Meinungen sind hier durchaus willkommen. Mir ging es einzig darum, wie eine solche Meinung vertreten wird. Und vor allem darum, wie mit anderen Meinungen umgegangen wird. Und so gehe ich mit dem Rest Deiner Ausführungen durchaus einig.
Titel: Re: Apple und die Sicherheit
Beitrag von: mbs am Mai 25, 2008, 11:13:00
Zitat
Wieder falsch "Core Security" sieht auch am Schluß noch ein, daß es nicht die von ihnen behaupteten "Integer-Overflows" sind, sondern Null-Pointer, wie Apple ihnen erklärte. Damit läßt sich kein Code einschleusen. Dann sagt "Core Security" noch: "Ach Menno, das sind aber wollja Sicherheitsbugs, menno wollja so." Das ist peinlich, vor allem weil sie das auch noch selbst veröffentlichen.

Nein, das ist ehrlich und professionell. Warum vermeidest Du, auf die vorgetragenen Sachargumente einzugehen?

Zitat
Aber man sieht, daß - ähem - "Sicherheitsfirmen" bei OS X sogar aus nicht-ausnutzbaren Programmierfehlern einen Elefanten machen können.

Es wurde Dir bereits mehrmals gesagt, dass damit trotzdem ein Local-Denial-of-Service-Angriff möglich ist. Das ist eine ausnutzbare Sicherheitslücke. Warum lenkst Du davon ab?

Zitat
Was bilden die sich überhaupt ein, Forderungen an Apple zu stellen, wann Apple was wie und warum fixt?

Weil sie und Millionen andere Kunden viel Geld für ein Produkt ausgegeben haben, das nicht wie versprochen funktioniert. Weil sie - je nach Land, in dem das Produkt verkauft wurde - ein gesetzliches Recht auf Reparatur des Defektes in angemessener Zeit haben. Weil abgespochene Vereinbarungen einseitig gebrochen wurden. Weil ein Gefährdungspotenzial bei der Nutzung des Produktes besteht, für das der Hersteller - je nach Land - haften muss. Weil sie kostenlos Apples Hausaufgaben machen und damit Apple viel Geld einspart.

Zitat
Daß "Core Security" seine Fehler auf eigener Web-Seite selbst zugibt, erleichtert die Sache doch

Du machst das sehr geschickt, Core wegen eines Fehlers, der in der Diskussion überhaupt keine Rolle spielt, als inkompetent hinzustellen. Von den wirklichen Sachargumenten lenkst Du völlig ab.

Zitat
Das kann man auch im Quellcode nachweisen. Dort gibt es nichts zu interpretieren. Quellcode ist eindeutig.

Du unterschlägst dabei, dass Core der Quellcode nicht vorliegt. Sie können nur durch sehr aufwendiges, sehr teures Reverse Engineering versuchen, der Ursache und den möglichen Folgen der Programmierfehler von Apple auf die Spur zu kommen. Dass hierbei Fehler passieren, ist fast zwangsläufig.

Es ist das gesetzlich verbriefte Recht des Kunden, einen Hersteller auf einen gefährlichen Produktmangel hinzuweisen und dessen Behebung zu verlangen. Es ist nicht die Aufgabe des Kunden, die Ingenieurarbeit des Herstellers zu machen und den Mangel auf seine Kosten so genau zu analysieren, dass dieser nur noch die Erkenntnisse integrieren muss, vor allem dann nicht, wenn es um ein Produkt geht, dessen technische Funktionsweise der Hersteller geheim zu halten versucht.

Zitat
Ich kann "Security"-Firmen nicht leiden, wenn sie sich aufspielen und aus harmlosen Bugs

Es sind drei Sicherheitlücken, keine harmlosen Bugs. Aber Du bestätigst ja nun selbst, dass Du voreingenommen bist und an den Tatsachen wenig interessiert.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacMark am Mai 25, 2008, 13:28:45
Ein Null-Pointer ist keine Sicherheitslücke. Den durch eine manipulierte Datendatei provozierten Absturz eines Anwendungsprogrammes als "Denial of Service" zu bezeichnen, ist grotesk, zumal es umittelbar danach wieder lauffähig ist.

Kennst Du die Fabel vom Hütejungen, der sich daran erfreute, die Schäfer zu ärgern, indem er immer rief "Ein Wolf!", obwohl kein Wolf kam? Nach einer Weile hörten sie nicht mehr auf ihn. Dummerweise kam dann tatsächlich ein Wolf …
Die Hütejungen von heute sind bestimmte "Sicherheits"-Firmen, die immer schreien "Eine Sicherheitslücke!" und das auch bei jedem wirklich ungefährlichem Bug. Offenbar geht es ihnen hauptsächlich um eigene Publicity und darum deklarieren sie zu oft harmlose Bugs als Sicherheitslücken.
Titel: Re: Apple und die Sicherheit
Beitrag von: Patrick am Mai 26, 2008, 00:17:53
Anscheinend ist hier der Sachverhalt immer noch nicht ganz klar.

Im ursprünglichen Bugreport ging es um insgesamt 4 Bugs, 1 davon im WikiServer, der ziemlich bald abgespalten wurde und hier (http://www.coresecurity.com/?action=item&id=2189) weiter geführt und von Apple ja auch schon gepatcht wurde.

Die anderen 3 betreffen iCal, 2 davon führen durch falsche Parameter in .ics-Dateien zum Absturz von iCal, der dritte jedoch kann tatsächlich zum Einschleusen von fremden Code verwendet werden.
Apple stellt auch nie in Frage, daß der 3. Bug ein Sicherheitsproblem ist. Die ersten beiden "Null-Pointer"-Bugs (wobei es eigentlich nicht um Null-Pointer an sich geht, sondern darum, daß ein Null-Pointer so verwendet wird, als ob er er auf einen gültigen Speicherbereich zeigt, siehe zB hier (http://www.owasp.org/index.php/Null-pointer_dereference)) möchte Apple als normale Bugs und nicht als Sicherheitslücken sehen.

Bei weniger komplexen Systemen könnte man das vielleicht sogar durchlassen, aber bei einer Software, die Teil eines Betriebssystems ist, wohl eher nicht. Und wenn man Mark Dowd von der IBM X-Force glauben kann, dann kann man sehr wohl aus einer Null Pointer Dereferenzierung einen Exploit generieren, siehe die Meldung bei zdnet (http://blogs.zdnet.com/security/?p=1030), die sich auf ein Whitepaper über einen eben solchen Exploit in Flash bezieht.

Also: es gab (und gibt immer noch) eine Schwachstelle in iCal, die definitiv zur Ausführung fremden Codes verwendet werden kann. Es gibt mind. noch 2 weitere Bugs, bei denen nicht ausgeschlossen werden kann, daß sie für einen Exploit verwendet werden könnten.

Somit scheint es für mich so zu sein, daß Apple ein weiteres Security-Update vor dem Erscheinen von 10.5.3 vermeiden möchte. Letzteres hätte schon längstens erscheinen müssen (ursprünglich war von März/April die Rede), wurde aber wohl wie so manches Update davor verschoben (mbs weiß vielleicht sogar warum, aber dummerweise gibt's da das dumme NDA ;) ).

Für mich ein klarer Fall von Publicity vor Security.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacMark am Mai 26, 2008, 14:35:27
...Im ursprünglichen Bugreport ging es um insgesamt 4 Bugs, 1 davon im WikiServer,  ...
Die anderen 3 betreffen iCal, 2 davon führen durch falsche Parameter in .ics-Dateien zum Absturz von iCal, der dritte jedoch kann tatsächlich zum Einschleusen von fremden Code verwendet werden.
...
Somit scheint es für mich so zu sein, daß Apple ein weiteres Security-Update vor dem Erscheinen von 10.5.3 vermeiden möchte. Letzteres hätte schon längstens erscheinen müssen (ursprünglich war von März/April die Rede), wurde aber wohl wie so manches Update davor verschoben ...
Für mich ein klarer Fall von Publicity vor Security.
Ich korrigiere mal die auf den ersten Blick offensichtlichen Fehler:

Core Security hatte "ursprünglich" keine Ahnung, daß der Wiki-Server betroffen ist. Sie dachten bis Anfang April, es wäre der iCal Server. Beweis von Core Security:
"2008-03-04:  Vendor provides information concerning CVE-2008-1000 and indicates that the bug is in the Wiki server and not the iCal Server."

Wie soll denn im März oder April ein Fix ausgeliefert werden können für Bugs, über die sie sich noch Mitte April streiten bzw. die Bugs untersuchen. Beweis von Core Security:
"2008-04-17: Vendor states .... The root cause of the crash is a NULL pointer de-reference and not an integer overflow."
"2008-04-17:  Core confirms that the two first bugs can be considered crasher only due to null-pointer dereference. Upon further research it is confirmed that integer overflows are detected and do not cause the actual crashes."

Natürlich ist hier Publicity wichtiger - und zwar für Core Security, die einen Patch "fordern", bevor betroffene Fehler überhaupt voll analysiert sind.

Noch eine Frage: Mußtest Du wirklich bei Wikipedia nachschauen, was ein Nullpointer ist? Die Beschreibung ist dermaßen hölzern ...

Noch ein Nachtrag: Die iCal.app ist kein "Teil des Betriebssystems" und darum sind Nullpointer-Probleme darin dermaßen Banane für die Sicherheit von OS X wie der berühmte Sack Reis in China.
Titel: Re: Apple und die Sicherheit
Beitrag von: Patrick am Mai 26, 2008, 16:05:33
Ich korrigiere mal die auf den ersten Blick offensichtlichen Fehler:
Ich auch: der iCal- später Wiki-Server-Bug hat mit den von Dir die ganze Zeit angesprochenen Bugs (Nullpointer) nichts, aber auch gar nichts zu tun.
Zitat
2008-02-18: Vendor replies that the iCal Server (CVE-2008-1000) vulnerability is tracked for a fix in an upcoming update and the vulnerabilities in the iCal client application will be fixed in an update following the early March software update.

Daraufhin spaltet Core den späteren WikiServer-Bug am 19.02. ab. Am 18.03. veröffentlicht Apple den Patch und Core den Report dazu:
Zitat
2008-03-18: APPLE-SA-2008-0318 software update released.
2008-03-18: CORE-2008-0123 (http://www.coresecurity.com/?action=item&id=2189) is published.

Ach ja, Apple informierte Core übrigens am 04.03. und nicht am 03.04. Man sollte mit der Schreibweise des Datums schon vertraut sein...

Somit ist das Thema WikiServer-Bug erledigt. Hast Du sogar selbst darauf hingewiesen (http://www.apfelinsel.de/forum/index.php/topic,2878.msg40556.html#msg40556).

Somit ist der Rest wiederum klar, oder? Du lässt natürlich die ganze Zeit den 3. Bug in iCal völlig außer acht, der unbestreitbar eine Sicherheitslücke darstellt. Darum geht es doch eigentlich. Die anderen sind Nebenschauplätze und wie man sieht hervorragend für Diskussionen über deren Schädlichkeit geeignet. Aber trotzdem gilt für alle 3 Bugs, daß Apple den Termin für den Bugfix seit Ende März vor sich hinschiebt. Lassen wir mal die beiden Nullpointer-Bugs einfach weg, die Diskussion führt hier nicht weiter.

Was ist mit dem 3. Bug?
Titel: Re: Apple und die Sicherheit
Beitrag von: Thyrfing am Mai 26, 2008, 16:59:49
Könnten wir uns dem Thema widmen und nicht den Diskutanten durch die Blume ständig irgendwelche Dinge vorwerfen?
Es ist egal, ob jemand des Englischen gut genug mächtig ist, lesen kann oder ein Datum richtig schreibt, man kann höflich darauf hinweisen, aber was hier passiert ist immer haarscharf an einer Beleidigung vorbei gesegelt. Dieser Stil missfällt mir und bestimmt auch anderen sehr. Diese Tonart mag in anderen Foren an der Tagesordnung sein, hier sind wir üblicherweise netter im Umgang miteinander.

Und daran sollte sich bitte jeder halten. Es hat niemand etwas von einem Bug-Thread, der über 3 Seiten mit Beschuldigungen untereinander abläuft. Sieht echt hässlich aus.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacMark am Mai 26, 2008, 19:59:41
Bei dem Wiki-Bug ging es mir nur darum zu zeigen, daß Core vollkommen falsch lag: Nicht der iCal-Server, sondern der Wiki-Server hatte das Problem.

Ferner ist die Behauptung, Apple würde den Fix für die beiden Null-Pointer-Bugs herauszögern, vollkommen unhaltbar, denn wie könnte Apple einen Bugfix im März, April oder Mai herausgeben, wenn man am 2008-04-17 noch zwischen den Parteien klärt, worin der Bug überhaupt besteht?
http://www.coresecurity.com/?action=item&id=2219
Fehleranalyse, Bugfix und Test und gegebenenfalls eine weitere Iteration dauern und bei der Gelegenheit werden sie normalerweise gleich noch ein paar andere Dinge mitfixen. Außerdem sind Null-Pointer-Fehler in einem lokalem Userland-Kalendarprogrämmchen in keiner Weise sicherheitsrelevant und haben daher geringere Priorität als sicherheitsrelevante Bugs. Deswegen so einen Aufriß zu machen ist nicht angemessen.
Titel: Re: Apple und die Sicherheit
Beitrag von: Patrick am Mai 27, 2008, 05:53:55
MacMark,

wann antwortest Du mal zum Haupt-Bug des eigentlichen Bug Reports? Der Rest ist doch schon lange gegessen.

Was ist mit dem 3. Bug?

Also: es gab (und gibt immer noch) eine Schwachstelle in iCal, die definitiv zur Ausführung fremden Codes verwendet werden kann.

Es sind drei Sicherheitlücken, keine harmlosen Bugs. Aber Du bestätigst ja nun selbst, dass Du voreingenommen bist und an den Tatsachen wenig interessiert.

Ich kenne Dich zu wenig, als daß ich das wirklich beurteilen könnte, aber man könnte schon fast Methode dahinter vermuten und ein solches Verhalten schreibt man normalerweise einer bestimmten Spezies von Forenbenutzern zu.

Titel: Re: Apple und die Sicherheit
Beitrag von: MacMark am Mai 27, 2008, 08:05:36
... schon lange gegessen.
Bedeutet "gegessen", daß nun offensichtlich wurde, daß man nichts fixen kann, solange das zu Fixende noch diskutiert wird? Und daß Null-Pointer in lokalen Userland-Programmen keine Sicherheitslücke seien können? Dann betrachte diese Punkte als "gegessen".
Was ist mit dem 3. Bug?
Da waren sich Apple und Core in der Bedeutung einig.
Also: es gab (und gibt immer noch) eine Schwachstelle in iCal, die definitiv zur Ausführung fremden Codes verwendet werden kann.
Zumindest betrachtet Apple "Nr. 3" als Sicherheits-Bug. Apple hat seit Anfang März bis Mitte April sechs Software-Updates, darunter ein Security-Sammel-Fix, herausgegeben. Wenn sie den Bugfix schon fertig hätten, wäre er darunter gewesen. Und ich bin mir sicher, sie würden auch noch ein achtes oder neuntes Software-Update rausgeben vor 10.5.3, wenn sie etwas fertig hätten. Sie haben bereits sechs Updates in sechs Wochen gemacht. Glaubt irgendwer ernsthaft "sieben Updates in zehn Wochen" wären dann ein Problem? Kann ich mir nicht vorstellen.

Daher ist die Argumentation die ich oben lesen mußte "Apple scheut ein weiteres Update/Security-Fix vor 10.5.3" nicht haltbar.

Es sind drei Sicherheitlücken, keine harmlosen Bugs.
Die beiden Nullpointer sind keine Sicherheitslücken. Jedem Berufsprogrammierer sollte das technisch klar sein.

... voreingenommen ... an den Tatsachen wenig interessiert. ...
Unterlaß bitte Diffamierungen.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacMark am Mai 29, 2008, 10:19:17
Sooooooooo: Obwohl Apple 10.5.3 herausgebracht hat, gibt es sogar trotzdem ein Security-Update:
http://www.apple.com/support/downloads/securityupdate2008003intel.html
http://www.apple.com/support/downloads/securityupdate2008003ppc.html
Technisch würde auch 10.5.3 als Fix genügen, aber man kann mit diesem "Security Update 2008-003" auch nur die Bugs beheben ohne auf 10.5.3 zu gehen.
Da macht Apple sich also aus Sicht einiger hier einen völlig unnötigen Image-Schaden mit dem "Security Update 2008-003". Ganz offensichtlich geht es Apple _nicht_ darum ein Security Update zu vermeiden, sondern im Gegenteil, sie liefern sogar noch ein Security Update, _obwohl_ es eine Alternative gibt. Apple ist offensichtlich sein "Image" Wurst und die Sicherheit von OS X wichtiger. Von vielen hier bezweifelt, aber trotzdem wahr. Was zu beweisen war.
Titel: Re: Apple und die Sicherheit
Beitrag von: Patrick am Mai 29, 2008, 11:40:12
So kann man sich die Wahrheit auch zurechtbiegen.

Zitat
Cal
CVE-ID: CVE-2008-1035

Available for: Mac OS X v10.5 through v10.5.2, Mac OS X Server v10.5 through v10.5.2

Impact: Opening a maliciously crafted iCalendar file in iCal may lead to an unexpected application termination or arbitrary code execution

Description: A use-after-free issue exists in the iCal application's handling of iCalendar (usually ".ics") files. Opening a maliciously crafted iCalendar file in iCal may lead to an unexpected application termination or arbitrary code execution. This update addresses the issue by improving reference counting in the affected code. This issue does not affect systems prior to Mac OS X v10.5. Credit to Rodrigo Carvalho of Core Security Technologies for reporting this issue.

Sicherheitsupdates waren AFAIK immer losgelöst von OS Updates. Apple sagt auch, daß alle Fehler sicherheitsrelevant waren, sonst hätte man ja die angeblich normalen Bugs im OS Update verpacken können.
Es wurde bisher auch nie gesagt, daß es darum geht, ein Sicherheitsupdate zu vermeiden, sondern so lange mit dem Patch zu warten, bis 10.5.3 veröffentlicht wird.

So geschehen. q.e.d.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Mai 29, 2008, 12:07:16
Sooooooooo: Obwohl Apple 10.5.3 herausgebracht hat, gibt es sogar trotzdem ein Security-Update:

Kann man diese Updates denn unter 10.5.2 überhaupt installieren? Ich hatte das so verstanden, dass die für 10.4.11 sind.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Mai 29, 2008, 12:20:39
Hier wird auch gemeldet, daß man die Sicherheitslücken ohne 10.5.3 stopfen kann:
http://www.macnews.de/news/108548.html

Die Angabe von Apple "10.4.11 or later" finde ich auch etwas schwammig.
Titel: Re: Apple und die Sicherheit
Beitrag von: fränk am Mai 29, 2008, 12:21:46
Kann man diese Updates denn unter 10.5.2 überhaupt installieren? Ich hatte das so verstanden, dass die für 10.4.11 sind.

Bei Softwareaktualisierung unter 10.5.2 wurden dieses Update jedenfalls nicht angezeigt.

Und jetzt, mit installiertem 10.5.3, auch nicht.
Titel: Re: Apple und die Sicherheit
Beitrag von: Patrick am Mai 29, 2008, 12:34:43
Guckst Du hier:

http://support.apple.com/kb/HT1897

Die einzelnen Patches beziehen sich teilweise auf verschiedene Versionen, Client und/oder Server, stellenweise sogar nur für .4.11. Statt viele einzelne Patches werden die halt in einem Paket zusammengefasst und die notwendigen dann halt durchgeführt.

Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am Mai 29, 2008, 12:45:30
Sooooooooo: Obwohl Apple 10.5.3 herausgebracht hat, gibt es sogar trotzdem ein Security-Update:

Kann man diese Updates denn unter 10.5.2 überhaupt installieren? Ich hatte das so verstanden, dass die für 10.4.11 sind.

Nö, anscheinend nicht. Jedenfalls meint das Security Update zu meinem MBP mit 10.5.2 Folgendes:
Titel: Re: Apple und die Sicherheit
Beitrag von: MacMark am Mai 29, 2008, 12:51:34
... Es wurde bisher auch nie gesagt, daß es darum geht, ein Sicherheitsupdate zu vermeiden, sondern so lange mit dem Patch zu warten, bis 10.5.3 veröffentlicht wird. ...

Echt, nie?
<Hust>

Was ist das hier?
... So kann man zum Beispiel das Sicherheitsupdate im 10.5.3-Update verstecken. ...

<Hust>
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am Mai 29, 2008, 12:55:11
Eben. Und genau das ist ja passiert. Ein Leo-User kriegt kein Security Update angezeigt.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacMark am Mai 29, 2008, 13:01:10
Eben. Und genau das ist ja passiert. Ein Leo-User kriegt kein Security Update angezeigt.

Erklär mal, warum sie es wohl separat zum Download anbieten und warum es sechs andere Bugfixes seit dem Bugreport gab, darunter mindestens eines, was einen Teil gefixt hat.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Mai 29, 2008, 13:10:28
Erklär mal, warum sie es wohl separat zum Download anbieten...

Ja, erkläre das mal. Das verstehe ich nämlich nicht. Wenn es doch in 10.5.3 drin ist, warum dann noch ein Security Update für 10.5.2 zeitgleich herausbringen?
Laut dem Test von warlord lässt sich das Update auch nicht auf 10.5.2 installieren. Ist das evtl. doch nur für 10.4.11 (und folgende 10.4.x)?
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am Mai 29, 2008, 13:12:42
Eben. Und genau das ist ja passiert. Ein Leo-User kriegt kein Security Update angezeigt.

Erklär mal, warum sie es wohl separat zum Download anbieten und warum es sechs andere Bugfixes seit dem Bugreport gab, darunter mindestens eines, was einen Teil gefixt hat.
Zum einen wird es separat zum Download nur für Tiger-User angeboten, für Leo-User funktioniert das anscheinend nämlich nicht (siehe oben). Zum anderen wird der Grossteil der Nutzer Updates via Software Update einspielen. Und genau auf diese Personengruppe zielt doch das Versteckspiel ab. Und dort fand es eben tatsächlich statt, genau wie von mbs vorausgesagt.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacMark am Mai 29, 2008, 17:01:06
… Zum anderen wird der Grossteil der Nutzer Updates via Software Update einspielen. Und genau auf diese Personengruppe zielt doch das Versteckspiel ab. Und dort fand es eben tatsächlich statt, genau wie von mbs vorausgesagt.
Super Verschwörungstheorie. Warum geben sie die Bugfixes dann nicht als 10.4.12 heraus, sondern explizit als Security-Update für 10.4.11?
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Mai 29, 2008, 17:12:50
Warum geben sie die Bugfixes dann nicht als 10.4.12 heraus, sondern explizit als Security-Update für 10.4.11?

Weil Apple weder noch autistischer ist, als mbs beschreibt, noch soo tadellos, wie MacMark meint, sondern die "Wahrheit" irgendwo in der Mitte liegt?
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am Mai 29, 2008, 17:16:08
… Zum anderen wird der Grossteil der Nutzer Updates via Software Update einspielen. Und genau auf diese Personengruppe zielt doch das Versteckspiel ab. Und dort fand es eben tatsächlich statt, genau wie von mbs vorausgesagt.
Super Verschwörungstheorie. Warum geben sie die Bugfixes dann nicht als 10.4.12 heraus, sondern explizit als Security-Update für 10.4.11?

Eventuell weil die nicht mehr aktuellen Major-Releases des OS auch ganz offiziell nicht mehr weiter entwickelt werden?

Stelle ich mich im Wald hinter einen Baum, dann werde ich nicht sonderlich auffallen. Stelle ich mich aber als Baum verkleidet in die Wüste, wäre das wohl nicht mehr sonderlich unauffällig.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacMark am Mai 29, 2008, 20:38:49
… nicht mehr aktuellen Major-Releases des OS auch ganz offiziell nicht mehr weiter entwickelt werden? …

Das ist nicht richtig, denn 10.4.11 kam mehrere Monate _nach_ 10.5 heraus.
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am Mai 29, 2008, 20:58:14
19 Tage, würd ich meinen, nicht Monate. Dass in der Übergangszeit jeweils parallel an zwei Systemen gearbeitet wird und das Rennen je nach dem mal zugunsten des ersten Releases des neuen und mal zugunsten des letzten Releases des alten OS ausgehen kann, ist klar. Am Grundsatz, dass jeweils nur das aktuelle Major-Release weiter entwickelt wird, ändert diese Überlappung nichts. Aber das wird Dir durchaus auch klar sein.
Titel: Re: Apple und die Sicherheit
Beitrag von: Patrick am Mai 30, 2008, 01:48:19
Echt, nie?

Argh, Du bist ja schlimmer als Wormtongue (http://en.wikipedia.org/wiki/Gríma_Wormtongue). Das SecurityUpdate ist natürlich im 10.5.3 enthalten. Zuerst wird das OS-Update veröffentlicht und kurz danach im Schatten dieses Ereignisses noch das SU hinterher, für ältere Systeme. Warum es sich bei Warlord nicht auf 10.5.2 installieren lässt, kann ich auch nicht sagen, vielleicht hat er einen falschen Build (kann als Entwickler ja mal passieren ;) ). Laut Doku (http://support.apple.com/kb/HT1897) ist es aber für genau diese Systeme gedacht, von 10.4.11 bis 10.5.2.

Wenn ich als Normaluser mir die Beschreibung (http://support.apple.com/kb/HT1141?viewlocale=de_DE) des 10.5.3-Updates anschaue, finde ich keinerlei Hinweise auf ein Sicherheitsupdate. Selbst bei Applikationen wie zB iCal steht nichts davon drin. Die Doku des Security Updates ist ja auch noch sinnigerweise mit "About the security content of Security Update 2008-003 / Mac OS X 10.5.3" überschrieben, aber die findet ein Normaluser ja gar nicht.

So sieht es aus, als ob es ein normales Update von 10.5 gibt und ein Security Update für ältere Systeme. Ich sehe darin zumindest eine Verschleierungstaktik.

Ausserdem bedeutet "verstecken" ja, daß es tatsächlich etwas gibt, was man zu verbergen versucht. IMHO hat Apple genau das mit 10.5.3 (wieder) gemacht.

Ach ja, zu Deinem ach so harmlosen NullPointer-Bug hat Apple auch noch was zu sagen:

Zitat
Kernel
 

CVE-ID: CVE-2007-6359

Available for: Mac OS X v10.5 through v10.5.2, Mac OS X Server v10.5 through v10.5.2

Impact: A local user may be able to cause an unexpected system shutdown

Description: A null pointer dereference exists in the kernel's handling of code signatures in the cs_validate_page function. This may allow a local user to cause an unexpected system shutdown. This update addresses the issue by performing additional validation of code signatures. This issue does not affect systems prior to Mac OS X v10.5.

Aber vermutlich wirst Du Dich wieder damit herausreden, daß Du ja nur einen Nullpointer innerhalb einer Anwendung gemeint hast, im Kernel ist das natürlich was ganz anderes...
Titel: Re: Apple und die Sicherheit
Beitrag von: MacMark am Mai 30, 2008, 07:27:54
... Nullpointer innerhalb einer Anwendung gemeint hast, im Kernel ist das natürlich was ganz anderes ...

Du verwechselst die Bugs. Den Du da anführst ist ein Null-Pointer im Kernel und nicht die beiden Null-Pointer in iCal.app, die auf die Meldung von Core Security zurückgehen.

Ein Null-Pointer im Kernel kann den ganzen Rechner stoppen. Ein Null-Pointer in iCal läßt im schlimmsten Fall die eine Instanz von iCal.app abschmieren.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juni 20, 2008, 09:58:19
Das klingt nicht gut:
http://www.heise.de/security/Root-Exploit-fuer-Mac-OS-X--/news/meldung/109735
http://www.fscklog.com/2008/06/ardagent-schwac.html
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Juni 20, 2008, 10:16:05
Uiuiui, eine derbe Lücke zur Ausweitung der Rechte, wenn ich das richtig verstehe.

Komisch finde ich folgenden Textteil aus dem ersten Link:
Zitat
Derweil gibt es schon mehrere Vorschläge wie das Problem zu lösen sei. Der Exploit funktioniert nicht, wenn unter Mac OS X 10.5 "Systemeinstellungen/Sharing/" die Option "Entfernte Verwaltung" aktiviert ist – was standardmäßig nicht der Fall ist. Ähnliches soll gelten, wenn unter Mac OS X 10.4 der Apple Remote Desktop Client installiert und aktiviert ist.

Müsste es nicht heissen: "Der Exploit funktioniert nur nicht, ...
D.h. das Problem existiert nur dann, wenn man es vorher explizit erlaubt hat, das der Rechner über ARD gesteuert werden kann. D.h. viele sind zum Glück nicht betroffen. Trotzdem eine gefährliche und unschöne Sache. Schnelle Behebung ist angesagt.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Juni 20, 2008, 10:40:46
OK, zu diesem spezifischen Fehler geht es hier (http://www.apfelinsel.de/forum/index.php/topic,3012.msg31304.html) weiter.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacMark am Juli 01, 2008, 20:22:22
Es wurde ja hier gemutmaßt, Apple würde für 10.4 nur noch direkt nach 10.5-Erscheinen Fixes machen. Das ist nicht so:
Zitat
und einem separaten Paket für Mac OS X 10.4.11 behebt Apple einige Bugs, die die Sicherheit des Systems gefährden. Manche Sicherheitskorrekturen betreffen nur Mac OS X 10.4.11.
http://www.heise.de/security/Neue-Bugfixes-und-Sicherheitskorrekturen-fuer-Mac-OS-X--/news/meldung/110235
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am Juli 01, 2008, 20:38:11
Es wurde ja hier gemutmaßt, Apple würde für 10.4 nur noch direkt nach 10.5-Erscheinen Fixes machen.

Derartiges wurde hier nirgendwo gemutmasst. Dass es Security-Updates jeweils für das aktuelle und für das zweitneuste System gibt, ist auch hier bekannt. Geschrieben wurde:

Eventuell weil die nicht mehr aktuellen Major-Releases des OS auch ganz offiziell nicht mehr weiter entwickelt werden?

Weiter entwickeln und Sicherheitslöcher stopfen sind nunmal zwei unterschiedliche Paar Schuhe.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacMark am Juli 02, 2008, 14:00:20

Eventuell weil die nicht mehr aktuellen Major-Releases des OS auch ganz offiziell nicht mehr weiter entwickelt werden?

Weiter entwickeln und Sicherheitslöcher stopfen sind nunmal zwei unterschiedliche Paar Schuhe.

Jede Code-Änderung ist eine Weiterentwicklung. Und Sicherheits-Aktualisierungen sind die wichtigsten Weiterentwicklungen überhaupt.

Schauen wir mal (http://www.apple.com/support/downloads/) in den Juni 2008 und sehen: Apple entwickelt 10.4 auch jetzt noch umfangreich weiter:

Security Update 2008-004 (PPC)
Security Update 2008-004 is recommended for all Tiger users and improves the security of Mac OS X.
06/30/2008   
80MB

Security Update 2008-004 (Intel)
Security Update 2008-004 is recommended for all Tiger users and improves the security of Mac OS X.
06/30/2008   
128MB

Security Update 2008-004 Server (PPC)
Security Update 2008-004 is recommended for all TIger servers and improves the security of Mac OS X.
06/30/2008   
127MB

Security Update 2008-004 Server (Intel)
Security Update 2008-004 is recommended for all Tiger servers and improves the security of Mac OS X.
06/30/2008

Safari 3.1.2 for Tiger
This update is recommended for all Safari Tiger users and includes stability improvements and the latest security updates.
06/30/2008   
49.2MB

AirPort Utility 5.3.2 Tiger
Wireless networking that works with most Wi-Fi enabled devices, including Mac, PC, iPhone, iPod touch, and more.
06/11/2008   
9.3MB

QuickTime 7.5 for Tiger
QuickTime 7.5 improves application compatibility and addresses security issues.

Oh, Panther wird auch noch weiterentwickelt:

06/09/2008   
52.8MB
QuickTime 7.5 for Panther
QuickTime 7.5 improves application compatibility and addresses security issues.
06/09/2008   
51.39MB

Quod erat demonstrandum.
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am Juli 02, 2008, 19:48:01
Sollten meine Aussagen wirklich so unverständlich gewesen sein, was ich zwar eigentlich nicht glaube, präzisiere ich gerne noch einmal.

Ich denke, es ist unbestritten, dass Apple zwischen zwei Arten von Software-Aktualisierungen unterscheidet:

a)
Zum einen gibt es jene Aktualisierungen, welche die letzte Zahl der dreiteiligen OS-Versionsnummer erhöhen. Sie beinhalten in der Regel gesammelte Fehlerkorrekturen unterschiedlichster Natur (sicherheitsrelevante un andere) und nachimplementierte Features, die nicht rechtzeitig zum Major-Release fertig gestellt werden konnten. Aktualisierungen dieser Kategorie erscheinen jeweils nur für das aktuelle Major-Release des OS, derzeit als 10.5 Leopard.

b)
Dann gibt es eine als Security-Update bezeichnete zweite Kategorie von Aktualisierungen. Mit ihnen werden, wie der Name schon andeutet, sicherheitsrelevante Fehler behoben bzw. Sicherheitslücken geschlossen. Aktualisierungen dieser Kategorie werden jeweils angeboten:
- für dringende Sicherheitskorrekturen zwischen den Aktualisierungen der Kategorie a für das jeweils aktuelle Major-Release des OS, derzeit also 10.5 Leopard
- für das zweitaktuellste Major-Release des OS, derzeit also 10.4 Tiger

Daneben erfahren Komponenten, die mehr oder weniger stark als Teil von OS X betrachtet werden können/müssen, die aber über vom OS getrennte eigene Versionsnummern aufweisen, eigenständige Updates ausserhalb der oben erwähnten zweigeteilten Update-Zyklen des OS.

Gemutmasst wurde hier einzig darüber, dass Apple mit der Veröffentlichung von Fehlerbehebungen zuwarten würde, um sie unauffälliger im Rahmen einer Aktualisierung der Kategorie a zu veröffentlichen, anstatt sie sofort und auffälliger als sicherheitsrelevant mit einer Aktualisierung der Kategorie b zu veröffentlichen. Und das tatsächliche Vorgehen von Apple entsprach ja dann tatsächlich dieser Mutmassung. Dass hier über mehr gemutmasst worden wäre, wäre mir jedenfalls entgangen.

Ich hoffe, das ist jetzt präzise genug formuliert, dass es mir auch von einem MacMark nicht mehr im Mund umgedreht werden kann.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacMark am Juli 02, 2008, 21:56:56
Updates des Betriebssystems bleiben Updates des Betriebssystems, egal wie Du sie weiter untergliederst. Das Update für Quicktime in Panther ist beispielsweise ein Systemupdate, weil Quicktime zentraler Betriebssystem-Bestandteil von OS X ist. Vergleiche dazu:
http://developer.apple.com/documentation/MacOSX/Conceptual/OSX_Technology_Overview/MacOSXOverview/chapter_2_section_2.html
Somit wurde OS X Panther 10.3 im Juni 2008 noch weiterentwickelt.

Ferner gab es schon diverse "Security-Updates", die nicht auch zeitgleich in Kombo-Updates verfügbar waren, also das unterstellte Versteckspiel definitiv nicht reininterpretiert werden kann.
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am Juli 02, 2008, 22:11:05
Updates des Betriebssystems bleiben Updates des Betriebssystems, egal wie Du sie weiter untergliederst.
Die Untergliederung stammt von Apple.

Zitat
Das Update für Quicktime in Panther ist beispielsweise ein Systemupdate,
Das Update ist von Apple als Quicktime-Update bezeichnet und nicht als OS X Update. Quicktime ist schliesslich nicht ausschliesslich Bestandteil von OS X.

 
Zitat
weil Quicktime zentraler Betriebssystem-Bestandteil von OS X ist. Vergleiche dazu:
http://developer.apple.com/documentation/MacOSX/Conceptual/OSX_Technology_Overview/MacOSXOverview/chapter_2_section_2.html
Zeigst Du mir, wo ich etwas anderes behauptet hätte?

Gerade an Dich würde ich dann gerne die Frage richten, weshalb es denn nur noch Quicktime und weshalb es gerade Quicktime ist, das noch weiterentwickelt wird?

Zitat
Ferner gab es schon diverse "Security-Updates", die nicht auch zeitgleich in Kombo-Updates verfügbar waren, also das unterstellte Versteckspiel definitiv nicht reininterpretiert werden kann.
Kannst Du mir zeigen, wo ich etwas anderes behauptet habe?
Titel: Re: Apple und die Sicherheit
Beitrag von: Patrick am Juli 03, 2008, 00:49:30
Jede Code-Änderung ist eine Weiterentwicklung.
Nein. Eine Code-Änderung ist eine Code-Änderung. Eine Weiterentwicklung impliziert, daß etwas Neues geschaffen wurde, eine neue Funktion beispielsweise. Natürlich kann es sein, daß der betroffene Programmierer sich weiterentwickelt, weil er aus seinen Fehlern hoffentlich lernt, aber die Weiterentwicklung hast Du wohl kaum gemeint ;)
Zitat
Und Sicherheits-Aktualisierungen sind die wichtigsten Weiterentwicklungen überhaupt.
Nein. Es ist die vornehme Umschreibung für Bugfixes, also einfach eine Fehlerbehebung, die eine Fehlfunktion der Software korrigiert. Allerdings geht es hier um Fehler, die die Sicherheit des Rechners betreffen, daher sind es wichtige Bugfixes.

Jeder Softwareentwickler sollte den Unterschied zwischen Bugfixes und Updates eigentlich kennen. Apple vermeidet nur den Begriff Security-Patch, der treffender wäre, sondern verwendet lieber den etwas positiver besetzten Begriff des Security-Updates.

Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Juli 03, 2008, 09:44:16
Somit wurde OS X Panther 10.3 im Juni 2008 noch weiterentwickelt.

Wenn man es so sieht, dann entwickelt auch Apple Windows XP "weiter".

Schade nur, dass Apple Panther nicht so "weiter"-entwickelt, dass man damit iPods aus dem letzten Jahr nutzen kann.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacMark am Juli 04, 2008, 21:29:21
Die Untergliederung stammt von Apple.  … Quicktime ist schliesslich nicht ausschliesslich Bestandteil von OS X. …
Ändert beides nichts an den Tatsachen, die ich nannte.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacMark am Juli 04, 2008, 21:31:01
… Wenn man es so sieht, dann entwickelt auch Apple Windows XP "weiter".…
Könnte man so sehen, ja.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacMark am Juli 04, 2008, 21:42:35
… Eine Code-Änderung ist eine Code-Änderung. Eine Weiterentwicklung impliziert, daß etwas Neues geschaffen wurde, eine neue Funktion beispielsweise. …
Jeder Softwareentwickler sollte den Unterschied zwischen Bugfixes und Updates eigentlich kennen.

Pure Benennung und Gusto wie halbvolles oder halbleeres Glas.

Fangfrage: Etwas Neues kann man ohne Code-Änderung schaffen?
Tip: Ändern ist eine Obermenge von Hinzufügen.

Sicherheits-Updates wachsen ebenso wenig am Baum wie neue Funktionen. Beides erfordert Entwicklungsaufwand und ist damit eine Weiterentwicklung.
Nachtrag: Nur eine OS X-Version, für die es keinerlei Code-Änderungen mehr gibt, wird nicht weiterentwickelt.
Titel: Re: Apple und die Sicherheit
Beitrag von: fränk am Juli 04, 2008, 21:47:12
Ein Solo für einen Spaßvogel?
Titel: Re: Apple und die Sicherheit
Beitrag von: Patrick am Juli 05, 2008, 00:38:19
Zitat
Tip: Ändern ist eine Obermenge von Hinzufügen.
Stimmt, damit hast Du mein Argument ja bewiesen ;)

Sicherheits-Updates wachsen ebenso wenig am Baum wie neue Funktionen. Beides erfordert Entwicklungsaufwand und ist damit eine Weiterentwicklung.
Darum, daß es ein Aufwand ist, Fehler in einer Software zu korrigieren, brauchen wir hier sicherlich nicht zu streiten. Sieh es doch mal so: eine Software soll eine gewisse Funktion erfüllen, das ist das Soll mit 100%. Durch einen Fehler  in der Software wird die Funktion aber nur zu 80% erfüllt. Der Bugfix behebt den Fehler und man erreicht die 100%. Es wurde hierbei aber nicht weiterentwickelt, sondern nur das eigentliche Soll erreicht. Wenn im Rahmen des Bugfixing aber noch einige Dinge hinzugekommen sind und jetzt mehr als vorher geleistet wird, dann kann man natürlich von einer Weiterentwicklung reden.

Eine Frage: Du bist nicht zufällig irgendwie in der Politik involviert? Deine Argumentationsweise, aus einem Fehler, der korrigiert wird, eine positive Neuerung zu machen, ist schon fast Parlamentsreif...

Titel: Re: Apple und die Sicherheit
Beitrag von: MacMark am Juli 06, 2008, 10:27:31
… eine gewisse Funktion erfüllen, das ist das Soll mit 100%. Durch einen Fehler  in der Software wird die Funktion aber nur zu 80% erfüllt. Der Bugfix behebt den Fehler und man erreicht die 100%.  …

Dann enthält der Bugfix also 20% der geplanten Weiterentwicklung.

Wenn Bugfixes ja schon für Dich keine Weiterentwicklung sind: Ist eine Geschwindigkeitsverbesserung, die keine neue Funktion bietet, in Deinen Augen auch keine Weiterentwicklung?

10.3 und 10.4 werden zwar nicht mehr in dem Umfang wie 10.5 weiterentwickelt, aber sie werden weiterentwickelt.
Titel: Re: Apple und die Sicherheit
Beitrag von: Thyrfing am Juli 06, 2008, 10:28:41
… eine gewisse Funktion erfüllen, das ist das Soll mit 100%. Durch einen Fehler  in der Software wird die Funktion aber nur zu 80% erfüllt. Der Bugfix behebt den Fehler und man erreicht die 100%.  …

Dann enthält der Bugfix also 20% der geplanten Weiterentwicklung.


Das verstehst du nun aber absichtlich falsch.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Juli 06, 2008, 10:55:31
… Wenn man es so sieht, dann entwickelt auch Apple Windows XP "weiter".…
Könnte man so sehen, ja.

Dann ist ja gut. Ich dachte schon mit der Beerdigung von OS 9 würde das nicht mehr weiterentwickelt. Gut, dass ich mich getäuscht habe. Zwar entwickelt Apple OS 9 nicht mehr weiter, aber andere Firmen anscheinend schon.
Das gleiche gilt natürlich auch für 10.2 etc.
...
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Juli 06, 2008, 16:05:34
Greifen sie zu! Jetzt mit 20% Weiterentwicklung! 
Titel: Re: Apple und die Sicherheit
Beitrag von: Patrick am Juli 06, 2008, 23:59:40
Dann enthält der Bugfix also 20% der geplanten Weiterentwicklung.

Wow, wie kann ein Mensch so vollkommen resistent gegen Logik sein?

Ich mache es für Dich noch einfacher mit einem simplen Beispiel:

Wenn eine Bedingung einer Programmverzweigung (zB einer if...then-Anweisung) durch einen simplen Fehler nicht erfüllt wird, wird ein ganzer Programmteil nicht erreicht. Ob es ein Denkfehler des Programmierers war oder ein simpler Tippfehler, sei mal dahingestellt. Deiner Argumentation nach ist also das Beheben dieses Fehlers eine Weiterentwicklung, richtig?

Wenn ja, dann ist Microsoft die innovativste Softwarefirma dieses Planeten und ich bin aus dieser Diskussion endgültig draussen...

Titel: Re: Apple und die Sicherheit
Beitrag von: MacMark am Juli 07, 2008, 20:41:46


Dann ist ja gut. Ich dachte schon mit der Beerdigung von OS 9 würde das nicht mehr weiterentwickelt. Gut, dass ich mich getäuscht habe. Zwar entwickelt Apple OS 9 nicht mehr weiter, aber andere Firmen anscheinend schon.
Das gleiche gilt natürlich auch für 10.2 etc.
...
Es geht um Teile des Betriebssystems, nicht um Anwendungsprogramme.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacMark am Juli 07, 2008, 20:49:23

Wenn eine Bedingung einer Programmverzweigung (zB einer if...then-Anweisung) durch einen simplen Fehler nicht erfüllt wird, wird ein ganzer Programmteil nicht erreicht. Ob es ein Denkfehler des Programmierers war oder ein simpler Tippfehler, sei mal dahingestellt. Deiner Argumentation nach ist also das Beheben dieses Fehlers eine Weiterentwicklung, richtig?…
Das ist wohl die minimal mögliche Weiterentwickung, aber das ist korrekt. Ein solcher Fehler würde allerdings für OS X 10.0 und 10.1 und 10.2 sowie Mac OS 9 wohl nicht mehr behoben werden.
Das Beheben eines selbst kleinen Fehlers zieht bei Firmen wie Apple einen Rattenschwanz an Arbeit durch diverse Abteilungen nach sich, so daß Du den Aufwand nicht mit dem eines Solo-Programmierers gleichsetzen kannst, der einen vergleichbaren Fehler fixt: Fix, Entwickler-Test, Review, Qualitätssicherungs-Test, Release-Paket bauen, Release testen, Release mit Doku versehen, Release veröffentlichen etc.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacMark am Juli 07, 2008, 20:50:17
… eine gewisse Funktion erfüllen, das ist das Soll mit 100%. Durch einen Fehler  in der Software wird die Funktion aber nur zu 80% erfüllt. Der Bugfix behebt den Fehler und man erreicht die 100%.  …

Dann enthält der Bugfix also 20% der geplanten Weiterentwicklung.


Das verstehst du nun aber absichtlich falsch.
Nein, denn es ist vollkommen korrekt, was ich schrieb. Klartext und korrekt.
Titel: Re: Apple und die Sicherheit
Beitrag von: Patrick am Juli 07, 2008, 21:29:42
- gelöscht -
Titel: Re: Apple und die Sicherheit
Beitrag von: fränk am Juli 07, 2008, 21:45:32
Jetzt hast Du's Patrick! ;D
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Juli 08, 2008, 09:03:40

… Wenn man es so sieht, dann entwickelt auch Apple Windows XP "weiter".…
Könnte man so sehen, ja.

Dann ist ja gut. Ich dachte schon mit der Beerdigung von OS 9 würde das nicht mehr weiterentwickelt. Gut, dass ich mich getäuscht habe. Zwar entwickelt Apple OS 9 nicht mehr weiter, aber andere Firmen anscheinend schon.
Das gleiche gilt natürlich auch für 10.2 etc.
...
Es geht um Teile des Betriebssystems, nicht um Anwendungsprogramme.

Natürlich geht es nicht um Anwendungsprogramme. Genauso wie Deiner Meinung nach Apple XP mit Hilfe von Quicktime "weiterentwickelt", werden auch OS 9, 10.2 etc. von anderen Firmen mit Komponenten für das Betriebssystems "weiterentwickelt".

Es ist schön zu sehen, dass auch so alte Systeme noch "weiterentwickelt" werden.  :)
Titel: Re: Apple und die Sicherheit
Beitrag von: Chucky am Juli 08, 2008, 18:03:14
Es ist schön zu sehen, dass auch so alte Systeme noch "weiterentwickelt" werden.  :)

Schön! Und ich habe gedacht, dass ich Classic nie mehr verwenden kann! Nachdem OS 9 scheinbar weiterentwickelt wird, habe ich für Snow Leopard große Hoffnungen ;D ;D ;D
Titel: Re: Apple und die Sicherheit
Beitrag von: MacMark am Juli 08, 2008, 21:36:36
… Natürlich geht es nicht um Anwendungsprogramme. Genauso wie Deiner Meinung nach Apple XP mit Hilfe von Quicktime "weiterentwickelt", werden auch OS 9, 10.2 etc. von anderen Firmen mit Komponenten für das Betriebssystems "weiterentwickelt".…
Beispiele?
Titel: Re: Apple und die Sicherheit
Beitrag von: Thyrfing am Juli 08, 2008, 21:45:16
Ähm?
Titel: Re: Apple und die Sicherheit
Beitrag von: Patrick am Juli 09, 2008, 07:37:46
Jetzt hast Du's Patrick! ;D
Ja, hat ein wenig gedauert. Jetzt sollte das nur noch Schule machen...
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Juli 09, 2008, 10:22:39
Beispiele?

Na, das ist bei Deiner Definition von "Weiterentwicklung" ja simpel.
Nur noch einmal zur Verdeutlichung
Eine "Weiterentwicklung" eines Betriebssystemes ist für Dich jegliche Code-Änderung ("Jede Code-Änderung ist eine Weiterentwicklung. (http://www.apfelinsel.de/forum/index.php/topic,2878.msg41824.html#msg41824)") an einer Komponente im System. Das betrifft für Dich auch Systemerweiterungen von Drittherstellern, die nicht zum ursprünglichen Lieferumfang gehören ("Könnte man so sehen, ja. (http://www.apfelinsel.de/forum/index.php/topic,2878.msg41909.html#msg41909)").

Nun, dann zu nur einem klitzekleinen Auszug aus den möglichen Beispielen.

10.2:
- Apache (1.x) gehört zu den mitgelieferten Systemkomponenten (wird u.a. in der Systemeinstellung "Sharing" gesteuert). Neben vielen Sicherheitsupdates (für Dich ja auch "Weiterentwicklungen") gibt es auch aktuell noch eine echte Weiterentwicklung bis Apache 2.2.8 für Jaguar.
- ClipDoubler erweitert das System um mehrere Zwischenablagen. Auch dafür gibt es noch neue Versionen für 10.2.
... usw. usf.

9:
- USB Audio ASIO driver erweitert das System um einen Treiber für ASIO-kompatible Programme. Weiterentwicklung dieser Systemerweiterung noch Mitte 2007.
- Flash Player erweitert ebenfalls die zum System gehörenden Browser (und andere) um zusätzliche Funktionen. AFAIR wird das sogar als buchstäbliche "Systemerweiterung" installiert. "Weiterentwicklung" noch Ende 2007.
... usw. usf.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Juli 11, 2008, 09:22:14
Gestern kam wieder eine "Weiterentwicklung" von 10.3 heraus: iTunes 7.7
Titel: Re: Apple und die Sicherheit
Beitrag von: daveinitiv am Juli 11, 2008, 10:47:03
 ;D
Titel: Re: Apple und die Sicherheit
Beitrag von: Chucky am Juli 11, 2008, 12:21:45
Ich bin entsetzt, dass OS 9 nun doch nicht weiterentwickelt wird! Wo ist iTunes für OS 9?  ;D
Titel: Re: Apple und die Sicherheit
Beitrag von: MacMark am Juli 11, 2008, 19:41:56
Beispiele?
10.2:
- Apache …
- ClipDoubler …
9:
- USB Audio ASIO driver …
- Flash Player …
Im Gegensatz zu Quicktime ist keines davon eine Betriebssystem-Komponente.
Update:
http://developer.apple.com/DOCUMENTATION/Darwin/Conceptual/KernelProgramming/Architecture/chapter_3_section_1.html#//apple_ref/doc/uid/TP30000905-CH1g-CACDAEDC

Gestern kam wieder eine "Weiterentwicklung" von 10.3 heraus: iTunes 7.7

iTunes ist ebenfalls keine Betriebssystem-Komponente.
Titel: Re: Apple und die Sicherheit
Beitrag von: Patrick am Juli 12, 2008, 06:48:14
Im Gegensatz zu Quicktime ist keines davon eine Betriebssystem-Komponente.
Nur weil es auf dem Bildchen zu sehen ist, heisst es noch lange nicht, daß QuickTime eine "Betriebssystem-Komponente" ist. Im Gegensatz dazu gehört Apache zu Darwin und ist damit auf jeden Fall Bestandteil des Betriebssystems.

Eigentlich zeigt das Bild, daß Quicktime ein eben kein Bestandteil des Betriebssystems ist, sondern nur eine Erweiterung auf Applikationsebene, siehe hier (http://developer.apple.com/DOCUMENTATION/Darwin/Conceptual/KernelProgramming/Extend/chapter_17_section_1.html#//apple_ref/doc/uid/TP30000905-CH220-BEBDGFHI) im gleichen Dokument:
Zitat
If your code does not meet any of the above criteria (and possibly even if it does), you should consider developing it as a library or a user-level daemon, or using one of the user-level plug-in architectures (such as QuickTime components or the Core Graphics framework) instead of writing a kernel extension.

Selbst wenn wir annehmen, daß Application Services zum Betriebssystem dazugerechnet werden können, ändert das nichts an der Tatsache, daß Darwin viele Bestandteile aufweist, die von Dritten (weiter)entwickelt werden, selbst wenn diese Teile evtl. in neueren Darwin-Versionen nicht mehr vorhanden sind.

Prinzipiell gilt das grundsätzlich für alle Open Source (http://developer.apple.com/opensource/) Bestandteile von MacOS X.

Aber ich könnte wetten, daß ich weiß, was als nächstes kommt...
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Juli 12, 2008, 08:18:00
Im Gegensatz zu Quicktime ist keines davon eine Betriebssystem-Komponente.

Schön, dass Du den wichtigsten Teil meines Postings, nämlich Deine Definition von "Weiterentwicklung" weggeschnitten hast.
Daher noch einmal zur Deutlichkeit und hervorgehoben:
Eine "Weiterentwicklung" eines Betriebssystemes ist für Dich jegliche Code-Änderung ("Jede Code-Änderung ist eine Weiterentwicklung. (http://www.apfelinsel.de/forum/index.php/topic,2878.msg41824.html#msg41824)") an einer Komponente im System. Das betrifft für Dich auch Systemerweiterungen von Drittherstellern, die nicht zum ursprünglichen Lieferumfang gehören ("Könnte man so sehen, ja. (http://www.apfelinsel.de/forum/index.php/topic,2878.msg41909.html#msg41909)").
Quicktime ist unter XP keine Betriebssystem-Komponente. Du wirst von MS sicher keine Abbildung der Architektur von XP finden, in dem QT als Bestandteil des Betriebssystemes bezeichnet wird. Trotzdem ist eine neue Version von QT für Dich eine "Weiterentwicklung" von XP seitens Apple. Somit ist eine neue Version jeder Systemerweiterung eine "Weiterentwicklung" des Systems für Dich.
Systemerweiterungen für OS 9 und 10.2, die noch weiterentwickelt werden, habe ich Dir gezeigt. q.e.d.

Zitat
Gestern kam wieder eine "Weiterentwicklung" von 10.3 heraus: iTunes 7.7

iTunes ist ebenfalls keine Betriebssystem-Komponente.

Und ob. Bei der iTunes-Installation wird nicht nur ein neues Programm in /Programme geschrieben, sondern auch Systembestandteile verändert. Es werden neue Kerneltreiber und auch FrameWorks geschrieben.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacMark am Juli 12, 2008, 09:45:37
Ein Webserver hat nichts mit dem Betriebssystem zu tun. Er ist ein normales Anwendungsprogramm. Er ist anschaulich gesprochen nicht drin, sondern drüber.
Ein Treiber hat ebenfalls nichts mit dem Betriebssystem zu tun. Er ist anschaulich gesprochen nicht drin, sondern drunter.
Was Teil von Darwin ist oder nicht, ist kein Indikator für Betriebssystem-Teil-Sein. Ein Anwendungsprogramm wie der Editor Vim zeigen das doch sehr deutlich. So ein Programm ist anschaulich gesprochen nicht drin, sondern drüber.
Quicktime hingegen ist ein integraler Betriebssystemteil von OS X; es ist eines der zentralen Frameworks von OS X, welches grundlegende Betriebssystem-APIs zur Verfügung stellt. Quicktime ist nicht drunter oder drüber, sondern drin - anschaulich gesprochen.

Bezüglich Quicktime für Windows schrieb ich auf Deine Bemerkung hin, daß _man_ das so sehen _könnte_. Nicht, daß ich es so sehe oder daß man es zwingend so sehen muß. Der Grund ist, daß Quicktime für Windows optional ist und nicht völlig vergleichbar ist mit Quicktime in OS X.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Juli 12, 2008, 10:49:23
Bezüglich Quicktime für Windows schrieb ich auf Deine Bemerkung hin, daß _man_ das so sehen _könnte_. Nicht, daß ich es so sehe oder daß man es zwingend so sehen muß.

Nun, dann schauen wir mal nach...
Somit wurde OS X Panther 10.3 im Juni 2008 noch weiterentwickelt.
Wenn man es so sieht, dann entwickelt auch Apple Windows XP "weiter".
Könnte man so sehen, ja.

Also zusammenfassend:
Ich formulierte einen Konditionalsatz auf eine Behauptung von Dir (also weiterführende Schlussfolgerung auf Basis einer Hypothese): "Wenn man es so (wie Du) siehst, dann...". Deine Antwort darauf musste also ebenfalls sich auf diese Bedingung beziehen und daher konditional sein.
Also:
"Wenn man es so (wie Du) sieht, dann würde auch Apple Windows XP weiterentwickeln."
oder
"Man könnte es so (wie Du) sehen, dann würde auch Apple Windows XP weiterentwickeln."
Zudem hast Du meine Schlussfolgerung aus Deiner Sichtweise zusätzlich auch noch mit einem bekräftigenden "ja" bestätigt.
Sorry, da kommst Du nicht raus.

Zudem schwankst Du bei Deiner Definition "Betriebssystembestandteil" schon ein wenig hin und her.
- Von Apple gelieferte Kernelextensions=kein Systembestandteil (wenn es Dir nicht passt).
- Von Apple gelieferte Frameworks=kein Systembestandteil (wenn es Dir nicht passt).
- Von Apple gelieferte Frameworks=Systembestandteil (wenn es Dir passt).
Der Finder ist auch kein Systembestandteil?
Treiber (egal von wem) sind auch grundsätzlich kein Systembestandteil?
Das WebKit-Framework ist Systembestandteil oder nicht?

Edit:
Also bitte definiere jetzt einmal genau: Was ist integraler Systembestandteil und was nicht?
Und Nachfrage: Du sagst also jetzt: Eine "Weiterentwicklung" des System gibt es nur dann, wenn eine Code-Änderung bei "integralen Systembestandteilen" stattfindet?
Titel: Re: Apple und die Sicherheit
Beitrag von: MacMark am Juli 12, 2008, 21:21:08

Der Finder ist auch kein Systembestandteil?
Treiber (egal von wem) sind auch grundsätzlich kein Systembestandteil?
Das WebKit-Framework ist Systembestandteil oder nicht?

Edit:
Also bitte definiere jetzt einmal genau: Was ist integraler Systembestandteil und was nicht?
Und Nachfrage: Du sagst also jetzt: Eine "Weiterentwicklung" des System gibt es nur dann, wenn eine Code-Änderung bei "integralen Systembestandteilen" stattfindet?
Der Finder gehört dazu, weil er der Teil von OS X ist, der zum Starten von Programmen per GUI dient und zur graphischen Dateiverwaltung.
Treiber würde ich höchstens die dazuzählen, die Apple selbst ausliefert.
WebKit, die Browser-Engine, nicht. WebKit, die System-Framework-Version dieser Engine, jedoch schon.

Was integraler Systembestandteil ist, läßt sich daran festmachen, ob die von Apple ausgelieferte Komponente typische Betriebssystemaufgaben umsetzt. Systemweiterentwicklung sehe ich als Weiterentwicklung dieser Komponenten.
Titel: Re: Apple und die Sicherheit
Beitrag von: Patrick am Juli 13, 2008, 01:56:50
Quicktime hingegen ist ein integraler Betriebssystemteil von OS X; es ist eines der zentralen Frameworks von OS X, welches grundlegende Betriebssystem-APIs zur Verfügung stellt.
Falsch. "Grundlegend" ist recht weit daneben gegriffen. So wie Apache "nur" ein Webserver ist (der in einigen Bereichen des Systems Anwendung findet), ist QuickTime nur eine Architektur zur Wiedergabe und Manipulation von Multimedia-Inhalten. Nicht mehr und nicht weniger.

Was integraler Systembestandteil ist, läßt sich daran festmachen, ob die von Apple ausgelieferte Komponente typische Betriebssystemaufgaben umsetzt. Systemweiterentwicklung sehe ich als Weiterentwicklung dieser Komponenten.

Ist die Wiedergabe von Multimedia-Inhalten eine typische Betriebssystemaufgabe? Wohl eher nicht, sonst gäbe es massenhaft Rechner auf dieser Welt, die dann gar kein Betriebssystem nach dieser Definition haben (und da rechne ich noch nicht mal die GUI-losen *nix-Server mit rein).

Im Mac OS X Technology Overview (http://developer.apple.com/documentation/MacOSX/Conceptual/OSX_Technology_Overview/About/chapter_1_section_1.html) kann man das sehr schön nachlesen. Im Abschnitt Graphics and Multimedia Technologies (http://developer.apple.com/documentation/MacOSX/Conceptual/OSX_Technology_Overview/GraphicsTechnologies/chapter_4_section_1.html#//apple_ref/doc/uid/TP40001067-CH273-SW1) findet man natürlich unter Video Technologies auch QuickTime, aber wenn es denn so ein "grundlegender" Bestandteil von Mac OS X sein soll, dann sollte man doch denken, daß Quartz, wohl unbestritten das Kernstück der graphischen Umgebung, darauf zurückgreifen würde. Macht es natürlich nicht, wozu auch? Wohl aber auf OpenGL, welches natürlich nicht von Apple entwickelt wird, aber von Quartz Extreme voll genutzt wird (klar, die Implementierung von OpenGL stammt wiederum von Apple selbst, insofern ist es hier ein eher schlechtes Beispiel).

Aber wozu gebe ich mir Mühe, Du hast ja immer recht, und wenn nicht, dann wird halt alles so zurecht gebogen, daß es wieder passt...
Titel: Re: Apple und die Sicherheit
Beitrag von: MacMark am Juli 13, 2008, 09:11:58
… So wie Apache "nur" ein Webserver ist (der in einigen Bereichen des Systems Anwendung findet), ist QuickTime nur eine Architektur zur Wiedergabe und Manipulation von Multimedia-Inhalten.  …
Quicktime ist ein zentrales Framework/API von OS X. Schau es Dir in den Schichten an von OS X:
http://developer.apple.com/documentation/MacOSX/Conceptual/OSX_Technology_Overview/MacOSXOverview/chapter_2_section_2.html

Apache ist kein Framework von OS X. Apache ist kein API von OS X. Apache ist nur ein Anwendungsprogramm. Daß man Apache in Sharing starten kann ist nur eine GUI-Hilfe zum Starten dieses Unix-Programmes, was vergleichbar ist mit dem Starten von GUI-Apps per Login-Items in den Systemeinstellungen.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Juli 13, 2008, 12:18:52
Zum Thema "QT unter XP": Kann ich davon ausgehen, dass Du Deine Aussage (http://www.apfelinsel.de/forum/index.php/topic,2878.msg41909.html#msg41909) widerrufst, da Du das erneut hast unter den Tisch fallen lassen?
Oder muss ich davon ausgehen, dass Du nun wie in diesem Posting (http://www.apfelinsel.de/forum/index.php/topic,2878.msg42162.html#msg42162) sagst: "Man kann es so sehen, dass Apple mittels Quicktime Windows XP weiterentwickelt."?


Was integraler Systembestandteil ist, läßt sich daran festmachen, ob die von Apple ausgelieferte Komponente typische Betriebssystemaufgaben umsetzt.

Das ist mir noch viel zu schwammig. Bitte genauer definieren: Darf die Komponente nur von Apple geliefert sein? Was ist eine "typische Betriebsystemaufgabe"?

Zitat
Systemweiterentwicklung sehe ich als Weiterentwicklung dieser Komponenten.

Ich frage erneut nach zur Konkretisierung, weil in dieser Definition "Weiterentwicklung" mit "Weiterentwicklung" erklärt wird:
Ist es richtig, dass für Dich eine Systemweiterentwicklung jegliche Code-Änderung eines integralen Systembestandteiles ist?

Bitte beantworte diese Fragen, denn ansonsten redet man aneinander vorbei. Denn bisher sehe ich Deine einige Widersprüche. Kann aber auch nur daran liegen, dass ich Deine Definition bisher falsch verstanden habe.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacMark am Juli 13, 2008, 14:47:05
Pro: Quicktime für Windows ist ebenfalls ein Framework und eine API für Windows. Insofern entwickelt Apple damit jedes Windows weiter, das dieses Framework/API nutzen kann. Microsoft gefällt dieser Umstand vermutlich nicht ;)
http://developer.apple.com/documentation/QuickTime/RM/Fundamentals/QTOverview/QTOverview_Document/chapter_1000_section_3.html#//apple_ref/doc/uid/TP30000992-CH1g-Frameworks

Contra: Daß das Quicktime-Framework/API für Windows jedoch nicht mit Windows ausgeliefert wird, zeigt aber, daß es nicht fester Bestandteil von Windows ist.

Pro: Dafür wiederum spricht, daß viele Windows-Programme das Quicktime-Framework/API für Windows benötigen.

Fazit: Daher ist es nicht ganz eindeutig zu beantworten. Daher könnte man es so oder so sehen.

Eine Systemweiterentwicklung von OS X ist jegliche Code-Änderung eines integralen Systembestandteiles von OS X durch Apple, die Apple ausliefert. Dazu gehört insbesondere jede originale API von OS X von Cocoa bis Quicktime.
Titel: Re: Apple und die Sicherheit
Beitrag von: daveinitiv am Juli 13, 2008, 18:24:00
Bin ich hier bei Apfeltalk?  8) ::)
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Juli 14, 2008, 09:25:30
Fazit: Daher ist es nicht ganz eindeutig zu beantworten. Daher könnte man es so oder so sehen.

Gut. D.h. Du bist der Meinung, dass man (nicht unbedingt Du) es so sehen kann, dass Apple mit QT Windows XP weiterentwickelt, richtig?

Zitat
Eine Systemweiterentwicklung von OS X ist jegliche Code-Änderung eines integralen Systembestandteiles von OS X durch Apple, die Apple ausliefert.

Immer noch keine vollständige Definition. Aber so langsam wird es ja. :)
Gehe ich bei Deiner obigen Definition recht in der Annahme, dass ausschließlich Code-Änderungen durch Apple, die von Apple ausgeliefert werden, eine Systemweiterentwicklung von OS X sind?
Wenn ja, dann wäre die Aussage korrekt formuliert:
Eine Systemweiterentwicklung von OS X ist nur jegliche Code-Änderung eines  integralen Systembestandteiles von OS X durch Apple, die Apple ausliefert.

Bliebe die weitergehende Definition des Begriffes "integraler Systembestandteil". Damit hast Du ja schon begonnen:
Zitat
Dazu gehört insbesondere jede originale API von OS X von Cocoa bis Quicktime.
Das kann aber noch nicht alles sein. Also bitte genauer definieren.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Juli 21, 2008, 09:35:48
Hui, hätte nicht gedacht, dass Dir das genaue Beschreiben Deiner Meinung so viel Schwierigkeiten bereitet und damit Zeit kostet...
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Juli 28, 2008, 20:58:28
Mehr und mehr Leute kritisieren, daß sich Apple noch nicht die überall diskutierten DNS-Verwundbarkeit per Update für Mac OS X Server eliminiert hat.
So zum Beispiel hier: http://db.tidbits.com/article/9706

Eine größere Katastrophe wie dieses Problem kann man sich für Internet ja kaum noch vorstellen. Nun sollte man wirklich nicht mehr lange zögern, und am besten ausnahmsweise auch 10.2 und 10.3 beglücken.
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Juli 30, 2008, 23:19:53
Wer's braucht, der weiß, daß er's braucht, alle anderen brauchen nicht klicken:
Secure Your DNS Since Apple Hasn't (http://db.tidbits.com/article/9714), dort am Ende verlinkt: http://chuqui.typepad.com/chuqui_30/2008/07/secure-your-dns.html (um auf Nummer Sicher zu gehen, wenn endlich das Update von Apple kommt.)
Titel: Re: Apple und die Sicherheit
Beitrag von: Chucky am August 01, 2008, 08:47:39
Apple hat Leopard und Tiger weiterentwickelt (http://support.apple.com/kb/HT2647)!
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am August 01, 2008, 08:57:04
Apple hat Leopard und Tiger weiterentwickelt (http://support.apple.com/kb/HT2647)!

Das glaube ich nicht. :)
Wenn ich MacMark richtig verstanden habe (seine Antwort mit der Erklärung seiner Definition steht ja noch aus), dann ist der BIND, der ja von dem DNS-Sicherheitsproblem betroffen ist, kein Systembestandteil. Er ist einfach nur ein mitgelieferter Nameserver, so wie der Apache nur ein mitgelieferter Webserver ist, und hat nix mit dem System zu tun.  :P
"BIND ist kein Framework von OS X. BIND ist kein API von OS X. BIND ist nur ein Anwendungsprogramm, dass man unter OS X Server per GUI starten kann, unter OS X nicht Server sogar nur per Terminal."
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am August 11, 2008, 10:41:30
@MacMark:
Was denn nun?
Warum fällt es Dir so schwer genau zu beschreiben, was eine Systemweiterentwicklung und was ein integraler Systembestandteil ist?
Ich möchte doch einfach nur lernen und verstehen, damit ich in Zukunft nicht wieder Systemweiterentwicklung und Anwendungsweiterentwicklung verwechsele.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Dezember 14, 2008, 18:58:31
Etwas kryptische Meldung zu OS X, aber vielleicht leider doch relevant:
http://www.heise.de/newsticker/Sicherheitsexperte-bemaengelt-Passwortsicherheit-in-Webbrowsern--/meldung/120399
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am Dezember 14, 2008, 19:05:03
Hmm, wieso überrascht mich das nicht? Ich habe mich schon immer gewundert, wie man seine Passworte einem Browser anvertrauen kann.
Titel: Re: Apple und die Sicherheit
Beitrag von: Jochen am Dezember 14, 2008, 19:35:49
Verstehe da was nicht
Wo ist denn in Safari die Passwortverwaltung ?
Oder ist damit bei Einstellungen > Automatisch ausfüllen > Benutzernamen und Kennwörter gemeint ?

Jochen
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Dezember 14, 2008, 19:56:37
Ja, das ist damit gemeint.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 12, 2009, 19:52:34
Schwere Sicherheitslücke in Safari:
http://www.fscklog.com/2009/01/schwere-sicherheitslücke-in-safari---feedreader-einstellungen-ändern.html (http://www.fscklog.com/2009/01/schwere-sicherheitslücke-in-safari---feedreader-einstellungen-ändern.html)

Update:
http://www.fscklog.com/2009/01/safari-sicherheitslücke-weitere-gegenmaßnahmen-nötig.html (http://www.fscklog.com/2009/01/safari-sicherheitslücke-weitere-gegenmaßnahmen-nötig.html)
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Januar 14, 2009, 19:16:07
Wieso lässt Apple dazu eigentlich nichts verlautbaren? Ein Workaround wäre ja wohl das Mindeste, wenn man schon nicht gleich einen Patch anbieten kann.
Titel: Re: Apple und die Sicherheit
Beitrag von: crunchyrocks am Januar 28, 2009, 10:07:03
Als ich bemerkte, daß die Mac-User Zahlen steigen, kam die nächste Super-Sicherheits Fachmann Plattheit  Dann wird es demnächst die ersten großen und erfolgreichen Angriffe geben.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Februar 13, 2009, 14:15:06
In der SoftwareAktualisierung findet sich ein Sicherheitsupdate (http://www.heise.de/newsticker/Apple-schliesst-kritische-Sicherheitsluecke-in-Safari-Update--/meldung/132487), daß u. a. die oben (http://www.apfelinsel.de/forum/index.php/topic,2878.msg47612.html#msg47612) vermeldete Lücke ausbügelt. Man kann also Safari wieder unbesorgt als (Standard-)RSS-Newsfeed-Programm verwenden.
Titel: Re: Apple und die Sicherheit
Beitrag von: mbs am Februar 13, 2009, 14:25:57
Wie jetzt bekannt wurde, ist Apple bereits am 11.07.2008 über diese Sicherheitslücke informiert worden:
http://brian.mastenbrook.net/display/28 (http://brian.mastenbrook.net/display/28)

Sie haben also ein halbes Jahr gebraucht, um die Lücke zu schließen und haben das Update erst veröffentlicht, als der Entdecker weiteren Druck gemacht hat.
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Februar 14, 2009, 16:39:28
Ich denke, die Sicherheit im Internet ist Aufgabe Nummer Eins eines jeden Herstellers. Schade, wenn man das in Cupertino anders sähe.
Hat Apple zu wenige Leute in der Abteilung oder reagiert man generell nicht auf Eingaben von Dritten? Eine Mischung aus beiden?
Mir eigentlich egal, aber da muss sich was ändern.
Titel: Re: Apple und die Sicherheit
Beitrag von: apfelbus am März 07, 2009, 19:34:25
Apple schneidet schlecht ab bei der Behebung von Sicherheitslücken: http://www.nzz.ch/nachrichten/medien/mehr_luecken_als_ein_windows-pc_1.702487.html

Alles Stimmungsmache. Bei solchen Vergleichen schneidet Apple immer schlecht ab, aber in der Praxis gibt´s keine Probleme. Welches BS wirklich mit Sicherheitsproblemen zu kämpfen hat, wissen wir alle. Interessant ist auch, was MacMark dazu sagt:

http://www.macmark.de/osx_security.php?PHPSESSID=cf5e264e33540083745f762f637f37dd
Titel: Re: Apple und die Sicherheit
Beitrag von: Jochen am März 07, 2009, 19:55:43
Hallo Apfelbus

Eine schöne Zeit hier  ;D

Jochen
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am März 07, 2009, 20:02:19
Interessant ist auch, was MacMark dazu sagt:

http://www.macmark.de/osx_security.php?PHPSESSID=cf5e264e33540083745f762f637f37dd

Ich glaube, diesen Link hatten wir schon auf Seite 2 dieses Threads.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am März 23, 2009, 19:34:40
"Das Schreiben von Exploits auf dem Mac macht Spaß. Auf Windows ist es harte Arbeit.":
http://www.heise.de/newsticker/Pwn2own-Fazit-Mac-hacken-macht-Spass-Windows-ist-harte-Arbeit--/meldung/135005
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am März 28, 2009, 10:31:11
Auch ganz interessant im Zusammenhang mit dem Pwn2own-Wettbewerb: ein Interview mit Charlie Miller (http://www.tomshardware.com/reviews/pwn2own-mac-hack,2254.html).

Zitat
Between Mac and PC, I'd say that Macs are less secure for the reasons we've discussed here (lack of anti-exploitation technologies) but are more safe because there simply isn't much malware out there. For now, I'd still recommend Macs for typical users as the odds of something targeting them are so low that they might go years without seeing any malware, even though if an attacker cared to target them it would be easier for them.

Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am April 18, 2009, 15:51:24
Kommen die Einschläge näher?
http://www.spiegel.de/netzwelt/tech/0,1518,619510,00.html
http://www.heise.de/security/Root-Exploit-fuer-Mac-OS-X--/news/meldung/136223
Titel: Re: Apple und die Sicherheit
Beitrag von: Jochen am April 18, 2009, 15:59:35
http://www.heise.de/security/Root-Exploit-fuer-Mac-OS-X--/news/meldung/136223


Aus heise:

..Einer der Exploits ermöglichte es in einem kurzen Test der heise-Security-Redaktion, als normaler Anwender unter Mac OS X 10.5.6 an Root-Rechte zu gelangen. Ursache ist ein Fehler beim Mounten manipulierter HFS-Diskimages. Der Exploit besteht aus einem Shellskript und einem C-Quelltext. Letzterer erzeugt das Diskimage, das beim Mounten den Fehler provoziert, durch den das Ausführen von Code als Root möglich wird...

Puh, das hört sich ja kompliziert an. Zum Glück habe ich Adminrechte und brauche das nicht.
Kann man nicht, wenn man den Mac von der CD startet, auch danach auf die internen Files der HD zugreifen ?

Jochen
Titel: Re: Apple und die Sicherheit
Beitrag von: Thyrfing am April 18, 2009, 16:29:17
Das hast du falsch verstanden. Der Exploit hat nichts  mit deinen Rechten zu tun.
Titel: Re: Apple und die Sicherheit
Beitrag von: Jochen am April 18, 2009, 16:45:56
Das hast du falsch verstanden. Der Exploit hat nichts  mit deinen Rechten zu tun.

Das war auch ironisch gemeint  ;D

... als normaler Anwender....durch den das Ausführen von Code als Root möglich wird...

Jochen
Titel: Re: Apple und die Sicherheit
Beitrag von: mbs am April 19, 2009, 10:02:11
Zitat
Kann man nicht, wenn man den Mac von der CD startet, auch danach auf die internen Files der HD zugreifen ?

Das Starten von CD ist nicht möglich, wenn der Mac korrekt gesichert ist, d.h. die Funktion "Firmware-Kennwortschutz" ist eingeschaltet.

Das könnte man natürlich auch durchbrechen, indem man das Gehäuse öffnet. Das wiederum kann man ausschließen, indem man den Kensington-Lock-Anschluss verwendet und das Gehäuse mit einem Schloss sichert.
Titel: Re: Apple und die Sicherheit
Beitrag von: Jochen am April 19, 2009, 11:50:21
Das Starten von CD ist nicht möglich, wenn der Mac korrekt gesichert ist, d.h. die Funktion "Firmware-Kennwortschutz" ist eingeschaltet.

Finde ich das unter Systemeinstellungen ? Da sehe ich allerdings nichts ? Oder heisst das nur anders ? Oder ist es das Administratorkennwort ?

Jochen
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am April 19, 2009, 12:36:08
Nein, es ist nicht Dein User-Passwort.
Siehe: http://www.apfelinsel.de/forum/index.php/topic,3265.msg45745.html#msg45745
Titel: Re: Apple und die Sicherheit
Beitrag von: Thyrfing am April 28, 2009, 07:12:53
Tips, wie der Wahrheitsgehalt von Meldungen über vermeintliche Sicherheitslücken geprüft werden kann, findet man bei TidBits (http://db.tidbits.com/article/10218).
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am April 28, 2009, 23:51:50
15 Tipps zur Absicherung eines Mac:
http://www.macworld.com/article/140268/2009/04/macsecurityfixes.html
Titel: Re: Apple und die Sicherheit
Beitrag von: FOX am April 29, 2009, 11:38:08
Das ist eine recht gute Zusammenfassung. Danke für den Link
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am April 29, 2009, 12:05:40
Naja. Ganz zufrieden bin ich damit nicht.
Gut, zu Antivirensoftware wird es immer zwei Meinungen geben, ClamXAV zu erwähnen, und dann zu behaupten für ein Überwachung im Hintergrund müsse man aber bezahlen… ClamXAV kommt doch auch mit dem Sentry!
Das man das Firmware-Passwort auf keinen Fall umgehen kann, stimmt so auch nicht.

Zudem fehlen mir bei diesen Anleitungen immer die grundlegenden Dinge, auch wenn es alle schon wissen müsste:
a) Lade und starte nichts ungeprüft aus dubiosen Quellen!
b) Öffne keine unverlangt geschickten Anhänge!
c) Lege das interne Netz hinter einen NAT-Router!
d) Hände weg, wenn man keine Ahnung hat!
e) Mac nicht unbeaufsichtigt laufen lassen!
etc.pp.


Titel: Re: Apple und die Sicherheit
Beitrag von: fränk am April 29, 2009, 12:53:21
Ich nutze meine Rechner nun schon seit Jahren, sowohl beruflich, wie auch privat, nur mit den Mindestsicherheitsvorkehrungen, zu denen ich gezwungen werde.

Ich habe ein Passwort für alles, meine Rechner laufen Tag und Nacht unbeaufsichtigt..........

ich behaupte einmal, selbst wenn jetzt der Sicherheitspannen-Gau bei mir eintreten würde, hätte ich trotzdem, in der Summe gewonnen.
Es wäre sicherlich nervend und auch teuer und ich würde mir dann wünschen es anders gemacht zu haben, trotzdem glaube ich bisher mehr an Zeit und Geld gespart zu haben, als es mich dann kostet.


Der Tipp eines Unbelehrbaren daher: .......na gut. lassen wir's. ;)

Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am April 29, 2009, 19:33:38
Na gut, mein Heim-Mac läuft ja auch fast durch. Aber im Geschäft oder unterwegs mit dem Macbook - eben wo realistisch Jemand zugreifen kann: Ausschalten oder Passwortabfrage nach dem Aufwachen aktivieren (…).
Ist halt auch immer die Frage, was man so auf der Kiste hat. Ich kenne z.B. einen Spezialisten, der fortwährend alle möglichen Kundendaten durch die Gegend trägt, obwohl er mindestens schon einmal um seinen Laptop erleichtert wurde. Natürlich ist nichts verschlüsselt.
Da frage ich mich immer, ob man früher den unverschlossenen Aktenschrank auch mit ins Café genommen hätte!
Titel: Re: Apple und die Sicherheit
Beitrag von: fränk am April 29, 2009, 20:08:32
Da frage ich mich immer, ob man früher den unverschlossenen Aktenschrank auch mit ins Café genommen hätte!

Selbstverständlich!
Wenn es möglich gewesen wäre, keine Frage.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Mai 13, 2009, 22:37:11
Ivan Krstic, ehemals director of security architecture at One Laptop per Child (OLPC) wechselt zu Apple:
http://blogs.zdnet.com/security/?p=3358
Titel: Re: Apple und die Sicherheit
Beitrag von: Thyrfing am Mai 20, 2009, 23:21:03
JAVA Exploit für OSX veröffentlicht: Heise.de (http://www.heise.de/newsticker/Exploit-fuer-ungepatchte-Luecke-in-Mac-OS-X-Update--/meldung/138217)
Titel: Re: Apple und die Sicherheit
Beitrag von: Thyrfing am Juli 02, 2009, 20:26:20
Na, jetzt legen sie einen Zahn zu, oder haben das Fix bereits in der Schublade gehabt - oder bei Steve in der Aktentasche...

24h für die Schließung einer Lücke in der iDisk (http://www.heise.de/newsticker/Apple-dichtet-iDisk-ab--/meldung/141458).
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am August 05, 2009, 19:04:09
Der Keylogger, der eine OS X Neuinstallation überlebt:
http://www.blackhat.com/presentations/bh-usa-09/CHEN/BHUSA09-Chen-RevAppleFirm-SLIDES.pdf
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am August 05, 2009, 19:40:13
Tolle Arbeit. Danke für den Link.
Titel: Re: Apple und die Sicherheit
Beitrag von: Thyrfing am August 09, 2009, 11:08:31
Man in the middle Angriff bei Cookie-Authentifizierung bei allen gängigen Browsern möglich (Mozilla hat bereits im Juni nachgebessert...) - via Heise (http://www.heise.de/newsticker/Luecke-betrifft-alle-gaengigen-Browser--/meldung/143240)
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am September 03, 2009, 13:12:26
Snow Leopard überschreibt ungefragt womöglich schon aktualisierte Flash-Versionen mit einer älteren Version. das ist potentiell gefährlich, da Adobe ja mit jedem Update auch Sicherheitslöcher stopft. Apples Version ist inoffiziell, welche Löcher da drin sind, wei0 man nicht. Da sehr viele User Flash nicht so oft updaten, ist es zum beliebten Einfallstor geworden.
http://www.heise.de/newsticker/Snow-Leopard-mit-veraltetem-Flash--/meldung/144709
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am September 15, 2009, 23:02:00
The iPhone has been falsely reporting to Exchange servers since July 2008 that it supports on-device encryption:
http://www.macworld.com/article/142814/2009/09/iphone_exchange.html

Die Lösung die Apple vorschlägt: iPhone 3 GS kaufen, oder die Verschlüsselung ausschalten.
Titel: Re: Apple und die Sicherheit
Beitrag von: FOX am September 15, 2009, 23:24:04
Das hört sich aber gar nicht gut an, was da in dem Artikel steht. Bei sicherheitsrelevanten Dingen sollte man schon wissen, was so ein Gerät macht. Wenn das tatsächlich so ist, wie beschrieben, dann wird Apple noch mächtig Ärger bekommen.
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am September 16, 2009, 07:41:36
Dass Sicherheit bei Apple nicht das Thema mit der höchsten Priorität ist, ist ja nicht wirklich neu und verwundert mich daher nicht.  (Erstaunlich ist höchstens, dass vom iPhone wirklich jemand Sicherheit erwartet hat.)
Wirklich lustig an der Geschichte finde ich ja aber vor allem, dass Apple damit auch die tolle IT-Sicherheit der ach so professionellen auf Microsoft-Produkte setzenden Profis entlarvt. Ein windiges Gerätchen braucht nur mal so zu tun, als würde es eine bestimmte Verschlüsselung unterstützen und das dann nicht wirklich tun? Und, ta, taa, schon hat man Zugriff? Hallo, wo ist da die Sicherheit dieser IT-Lösung?
Titel: Re:Apple und die Sicherheit
Beitrag von: radneuerfinder am November 16, 2009, 17:47:18
Es wird keine weiteren (Sicherheits-)Updates für OS X 10.4 Tiger mehr geben meldet, ohne Quellenangabe:
http://www.macnotes.de/2009/11/16/apple-support-fur-mac-os-x-104-tiger-wird-eingestellt/

Ohne daß es Apple, nach meiner Kenntnis, irgendwo offiziell bekannt gegeben hätte, wird aber traditionell immer nur die aktuelle BetreibsystemVersion mit Funktions- und FehlerUpdates versorgt. Die vorletzte Version bekommt noch SicherheitsUpdates.

Tiger erschien am 29.04.2005 und wurde am 26.10.2007 von Leopard abgelöst.
Titel: Re:Apple und die Sicherheit
Beitrag von: Florian am November 16, 2009, 18:17:27
In der Tat verhält es sich so, und es ist doch auch schon amtlich, gab es nicht schon Security-Fixes in den bisherigen Updates? Die wurden ja auch nicht für Tiger bereitgestellt.
Wäre natürlich schön gewesen, Apple würde mal eine Ausnahme machen, ist Snow Leopard doch eher kein vollständig neues Update und wird v.a. auch nicht so vermarktet. Aber das wäre wohl zu viel der Großzügigkeit gewesen…
Titel: Re:Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 12, 2010, 11:07:23
http://www.heise.de/newsticker/meldung/Schwachstelle-in-Mac-OS-X-seit-Monaten-ungepatcht-902197.html
Titel: Re:Apple und die Sicherheit
Beitrag von: FOX am Januar 12, 2010, 11:20:09
Habe es gelesen, verstehe aber nur Bahnhof..
Klingt aber wieder mal nicht gut. Apple lässt so etwas immer etwas schleifen, scheint mir.
Titel: Re:Apple und die Sicherheit
Beitrag von: MacFlieger am Januar 13, 2010, 10:32:23
Ja, das Thema Sicherheit ist schon etwas vernachlässigtes, finde ich. So etwas kann mal ganz schnell zu richtig grossem Ärger werden.

Gerade solche Sachen, wie in diesem Beispiel, für das es ja anscheinend schon einen Fix gibt, und die auch von der Ferne ausgenutzt werden können, sollten doch so schnell wie möglich integriert werden.
Titel: Re:Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 13, 2010, 17:01:13
Auch ein schöner Bug:
http://www.macbug.de/2010/01/12/apple-mail-fehler-im-assistent-fuhrt-zu-sicherheitsproblem/
Titel: Re:Apple und die Sicherheit
Beitrag von: radneuerfinder am Februar 14, 2010, 17:50:19
Ungereimtheiten im Gast Account:
http://macfidelity.de/2009/12/13/mac-der-gast-account-in-snow-leopard/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am März 07, 2010, 16:19:40
75 SicherheitsUpdates gegen 300 Sicherheitslücken hätten durchschnittliche WindowsNutzer 2009 einspielen sollen. Neben den automatischen Aktualisierungen von MS noch über im Schnitt 21 andere UpdateMechanismen:
http://www.golem.de/1003/73661.html

Ich finde Apple sollte eine zentrale SoftwareAktualisierung für Dritthersteller anbieten, bzw. sehr nahe legen, bzw. vorschreiben.

Eine vorläufige Alternative könnte sein:
http://metaquark.de/appfresh/
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am März 08, 2010, 10:17:37
Ich finde Apple sollte eine zentrale SoftwareAktualisierung für Dritthersteller anbieten, bzw. sehr nahe legen, bzw. vorschreiben.

Das finde ich prinzipiell für eine gute Idee. Nur fürchte ich, dass da dann auch der Kontrollwahn wie im AppStore zuschlagen würde.  :(
Titel: Re:Apple und die Sicherheit
Beitrag von: radneuerfinder am März 18, 2010, 14:28:16
Mac OS X "safer, but less secure":
http://www.heise.de/security/meldung/Mac-OS-X-geringeres-Risiko-aber-letztlich-unsicherer-957594.html
Titel: Re:Apple und die Sicherheit
Beitrag von: radneuerfinder am März 25, 2010, 08:31:51
http://www.iphone-ticker.de/2010/03/25/hacker-wettbewerb-iphone-ubersteht-pwn2own-nicht-unbeschadet/  ... und Macs auch nicht.
Titel: Re:Apple und die Sicherheit
Beitrag von: MacFlieger am März 25, 2010, 10:36:07
Und wenn man sich die komplette Nachricht anschaut, dann hat es alle großen Browser unter OS X und Win erwischt (IE8, Firefox, Safari).

Die meiner Meinugn nach korrekte Schlussfolgerung daraus ist: Kein Produkt ist perfekt und ist absolut sicher (was ein Wunder ::) ) und die Hersteller sollten gemeldete Lücken möglichst schnell schliessen. Das ist das einzig sinnvolle: Eine schnelle saubere Reaktion der Hersteller und gut ist.

Panikmache und Sensationshascherei ala "In 20s geknackt" sind Humbug. Alle Teilnehmer haben die Hacks vorher wochenlang vorbereitet und wo wie viel Arbeit drin steckt, geben die nicht bekannt. Auch kann man daraus nicht schliessen, dass ein Browser sicherer/unsicherer als ein anderer ist, denn teilweise haben sich die Hacker mit voller Absicht auf einen Browser konzentriert und es ist nicht klar, ob z.B. Chrome, an dem sich keiner gekümmert hat, einfacher oder schwerer zu hacken gewesen wäre.

Es zeigt nur: Die Hersteller dürfen sich nicht ausruhen, sondern müssen gerade bei der Sicherheit immer am Ball bleiben.
Titel: Security Update 2010-003 (war RE: Apple und die Sicherheit)
Beitrag von: Florian am April 16, 2010, 00:52:32
Das von Charlie Miller entdeckte Loch, mit dem er den oben erwähnten Wettbewerb gewann, ist gestopft. Und nur dieses, mit dem Security Update 2010-003:
http://support.apple.com/kb/HT4131
Titel: Re:Security Update 2010-003 (war RE: Apple und die Sicherheit)
Beitrag von: Thyrfing am April 16, 2010, 05:51:17
Und nur dieses, mit dem Security Update 2010-003:

Wie? Gibt es etwa mehr Löcher in einem Apfelsystem?  8)  :-X
Titel: Re:Apple und die Sicherheit
Beitrag von: Florian am April 16, 2010, 13:10:08
:D. Was ich meinte: Meistens werden mit den Updates ja mehrere Löcher gestopft. Hier aber hat Apple schnell reagiert, vielleicht weil die Lücke eine gewisse Prominenz hatte? Auch wenn sie nicht bekannt gemacht wurde, ist es doch wichtig zu zeigen, dass man schnell stopfen kann und will.
Titel: Re:Apple und die Sicherheit
Beitrag von: Thyrfing am Mai 08, 2010, 12:38:24
Zero-Day Exploit für Safari unter Windows - Vorsicht bei PopUp Fenstern! (http://www.heise.de/newsticker/meldung/Zero-Day-Exploit-fuer-Safari-996193.html)

via Heise
Titel: Re:Apple und die Sicherheit
Beitrag von: radneuerfinder am Mai 31, 2010, 20:53:17
http://www.heise.de/security/meldung/iPhone-Leck-weitet-sich-aus-1012473.html
Titel: Re:Apple und die Sicherheit
Beitrag von: radneuerfinder am Juni 18, 2010, 19:16:19
Der in OS X eingebaute Malwareschutz erkennt seit 10.6.4 auch Schädling Nr. 3:
http://www.appleinsider.com/articles/10/06/18/apple_quietly_includes_malware_prevention_update_in_mac_os_x_10_6_4.html
Titel: Re:Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 13, 2010, 06:22:32

   (http://www.heise.de/imgs/18/5/4/1/6/7/7/secunia-49e4fd6b51bf62b3.png)
http://www.heise.de/security/meldung/Anwendungen-sind-groesstes-Risiko-fuer-Windows-PCs-1036568.html
Titel: Re:Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 21, 2010, 23:55:26
Obacht, automatisches Ausfüllen in Safari besser deaktivieren:
http://www.heise.de/security/meldung/Autocomplete-Browser-verraten-vertrauliche-Daten-1043008.html

Das sollte aber doch für Felder mit vorgeschaltem Schlüsselbundkenwort nicht gelten ???
Titel: Re:Apple und die Sicherheit
Beitrag von: Thyrfing am Juli 22, 2010, 05:40:25
Da wäre ich mir nicht sicher, denn immerhin sind die Daten ja mit der Anmeldung an das System "frei geschaltet".
Ich habe aus Sicherheitsgründen in allen Browsern alles abgeschaltet, was in irgendeiner Weise mit der Speicherung von Formulardaten und Passwörtern zu tun hat.
Für Passwörter nutze ich 1Password und hoffe, diese Lösung ist sicherer... zusätzlich nutze ich NoScript mit FireFox, sodass üblicherweise Scripte nicht ohne meine ausdrückliche Erlaubnis ausgeführt werden.

Hinzu kommen noch TACO mit Abine und Better Privacy. Natürlich unterliegen die Einstellungen für einzelne Seiten meistens meiner subjektiven Einschätzung, aber ich denke, indem ich alles erstmal nicht erlaube, schaue ich wenigstens hin und kontrolliere was ich zulasse. Nicht 100%, aber das Gefühl dabei ist besser...  8)
Titel: Re:Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 25, 2010, 15:40:47
Appleinsider nimmt obige (http://www.apfelinsel.de/forum/index.php/topic,2878.msg60456.html#msg60456) Statistik von Secunia ein wenig auseinander:
http://www.appleinsider.com/articles/10/07/22/secunia_issues_contradictory_vulnerability_report_assailing_apple.html
Titel: Re:Apple und die Sicherheit
Beitrag von: radneuerfinder am August 06, 2010, 16:49:46
iOS 4 Schlüsselbund geknackt:
http://www.apfelinsel.de/forum/index.php/topic,4343
Titel: Re:Apple und die Sicherheit
Beitrag von: radneuerfinder am August 31, 2010, 13:48:35

   (http://www.heise.de/imgs/18/5/6/2/8/1/0/patchers.jpg-63f99f314e310b89.jpeg)
http://www.heise.de/newsticker/meldung/Ungepatchte-Sicherheitsluecken-IBM-rudert-zurueck-1069369.html
Titel: Re:Apple und die Sicherheit
Beitrag von: butcheroni am August 31, 2010, 16:35:47
Hmmm... welche Sicherheits-Apps sollte man denn nun Eurer Meinung nach installieren?

Also ich habe meinen iMac per LAN-Kabel direkt am "T-Home Speedport W 721V"-Router dran und über WLAN ein iPad, ein Macbook und ein iPhone fast ständig laufen.
Titel: Re:Apple und die Sicherheit
Beitrag von: Florian am August 31, 2010, 17:16:37
Bei Paranoia gegenüber Viren oder aus Freundlichkeit zu Windowskontakten (damit man nicht versehentlich verseuchte Emails verteilt): http://www.clamxav.com/ (kostenlos)
Bei Paranoia gegenüber „Heimfunkern“, also Überwachung von Programmen, die nach Hause telefonieren: http://www.obdev.at/products/littlesnitch/index.html (30 €)

Nicht paranoid und Vertrauen in den Virenfilter der Mailprovider? Dann kann man m.E. auch warten bis mal eine wirklich schlimmer Virus gemeldet wird. Laut AntiViren-Herstellern ist das ja seit vielen Jahren täglich zu erwarten.
Titel: Re:Apple und die Sicherheit
Beitrag von: radneuerfinder am August 31, 2010, 22:54:21
Vielleicht mal die Einstellungen der Firewall im Speedport überprüfen. Hintergrundinfos über Firewalls:
http://www.apfelinsel.de/forum/index.php/topic,672.0.html

Sicherheitslücken zeitnah stopfen:
   - im Speedport z.B. über automatische Updates
   - Apple Software, iPhone, iPad über automatische Software-Aktualiserung, iTunes
   - weitere Software über die jeweilige eingebaute Updatefunktion, bei Programmen
     wo das nicht so gut funktioniert könnte helfen:
     http://metaquark.de/blog/appfresh/
     oder
     http://gkaindl.com/software/app-update & http://gkaindl.com/software/widget-update

Diesen Faden komplett lesen. Manchmal sind verwertbare Tipps eingestreut ;)  z.B:
Zudem fehlen mir bei diesen Anleitungen immer die grundlegenden Dinge, auch wenn es alle schon wissen müsste:
a) Lade und starte nichts ungeprüft aus dubiosen Quellen!
b) Öffne keine unverlangt geschickten Anhänge!
c) Lege das interne Netz hinter einen NAT-Router!
d) Hände weg, wenn man keine Ahnung hat!
e) Mac nicht unbeaufsichtigt laufen lassen!
etc.pp.

http://www.macworld.com/article/145438/macsecurityreality.html

Einzelne, verdächtige Dateien kann man auch online prüfen lassen, z.B. hier:
http://www.virustotal.com/
Titel: Re:Apple und die Sicherheit
Beitrag von: MacFlieger am September 01, 2010, 15:11:53
  - Apple Software, iPhone, iPad über automatische Software-Aktualiserung, iTunes

Diese automatische Aktualisierung funktioniert nicht seit 10.5, wenn man, wie empfohlen und auch anzuraten, nicht als Admin eingeloggt ist.
Titel: Re:Apple und die Sicherheit
Beitrag von: radneuerfinder am Oktober 26, 2010, 20:39:24
iPhone-Sicherheitslücke - Codesperre von iOS 4.1 unsicher:
http://www.golem.de/1010/78900.html
Titel: Re:Apple und die Sicherheit
Beitrag von: Florian am Oktober 27, 2010, 00:47:52
Zu wievielten Male eigentlich? Ist es so schwierig ein Handy zu sperren? Unglaublich!  >:(
Titel: Re:Apple und die Sicherheit
Beitrag von: FOX am Oktober 27, 2010, 14:25:48
Hier also Video:

http://vimeo.com/16179929

"In response to people who were asking, I have an iPhone 4.1. It has a password. What I did to access the contacts is hit “emergency call.” Push the pound key three times. Hold down the green key, and the moment you let it go, you push the lock button. And that’s it. Now you can access all the contacts and call them. For example, Fabio. There you go. That’s it. Need to fix this quick."
Titel: Re:Apple und die Sicherheit
Beitrag von: radneuerfinder am Oktober 27, 2010, 21:48:52
http://www.macrumors.com/2010/10/27/new-java-based-malware-targets-mac-os-x-but-threat-level-disputed/
Titel: Re:Apple und die Sicherheit
Beitrag von: Thyrfing am Oktober 27, 2010, 22:18:12
http://www.macrumors.com/2010/10/27/new-java-based-malware-targets-mac-os-x-but-threat-level-disputed/

Ich habe Java immer aus. Hoffe das reicht auch...
Titel: Re:Apple und die Sicherheit
Beitrag von: radneuerfinder am Oktober 27, 2010, 23:17:34
Ich hab nix gemacht. Ich hoffe sehr das reicht ...
Titel: Re:Apple und die Sicherheit
Beitrag von: MacFlieger am Oktober 28, 2010, 09:13:37
Ich habe Java auch immer aus, ausser einmal im Momant, weil ELSTER unbedingt Java haben will. Ansonsten verlangsamt mir das Zeug einfach unnötigerweise den Browser.

Diese Malware nutzt aber keine Sicherheitslücke im Java oder so, sondern ist wieder ein dummer Trojaner, der den Nutzer austricksen will.

Verbreitet wird der über Facebook mit der Meldung "Bist Du das hier im Video?". Hinterlegt ist dann aber kein Video, sondern ein Java-Programm.
Wird das durch anklicken gestartet, kommt erst einmal eine Nachfrage von Java, weil das Zertifikat nicht gültig ist, ob das Programm wirklich Zugriff auf den Rechner haben darf. Da sollte man das erste mal stutzig werden, denn warum braucht ein Video, welches abgespielt werden soll Zugriff auf meinen Computer und dann noch mit falschen Zertifikat.
Nickt man das ab, fragt das Programm noch brav nach Admin-Kennwort, damit es sich installieren kann. Da sollte man das zweite mal stutzig werden.

Also wieder das gleiche wie immer. Es wird versucht, den Anwender dazu zu überreden, selber Malware zu installieren.
Titel: Re:Apple und die Sicherheit
Beitrag von: radneuerfinder am Dezember 15, 2010, 11:14:58
Der IPSEC-Stack von OpenBSD enthält möglicherweise mehrere Hintertüren, die im Auftrag der US-Regierung in die Software integriert wurden:
http://www.golem.de/1012/80129.html

Ist bsd nicht auch in os x drin?
Titel: Re:Apple und die Sicherheit
Beitrag von: MacFlieger am Dezember 15, 2010, 11:23:05
Ist bsd nicht auch in os x drin?

Ja.
Da steht "möglicherweise". Vor der Panik bitte im Hinterkopf behalten.
Wenn es Hintertürchen in IPSec gibt, dann kann es gut sein, dass die auch ihren Weg in IPSec unter OS X gefunden haben. Ohne Quelltext aber schwer überprüfbar. Erst einmal abwarten, was sich aus dem "möglicherweise" entwickelt.
Titel: Re:Apple und die Sicherheit
Beitrag von: warlord am Dezember 15, 2010, 11:52:47
Aus OpenBSD ist meines Wissens in Mac OS X nichts. Die darin enthaltenen BSD-Komponenten stammen soviel ich weiss aus FreeBSD und NetBSD.

Heisst natürlich nicht, dass es in Mac OS X keine Hintertüren hat...   
Titel: Re:Apple und die Sicherheit
Beitrag von: MacFlieger am Dezember 15, 2010, 13:19:59
Aus OpenBSD ist meines Wissens in Mac OS X nichts. Die darin enthaltenen BSD-Komponenten stammen soviel ich weiss aus FreeBSD und NetBSD.

Ja, aber AFAIK tauschen OpenBSD und FreeBSD eben auch Entwicklungen aus. So könnte ein vorhandenes Hintertürchen dann doch seinen Weg in OS X finden.
Titel: Re:Apple und die Sicherheit
Beitrag von: elafonisi am Dezember 21, 2010, 11:27:08
Ein Artikel von  Heise (http://www.heise.de/newsticker/meldung/Interview-Der-Mac-ist-angreifbar-1156784.html) bezüglich der Sicherheit von OS X.
Titel: Re:Apple und die Sicherheit
Beitrag von: radneuerfinder am Dezember 29, 2010, 14:54:13
Und einer von Bild:
http://www.bild.de/BILD/unterhaltung/leute/2010/12/29/gunter-sachs/wut-auf-apple-wegen-passwort-pannen.html
Titel: Re:Apple und die Sicherheit
Beitrag von: warlord am Dezember 29, 2010, 15:30:57
Ohje, der gehört aber eindeutig zur Kategorie Saure-Gurke-Zeit.  ::)
Titel: Re:Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 06, 2011, 18:19:30
In China werden angeblich Zugänge zu rund 50.000 gehackten iTunes-Konten verkauft:
http://www.macnews.de/news/68635/gehackte-itunes-konten-zum-verkauf/


Aber wie sind die da dran gekommen?
Titel: Re:Apple und die Sicherheit
Beitrag von: MacFlieger am Januar 07, 2011, 08:11:40
Aber wie sind die da dran gekommen?

Ich tippe mal auf KeyLogger oder schlechte Kennwörter.
Titel: Re:Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 21, 2011, 19:52:39
Der im Oktober bereits vermerkte (http://www.apfelinsel.de/forum/index.php/topic,2878.msg63069.html#msg63069) OS X Trojaner kommt jetzt über Facebook:
http://www.golem.de/1101/80903.html
Titel: Re:Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 24, 2011, 12:17:08
"Apple baut sein IT-Security-Team derzeit kontinuierlich aus":
www.heise.de/security/meldung/Neuer-Sicherheitsdirektor-bei-Apple-1175252.html
Titel: Re:Apple und die Sicherheit
Beitrag von: Florian am Januar 24, 2011, 18:14:59
Das ist ja mal eine gute Entwicklung.
Und mit einem Ex-NSA-Mann an der Spitze ist auch das Hintertürchen für die US-Behörden offiziell bestätigt, oder nicht? ;D
Titel: Re:Apple und die Sicherheit
Beitrag von: Florian am Januar 29, 2011, 15:28:21
c't 4/11: Security Paradox - Windows sicherer als Mac OS X (http://www.heise.de/ct/inhalt/2011/04/158/). Der Artikel ist noch nicht online, in Kürze dürfte er zu kaufen sein oder gar kostenlos? (Security-Themen sind oft gratis bei Heise.)
Zusammengefasst:
Schlimme Mängel: Ja, aber noch werden sie nicht ausgenutzt. Also wie seit Jahren. Hoffentlich ist Apple wirklich aufgewacht und kümmert sich nicht nur um iOS!
Titel: Re:Apple und die Sicherheit
Beitrag von: Florian am Februar 12, 2011, 17:34:06
Wie ich finde guter Artikel zum Thema auf TidBITS:
http://www.tidbits.com/article/11922
Titel: Re:Apple und die Sicherheit
Beitrag von: radneuerfinder am Februar 19, 2011, 10:41:53
Datenschutz a la iTunes:
http://andrewmcafee.org/2011/02/mcafee-apple-itunes-privacy-hole-violation/
Titel: Re:Apple und die Sicherheit
Beitrag von: Florian am Februar 19, 2011, 13:17:47
Interessant, und der erwähnte Weg, den Amazon geht, ist in der Tat besser für alle. Kurz gesagt: Schenkt man via iTunes, erfährt man, wenn der Empfänger den Artikel schon gekauft hat. Amazon via Kindle informiert nur den Beschenkten und sendet stattdessen einen Gutschein an ihn.
Da sollte Apple ruhig nachmachen.
Titel: Re:Apple und die Sicherheit
Beitrag von: radneuerfinder am Februar 22, 2011, 14:55:05
c't 4/11: Security Paradox - Windows sicherer als Mac OS X (http://www.heise.de/ct/inhalt/2011/04/158/).

Hier ein Interview dazu:
http://heise.de/-1194782
Titel: Re:Apple und die Sicherheit
Beitrag von: radneuerfinder am Februar 25, 2011, 17:39:39
Nichts genaues weiß man noch nicht, aber Sicherheisexperten gehen davon aus, daß Thunderbold (http://www.apfelinsel.de/forum/index.php/topic,4703.0.html) ähnliche Sicherheitslücken aufweist wie ExpressCard, SD/IO und Firewire (http://www.apfelinsel.de/forum/index.php/topic,2780.msg38389.html#msg38389):
http://www.heise.de/security/meldung/Sicherheitsbedenken-gegen-neue-I-O-Technik-Thunderbolt-1198049.html

Ist das denn für Klitschen wie Intel und Apple wirklich so schwer?
Titel: Re:Apple und die Sicherheit
Beitrag von: Florian am Februar 25, 2011, 20:25:12
Ist das denn für Klitschen wie Intel und Apple wirklich so schwer?

An Intel liegt es ja nicht, die Hardware kann sich schützen (auch vor FW-Exploits etc.). Nur muss das OS auch mitmachen.
Titel: Re:Apple und die Sicherheit
Beitrag von: MacFlieger am Februar 26, 2011, 09:38:41
An Intel liegt es ja nicht, die Hardware kann sich schützen (auch vor FW-Exploits etc.).

Ist das so? Ich habe da keinen wirklichen Einblick und staune nur, dass Geräte an diesen Schnittstellen direkten Zugriff aufs RAM haben. Ist das bei diesen Schnittstellen nicht ein gewolltes Feature?
Titel: Re:Apple und die Sicherheit
Beitrag von: radneuerfinder am Februar 26, 2011, 09:51:14
Apple bietet ausgesuchten Sicherheitsexperten den BetaLöwen gratis zum testen an:
http://news.cnet.com/8301-1009_3-20036218-83.html
http://www.heise.de/mac-and-i/meldung/Sicherheitsexperten-sollen-Lion-unter-die-Lupe-nehmen-1198878.html
Titel: Re:Apple und die Sicherheit
Beitrag von: mbs am Februar 26, 2011, 10:11:18
Zitat
Ist das so? Ich habe da keinen wirklichen Einblick und staune nur, dass Geräte an diesen Schnittstellen direkten Zugriff aufs RAM haben. Ist das bei diesen Schnittstellen nicht ein gewolltes Feature?

Das frage ich mich auch. Wenn man den PCI-Bus des Computers nach außen legt, ist es fast zwangsläufig, dass man Angriffs-Hardware bauen kann, die das missbraucht, besonders wenn man auch solche Features wie Target Disk Mode zulassen will.

Die einzig denkbare Abschottungsart, die da angesprochen wurde, funktioniert so, dass man auf den PCI-Bus quasi eine zweite MMU aufschaltet. Alle Speicherzugriffe von außen finden dann nicht mehr auf realem Speicher, sondern auf virtuellem Speicher statt. Das Betriebssystem könnte Deskriptoren mit Berechtigungen für die Speicherblöcke erstellen, so dass die Hardware eine Schutzverletzung auslösen kann, wenn ein Gerät versucht, auf Speicher zuzugreifen, der ihm nicht gehört.

Ich weiß nicht, ob eine solche Hardware-Architektur vorgesehen ist. Das OS muss mithelfen, aber ohne entsprechend ausgelegte Hardware geht das gar nicht.
Titel: Re:Apple und die Sicherheit
Beitrag von: Florian am Februar 26, 2011, 11:44:52
Das meinte ich. Natürlich gebe ich nur wieder, was ich selbst gelesen habe.
 Jedenfalls haben alle aktuellen Intel-Plattformen (soweit sie den Mac betreffen zumindest) Vt-d, ehemals Codename Vanderpool, wir erinnern uns. Das von mbs Beschriebene wird hier auch, unter anderem, angesprochen:
http://software.intel.com/en-us/articles/intel-virtualization-technology-for-directed-io-vt-d-enhancing-intel-platforms-for-efficient-virtualization-of-io-devices/

Titel: Re:Apple und die Sicherheit
Beitrag von: radneuerfinder am Februar 26, 2011, 12:15:55
Auf jeden Fall wird, wie obigem Link zu entnehmen ist, dieses Sicherheitsloch in Firewire bereits ausgenutzt:
"Die kürzlich von Anonymous kompromittierte Firma HBGary verkaufte unter anderem an US-Behörden ein Framework, mit dem man über den Firewire-Port Spionage-Software in ein unbewachtes, aber gesperrtes Notebook einschleusen kann."
Titel: Re:Apple und die Sicherheit
Beitrag von: mbs am Februar 26, 2011, 13:00:44
Jedenfalls haben alle aktuellen Intel-Plattformen (soweit sie den Mac betreffen zumindest) Vt-d, ehemals Codename Vanderpool

Nicht ganz. VT (Vanderpool) und VT-d sind zwei unterschiedliche Dinge. VT-d hat nichts mit dem Prozessor zu tun, sondern muss über den Mainboard-Chipsatz realisiert werden.

Der ursprüngliche Gedanke dahinter war aber in der Tat, dass man einer virtuellen Maschine (VT) scheinbar uneingeschränkten, aber trotzdem gesicherten Zugriff auf Teile der Hardware geben kann. Ähnliches könnte man dann sozusagen aus der anderen Busrichtung auch für externe Hardware verwenden.
Titel: Re:Apple und die Sicherheit
Beitrag von: Florian am Februar 26, 2011, 13:15:27
Auf jeden Fall wird, wie obigem Link zu entnehmen ist, dieses Sicherheitsloch in Firewire bereits ausgenutzt:
"Die kürzlich von Anonymous kompromittierte Firma HBGary verkaufte unter anderem an US-Behörden ein Framework, mit dem man über den Firewire-Port Spionage-Software in ein unbewachtes, aber gesperrtes Notebook einschleusen kann."

Das ist noch zu beweisen. Sicher ist nur, dass sie sich beworben haben. Habe ich ja schon verlinkt:
http://arstechnica.com/tech-policy/news/2011/02/black-ops-how-hbgary-wrote-backdoors-and-rootkits-for-the-government.ars/

Natürlich bleibt dabei im Dunkeln, was nicht mit unverschlüsselten Emails ausgetauscht wurde. Zudem ändert das alles ja nichts daran, dass FW und andere Anschlüsse, ein Sicherheitsrisiko sind. Auch USB wurde schon gehackt. Man kann wohl annehmen, dass die verschiedenen Dienste solche Ansteckspione haben.

In den meisten Fällen ist es aber wahrscheinlich immer noch einfacher, die Malware versteckt auf einen USB-Stick zu bringen, der dann vom Opfer selbst freiwillig eingesteckt wird, nachdem er in die Sicherheitszone eingetreten ist. Oder einen Laptop, der sich ins Netz einloggt. So geschehen (mit USB-Sticks) ja anscheinend bei Stuxnet.
Titel: Re:Apple und die Sicherheit
Beitrag von: Florian am März 01, 2011, 19:18:51
In Lion wertet Apple File Vault zur Full Disk Encryption auf.
Auch hat man angeblich Pre-Releases von Lion an besonders kritische Sicherheitsexperten versandt (auch via tidbits: http://www.tidbits.com/article/11993 - in den Kommentaren).

Nimmt man die weiter oben erwähnten Einstellungen hinzu, scheint sich Apple tatsächlich zu bewegen. Keine Sekunde zu früh.
Titel: Re:Apple und die Sicherheit
Beitrag von: radneuerfinder am März 04, 2011, 16:47:36
Aus eigener Erfahrung kann ich sagen, daß noch nichts an einem Apple Gerät meine Sicherheit für Leib und Leben so gefährdet hat wie das eintatschen des Gerätekennworts während einer Autofahrt. Trotzdem dieser Link:
http://www.mactechnews.de/news/index/iPhone-Kontakte-lassen-sich-dank-Sprachwahl-trotz-PIN-Sperre-anrufen-149303.html
Titel: Re:Apple und die Sicherheit
Beitrag von: radneuerfinder am März 04, 2011, 16:49:28
Vor der Hacking Schau Pwn2Own noch schnell 50 Sicherheitslöcher stopfen:
http://www.computerworld.com/s/article/9213018/Apple_to_patch_Safari_before_Pwn2Own_say_researchers
Titel: Re:Apple und die Sicherheit
Beitrag von: Florian am März 04, 2011, 18:16:56
Aus eigener Erfahrung kann ich sagen, daß noch nichts an einem Apple Gerät meine Sicherheit für Leib und Leben so gefährdet hat wie das eintatschen des Gerätekennworts während einer Autofahrt.

Darum ist es wahrscheinlich auch verboten. Falls Du das nicht wusstest.  :D

Vor der Hacking Schau Pwn2Own noch schnell 50 Sicherheitslöcher stopfen:
http://www.computerworld.com/s/article/9213018/Apple_to_patch_Safari_before_Pwn2Own_say_researchers

Naja! Würde Apple das Update zurückhalten, wenn es die Pwn2Own nicht gäbe? Vielleicht würden sie eine Woche länger testen, was ja so schlecht auch nicht ist.
Titel: Re:Apple und die Sicherheit
Beitrag von: radneuerfinder am März 06, 2011, 21:00:42
Aus eigener Erfahrung kann ich sagen, daß noch nichts an einem Apple Gerät meine Sicherheit für Leib und Leben so gefährdet hat wie das eintatschen des Gerätekennworts während einer Autofahrt.

Darum ist es wahrscheinlich auch verboten. Falls Du das nicht wusstest.  :D

Soweit ich mit der deutschen Rechtslage (http://www.verkehrsportal.de/stvo/stvo_23.php) vertraut bin, ist es für den Fahrer nur verboten ein Handy in die Hand zu nehmen. Ist es zum Beispiel in einer Halterung am Armaturenbrett befestigt, so dürfen Tasten gedrückt werden.

Nach meiner Erfahrung ist es auch - je nach Verkehr - praktikabel die Rufannahme-Taste, oder die Navi-sags-nochmal-Taste zu drücken. Die Eingabe eines Passworts auf einem Touchscreen bringt mich aber "ins schleudern", da ich keine Tasten erfühlen kann und deshalb Blick und Konzentration zu sehr und zu lange von der Straße wegwandern.

Fazit: die Sicherheitsfunktion CodeSperre möchte ich aus Sicherheitsgründen nicht anwenden.
Titel: Re:Apple und die Sicherheit
Beitrag von: Florian am März 07, 2011, 00:26:25
Soweit ich mit der deutschen Rechtslage (http://www.verkehrsportal.de/stvo/stvo_23.php) vertraut bin, ist es für den Fahrer nur verboten ein Handy in die Hand zu nehmen. Ist es zum Beispiel in einer Halterung am Armaturenbrett befestigt, so dürfen Tasten gedrückt werden.

Da hatte ich Dich missverstanden. Ja, an sich ist nur verboten das Handy in die Hand zu nehmen. Wohl aber dürfte das Eintatschen eines womöglich längeren Passwort bei laufender Fahrt mit Folge eines Unfalls als (grobe) Fahrlässigkeit eingestuft werden mit den entsprechenden Folgen.

Zitat
Nach meiner Erfahrung ist es auch - je nach Verkehr - praktikabel die Rufannahme-Taste, oder die Navi-sags-nochmal-Taste zu drücken. Die Eingabe eines Passworts auf einem Touchscreen bringt mich aber "ins schleudern", da ich keine Tasten erfühlen kann und deshalb Blick und Konzentration zu sehr und zu lange von der Straße wegwandern.

Eben so wird das dann sicher auch vor Gericht dargelegt. Wir sind uns einig: Es ist zu gefährlich.

Zitat
Fazit: die Sicherheitsfunktion CodeSperre möchte ich aus Sicherheitsgründen nicht anwenden.

Was spricht dagegen, vor dem Losfahren die Navi-Software zu programmieren, die Musikliste zu wählen, oder was auch immer? Oder halt dann entsprechend eine Haltemöglichkeit suchen und zu nutzen?
Titel: Re:Apple und die Sicherheit
Beitrag von: fränk am März 07, 2011, 07:00:57
Ich stelle bei mir keinen Unterschied fest, ob ich nun mit Gerät am Ohr telefoniere oder frei spreche.
Beides lenkt ab und sollte eigentlich verboten werden.


Das händische Wählen einer Nummer ist sicherlich noch einmal eine Steigerung, zumal bei den modernen Geräten auch einige Tasten mehr zu drücken sind, als bei meinen ersten Nokia-Briketts. Da konnte man die Tasten noch erfühlen.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am April 21, 2011, 19:14:58
Apple veröffentlicht Kryptografie-Add-on für Snow Leopard:
http://www.maclife.de/mac/software/fips-cryptographic-module-apple-veroeffentlicht-kryptografie-add-fuer-snow-leopard

Ist das nur für US Behörden interessant oder auch für kleine radneuerfinder?
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am April 21, 2011, 19:57:03
Nun ja, also was die MacLife da über FIPS 140-2 zusammenschreibt, ist IMO einigermassen Unsinn. Es ist kein "von den US-amerikanischen Behörden genutzter Standard zur Verschlüsselung", sondern beschreibt Zertifizierungsprozesse, die Verschlüsselungssoftware durchlaufen muss, damit sie von US Behörden eingesetzt werden darf.

Aber was dieses Modul nun genau mit Snow Leopard anstellt, entzieht sich meiner Kenntnis bis jetzt...
Titel: Re: Apple und die Sicherheit
Beitrag von: FOX am Mai 03, 2011, 15:48:39
Trojaner Baukasten für OSX?

In Untergrundforen wird seit kurzem ein Trojaner-Baukasten namens Weyland-Yutani zum Kauf angeboten, mit dem Kriminelle mit wenigen Mausklicks einen Schädling für Mac OS X erstellen können,...

Artikel bei Heise (http://www.heise.de/security/meldung/Trojaner-Baukasten-fuer-Mac-OS-X-kostet-1000-US-Dollar-1236402.html)
 
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Mai 03, 2011, 15:54:34
Auch hier braucht der Kriminelle die Mithilfe des Users, sprich er muss den Trojaner aktiv installieren.
Titel: Re: Apple und die Sicherheit
Beitrag von: mbs am Mai 06, 2011, 08:44:54
Zitat
Auch hier braucht der Kriminelle die Mithilfe des Users, sprich er muss den Trojaner aktiv installieren.

Naja, das ist ja genau die Definition des Wortes "Trojaner" (richtiger: "Trojanisches Pferd").

Ein Trojanisches Pferd ist eine Schadsoftware, die nur mit Mithilfe des Benutzers wirksam werden kann.
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Mai 06, 2011, 13:18:28
Da hast Du natürlich vollkommen recht. Die Trojaner zogen das Pferd freiwillig in die Stadt. Ganz schön blöd, würde man heute sagen.
 
 Ich wollte nur darauf hinweisen, dass es keine Installation durch irgendwelche offenen Hintertürchen ist, der User also durch Sorgfalt sie verhindern kann, ohne Antivirussoftware.

À propos Antivirushersteller und co., diese kleine Zeitreihe auf daringefireball.net finde ich doch recht unterhaltsam: Wolf! (http://daringfireball.net/2011/05/wolf)
Titel: Re: Apple und die Sicherheit
Beitrag von: Bonobo am Mai 06, 2011, 13:23:11
Irgendwann später werden wir vielleicht alle überlegen, ob nicht die Computer und die Smartphones an sich die Trojanischen Pferde sind, die wir allzu bereitwillig in unsere »Städte« gezogen haben …
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Mai 20, 2011, 07:28:11
Wie die Apple Support Hotline mit tatsächlich auftretender Malware umgeht:
http://www.macnews.de/software/malware-mac-defender-apple-support-hilft-nicht-beim-entfernen-174820
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Mai 20, 2011, 08:28:21
Oh, Mann. Warum machen die es sich so schwer (falls das stimmt). Kunden bei der Entfernung helfen geht vermutlich schneller, als mit denen zu diskutieren, warum sie nicht helfen. Und der Kunde wäre schnell zufrieden und glücklich.
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Mai 20, 2011, 13:56:00
Apple empfiehlt ja seit geraumer Zeit die Installation eines Antivirusprogramms. Die Mitarbeiter sollen keine Erwartungshaltung für Malware-Bekämpfung schüren, so habe ich es gelesen. Auch, dass vielen Kunden durchaus geholfen wurde, wenn „der Chef gerade wegschaut“.
Aber diese zwei Aspekte hat macnews bei der Übersetzung des Macrumors-Artikel halt vergessen.


Man kann natürlich trotzdem der Meinung sein, dass die Handlungsanweisung idiotisch oder gar skandalös ist.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Mai 24, 2011, 16:56:49
"Die Hardware-Verschlüsselung des mobilen Betriebssystems iOS wurde von dem russischen Unternehmen Elcomsoft geknackt. Nach Angaben der Sicherheitsexperten sei es gelungen, die mit der 256-bit-Technologie AES-256 kodierten Daten zu entschlüsseln":
http://www.macnews.de/iphone/ios-verschlusselung-geknackt-keine-chance-fur-aes-256-175503
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am Mai 24, 2011, 17:25:18
Was für ein idiotischer Titel?  ::)  Dass eine Implementierung einer symmetrischen Verschlüsselung, bei welcher der Schlüssel grösstenteils maschinell rekonstruiert werden kann, keine grosse Sicherheit bieten kann, ist nun (wohl ausser bei Mac Journalisten) wahrlich keine neue Erkenntnis. Mit AES-256 hat das rein gar nichts zu tun. Unsicher implementiert ist jeder Algorithmus unsicher.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Mai 25, 2011, 09:25:19
Ergänzung: Der Schlüssel wird aus bestimmten Hardware-IDs und dem Kennwort des iPhones gebildet. Da im Standardfall nur eine vierstellige Zahl als Kennwort verwendet wird, braucht man nur alle 10.000 Möglichkeiten durchprobieren. Das ist mit moderner Technik schon in unter einer Stunde machbar. Also ein Brute-force-Angriff auf ein 4-Zeichen-Kennwort. Das ist klar, dass das leicht knackbar ist.

Man kann allerdings das iPhone auch umkonfigurieren, dass es ein längeres Kennwort verwendet. Dann wird es wieder sicher.
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Mai 25, 2011, 12:48:33
Laut Elcomsoft muss das Passwort am Gerät selbst eingegeben werden. Das dauert dann natürlich, empfehlenswert wäre ein Roboterarm.

Ja, man sollte wirklich ein komplexeres Passwort benutzen!

Aber was ich mich frage: Man kann doch einstellen, dass das iPhone nach 10 gescheiterten Versuchen die Daten löscht. Das bedeutet konkret ja wohl, dass der/die Schlüssel sicher gelöscht wird. Ist das gegen Brute-Force-Attacken am Gerät selbst nicht ausreichend?

Interessant finde ich noch, dass man über den Rechner, an dem das iPhone das erste mal angeschlossen wurde, an ein bestimmtes Schlüsselpaar kommen kann, mit dem man ohne Passwort an die iPhone-Daten kommt.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Mai 26, 2011, 08:29:06
Laut Elcomsoft muss das Passwort am Gerät selbst eingegeben werden. Das dauert dann natürlich, empfehlenswert wäre ein Roboterarm.

Laut heise liest sich das anders:
Elcomsoft knackt iOS-Verschlüsselungssystem (http://www.heise.de/newsticker/meldung/Elcomsoft-knackt-iOS-Verschluesselungssystem-1250333.html)

Da machen die zunächst eine 1:1 Kopie des Speichers als Image auf einen Computer und dann können sie in aller Ruhe alle Schlüssel automatisiert durchprobieren.

Zitat
Aber was ich mich frage: Man kann doch einstellen, dass das iPhone nach 10 gescheiterten Versuchen die Daten löscht. Das bedeutet konkret ja wohl, dass der/die Schlüssel sicher gelöscht wird. Ist das gegen Brute-Force-Attacken am Gerät selbst nicht ausreichend?

Ja, am Gerät selber schon. Aber da findet der Angriff auch nicht statt. Wäre viel zu umständlich.
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Mai 26, 2011, 10:23:50
Im Elcomsoft-Artikel (http://blog.crackpassword.com/2011/05/elcomsoft-breaks-iphone-encryption-offers-forensic-access-to-file-system-dumps/) steht aber klipp und klar:
Zitat
Ten thousand combinations do not sound like much. On a PC, breaking a passcode of this length would only take a few moments. Unfortunately, passcodes can only be bruteforced on the device itself.

Aber ich bin ehrlich, ganz kapiere ich es nicht, was die da machen. Findet die Attacke „hinter“ dem Login-Screen statt oder nicht?
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Mai 26, 2011, 10:56:29
OK, stimmt.
Aber ich verstehe den Artikel trotzdem anders. :)
Das Bruteforce-Knacken muss zwar auf dem Gerät stattfinden (daher auch der Geschwindigkeitsunterschied bei den Modellen), aber von manueller Eingabe steht da nix. Und wenn nix manuell eingegeben werden muss, dann greift auch das Löschen nach dreimaliger falscher Eingabe nicht.
Titel: Re: Apple und die Sicherheit
Beitrag von: elafonisi am Mai 26, 2011, 11:52:29
Es gibt wohl eine neue Variante von macdefender via ZDNet (http://www.zdnet.de/news/wirtschaft_sicherheit_security_intego_warnt_vor_neuer_variante_der_mac_scareware__macdefender_story-39001024-41553507-1.htm)
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juni 01, 2011, 00:02:36
Es handelt sich um das versprochene Update gegen die bei uns schon ausgiebig diskutierte Malware Mac Defender.
http://support.apple.com/kb/HT4657

Dieses OS X Update bietet: Definition added/File Quarantine/Malware removal. Das klingt für meine Ohren so als ob Apple gewillt ist AntivirenSoftware als integralen Bestandteil von OS X mit auszuliefern. Zumindest sofern es sich tatsächlich um relevante Malware handelt. Nach meiner Rechnung ist MacDevender Schädling Nr. 3. Kommen nur noch etwas verspätet die Updates der Virendefinitionen.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juni 01, 2011, 08:04:32
Updates der VirenMalwareDefinitionen werden seit dem SicherheitsUpdate von OS X täglich auf den Apple Servern gesucht! Unabhängig davon was man in der SoftwareAktualisierung eingestellt hat:
http://www.fscklog.com/2011/05/sicherheitsupdate-2011-003-aktualisiert-malware-liste-in-1067-täglich.html (http://www.fscklog.com/2011/05/sicherheitsupdate-2011-003-aktualisiert-malware-liste-in-1067-täglich.html)


Update:
die Snow Leopard malware detection in der Apple Knowledge Base:
http://support.apple.com/kb/HT4651
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Juni 01, 2011, 19:14:24
Ein wichtiger Schritt, auch wenn man diskutieren kann, ob man die Leute wirklich zu ihrem Glück zwingen darf.
Wie wichtig zeigt sich schon heute. Eine neue Variante umgeht (http://www.zdnet.com/blog/bott/new-apple-antivirus-signatures-bypassed-within-hours-by-malware-authors-update/3396) das aktuelle Update.

Jetzt ist Apple also mittendrin im Hase/Igel-Spiel und wird selbst zum Antivirus-Hersteller.

Jetzt wäre wirklich der richtige Zeitpunkt, endlich die Funktion zum automatischen Öffnen von Downloads zu entfernen!
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juni 01, 2011, 20:11:45
Ein wichtiger Schritt, auch wenn man diskutieren kann, ob man die Leute wirklich zu ihrem Glück zwingen darf.

Da diskutier ich sofort mit! ;D  Der Hersteller hat für die Sicherheit seiner Produkte zu sorgen. Ohne viel wenn und aber!

Wenn die Maschine so konstruiert ist, daß täglich Öl nachgekippt werden muß, dann ist es nur recht und billig wenn der Hersteller sich professionell drum kümmert. Was sonst passiert, dazu läuft ja anderweitig bereits seit Jahren ein weltweiter Feldversuch. ;)
 
Microsoft würde mittlerweile am liebsten ein MalWareSchutzprogramm mit Windows zusammen ausliefern. Traun es sich aber nur als Option (http://blog.notebooksbilliger.de/microsoft-security-essentials-direkt-per-windows-update/). 
Titel: Re: Apple und die Sicherheit
Beitrag von: Quaestor am Juni 02, 2011, 02:32:18
Mit dieser Taktik wird dann Apple wohl auf Jahre beschäftigt sein ...
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Juni 02, 2011, 07:59:55
Da diskutier ich sofort mit! ;D  Der Hersteller hat für die Sicherheit seiner Produkte zu sorgen. Ohne viel wenn und aber!

Bei diesem Satz stimme ich Dir zu, allerdings nicht bei der zitierten Stelle.
Das "Sicherheitsupdate" verändert an der prinzipiellen Sicherheit des Systems nichts. Wie auch? Es wird bisher keine Sicherheitslücke im System für Malware ausgenutzt.
Das einzige, was sie unbedingt aktuell machen sollten, ist, die Option fürs automatische Starten von Downloads (ist sogar Voreinstellung!) zu entfernen. Ist meist das erste, was ich deaktiviere. Übrigens wird diese option manchmal bei einem Safari-Update wieder zurückgesetzt!

Ich finde es richtig, dass erkannte Sicherheitslücken von Apple so schnell wie möglich geschlossen werden sollten.
Auf ein Katz- und Mausspiel bezgl. Trojaner sollte sich Apple nicht einlassen. Es ist nicht notwendig und wird auch nie funktionieren. Das einzige erfolgreiche Mittel seitens Apple gegen Trojaner ist, Software-Installationen nur noch über den AppStore zuzulassen. Und das will wohl keiner, oder?
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juni 02, 2011, 20:46:39
Wie erwartet:
http://www.macrumors.com/2011/06/02/apple-responds-quickly-to-evolving-mac-defender-threat-with-updated-malware-definitions/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juni 03, 2011, 12:52:28
Dass die iOS Code Sperre (auch mit gutem Passwort) so schlecht schützt, ist mir neu:
http://mobil.macwelt.de/index.cfm?tab=1&article=377199
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 01, 2011, 14:02:28
Heise Security bestätigt das hier schon diskutierte:
http://www.heise.de/security/meldung/iPhone-Sperre-nahezu-nutzlos-1270786.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Juli 01, 2011, 14:27:36
Zitat
Schutz bietet zwar die Option, einen längeren Pass-Code zu verwenden, was die Knackzeit auf Monate oder sogar Jahre anwachsen lässt. Allerdings ist die Eingabe so unbequem, dass so gut wie niemand diese Möglichkeit nutzt.

Ich bin so gut wie niemand. Vielen Dank für das Lob, Onkel Heise, aber das wusste ich schon. ;D
Titel: Re: Apple und die Sicherheit
Beitrag von: Quaestor am Juli 02, 2011, 23:48:30
Einer von den übrig gebliebenen 10%? :)
Wenn ich mir anschaue wieviele Super-DAUs ein iPhone haben, so kann ich die Aussage von Heise nachvollziehen.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Juli 03, 2011, 07:05:59
Nun ja, Sicherheit ist immer auch eine Frage des Komforts.
Man hat sich hier mal wieder Apple rausgepickt, um das zu demonstrieren. Bringt halt mehr Klicks.

In dem vorliegenden Fall sehe ich keinen echten Fehler in der Implementierung, oder?
Wenn ein kurzes Kennwort benutzt wird, dann ist das immer per Bruteforce angreifbar. Egal welches Betriebssystem, egal welche Methode. Auch wer unter Linux einen TrueCrypt-Container mit einem Kennwort aus 4 Ziffern verwendet, ist leicht knackbar, sobald man Zugriff auf die Hardware hat.
Ein echter Fehler von Apple würde vorliegen, wenn man ohne Brute Force zum Ziel käme oder die benötigten Versuche erheblich reduzieren könnte.

Tja, und hier beisst sich eben Sicherheit mit Komfort. Die meisten werden gar keine Sperre eingestellt haben. Dann noch wenige die "Standard"-Sperre von 4 Ziffern und ganz wenige mehr.
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am Juli 03, 2011, 08:34:20
Ja, stimmt alles, Flieger. Bis auf den Punkt, dass man mit Apple einfach und quasi willkürlich eine Firma rauspicke, auf der man dann mit Vorwürfen rumhackt, die überall sonst auch auftreten.

Apple ist immerhin jene Firma, welche diese Brut von Smart-Phones quasi erfunden hat, auf der sich frei programmierbare Apps für jeden Bockmist installieren lassen und die damit die Leute dazu einladen, immer mehr sensible Daten auf ihren Phones mitzutragen bzw. zu bearbeiten. (Eine Diskussion über Banking-Apps war ja auch hier der Renner. Mir sträuben sich die Haare.) Und dabei den Leuten immer nur von schönen neuen Welten vorschwärmt, in denen immer nur die eine Seite der Sicherheit-Komfort-Balance vorkommt - der Komfort. Eine willkürliche Wahl ist Apple da sicher nicht.

Klar, eine Firma, welche Ihre Kunden in technologisches Neuland führen will, streicht logischerweise vor allem die Vorzüge dieses Neulandes hervor. Ab einem gewissen Punkt, wenn man Kunden geradezu zu fahrlässigem Handeln animiert, ohne dabei auf mögliche Gefahren hinzuweisen bzw. eben auch komfortablere Möglichkeiten(*) bietet, diese zu vermeiden, wird es aber durchaus zu einem Problem, das diskutiert und angeprangert gehört. Apple hat in diesen Fragen noch viel zu wenig Gegenwind. Der einzige Wind, den es gibt, sind technologisch nicht fundierte laue Lüftchen. Und die Apple Community reagiert beim Auftreten solcher Lüftchen nach wie vor reflexartig und verteidigt Apple, indem in erster Linie auf den Mängeln im argumentatorischen Fundament dieser Lüftchen rumgehackt wird. Anstatt dass man mithälfe, das Fundament zu verbessern und die Diskussion ernsthafter zu führen und das Lüftchen zum Wind werden zu lassen, den Apple schon länger nötig hätte.

(* Der Einbau technologischer Hilfsmittel zur Benutzeridentifikation (wie z.B. ein Fingerprint-Reader) wäre für Apple IMO ein Klacks. Aber eben, es gälte dann wohl gewisse ästhetische Abstriche zu machen.)
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 03, 2011, 08:42:06
In dem vorliegenden Fall sehe ich keinen echten Fehler in der Implementierung, oder?

Ok, es gibt kein klassisches Sicherheitloch. Immerhin etwas. Ich halte es aber durchaus für einen Fehler von Apple ein Kennwort aus 4 Zahlen unkommentiert als Voreinstellung anzubieten. Mein Gedanke: "Wenn eine große, für Qualität bekannte, Computerfirma das vorschlägt, wird es schon genügend Sicherheit bieten. Zumindest genausoviel wie die 4stellige PIN meiner EC Karte." Womit wir beim zweiten Punkt (Fehler?) wären. Sollte und müsste eine BruteForce Attake nicht sehr viel mehr erschwert sein?

Überhaupt ist das Verriegeln des kompletten Zugangs zum Gerät (iPhone, Mac) nach meiner Beobachtung beim Nutzer ziemlich unbeliebt. Nachgefragt ist eher einzelne Bereiche, innerhalb von Emails, Dokumenten, Fotos, oder einzelne Programme, etc., wegzuschließen. Ich scheue mich nicht, dieses Nichtbeachten des Menschen einen Fehler zu nennen, der in der Praxis die Sicherheit deutlich herabsetzt.

Mit dem Komfort hast Du natürlich recht. Aber auch da könnte man bestimmt was machen. Wie wärs mit einem Wegfall der Kennwortabfrage im heimischen WLAN?


Insofern kann und möchte ich Warlords Beitrag unterschreiben.
Titel: Re: Apple und die Sicherheit
Beitrag von: Quaestor am Juli 03, 2011, 10:33:23
Das man sich immer wieder gerne Apple rauspickt stimmt allerdings.
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am Juli 03, 2011, 10:39:05
Wen sonst, als den Grössten und die treibendste Kraft, sollte man sonst rauspicken? Alles andere wäre doch unfair. Apple ist nunmal nicht mehr der kleine Underdog, den sie einst waren. Kritik an Apple ist nicht mehr ein Einschlagen auf einen wehrlos am Boden liegenden. Apple, als treibendstes und mittlerweile grösstes IT-Unternehmen, ist IMO durchaus der richtige Adressat für die Kritik. Aber das scheinen viele Apple-User noch nicht so zu sehen. In den Köpfen scheint immer noch das Bild des Underdogs verankert zu sein. Und diese Wahrnehmung erlaubt es Apple, Dinge zu tun oder zu lassen, die sich kein anderes Unternehmen dieser Welt leisten könnte und sich wie ein Riesen-Baby zu gebärden. Als Wonne-Proppen, der durchaus in der Lage ist, Freude zu bereiten, aber unfähig, Verantwortung zu übernehmen.  Und sie (die Wahrnehmung) richtet derzeit IMO einigen Schaden an...
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Juli 03, 2011, 10:55:48
Habe den Artikel in Gänze gelesen, und hoffe ich habe ihn verstanden. Wenn ja, dann gilt:

Per im Wartungsmodus untergeschobener, manipulierter Firmware kann man sich Root-Zugang erschleichen und alle nicht speziell gesicherten Daten im Klartext auf den angeschlossenen Rechner kopieren.
Mit einem weiteren Trick geht das auch mit der Keychain. Alles ohne Passcode!

Ausnahme sind nur speziell verschlüsselte Daten, dieses Feature hat Apple ja mit iOS 4 (glaube ich) eingeführt, bis heute betrifft das aber nur POP/IMAP-Emails. Nur ganz wenige Dritthersteller nutzen die Funktion.
Aber das Passwort für den Account hat der Cracker schon.

Fehler von Apple:
Im Boot ROM ist ein Bug, den ja auch die Jailbreaker nutzen. Den kann Apple nicht per SW-Update beseitigen. Nur das iPad 2 ist nicht betroffen. Dadurch kommt die Mal-Firmware herein.

radneuerfinder muss ich korrigieren ;): Grundeinstellung ist nicht Einfacher Passcode, sondern gar keiner! Klar eine ganz schlechte Idee.

Ratschläge:
Komplizierte Passcode, Backups verschlüsseln, Löschung bei Fehlversuchen aktivieren, Bei älteren Geräten den „Datenschutz“ über Restore aktivieren (http://www.apfelinsel.de/forum/index.php/topic,4418.msg65169.html#msg65169). Finden/Fernlöschung per Mobileme (diese Funktion ist ja auch kostenlos) einrichten.

Damit erschwert man es normalen Findern, zum Spaß mal reinzuschauen. Bei Dieben dünkt mir folgendes: Die einen haben kein Interesse an den Daten und löschen das Gerät sowieso. Die anderen/beide nehmen eh gleich die SIM raus.


Zur Apple/Medien-Diskussion:
Klar ist Apple Marktführer und insofern interessant für viele Käufer. Klar ist aber auch, dass man mit Apple-Themen viel mehr Leser hat als mit anderen. Nicht umsonst teast uns Heise mit dem Kurzartikel zum Kauf des Hefts.

warlord: Die c't hatte auch schon öfters Fingerabdruck-Scanner im Test. Sind i.d.R. mit simplem Trick zu  überwinden. Gerade auf dem iPhone sehe ich den Fingerabdruck ja schon so… 

Ich halte es für ziemlich wahrscheinlich, dass man ein Gerät nur sehr schwer gegen Angriffe schützen kann, wenn es mal in den Händen eines Crackers ist. Das gilt natürlich auch etwa für Macs, ich sage nur Firewire/USB/Thunderbolt. Ein Smartphone kommt aber noch leichter abhanden, deshalb sollte sich Apple hier wirklich den Allerwertesten aufreißen um möglichst viel Sicherheit herzustellen.
Ob das ohne arge Komfortverluste geht, stelle ich in Frage.

Und: Ja, die Benutzer müssen sich überlegen, welche Daten sie mit sich rumtragen wollen! Und welchen Apps sie vertrauen. iControl z.B. fiel mal wieder unangenehm auf.







Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Juli 03, 2011, 11:02:54
In den Köpfen scheint immer noch das Bild des Underdogs verankert zu sein. Und diese Wahrnehmung erlaubt es Apple, Dinge zu tun oder zu lassen, die sich kein anderes Unternehmen dieser Welt leisten könnte. Und sie (die Wahrnehmung) richtet derzeit IMO einigen Schaden an...

Da gehe ich einig!

Man sollte halt z.B. nur nicht den Eindruck erwecken, Android sei sicherer, weil die Schlagzeilen nicht so groß sind. Aber der c't kann man das nicht vorwerfen, auch wenn sie natürlich gerne über Apple berichten (mittlerweile).
Der Rest liegt beim Leser.
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am Juli 03, 2011, 11:09:11
warlord: Die c't hatte auch schon öfters Fingerabdruck-Scanner im Test. Sind i.d.R. mit simplem Trick zu  überwinden. Gerade auf dem iPhone sehe ich den Fingerabdruck ja schon so…

Natürlich gibt es da Übles auf dem Markt. Aber wenn Apple das Thema Sicherheit endlich mal ernst nehmen und als Punkt wahrnehmen würde, der von Anfang an in den Entwicklungsprozess einfliessen, und nicht erst am Schluss noch als lästiges Anhängsel aufgepfropft werden muss, dann dürfte man von Apple doch wohl auch bezüglich Sicherheit endlich mal jene Innovationen erwarten, für welche die Firma doch sonst so berühmt ist. Oder nicht?
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Juli 03, 2011, 11:24:00
Ich fürchte halt, der Grundsatz das Sicherheit immer auf Kosten des Komforts geht, hat einen wahren Kern.
Egal, das Mögliche muss gemacht werden. Das Apple hier Nachholbedarf hat, sehe ich auch so. Immerhin scheint das Umdenken begonnen zu haben (gewisse Features, Anwerbung von Experten).

Konkret zu diesem Thema:
Den Boot-ROM-Fehler hat Apple im iPad 2 beseitigt. Man könnte sagen, der hätte gar nicht passieren dürfen. Okay, aber die fehlerfreie Software hat, ist illusorisch.
Und einen Wartungsmodus braucht es halt auch, da kann ich noch so viele Abgleiche mit der Iris machen, es braucht ein Hintertürchen für den Techniker.

Kann man das irgendwie lösen? Abmindern? Ich denke, Apple könnte jedem Gerät ein eigenes Root-Passwort geben und darüber Datenbank führen, auf die nur der Service Zugriff hat. Denn momentan ist er für alle gleich. Aber unüberwindbar wäre auch diese Hürde nicht.

Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 03, 2011, 15:09:38
Ich fasse mal zusammen, mit der Bitte um Korrektur und Ergänzung (für das aktuelle iOS 4.3):

- Der iOS FlashSpeicherInhalt ist komplett verschlüsselt
- notwendig, oder von Apple so gewollt ist diese Verschlüsselung im Wartungsmodus entschlüsselt
- durch eine Sicherheitslücke kann im Wartungsmodus andere Software eingeschleust und ausgeführt werden ohne den Wartungsmodus zu verlassen
- diese Sicherheitslücke liegt außerhalb von iOS und läßt sich nicht? per SoftwareUpdate schließen
- Mit dieser Software läßt sich der Inhalt komplett und unbemerkt auslesen und kopieren, egal wie lang und gut das GeräteKennwort ist
- Mit dieser (oder einer anderen?) Software läßt sich per BruteForce Angriff das GeräteKennwort ermitteln, sofern es kurz genug ist
- Es gibt eine 2. Verschlüsselung für einzelne Apps, innerhalb der kompletten Verschlüsselung des ganzen Flashspeichers
- diese 2. Verschlüsselung benutzt das Gerätekennwort
- ist das Kennwort stark genug, so sind die mit der 2. Verschlüsselungsebene geschützten Inhalte z. Zt. sicher
- die 2. Verschlüsselung wird z. Zt nur von iOS Mail und zwei nicht Apple Apps genutzt
- Der iOS Schlüsselbund nutzt diese 2. Verschlüsselung nicht, gespeicherte Passwörter für Safari, für Mail, fürs WLAN, etc. lassen sich auslesen
- Im iOS Schlüsselbund ist das Gerätekennwort nicht (zumindest nicht im Klartext) gespeichert


Gibt es eigentlich bereits Berichte über Änderungen bei der Sicherheit in iOS 5?
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 03, 2011, 15:30:02
Die anderen/beide nehmen eh gleich die SIM raus.

Läuft find my iPhone nicht über die IMEI (http://de.wikipedia.org/wiki/International_Mobile_Equipment_Identity) oder eine andere geräteeigene (http://support.apple.com/kb/HT1267?viewlocale=de_DE&locale=de_DE)  Nummer? Also unabhängig von der SIM Karte? Klar, irgendeine Datenverbindung muss bestehen.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 07, 2011, 11:12:26
Offizielle Empfehlung des deutschen Bundesamtes für Sicherheit in der Informationstechnik: Bis zur Veröffentlichung eines SicherheitsUpdates durch Apple obacht beim öffnen oder ansurfen von PDFs mit iOS Geräten:
https://www.bsi.bund.de/ContentBSI/Presse/Pressemitteilungen/Presse2011/Schwachstelle-im-Apple-Betriebssystem-iOS-06072011.html


Ergänzung, jetzt auch bei Heise:
http://www.heise.de/security/meldung/Gefahr-fuer-iPhone-Nutzer-durch-oeffentlichen-Exploit-1275264.html
Titel: Re: Apple und die Sicherheit
Beitrag von: FOX am Juli 07, 2011, 11:18:45
Ist ja schon heftig, dass nun zum zweiten Mal ein Bug im PDF-Viewer von iOS auftaucht. Da sollte man doch denken, dass nach der ersten Lücke eine besondere Aufmerksamkeit darauf gelegt wurde.
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Juli 07, 2011, 13:52:24
Offizielle Empfehlung des deutschen Bundesamtes für Sicherheit in der Informationstechnik: Bis zur Veröffentlichung eines SicherheitsUpdates durch Apple keine PDFs mit iOS Geräten öffnen:

Das hast Du zu stark verkürzt. Original: „PDF-Dokumente aus unbekannten oder unsicheren Quellen nicht auf iOS-Geräten zu öffnen.“

Auch der Rest der Tips ist eigentlich generell sinnvolle Praxis, von der man hofft, dass sie weite Verbreitung hat. Natürlich kann man nicht oft genug darauf hinweisen.

Angriffe über manipulierte Webseiten, Grafiken, Flash (nicht iOS, klar) und PDFs sind leider Alltag. Wenn man so aber Admin-Rechte erlangen kann, scheint was an der Architektur grundsätzlich nicht zu stimmen, würde ich sagen.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 07, 2011, 14:04:00
Danke, habs abgeändert.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 27, 2011, 21:51:37
3 Meldungen zum Thema:
http://www.maclife.de/mac/software/betriebssystem/os-x-lion-begeistert-sicherheitsexperten-akkus-dennoch-ein-risikofaktor
http://mobile.macworld.co.uk/macsoftware/news/index.cfm?newsid=3293745
http://www.mactechnews.de/news/index/Passware-stellt-Losung-zur-Ermittlung-von-verschlusselten-Mac-Kennwortern-vor-150679.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am August 08, 2011, 23:55:03
Hier wird Lion mit Windows 7 verglichen und diese Frage dann so beantwortet:

Should you use Macs in your Enterprise?

Pros
Anti-exploit and sandbox technologies are looking good in 10.7
Getting “hacked by accident” is still harder
Slightly smaller body of knowledge in attacker circles

Cons
Network privilege escalation is trivial
Local UI isolation allows for easy phishing of admin creds
No equivalent of GPO, hard to harden centrally
Fewer products to investigate incidents


https://www.isecpartners.com/storage/docs/presentations/iSEC_BH2011_Mac_APT.pdf
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am August 13, 2011, 00:48:00
Die letzten beiden Beiträge wären doch ein guter Anfang eines Vorstellungsthemas.


Für die automatische-Updates-nein-danke-Fraktion:
http://www.macobserver.com/tmo/article/stay_on_top_of_apples_malware_definitions_with_safe_download_version/undefined/
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am August 13, 2011, 01:34:50
Braucht man eigentlich kein Programm dafür.
/System/Library/CoreServices Rechtsklick: Paketinhalt zeigen
/CoreTypes.bundle/Contents/Resources/xprotect.meta.plist
Nicht öffnen oder verändern, nur Datum im Finder anschauen.

Alternativ im Terminal:
more /System/Library/CoreServices/CoreTypes.bundle/Contents/Resources/xprotect.meta.plist

Manuell anstossen: In den Systemeinstellungen den Haken unter Sicherheit|Allgemein für „Automatisch Liste für sichere Downloads aktualisieren“ wegnehmen und wieder setzen. Erfordert Admin-Passwort.
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am August 13, 2011, 17:06:23
Ich bin dem Rat von radneuerfinder gefolgt und habe den Beitrag von Irisa und meine Antwort als Anfang eines Vorstellungsthemas (http://www.apfelinsel.de/forum/index.php/topic,5201.0.html) genommen.

@Irisa: Das richtet sich nicht gegen Deine Wahl des Themas, die war schon okay. Bot sich halt nur an. Danke auch für Deine Anregung zum Vorstellungsthema.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am August 18, 2011, 10:13:16
MacMark schaut sich das Auslesen des OS X Benutzerkennwortes per Firewire und Passware Kit Forensic an:
http://www.macmark.de/blog/osx_blog_2011-08-c.php
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am August 23, 2011, 16:27:41
Nur ein klitzekleines Fehlerchen im Löwen:
http://www.heise.de/security/meldung/Mac-OS-X-Lion-prueft-Passwoerter-bei-Authentifizierung-via-LDAP-nicht-1328609.html
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am August 24, 2011, 10:18:53
Auch wenn es die allermeisten hier nicht betreffen wird, aber das ist schon ein erhebliches Loch!
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am September 03, 2011, 13:45:24
http://heise-online.mobi/mac-and-i/meldung/Mac-OS-X-patzt-bei-Zertifikatsueberpruefung-1336211.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am September 06, 2011, 17:32:44
Vorschau: Man markiert und kopiert in einem PDF eine Textstelle in die Zwischenablage. Versteckt kopiert Vorschau aber die ganze Seite mit!
http://www.heise.de/mac-and-i/meldung/Apples-Vorschau-transportiert-unbemerkt-Datenfragmente-1337813.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am September 07, 2011, 14:36:01
Die Situation bleibt problematisch. Am Mac kann man das DigiNotar-Root-Zertifikat löschen (http://heise-online.mobi/mac-and-i/meldung/Mac-OS-X-patzt-bei-Zertifikatsueberpruefung-1336211.html) oder das Vertrauen entziehen (Rechtsklick/Informationen/Vertrauen/Nie).
Aber auf dem iPhone oder Android-Phone? Da muss man auf Apple bzw. Google warten. Und warten… (http://www.computerworld.com/s/article/9219779/DigiNotar_certificates_are_pulled_but_not_on_smartphones).
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am September 07, 2011, 15:26:15
Niederländische Behörden und Gerichte akzeptieren bis auf weiteres, ab sofort keine elektronischen Zertifikate mehr - nur mehr Briefpost und Fax:
http://www.golem.de/1109/86286.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am September 09, 2011, 01:26:42
Die Situation bleibt problematisch. Am Mac kann man das DigiNotar-Root-Zertifikat löschen (http://heise-online.mobi/mac-and-i/meldung/Mac-OS-X-patzt-bei-Zertifikatsueberpruefung-1336211.html) oder das Vertrauen entziehen (Rechtsklick/Informationen/Vertrauen/Nie).

Vertrauen entziehen reicht wegen eines Bugs nicht, wie ich eben lese (http://blog.agilebits.com/2011/09/who-do-you-trust-to-tell-you-who-to-trust/) (auch sonst interessant). Also löschen.
Titel: Re: Apple und die Sicherheit
Beitrag von: mbs am September 09, 2011, 18:23:22
Inzwischen ist offenbar auch der Zertifikatsaussteller GlobalSign von Sicherheitsproblemen betroffen und sieht darin einen weltweiten Angriff gegen das gesamte SSL-Konzept. GlobalSign führt interne Überprüfungen durch und stellt bis Montag den Betrieb ein: http://www.globalsign.com/company/press/090611-security-response.html (http://www.globalsign.com/company/press/090611-security-response.html)

Mozilla zeigt sich progressiv und hat allen Stammzertifikatsausstellern ein Ultimatum bis nächsten Freitag gestellt, bestimmte Schutzmaßnahmen zu ergreifen. Wer sich nicht daran hält, wird aus der Stammzertifikatsliste von Firefox herausgeworfen: http://groups.google.com/group/mozilla.dev.security.policy/browse_thread/thread/bf2deb09824418fb?pli=1 (http://groups.google.com/group/mozilla.dev.security.policy/browse_thread/thread/bf2deb09824418fb?pli=1)
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am September 09, 2011, 19:11:07
Ja, jetzt steht womöglich das ganze System auf dem Spiel.

Mozillas Schritt empfinde ich als sehr gerechtfertigt und sinnvoll.
Apple dagegen bezieht Schelte:
http://www.macworld.com/article/162214/2011/09/researcher_raps_apple_for_not_blocking_stolen_ssl_certificates.html#lsrc.rss_main

Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am September 09, 2011, 21:05:46
Apple hat ein Sicherheitsupdate veröffentlicht, das sich um die ZertifikateProblematik kümmert:
http://www.apfelinsel.de/forum/index.php/topic,5263.msg72531.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am September 19, 2011, 14:32:47
http://heise-online.mobi/security/meldung/Mac-OS-X-Lion-macht-es-Passwortknackern-unnoetig-leicht-1345451.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Oktober 04, 2011, 23:03:31
http://www.heise.de/mac-and-i/meldung/In-App-Einkaeufe-des-App-Store-geknackt-1354296.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Oktober 20, 2011, 07:54:28
According to security researchers at F-Secure, “Flashback.C” is potentially capable of disabling the auto-update component of Apple’s built-in XProtect anti-malware application:
http://www.appleinsider.com/articles/11/10/19/fake_adobe_flash_malware_seeks_to_disable_mac_os_x_anti_malware_protection.html
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Oktober 20, 2011, 09:34:54
Ist üblich bei Malware, dass sie versucht deren Gegenspieler zu deaktivieren. Entweder indem sie die komplett lahm legt oder die Zugriffe auf Updates verhindert oder...

Und solange man selber jede Software installieren und das System verändern kann, wird es dagegen auch keinen Schutz geben.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am November 05, 2011, 22:09:58
http://www.giga.de/macnews/software/wie-man-os-x-sicherer-machen-konnte-zertifikate-fur-alle-statt-sandbox-250515

Gibt's das nicht bei Windows? "Dieses Programm hat kein Testat von Microsoft - trotzdem installieren?" Oder so ähnlich.
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am November 06, 2011, 00:27:27
Ja, ganz toll. Selten so einen Schmarrn gelesen. Apps werden in erster Linie sicherer durch sicheres Programmieren. Und dazu anregen kann, wenn überhaupt, Sandboxing viel eher als irgendwelche Zertifikate.

Weil sich Apple schon schwer tut, den Umgang der Apps im MAS mit der Sandbox ausreichend zu kontrollieren, sollten sie zur Abhilfe dieses "Engpasses" nun gleich den Kill-Switch sämtlicher Mac-Anwendungen in Händen halten? Wie unlogisch ist das denn?

Wenn der *piep* so Freude an einer allmächtigen Kontrollinstanz hat, die entscheidet, was Benutzer laufen lassen dürfen und was nicht, soll er doch einfach für iOS programmieren und ansonsten die Schnauze halten.  >:(
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am November 06, 2011, 08:11:20
Da schliesse ich mich ganz warlord an.
Diese Zertifizierung ist großer Blödsinn.
Das Sandboxing hingegen finde ich prinzipiell nicht unsinnig und auch eine gute Idee. Nur an der Umsetzung hapert es noch. siehe auch die Erklärungen von mbs im Thread "Sandbox im Mac AppStore (http://www.apfelinsel.de/forum/index.php/topic,5392.0.html)".
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am November 06, 2011, 14:34:54
Ich finde die ganze Diskussion blödsinnig (nicht die hier). Es geht immer darum, den User vor sich selbst zu schützen - also davor, Malware zu installieren. Das geht nur auf einem perfekt abgeschlossenen System.

Das ist genau der Präventivgedanke, der zunehmend alles durchdringt. Damit einhergehend natürlich die Entmündigung des Individuums.

Tatsächlich spielt das iPhone hier eine ganz, ganz schlechte Rolle und ich hoffe es ist diesbzgl. eben kein Vorbild für die Macs.

Sandboxing hat ja noch andere Vorzüge (wenn's funktioniert), eine perfekte Sicherheit kann und soll es doch gar nicht gewährleisten. Das sich nun ein Entwickler hinstellt und stattdessen die totale Kontrolle für Apple verlangt, gibt mir zu denken.
 
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am November 08, 2011, 10:43:48
Und so ein geschlossenes System (vorhergehender Eintrag) muss dann natürlich wirklich ohne Lücke sein, denn sonst wird dem Anwender fälschlich Sicherheit vorgegaukelt.
Nicht nur das der Review-Prozess von Apple Malware nicht sicher auffinden kann, iOS hat auch noch einen Bug, der Code ohne Prüfung und Signatur in den Store lässt:
http://9to5mac.com/2011/11/07/new-ios-security-exploit-lets-apps-read-users-information-by-executing-unsigned-code/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am November 12, 2011, 09:44:35
http://arstechnica.com/apple/news/2011/11/researchers-discover-mac-os-x-has-its-own-sandbox-security-hole.ars
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am November 12, 2011, 10:03:15
http://arstechnica.com/apple/news/2011/11/researchers-discover-mac-os-x-has-its-own-sandbox-security-hole.ars

Wenn ich das richtig verstehe, dann ist das keine wirkliche Lücke oder Problem.
Ich verstehe das so:
Ein Programm aus dem MAS läuft in einer Sandbox und ist daher in den Möglichkeiten beschränkt. Es könnte aber ein zweites Programm, welches nicht in der Sandbox läuft, zu irgendwelchen Aktionen veranlassen. Z.B. schreibt das MAS-Programm irgendwelche Befehle in eine Datei, in das es schreiben darf, und ein anderes mit vollen rechten laufende Programm liest regelmäßig diese Datei und führt die Kommandos aus.

Mal ernsthaft. Wenn also jemand Unsinn treiben will, dann muss er zwei aufeinander abgestimmte Programme entwickeln, wobei das eine über den MAS und das andere über andere Wege auf den Rechner kommen muss. Warum sollte man es so kompliziert machen? Das über den anderen Weg gekommene Programm hat doch schon alle Möglichkeiten. Warum sollte man dieses über einen Umweg über ein MAS-Programm steuern wollen? Ich sehe da keinerlei Sinn und Gefahr drin.

Oder habe ich da etwas völlig übersehen oder falsch verstanden?
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am November 12, 2011, 11:12:19
Sehe ich wie Du. Zumal das Senden von Apple Events, die hier also zum Umgehen einer Netzwerk-Beschränkung eingesetzt werden sollen, gemäss Apple Doku grundsätzlich eben gerade auch gesperrt sind. Das Senden von Apple Events ist gemäss Doku auch nur aufgrund von Entitlements möglich, worin die empfangenden Apps spezifiziert werden müssen. Das Senden an beliebige Apps müsste also unterbunden sein.

Ein Problem wäre es natürlich, wenn das Unterbinden des Sendens von Apple Events nicht richtig funktionieren würde. Aber davon schreibt Core nichts. 

Hört sich für mich also etwas nach Sturm im Wasserglas und Versuch, auf sich aufmerksam zu machen, an.
Titel: Re: Apple und die Sicherheit
Beitrag von: mbs am November 14, 2011, 12:03:29
Um die Sicherheitslücke mit einfachen Worten darzustellen:

Apple bietet für App-Sandboxing unter anderem die folgenden Befugniseinschränkungen an:
1) App darf auf das Netzwerk zugreifen.
2) App darf auf das Internet zugreifen.
3) App darf Apple-Events senden.

Wenn man für eine App die Befugnis (1) und (2) auf "nein" setzt und die Befugnis (3) auf "ja", dann sollte es für die App unmöglich sein, Netzwerkfunktionen zu nutzen.

Das Problem: Die App kann die Einschränkungen (1) und (2) einfach umgehen, indem sie einen Apple-Event z.B. an das Programm "Terminal" sendet und das Terminal indirekt irgendeinen der vielen in Mac OS X eingebauten Skript-Interpreter, z.B. Python aufrufen lässt. Die modernen Skriptsprachen haben Zugriff auf fast alle Funktionen des Betriebssystems und befinden sich außerhalb der App-Sandbox. Damit werden die Beschränkungen (1) und (2) wirkungslos.
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am November 14, 2011, 12:12:21
Soweit klar, ja. Aber es gibt doch keine generelle Befugnis zum Versenden von AEs. Sondern nur eine Befugnis zum Versenden von AEs an in der Befugnis einzeln aufgeführte Anwendungen. Klar, wenn sich darunter eine Anwendung wie das Terminal befindet, dann lässt sich dieser Allrounder via AEs natürlich zu vielem bewegen. Aber das liegt doch irgendwie in der Natur der Sache und wird sich auch kaum verhindern lassen, oder?

Die Befugnis zum Versenden von AEs ist zweifellos heikel und mit Bedacht einzusetzen. Würde Apple sie aber komplett weglassen, wäre der Protest unter den Entwicklern doch wohl noch heftiger.
Titel: Re: Apple und die Sicherheit
Beitrag von: mbs am November 14, 2011, 14:43:04
Natürlich ist Terminal das plakativste Beispiel. Aber auch wenn man Events an Apple Mail oder Safari sendet (was vielleicht weniger Verdacht erregt), kann man damit ähnlich kritische Netzwerkzugriffe erreichen.

Zitat
Aber das liegt doch irgendwie in der Natur der Sache und wird sich auch kaum verhindern lassen, oder?

Richtig, aber genau darum geht es ja.
Damit ist das ganze Konzept des App Sandboxing (nicht des normalen Sandboxing!) in Frage zu stellen, denn es erreicht nicht das, wozu es eigentlich konstruiert ist.
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am November 14, 2011, 15:00:12
Sehe ich nicht ganz so heftig. Dass sich auch mit App-Sandboxing keine absolute Sicherheit herstellen lässt, ist sicher unbestritten. Aber das beduetet ja nicht, dass es deswegen gänzlich sinnlos ist.

Ich sehe das so ein bisschen ähnlich, wie die Sache mit der Haustür und den Einbrechern. Einbrüche wird man nie gänzlich verhindern können. Trotzdem schliessen die meisten Menschen Ihre Haustür ab, weil es doch sinnvoll ist, um Gelegenheitsdiebe zu verhindern. 
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am November 14, 2011, 18:00:59
Vielleicht noch als Nachtrag:

Ich kann gut nachvollziehen, dass man sich am App-Sandboxing stören kann. Besonders wenn es einen, als Entwickler oder auch als Benutzer, einen Strich durch die Rechnung macht und elegante Lösungen erschwert oder verunmöglicht.

Das Problem sehe ich aber weniger im App-Sandboxing an sich, sondern einmal mehr am "wir wissen am besten was die Nutzer brauchen und alle Nutzer brauchen das selbe" von Apple. Gerade im Spannungsfeld "Sicherheit vs. Komfort" glaube ich nicht, dass die "alle sind gleich und darum kann man praktisch nichts einstellen" Philosophie noch lange gut gehen kann. Zu verschieden sind einfach die Anforderungen, die der Teenie, der Opa, die Arztpraxis, der Medienproduzent, das Atomkraftwerk, usw. an ihren Mac haben.

Mir scheint, da geht Microsoft einen schlaueren Weg, indem sie verschiedene Konfigurationen zulassen. So wäre es doch z.B. auch möglich, jedem Mac-Nutzer selbst zu überlassen, ob er auf seinem Gerät App-Sandboxing will/braucht, oder nicht. Natürlich hat auch dieser Weg seine Gefahren und Schattenseiten (wie Spam-Schleudern in den Wohnzimmern unbedarfter Windows-User). Etwas mehr Eigenverantwortung könnte der Menschheit im Allgemeinen und dem Mac-Benutzer im Speziellen aber nicht schaden...
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am November 14, 2011, 19:33:07
Ich sehe das so ein bisschen ähnlich, wie die Sache mit der Haustür und den Einbrechern. Einbrüche wird man nie gänzlich verhindern können. Trotzdem schliessen die meisten Menschen Ihre Haustür ab, weil es doch sinnvoll ist, um Gelegenheitsdiebe zu verhindern.

Ein Malware-Programmierer bzw. Malware-Baukasten-Hersteller ist aber wohl nie ein Gelegenheitsdieb, sondern durchdenkt sein Vorhaben.

Dieser Vergleich scheint mit treffender: Die Tür ist sicher verriegelt, aber die Fenster lassen sich nicht schließen. Vermeintliche Sicherheit ist ziemlich gefährlich, ich hoffe Apple wird nicht den Eindruck erwecken, diese Sandkästen seien oh so super sicher.
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am November 14, 2011, 20:40:16
Ein Malware-Programmierer bzw. Malware-Baukasten-Hersteller ist aber wohl nie ein Gelegenheitsdieb, sondern durchdenkt sein Vorhaben.

Aber auch für Mr. Bad Guy wird es umso einfacher, je mehr Wege ihm zur Verfügung stehen. Umgekehrt wird sein Vorhaben umso schwieriger, komplexer und anspruchsvoller, je weniger Mittel und Wege ihm zur Verfügung stehen. Das schränkt die Anzahl an Bad Guys ein, welche über die notwendigen Fähigkeiten verfügen.

Zitat
Dieser Vergleich scheint mit treffender: Die Tür ist sicher verriegelt, aber die Fenster lassen sich nicht schließen. Vermeintliche Sicherheit ist ziemlich gefährlich, ich hoffe Apple wird nicht den Eindruck erwecken, diese Sandkästen seien oh so super sicher.

Man will ja keine Gaskammer bauen und die Leute in der Wohnung ersticken lassen. Absolute Sicherheit lässt sich nur durch völlige Abschottung erreichen. Was kaum je möglich sein wird. Irgend eine Interaktion wird immer notwendig sein. Und jede Möglichkeit zur Interaktion wird sich letztlich irgendwie missbrauchen lassen.
Um bei Deiner Analogie zu bleiben: App-Sandboxing soll jene Fenster schliessen, welche nicht gebraucht werden, z.B. weil sich in den betreffenden Räumen keine Menschen aufhalten. Dass das Fenster jenes Raumes offen bleiben muss, in dem sich gerade eine Meute tummelt und mit Frischluft versorgt werden muss, ist nicht ein grundsätzlicher Designfehler des Architekten. Und dass durch das notwendigerweise offen stehende Fenster nicht nur Frischluft, sondern z.B. auch ein Schneeball gelangen kann, auch nicht.
App-Sandboxing soll nur dafür sorgen, dass nur die benötigten Fenster offen stehen. Es kann nicht verhindern, dass durch diese Fenster Ungewolltes gelangt. Und es macht das Haus nicht fensterlos. Was sicher auch niemand wollen würde.
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am November 14, 2011, 23:54:12
Das es - rein theoretisch - totale Sicherheit nur in einem - nicht realisierbaren - perfekt sicheren Apple-Gefängnis geben könnte, ist mir klar und habe ich so ähnlich auch schon geschrieben. 
Das will ich keineswegs.


Bleiben wir mal bei den Fenstern.

Durch ein Fenster kann ich alles werfen (das durch passt). Für den Ballwerfer ist es also egal, ob ich ein Fenster aufmache oder alle.

Apple will aber quasi verschiedenförmige Fenster für verschiedene Gegenstände.
Sprich: Ball passt nicht durch eckiges Fenster.

Nur funktioniert das nicht, der Ball wird einfach kleiner (oder der Befehl nimmt einen Umweg). Also frage ich mich, was das Ganze überhaupt soll.

Viel Aufwand, Wirkung nahe Null.
Eben ganz so, als verschlösse ich meine Haustür mit zehn Schlössern, ließe aber das Fenster offen. Oder sagen wir: Legte ein Ersatzschlüsselbund in den Blumentopf.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am November 15, 2011, 09:16:22
Und was ist von dieser (http://www.macmark.de/blog/osx_blog_2011-11-b.php) Aussage zu halten?
Titel: Re: Apple und die Sicherheit
Beitrag von: mbs am November 15, 2011, 12:13:56
Zitat
Und was ist von dieser Aussage zu halten?

MacMark lässt - wie so oft - alles unter den Tisch fallen, was nicht in sein Weltbild passt. Das ist Propaganda vom feinsten, hat aber mit der Wirklichkeit wenig zu tun.

Es ist richtig, dass man zwischen Sandboxing und App-Sandboxing unterscheiden muss. Da haben wir ja auch hier im Forum schon deutlich drauf hingewiesen.

Aber App-Sandboxing baut auf Sandboxing auf. Wenn Core auf ein Problem in der Konzeption des Sandboxing aufmerksam macht, ist natürlich App-Sandboxing erst recht davon betroffen. Um das beschriebene Problem zu sehen, muss man eine App entwickeln, in der - analog zu meiner obigen Erklärung - das Entitlement "com.apple.security.network.client" (Punkte 1 und 2) nicht gewährt wird, jedoch ein Entitlement "com.apple.security.temporary-exception.apple-events: com.apple.terminal" (Punkt 3) gesetzt wird. Das Problem tritt dann sofort auch hier auf (kann jeder selbst ausprobieren).

Ob so eine App durch Apples Zensur im App Store kommen würde, ist eine ganz andere Frage. Aber das hat auch niemand behauptet.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am November 15, 2011, 15:21:15
OK, danke. Das bringt ein wenig Licht in den Dschungel.
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am November 16, 2011, 13:51:14
Lion sei sicherer als Snow Leopard, längerer Artikel dazu auf Mac&I:
http://www.heise.de/mac-and-i/artikel/Security-Check-Lion-holt-auf-1372134.html

(noch nicht gelesen, übernehme keine Garantie für Sinnhaftigkeit. :))
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am November 18, 2011, 21:22:44
Lesenswertes Interview mit Charlie Miller:
http://www.engadget.com/2011/11/18/the-engadget-interview-dr-charlie-miller/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am November 21, 2011, 18:38:59
Späh-Software aus Deutschland nutzt iTunes-Lücke (gestopft mit iTunes 10.5.1) aus:
http://www.spiegel.de/netzwelt/netzpolitik/0,1518,798891,00.html
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am November 21, 2011, 21:01:35
Späh-Software aus Deutschland nutzt iTunes-Lücke (gestopft mit iTunes 10.5.1) aus:
http://www.spiegel.de/netzwelt/netzpolitik/0,1518,798891,00.html

Passend dazu auch: http://projects.wsj.com/surveillance-catalog/#/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am November 30, 2011, 13:20:34
Wie schnell ist Apple bei den Updates der SchadsoftwareDefinitionen?
http://www.golem.de/1111/88108.html
http://www.heise.de/mac-and-i/meldung/Apple-hinkt-bei-XProtect-Updates-hinterher-1387562.html

und:
http://www.heise.de/security/meldung/iTunes-Sicherheitsluecke-war-mehr-als-drei-Jahren-offen-1384627.html


Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Februar 02, 2012, 08:23:38
http://iphone.appleinsider.com/articles/12/02/01/forensics_vendor_warns_mac_os_x_filevault_vulnerable_to_decryption.html
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Februar 02, 2012, 09:09:51
@radneuerfinder: Da bist Du mir ein paar Minuten zuvor gekommen. Ich wollte auch darauf hinweisen. :)

Diese Lücke ist eigentlich keine FileVault-Lücke, sondern betrifft alle Verschlüsselungssysteme (FileVault, BitLocker in Windows, TrueCrypt) und ist eigentlich eine Firewire-Lücke, die so gewollt ist. Besser macht es das alles nicht.

Mal zusammenfassend:
- Man benutzt FileVault 2, BitLocker oder TrueCrypt ja deshalb, weil man möchte, dass die Daten keinem Unbefugten zugänglich sind. Das ist im Diebstahlfall oder auch bei unbemerktem physischen Zugang eines Unbefugtem zum Gerät. Bei abgeschaltetem Gerät sind diese nach bisherigem Kenntnisstand bei gutem Kennwort auch sicher und nur per Brute-force zu knacken.
- Wenn das System allerdings läuft, dann muss es ja irgendwie auf die Daten zugreifen können und benötigt dafür einen Schlüssel. Denn hat der Benutzer beim Starten eingegeben. Der Schlüssel muss im RAM gehalten werden, um benutzt zu werden.
- Normalerweise sollte und kann kein Prozess auf dem betreffenden Rechner den Schlüssel aus dem RAM extrahieren, denn dazu müsste der Prozess entsprechende Rechte haben. Ohne Sicherheitslücke im System ist das nicht drin.
- Die verlinkte Firma geht aber von einem anderen Rechner aus über eine Firewire-Verbindung aus vor und nutzt ein Feature von Firewire, was wir hier schon öfters kritisch angemerkt haben. Die Firewire-Schnittstelle kann per DMA direkt auf das RAM zugreifen völlig an der CPU und dem laufenden System vorbei. So kann der andere Rechner in Ruhe das komplette RAM auslesen und dort nach dem Kennwort suchen. Da das ganze ein Feature und kein "Fehler" von Firewire ist, kann es auch nicht einfach durch einen Patch behoben werden.

Fazit:
- Sind die Rechner ausgeschaltet, dann sind die Daten sicher vor diesem Angriff.
- Ist der Rechner eingeschaltet oder im Schlafmodus, dann sind die Daten nicht sicher.
- Abhilfe macht nur ein Abschalten der Firewire-Schnittstelle. Geht das auf einem Mac? Müsste wenn überhaupt im EFI passieren, oder?
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Februar 02, 2012, 14:21:50
Reicht es /System/Library/Extensions/IOFireWireFamily.kext zu löschen?

Dann bliebe allerdings immer noch USB und Thunderbird zu deaktivieren.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Februar 02, 2012, 14:37:20
Reicht es /System/Library/Extensions/IOFireWireFamily.kext zu löschen?

Weiß ich nicht, glaube ich aber nicht, denn Firewire funktioniert ja auch ohne laufendes System.
Das ist eine Hardwaresache, die völlig am System/Prozessor vorbei geht.

Zitat
Dann bliebe allerdings immer noch USB und Thunderbird zu deaktivieren.

USB hat kein DMA.
Bei Thunderbolt (nicht -bird) ist das gleiche Feature=Problem wie bei Firewire, korrekt.
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Februar 02, 2012, 15:02:03
USB ist aber doch so was von geknackt. Das wird schon irgendwie ausgenutzt werden können.

Habe selbst mal gegoogelt, Löschen der .kext nützt offenbar nichts, steckt man ein Gerät an Firewire dran, läuft es.
Bliebe das Open-Firmware-Passwort?

Das Thema hatten wir aber schon mal (http://www.apfelinsel.de/forum/index.php/topic,2780.msg38376.html#msg38376) (ff.). mbs meinte damals, nur Entfernen der Ports wirke.

Scheinbar ist das immer noch so. :(

Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Februar 02, 2012, 15:12:38
USB ist aber doch so was von geknackt. Das wird schon irgendwie ausgenutzt werden können.

???
Was meinst Du?
Die gemeldete "Lücke" beruht doch darauf, dass Firewire/Thunderbolt komplett aufs RAM zugreifen kann, ohne dass der Prozessor oder ein laufendes System dazu gefragt werden oder es beeinflussen können.
USB macht ohne ein laufendes System überhaupt nichts.

Zitat
Habe selbst mal gegoogelt, Löschen der .kext nützt offenbar nichts, steckt man ein Gerät an Firewire dran, läuft es.

Natürlich. Es ist ein Feature der Hardware und hat nix mit dem System zu tun.

Zitat
Bliebe das Open-Firmware-Passwort?

Was soll das bringen? Die Lücke ist doch nur ausnutzbar, wenn der Rechner vom Benutzer gestartet wurde und läuft bzw. schläft.

Zitat
Das Thema hatten wir aber schon mal (http://www.apfelinsel.de/forum/index.php/topic,2780.msg38376.html#msg38376) (ff.). mbs meinte damals, nur Entfernen der Ports wirke.

Eben, es ist eine Hardwaresache. Einzige Idee hätte ich, dass man das im EFI deaktivieren können könnte. In dem Fall könnte man es nicht von extern einfach wieder einschalten. Aber ich habe keine Ahnung, ob derartiges machbar ist.
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Februar 02, 2012, 15:30:48
Habe das nicht so konkret auf diesen Fall bezogen, bzw. vermisch-mascht.

USB ist doch allgemein das beliebteste Einfallstor, soviel ich weiß. Mehr wollte ich nicht sagen.

Diese Lücke funktioniert also nur, wenn der Mac läuft. Dann würde aber doch vielleicht ein Löschen der .kext helfen können, weil ja die Firewire-Anschlüsse vom System so überhaupt nicht erkannt werden. So mein erster Gedanke. Stimmt aber nicht.

Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Februar 02, 2012, 16:00:58
USB ist doch allgemein das beliebteste Einfallstor, soviel ich weiß. Mehr wollte ich nicht sagen.

Da geht es aber um etwas ganz anderes. Über USB kann dann Malware gestartet werden.

Zitat
Diese Lücke funktioniert also nur, wenn der Mac läuft. Dann würde aber doch vielleicht ein Löschen der .kext helfen können, weil ja die Firewire-Anschlüsse vom System so überhaupt nicht erkannt werden. So mein erster Gedanke. Stimmt aber nicht.

Ja stimmt nicht, weil Du hier zwei Sachen vermischst.
- Die Lücke=Feature ist in der Hardware. Die Firewire-Schnittstelle hat auch ohne Hilfe oder laufendes System Zugriff auf das RAM. Dagegen kann der Prozessor und ein evtl. laufendes System nichts tun. Dafür braucht auch ein System nicht laufen. Dafür muss der Computer nur unter Strom sein. Also noch einmal: Über Firewire/Thunderbolt können externe Geräte das RAM auslesen und manipulieren, egal ob und was auf dem System läuft.
- Das zweite ist, dass man seine Daten per FileVault/BitLocker/TrueCrypt vor unbefugtem Zugriff (Diebstahl etc.) sichern möchte. Solange der Rechner ausgeschaltet ist, kann kein Angreifer das entschlüsseln. Auch der Zugriff aufs RAM per Firewire, wenn der Dieb das Gerät einschaltet, ist problemlos, denn das RAM ist leer. Wenn aber der Rechner vom Benutzer gestartet wurde, muss der ja das Kennwort eingegeben und der Schlüssel im RAM rumliegen. Dann(!) kann das RAM per Firewire ausgelesen und der Schlüssel extrahiert werden. Danach kann man die Platte entschlüsseln.

Also:
- Hardware erlaubt ungeprüften Zugriff aufs RAM. Da ist keine kext oder irgendwas im Spiel!
- Nur im laufenden System gibt es ein Problem, weil das ohne Schlüssel im RAM nicht laufen kann.

Schaltest Du die kext aus, kann Dein Rechner nicht mehr auf Firewire zugreifen. Der Schlüssel ist aber trotzdem im RAM und die Firewire-Schnittstelle kann direkt aufs RAM zugreifen.
Titel: Re: Apple und die Sicherheit
Beitrag von: mbs am Februar 04, 2012, 11:02:07
Das grundsätzliche Problem lässt sich in der Tat nicht lösen. Ab Mac OS X 10.7.2 oder höher hat Apple aber ein neues Sicherheits-Feature in den Kernel integriert, der solche Angriffe in vielen Fällen zuverlässig unterbinden kann. Diese Maßnahme besteht darin, dass der DMA-Betrieb der Firewire-Schnittstelle in bestimmten Betriebszuständen hardwaremäßig abgeschaltet wird. Voraussetzung dafür ist:


Außerdem kann man zusätzlich erzwingen, dass das FileVault-Kennwort im Ruhezustand aus dem RAM gelöscht wird, indem man (a) den Standby-Ruhezustand verbietet und sofortigen Hibernate-Ruhezustand ("Safe Sleep") erzwingt und (b) die entsprechene Sicherheitsfunktion einschaltet. Beides wird mit dem Befehl

sudo pmset -a destroyfvkeyonstandby 1 hibernatemode 25
erledigt.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Februar 04, 2012, 14:06:03
Das ist ja interessant, danke.

Wenn der DMA-Modus abgeschaltet ist, dann ist die Übetragung aber wieder langsamer bzw. CPU-intensiver, oder? Das war ja gerade der Sinn von DMA.

  • Verwendung von Mac OS X 10.7.2 oder höher
  • ein Benutzer muss angemeldet sein
  • Schneller Benutzerwechsel muss abgeschaltet sein
  • Bildschirmschoner mit Kennwortschutz muss eingeschaltet sein

- Punkt 1 und 4 sind problemlos. FileVault 2 geht eh nur unter 10.7 und da bei 10.7.0 oder 10.7.1 stehen zu bleiben, ist Quatsch. Auch das Kennwort für den Bildschirmschoner habe ich immer eingeschaltet.
- Punkt 2 ist auch wenig problematisch. Der Rechner ist dann nur die kurze Zeit zwischen Starten und Einloggen angreifbar und da sitzt man eh davor. Bei unbeaufsichtigten Zugang oder Diebstahl ist das auch problemlos.
- Punkt 3 finde ich dagegen extrem schwierig. Ich habe immer den schnellen Benutzerwechsel eingeschaltet. Den wegzulassen empfinde ich als enormen Nachteil.

Ist denn Punkt 3 ein generelles Problem oder kann Apple in dieser Beziehung nachbessern?
Und andere Frage: Wenn anscheinend DMA der Firewire-Schnittstelle per Software deaktivieren kann, könnte man da nicht ein Fremdprogramm für nutzen, es grundsätzlich abzuschalten?
Titel: Re: Apple und die Sicherheit
Beitrag von: mbs am Februar 05, 2012, 11:40:25
Zitat
Wenn der DMA-Modus abgeschaltet ist, dann ist die Übetragung aber wieder langsamer bzw. CPU-intensiver, oder?

Da haben wir uns möglicherweise missverstanden. DMA wird nur während der Zeitdauer abgeschaltet, in der nur ein einziger Benutzer eine Bildschirmsitzung laufen hat und diese Sitzung gerade mit einem Bildschirmschonerkennwort blockiert ist. Soweit ich weiß, wird sofort nach Freigabe des Bildschirms die Schnittstelle wieder normal betrieben. Ansonsten würde das auch dem OHCI-Standard widersprechen. Ich nehme an, dass angeschlossene Firewire-Geräte "denken", der Mac wäre während dieser Zeit in einer Art Ruhezustand.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Februar 05, 2012, 12:19:14
Ah, OK.
D.h. dass man bei längeren Kopieraktionen nicht den Bildschirmschoner anmachen darf/kann?

Nun ja, die Einschränkungen wären für mich problemlos, aber die Einschränkung "nur ein einziger Benutzer eine Bildschirmsitzung laufen hat" ist für mich erheblich. Schade. Vielleicht fällt denen da noch was ein.

Und wie gesagt, wenn scheinbar der DMA-Modus per Software deaktivierbar ist, dann müsste man ja, wenn man Firewire überhaupt nicht benötigt, das abschalten können.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Februar 05, 2012, 14:53:24
Gut dass da was machbar war und dass Apple etwas getan hat. Danke MBS für die Info.

Ich frage mich aber gerade wieso Apple das für den sicherheitsinteressierten Anwender geheim hält? In der Anleitung wird wohl, so wie ich Apple kenne, nix stehen.
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Februar 05, 2012, 22:51:14
In der Tat, wo bekommt man diese Infos ohne Developer-Account her (wenn nicht hier :)). Danke!

Eine Frage hätte ich noch: Bzgl. Thunderbolt hat sich nichts geändert, oder?
Titel: Re: Apple und die Sicherheit
Beitrag von: mbs am Februar 06, 2012, 10:43:55
Über Thunderbolt gibt es im Moment nur Mutmaßungen. Da Thunderbolt ja im Prinzip so etwas wie ein "kompletter PCI-Bus auf einem Draht" ist und es auch einen Thunderbolt-Target-Mode gibt, ist anzunehmen, dass es hier das gleiche Problem gibt.

Da man aber so gut wie keine Thunderbolt-Geräte wirklich kaufen kann ;), ist es aber auch mit passenden Einbruchswerkzeugen und der dazugehörigen Software noch nicht weit her; im Moment jedenfalls.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Februar 18, 2012, 00:25:57
An Apple spokesman said: “We are aware that some third parties are circumventing Safari’s privacy features and we are working to put a stop to it.”:
http://blogs.wsj.com/digits/2012/02/16/how-google-tracked-safari-users/

Betrifft den mobilen wie den Desktop Safari.
Titel: Re: Apple und die Sicherheit
Beitrag von: mbs am Februar 22, 2012, 08:49:34
Da die Probleme mit dem App Sandboxing immer noch nicht gelöst sind (obwohl es in 10.7.3 einige diesbezügliche Änderungen gibt), musste Apple den Termin zur verpflichtenden Einführung im Mac App Store erneut verschieben:

Nun ist der 1. Juni 2012 der Termin, an dem Entwickler neue Apps und Updates für Apps nur noch mit aktivierter Application Sandbox im MAS einreichen dürfen.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am März 02, 2012, 20:45:43
An der SchwachstellenAmpel des Bundesamtes für Sicherheit in der Informationstechnik soll die Software genesen. Bzw. der Endanwender soll einen Zustandsbericht über die Anfälligkeit seiner Software für Schadprogramme bekommen:
https://www.bsi.bund.de/DE/Themen/Cyber-Sicherheit/Gefaerdungslage/Schwachstellenampel/cs_schwachstellenampel_node.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am März 21, 2012, 12:59:40
gefährlich:

   (http://www.golem.de/1203/sp_90664-32553-i.jpg)
http://www.golem.de/news/mac-trojaner-supermodel-als-virustraeger-1203-90664.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am März 29, 2012, 14:29:59
This is one of the few times that we have seen a malicious Office file used to deliver Malware on Mac OS X:
http://labs.alienvault.com/labs/index.php/2012/ms-office-exploit-that-targets-macos-x-seen-in-the-wild-delivers-mac-control-rat/
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am März 30, 2012, 00:20:01
Hier auf deutsch: http://www.heise.de/security/meldung/Gezielte-Angriffe-auf-Mac-Anwender-1486591.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am April 05, 2012, 12:51:38
Die erste relevante Schadsoftware für OS X?

Über eine halbe Million Macs sind befallen:
http://arstechnica.com/apple/news/2012/04/flashback-trojan-reportedly-controls-half-a-million-macs-and-counting.ars

Wer reagierte zu spät (http://www.apfelinsel.de/forum/index.php/topic,5642.0.html)? Apple oder die Nutzer?
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am April 05, 2012, 13:19:58
Wie kann man das denn so genau messen, wenn man nicht selbst das Botnetz betreibt? Experte „Dr.Web“ aus Russland… kommt mir schon sehr hoch vor, wenn man mal bedenkt, dass diese Malware sich nicht selbst weiter verbreitet (oder?).

Oder neutrale Frage: Wie wird eine solche Messung durchgeführt?


Das Apple hier geschlampt hat, ist natürlich nicht zu bestreiten. Bekannte Sicherheitsmängel müssen einfach schnellstens beseitigt werden. 
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am April 05, 2012, 13:35:32
Wer reagierte zu spät (http://www.apfelinsel.de/forum/index.php/topic,5642.0.html)? Apple oder die Nutzer?

Das in dem verlinkten Fall Apple klar zu spät reagiert hat, dürfte klar sein. Allerdings hat das mit dem Botnetz nur am Rande zu tun.
Der Flashback-Trojaner ist bereits seit 2011 im Umlauf und das Ausnutzen der Java-Sicherheitslücke erst seit sehr kurzer Zeit im Gange.

Die überwiegende Zeit vorher war der Flashback Trojaner ein reiner Trojaner, d.h. eine Malware, die ausschließlich den Nutzer austrickst und keinerlei Sicherheitslücken ausnutzt. Die Infektion lief immer so ab: Eine Website präsentierte eine Mitteilung, die exakt wie die von Adobe aussieht, dass ein Update für Flash vorliegt und man dieses installieren soll. Daraufhin starteten die Nutzer dieses vorgebliche Flash-Update, gaben Admin-Kennwort ein und fertig.  Dagegen hilft gar nichts außer, man lässt nur noch signierte Software zu (wie mit Gatekeeper für 10.8 geplant).

Daher auch mein Tipp im anderen Thread: Niemals ein Flashupdate (oder Ähnliches) installieren, wenn eine Website dazu auffordert. Immer bei Adobe direkt herunterladen.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am April 06, 2012, 09:19:07
Nachtrag:
Der Flashback-Trojaner gibt sich zunächst immer als Flash-Update aus, was der Benutzer installieren soll. Wenn der Benutzer es macht, ist die Malware auf dem Rechner.
Allerdings ist damit die Geschichte noch nicht durch. :(
Wenn man das Update ablehnt, was man prinzipiell immer tun sollte, versuchte der Trojaner auch schon in der Vergangenheit sich selber zu installieren, in dem bekannte Sicherheitslücken ausgenutzt wurden. Bis zu der erwähnten Java-Lücke wurden allerdings nur Lücken ausgenutzt, für die schon Patches vorlagen, d.h. ein aktualisiertes System war dann sicher. Bei der Java-Lücke gabe es ein paar Tage, in denen die Lücke ausgenutzt wurde und noch kein Update vor lag.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am April 07, 2012, 18:20:22
Nix aktelles ;):
http://nakedsecurity.sophos.com/2011/10/03/mac-malware-history/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am April 08, 2012, 10:05:17
Experte „Dr.Web“ aus Russland… kommt mir schon sehr hoch vor, wenn man mal bedenkt, dass diese Malware sich nicht selbst weiter verbreitet (oder?).

While we don’t have independent validation, the techniques described by Dr. Web to measure the infection are plausible:
http://www.macworld.com/article/1166254/what_you_need_to_know_about_the_flashback_trojan.html
http://www.securelist.com/en/blog/208193441/Flashfake_Mac_OS_X_botnet_confirmed
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am April 11, 2012, 00:49:14
http://www.appleinsider.com/articles/12/04/10/apple_reportedly_tries_to_shut_down_flashback_discoverers_server.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am April 11, 2012, 15:12:26
Die Äußerungen dieses Forschers klingen teilweise nach FUD. Natürlich ist das jetzt nicht mehr harmlos, und Apple war zu langsam - daran zweifle ich nicht, die Sorglosigkeit vieler Mac-Anwender ist wohl hiermit beendet. Aber an sich hat sich grundsätzlich nichts geändert.

Über 1% aller Macs sollen also betroffen sein. Das kann ich mir nach wie vor nicht vorstellen, würde das doch den Conficker-Wurm übertreffen, und das ist eben ein Wurm. Diesen Trojaner hier muss man sich schon selbst einfangen, er verbreitet sich nicht automatisch weiter (oder irre ich mich?).
Wie viele manipulierten Webseiten wurden denn entdeckt? Wie viele Mac-User surfen auf dubiosen Seiten?


Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am April 13, 2012, 10:30:43
http://www.heise.de/mac-and-i/meldung/Nach-Flashback-Verkauf-von-Mac-Sicherheitssoftware-zieht-an-1519792.html
Titel: Re: Apple und die Sicherheit
Beitrag von: FOX am April 13, 2012, 11:36:38
Apple veröffentlicht Flashback-Entferner

http://www.heise.de/mac-and-i/meldung/Apple-veroeffentlicht-Flashback-Entferner-1520404.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am April 18, 2012, 17:39:41
Na, wenn das mal kein Erfolg bei der Bekämpfung ist… ich glaub's immer noch nicht. Angeblich nur noch 150tausend Infektionen.
http://www.tuaw.com/2012/04/18/flashback-infections-down-from-over-half-a-million-to-under-150/
Titel: Re: Apple und die Sicherheit
Beitrag von: FOX am April 20, 2012, 15:41:42
Bei Heise (http://www.heise.de/mac-and-i/meldung/Kaspersky-Weltweit-nur-noch-30-000-Macs-von-Flashback-infiziert-1544226.html) sinds nur noch 30.000  ;)
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am April 28, 2012, 00:43:53
http://www.heise.de/mac-and-i/meldung/Plattform-unabhaengige-Malware-befaellt-auch-Macs-1557868.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Mai 06, 2012, 19:42:39
With the latest Lion security update, Mac OS X 10.7.3, Apple has accidentally turned on a debug log file outside of the encrypted area that stores the user’s password in clear text:
http://www.zdnet.com/blog/security/apple-security-blunder-exposes-lion-login-passwords-in-clear-text/11963
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Mai 07, 2012, 08:45:33
Ohoh, das ist ein ganz böser Bug...  :o

Soweit ich das verstanden habe, betrifft es zum Glück nicht alle 10.7.3-Installationen. Ich habe es so verstanden:
Wer FileVault vor der Installation von Lion verwendet und dann auf Lion geupdatet hat und weiterhin die alte Version von FileVault (also nur die Verschlüsselung des Home-Ordners) verwendet), der ist betroffen. Alle anderen zum Glück nicht.

Abhilfe und unabhängig von diesem Bug sowieso empfohlen: Wer das alte FileVault unter Lion weiter verwendet, sollte entweder FileVault abschalten oder auf die neue Variante umstellen.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Mai 07, 2012, 10:48:23
Das spricht für eine hanebüchene Qualitätskontrolle. Auch, daß, wie beschrieben, bereits vor 3 Monaten in https://discussions.apple.com darauf hingewiesen wurde. Microsoft ist ein derartiger Lapsus - nach meiner Erinnerung - in den letzten Jahren nicht passiert.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Mai 14, 2012, 19:02:13
Apple lädt Kapersky ein. Was auch immer das konkret heißen mag:
http://m.computing.co.uk/ctg/news/2174190/apple-vulnerable-claims-kaspersky-lab-cto
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Mai 14, 2012, 19:07:45
http://www.computerworld.com/s/article/9226949/Half_of_all_Macs_will_lack_access_to_security_updates_by_summer

Sicherheitstipps für Prä-10.6 Macs:
http://tenfourfox.blogspot.com/2012/05/security-blanket-blues.html

Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Mai 15, 2012, 07:57:19
Jetzt doch - SicherheitsUpdate für 10.5:
http://mobil.maclife.de/mac/software/betriebssystem/apple-veroeffentlicht-sicherheitsupdate-fuer-os-x-leopard
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Mai 15, 2012, 08:59:30
Das ist etwas ganz neues! Ein Sicherheitsupdate für das Vor-Vorgänger-System.
Aber eine gute Sache.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Mai 15, 2012, 09:26:40
Doch nicht ganz so positiv.
Diese beiden Updates für 10.5 sind nur für Intel-Macs und nicht für PPC. D.h. die Rechner, die gar nicht auf 10.6 updaten können, bekommen kein Update! Was ist das denn für ein Unsinn? D.h. für alle PPC-Macs bleibt das Problem bestehen.  >:(
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Mai 15, 2012, 11:03:31
Reale Infektionen von PPC Macs gibt es aber wohl nicht, da Schadsoftware für PPC Mangelware ist und auch keine Neue zu erwarten ist. Flashback z. B. läuft nicht auf PPC Systemen. Siehe meine Links oben.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Mai 15, 2012, 11:15:42
Flashback z. B. läuft nicht auf PPC Systemen. Siehe meine Links oben.

Echt nicht? Ich hatte irgendwo gelesen, dass auch PPC-Macs betroffen wären.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Mai 15, 2012, 13:16:31
Ich hatte es so verstanden: die Sicherheitslücke besteht auf PPC Macs genauso, der eigentlich Schadcode ist Intel only.
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Mai 15, 2012, 15:40:28
Es gibt auch noch ein Update bzgl. veralteter Flash-Versionen (schon bekannt für neuere OSes). Habe ein eigenes Thema aufgemacht:
http://www.apfelinsel.de/forum/index.php/topic,5702.0.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Mai 17, 2012, 14:14:15
Erst wird vom CTO behauptet, Apple habe Hilfe von Kaspersky erbeten. Nachfragen ergeben ein anderes Statement, man habe unabhängig von Apple geprüft. Sehr seriös…
http://www.computing.co.uk/ctg/news/2174190/apple-vulnerable-claims-kaspersky-lab-cto
Zitat
To repeated questions on the relationship with Apple, Grebennikov stated that Apple had invited Kaspersky Lab to work with the company on improving its security, but has since issued a clarification.

Davon abgesehen, weiß er nur, dass OS X „wirklich verwundbar“ ist und anhand der lange nicht gestopften Java-Lücke hat er in wahrscheinlich wochenlanger Forschungsarbeit kombiniert, dass Apple zu langsam reagiert hat.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Mai 17, 2012, 18:03:15
http://iphone.appleinsider.com/articles/12/05/17/users_raise_questions_about_apples_security_after_icloud_hacks.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Mai 21, 2012, 12:31:42
Interview mit MacMark:
http://www.giga.de/unternehmen/apple/news/iphone-ipad-und-mac-die-wahrheit-uber-trojaner-viren-und-co/
http://www.giga.de/unternehmen/apple/news/trojaner-viren-und-co-wie-sicher-sind-iphones-ipads-und-macs-teil-2/
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Mai 22, 2012, 08:22:29
Interessantes Interview, danke.
Giga (macnews.de) habe ich vor einiger Zeit aus meinen Bookmarks entfernt und daher diese Artikel nicht gesehen.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juni 07, 2012, 11:47:49
Apple's iOS Security Guide:
http://images.apple.com/ipad/business/docs/iOS_Security_May12.pdf
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juni 26, 2012, 00:07:47
http://www.computerbase.de/news/2012-06/apples-mac-os-x-offiziell-nicht-mehr-immun-gegen-viren/
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Juni 26, 2012, 07:15:19
http://www.computerbase.de/news/2012-06/apples-mac-os-x-offiziell-nicht-mehr-immun-gegen-viren/

Die Behauptungen von Kaspersky sind wieder einmal sehr reisserisch. Die würden sich gerne ein neues Absatzfeld eröffnen.
"Empfehlung von Antivirenlösungen seitens Apple" - im Ernst: Die Antivirenlösungen, die es für Mac gibt, haben alle nicht vor dem Trojaner helfen können. Dazu kommt, dass die meisten das System einfach nur beschädigen und instabil machen. Der Flaskback-Entferner der Antivirensoftwarehersteller hat sogar erheblichen Schaden angerichtet. Effektiv ist die Antivirensoftware schädlicher als die Viren (die es bis heute noch nicht gibt) selber.
"längerer Support für alte Systeme" - Zusammen mit einer schnelleren Reaktion auf bekannte Lücken wäre dieser Vorschlag wirklich gut.
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Juni 26, 2012, 15:26:52
Mountain Lion aktualisiert sich automatisch, falls Sicherheitsupdates verfügbar sind:
http://www.heise.de/mac-and-i/meldung/Mountain-Lion-Entwicklerversion-mit-neuen-Sicherheitsfunktionen-1625983.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juni 26, 2012, 20:35:28
Die Updates bis einschließlich 10.7 sind also laut Apple "unsicher".  :-\

Wie schreibt Heise so schön "Angaben, was damit konkret gemeint sein könnte, machte der Computerkonzern allerdings nicht"
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Juni 27, 2012, 07:49:24
Die Updates bis einschließlich 10.7 sind also laut Apple "unsicher".  :-\

 ???
Wo liest Du das?
In dem Artikel steht:
Zitat
Außerdem verspricht Apple eine "sicherere Verbindung zu Apples Update-Servern". Genauere Angaben, was damit konkret gemeint sein könnte, machte der Computerkonzern allerdings nicht.

D.h. man könnte daraus folgern, dass Apple die vorhergehende Updatefunktion als unsicherer einstuft. Das ist deutlich etwas anderes als unsicher.

Was Apple überhaupt damit meint, ist völlig unklar.
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Juli 04, 2012, 01:06:15
Ein recht banaler Trojaner (Mailanhang) ist anscheinend als Waffe gegen chinesische Oppositionelle im Einsatz, betrifft Windows, und Macs, Intel und PPC: http://www.macworld.com/article/1167542/trojan_targets_chinese_activists_using_macs.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 12, 2012, 08:24:35
Schädlinge jetzt auch in Multiplattform und PowerPC:
http://www.macworld.com/article/1167637/new_java_malware_affects_macs_running_snow_leopard_and_earlier.html
http://www.viruss.eu/de/security/multi-platform-backdoor-lurks-in-colombian-transport-site/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 18, 2012, 17:42:53
http://m.heise.de/newsticker/meldung/Forscher-kritisieren-PIN-Speicherpraxis-des-iPhone-1643953.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 27, 2012, 16:50:22
Durfte man wirklich mehr erwarten?
http://www.heise.de/security/artikel/Apple-veraeppelt-Black-Hat-Teilnehmer-1654602.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Juli 28, 2012, 13:32:54
Durfte man wirklich mehr erwarten?
http://www.heise.de/security/artikel/Apple-veraeppelt-Black-Hat-Teilnehmer-1654602.html

Naja, dass man von oben herab was vorliest anstatt wenigstens ein paar Diskussionen zu führen oder Fragen zuzulassen… also ich weiß nicht, was das sollte. Da hätten sie es besser ganz sein lassen.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 29, 2012, 08:31:37

http://m.heise.de/security/meldung/EFI-Rootkit-fuer-Macs-demonstriert-1654997.html
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Juli 30, 2012, 08:59:53
Durfte man wirklich mehr erwarten?
http://www.heise.de/security/artikel/Apple-veraeppelt-Black-Hat-Teilnehmer-1654602.html

Wenn man Apple kennt, würde man sagen: Nein. Die haben noch nie offen über internes gesprochen.
Allerdings war es auch Unsinn dort mit einem Vortrag teilzunehmen, denn in der Tat wird dort eben mehr erwartet. Das konnte nur schief gehen. Keine Ahnung, was Apple dazu bewogen hat, dort teilzunehmen. Das Ergebnis hätte ihnen klar sein müssen.

http://m.heise.de/security/meldung/EFI-Rootkit-fuer-Macs-demonstriert-1654997.html

Eine schöne Demonstration der Probleme mit Thunderbolt.
Der Titel "für Macs" ist wieder so gewählt, dass er viele Klicks produziert. Das Problem hat nur insofern etwas mit Macs (oder OS X) zu tun, als dass die verwendete Technologie (Thunderbolt) bei Macs standardmäßig und aktuell am häufigsten eingebaut ist. Es betrifft aber alle Geräte mit EFI und in abgewandelter Form auch mit BIOS.
Das eigentliche Problem, dass dort noch lange vor dem Booten des Betriebssystems ein Treiber aus dem Gerät automatisch geladen und ausgeführt wird, ist ein Feature, dass an vielen Stellen (nicht nur bei Thunderbolt) stattfindet. Der große Unterschied ist, dass in diesem Fall das Gehäuse nicht geöffnet werden muss, sondern sich Sachen auch in externen Geräten (z.B. Beamer) verstecken können. Gruselig.

Erwähnt wird hier explizit nur die PreBoot-Phase, oder? D.h. das Problem ist nicht da, wenn man es erst später anstöpselt? Kann ich mir irgendwie nicht vorstellen, oder doch?
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am August 07, 2012, 14:26:52
Der Technologie-Journalist Mat Honan hat ja ordentliche Schlagzeilen produziert, da er einem „epic hacking“ zum Opfer fiel. Apple und Amazon haben ihren Beitrag geleistet, Apple gab scheinbar tatsächlich telefonisch ein temporäres Passwort an einen Betrüger, der sich als Honan ausgab und behauptete er käme nicht mehr an seinen Account.
http://www.wired.com/gadgetlab/2012/08/apple-amazon-mat-honan-hacking/all/

Das dann auch eigentlich vom Beruf her aufgeklärt sein müssende Menschen sowohl ihre Accounts bei diversen Diensten aneinander hängen als auch keine Backups machen und so quasi ihr ganzes digitale Leben verlieren können, sollte wirklich mal aufrütteln.

a) Regelmäßige Backups sind auch im Cloud-Zeitalter unabdingbar.
b) Verschiedene, sichere Passwörter für jeden einzelnen Dienst. Schlüsselbund und andere Programme machen das sehr einfach.
c) Wenn Diensteanbieter das Passwort per Email zuschicken, ist das schon mal grundsätzlich bedenklich und zeugt nicht von Professionalität. Es sollte nun vom User unbedingt geändert werden - und hoffentlich nicht wieder im Klartext zurückkommen.
d) Emails mit sicherheitskritischen Inhalt gehören eigentlich verschlüsselt. Das ist aber kaum je der Fall, also sollte man diese Emails lokal abspeichern und vom Server löschen.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am August 14, 2012, 18:26:34
Nanu, das iPhone auf einmal sicher?
http://www.technologyreview.com/news/428477/the-iphone-has-passed-a-key-security-threshold/
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am August 15, 2012, 14:33:59
Halte ich für ziemlich verkürzte Darstellung.
Ja, AES ist, wenn die Passphrase lang genug ist, ausreichend sicher. Es kommt aber doch darauf an, wie es implementiert ist. Noch nicht mal die Keychain ist vollständig sicher (http://sit.sit.fraunhofer.de/studies/en/sc-iphone-passwords-faq.pdf) und m.W. findet auch keine Whole Disk Encryption statt, nur Teile werden verschlüsselt. Die sind dann auch sicher, wenn die Passphrase ausreichend ist.

Diese Verschlüsselung gibt es seit iOS 4, auch heute noch wird sie von den allermeisten Apps nicht genutzt. :(


 

Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am August 15, 2012, 15:17:21
Ja, sicherer als das schwächste Glied der Kette kann die Kette nicht sein. Das schwächste Glied in der Kette wohl jedes iPhones (bzw. auch jedes anderen Mobilgeräts) wird in der Praxis immer die Codesperre sein. Die wird kaum je wirklich so komplex gewählt werden, dass sie kryptografischen Anforderungen genügt. Also wird es immer nur darum gehen, den Code der Codesperre zu knacken. Mag sein, dass dazu die 08/15-Forensikabteilung der lokalen Polizei nicht in der Lage ist. Von einem sicheren Gerät zu sprechen ist in meinen Augen aber reinste Augenwischerei.
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am August 16, 2012, 01:00:15
In dem Artikel wird eine sichere Passphrase schon vorausgesetzt. Und der Remote Wipe bei 10 falschen Eingaben aktiviert ist.
Es sieht aber doch leider doch wohl auch so aus, dass man auch an der Code-Sperre vorbei auf gewisse Inhalte Zugriff erlangen kann. So zumindest verstehe ich die Behauptungen in dem Fraunhofer-PDF.
Auch wird in dem Artikel was von Whole Disk Encryption gefaselt, die das iPhone so nicht hat. Finde das irreführend. Zu Ehrenrettung: Recht weit oben steht, es sei wesentlich schwieriger geworden, ein iPhone zu hacken. Nicht, dass es unmöglich wäre.
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am August 16, 2012, 08:30:57
In dem Artikel wird eine sichere Passphrase schon vorausgesetzt.

Ja, nur spielt die für die Verschlüsselung verwendete Passphrase für die Sicherheit eines Mobilgerätes absolut überhaupt keine Rolle, da diese Passphrase ja auf eben diesem Gerät gespeichert sein muss. Der schwächste Punkt ist der Code, mit dem die Passphrase zugänglich wird. Und wer bitteschön definiert auf einem Mobilgerät einen derart umständlich einzugebenden Sperrcode, dass der wirklich genügen würde, um Sicherheit zu bieten?

Zitat
Und der Remote Wipe bei 10 falschen Eingaben aktiviert ist.

Der würde nur dann eine Rolle spielen, wenn der Angrif über das Interface des Mobilgeräts erfolgen muss, sprich kein Dump des Speichermediums möglich ist. Dass daran die 08/15-Forensikabteilung scheitert ist aber noch lange kein Indiz dafür, dass das nicht möglich ist.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am August 16, 2012, 12:58:30
Auch wird in dem Artikel was von Whole Disk Encryption gefaselt, die das iPhone so nicht hat.

Soweit ich weiß, ist der iOS FlashSpeicher schon komplett verschlüsselt. So wird die Fernlöschung realisiert. Es wird nur der Schlüssel gelöscht. Danach hat man nicht auslesbare, da verschlüsselte Daten. Gegen Angriffe nützt diese Verschlüsselung aber wohl sehr wenig. Deswegen gibts eine 2. Verschlüsselung für die Daten einzelner Apps. Mein KenntnissStand ist immer noch dieser:

Ich fasse mal zusammen, mit der Bitte um Korrektur und Ergänzung (für das aktuelle iOS 4.3):

- Der iOS FlashSpeicherInhalt ist komplett verschlüsselt
- notwendig, oder von Apple so gewollt ist diese Verschlüsselung im Wartungsmodus entschlüsselt
- durch eine Sicherheitslücke kann im Wartungsmodus andere Software eingeschleust und ausgeführt werden ohne den Wartungsmodus zu verlassen
- diese Sicherheitslücke liegt außerhalb von iOS und läßt sich nicht? per SoftwareUpdate schließen
- Mit dieser Software läßt sich der Inhalt komplett und unbemerkt auslesen und kopieren, egal wie lang und gut das GeräteKennwort ist
- Mit dieser (oder einer anderen?) Software läßt sich per BruteForce Angriff das GeräteKennwort ermitteln, sofern es kurz genug ist
- Es gibt eine 2. Verschlüsselung für einzelne Apps, innerhalb der kompletten Verschlüsselung des ganzen Flashspeichers
- diese 2. Verschlüsselung benutzt das Gerätekennwort
- ist das Kennwort stark genug, so sind die mit der 2. Verschlüsselungsebene geschützten Inhalte z. Zt. sicher
- die 2. Verschlüsselung wird z. Zt nur von iOS Mail und zwei nicht Apple Apps genutzt
- Der iOS Schlüsselbund nutzt diese 2. Verschlüsselung nicht, gespeicherte Passwörter für Safari, für Mail, fürs WLAN, etc. lassen sich auslesen
- Im iOS Schlüsselbund ist das Gerätekennwort nicht (zumindest nicht im Klartext) gespeichert
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am August 16, 2012, 23:53:03
Und wer bitteschön definiert auf einem Mobilgerät einen derart umständlich einzugebenden Sperrcode, dass der wirklich genügen würde, um Sicherheit zu bieten?

Ich, privat.
In der Firma haben wir sogar die strikte Vorschrift, dies zu tun. Das gilt auch für viele andere Firmen, die ich kenne, endlich greift gesundes Misstrauen um sich, dank zahlreicher Spionagefälle. Der Kriminelle wird sogar recht sicher einen komplizierten Code verwenden, würde ich meinen und seine Handys oft wechseln, und ausschalten, wenn er sie nicht braucht. Würde ich jetzt mal vermuten.
Das manche Anwender es trotzdem nicht tun, ist natürlich leider auch korrekt. :(


Zitat
Der würde nur dann eine Rolle spielen, wenn der Angrif über das Interface des Mobilgeräts erfolgen muss, sprich kein Dump des Speichermediums möglich ist. Dass daran die 08/15-Forensikabteilung scheitert ist aber noch lange kein Indiz dafür, dass das nicht möglich ist.

Ja, meine ich ja auch. Der Artikel ist nicht korrekt.


Soweit ich weiß, ist der iOS FlashSpeicher schon komplett verschlüsselt. So wird die Fernlöschung realisiert. Es wird nur der Schlüssel gelöscht. Danach hat man nicht auslesbare, da verschlüsselte Daten. Gegen Angriffe nützt diese Verschlüsselung aber wohl sehr wenig. Deswegen gibts eine 2. Verschlüsselung für die Daten einzelner Apps. Mein KenntnissStand ist immer noch dieser:

Okay, vielen Dank, das stimmt so - hatte ich vergessen. Aber es ist ja dann doch so, dass mit dem Eingeben des Anmelde-Code alles freigeschaltet wird. Vor den Sperrcode-Umgehungen sind die Daten aber tatsächlich sicher, soweit man auf iOS 5 ist. Sonst nicht!
Hier eine Liste von Data Protection Apps:
http://www.enterpriseios.com/wiki/List_Apps_Support_Apple_Data_Protection
Nach wie vor sehr karg. TBD steht für „To be determined“, also nicht überprüft!
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am August 17, 2012, 07:33:32
Das manche Anwender es trotzdem nicht tun, ist natürlich leider auch korrekt. :(

Nun ja, mein Sperrcode würde den Anforderungen auch nicht genügen. Ich halte es aber nach wie vor sowohl für den sichereren, wie auch für den deutlich komfortableren Weg, auf meinem Handy eben nicht auch noch die kompletten Geheimnisse mit mir herum zu tragen und mich dafür vor jeder Verwendung des Geräts wundtippen zu müssen. Insofern verstehe ich weiterhin nicht, was an der iClouditis so komfortabel sein soll. Dem reichlich selten mal vorkommenden Vorteil, dass ich in einer ausserorderntlichen Situation vielleicht mal ein Dokument benötigen würde, das sich nun eben auf einem Gerät sonstwo befindet, steht doch der deutlich mühsamere ständige Kampf gegenüber, sicherzustellen, dass Privates privat bleibt.
Titel: Re: Apple und die Sicherheit
Beitrag von: fränk am August 17, 2012, 07:46:56
Ich frage mich immer öfter, was denn wohl passiert, wenn mein Handy geklaut wird.
Mein Telefon hat keinerlei Sicherung. Keinen 4-stelligen-Code, keine Möglichkeit es aus der Ferne zu orten und bei meinen Adressen stehen einige „Geheimnisse“.
Sogar meine Firman-Datenbank kann man auf dem iPhone finden.

Aber was macht ein Dieb damit?

Ich gehe fest davon aus, er telefoniert mit dem Ding so lange, bis ich es sperren lasse, dann setzt er es zurück und vertickt es.
Es wird sich doch kaum ein Dieb damit beschäftigen heraus zu finden, welche Worte und Zahlen einen Zugang zu was auch immer sein könnten.

Gibt es denn einen organisierten Weg für ein geklautes Handy, bei dem sich Fachleute intensiv mit den „inneren Werten“ des Geräts befassen?
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am August 17, 2012, 10:00:15
Ich halte es für einen Konstruktionsfehler, daß man Computer und Smartphones immer komplett sperren und entsperren soll. Wetterbericht? > PIN Code, etc. Allein bei den Fotos auf iOS hat der Hersteller es eingesehen, fotografieren geht mittlerweile auch ohne Passwort. Viel praktischer wäre es, man könnte einzelne, vordefinierte (Schlüsselbund) und beliebig ergänzbare "Stellen" per Kennwort schützen: einzelne FotoOrdner, MailOrdner, Notizen. Eben alles was man möchte. Ein Gerät mit privaten Ecken.
Titel: Re: Apple und die Sicherheit
Beitrag von: fränk am August 17, 2012, 13:24:28
Ja, das wäre es!
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am August 17, 2012, 13:50:21
Nun ja, mein Sperrcode würde den Anforderungen auch nicht genügen. Ich halte es aber nach wie vor sowohl für den sichereren, wie auch für den deutlich komfortableren Weg, auf meinem Handy eben nicht auch noch die kompletten Geheimnisse mit mir herum zu tragen und mich dafür vor jeder Verwendung des Geräts wundtippen zu müssen.

Das stimmt natürlich sowieso. Leider spielt sich mittlerweile sehr viel auf Mobilgeräten ab und es wird immer wichtiger, diese noch besser zu schützen als stationäre Rechner eh schon. Der Weisheit letzter Schluss scheint mir das auch nicht.

Zitat
Insofern verstehe ich weiterhin nicht, was an der iClouditis so komfortabel sein soll. Dem reichlich selten mal vorkommenden Vorteil, dass ich in einer ausserorderntlichen Situation vielleicht mal ein Dokument benötigen würde, das sich nun eben auf einem Gerät sonstwo befindet, steht doch der deutlich mühsamere ständige Kampf gegenüber, sicherzustellen, dass Privates privat bleibt.

Es ist schon toll, alles synchron zu haben. Aber mir wäre das privat auch schon zu heikel. Und geschäftlich geht das bei uns gar nicht.
Mir stellt sich auch die grundsätzliche Frage, ob man als Privatmensch wirklich Smartphone, Tablet, Laptop und Desktop - oft noch in mehrfacher Ausführung - zum Glücklichsein braucht. Ob nun synchron oder nicht. Aber das führt wohl jetzt zu weit. :)


fränk:
Ich frage mich immer öfter, was denn wohl passiert, wenn mein Handy geklaut wird.
Mein Telefon hat keinerlei Sicherung. Keinen 4-stelligen-Code, keine Möglichkeit es aus der Ferne zu orten und bei meinen Adressen stehen einige „Geheimnisse“.
Sogar meine Firman-Datenbank kann man auf dem iPhone finden.

Aber was macht ein Dieb damit?

Die allermeisten Diebe sind sicherlich am Gerät interessiert und nicht an den Daten. Die schalten sofort aus und SIM raus, und setzen es zurück.

Zitat
Gibt es denn einen organisierten Weg für ein geklautes Handy, bei dem sich Fachleute intensiv mit den „inneren Werten“ des Geräts befassen?

Aber natürlich. Das sind dann gezielte Diebstähle. Habe hier zwar nur anekdotenhaftes Halbwissen, zumal diese Fälle ja meistens nicht öffentlich gemacht werden. Aber wie sehr die deutsche Industrie, auch kleine Mittelständler, ausspioniert wird, ist ja wirklich kein Geheimnis.
Ob nun vom direkten Konkurrenten hierzulande oder ausländischen Spionen. Und ja, es gibt auch „Dienstleister“, die das für einen erledigen. 
Was nun Dich konkret angeht, kann ich nur generelle Ratschläge geben. :) Man muss sich immer fragen, wie wertvoll die Daten für Andere sein könnten. Schon ein Adressbuch kann äußerst lukrativ sein. Der Gewinn einer Ausschreibung kann u.U. über den Fortbestand einer Firma entscheiden. Gut, wenn man das Angebot der Konkurrenz kennt. Von Bauplänen etc. ganz zu schweigen. Oder man kapert den Email-Account und verschickt Absagen im Namen des Besitzers…
Privat kann man sich auch allerhand Schabernack vorstellen, der den eigenen Ruf womöglich nachhaltig schädigt. Sofern noch möglich. ;)

radneuerfinder:
Eben alles was man möchte. Ein Gerät mit privaten Ecken.

Fürchte nur, das dies wiederum viele User überfordern würde. Auch würde eine solche Implementierung schätzungsweise jede Menge Angriffspunkte bieten… 
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am August 20, 2012, 10:19:58
Ich gebe zu, dass ich auf iPhone und iPad keinen Sperrcode verwende. Ist mir echt zu umständlich. Schon die Eingabe eines 4-Zahlen-Codes.
Tja, wenn einer das Gerät klaut, hat er dann meine Mails, Bookmarks, Termine, Adressen und ToDos. Nicht hat er Kennwörter (sind in 1Password) und Bankdaten (sind in iOutBank). Unangenehm wäre es trotzdem. :(

Ja, so etwas wie radneuerfinder vorschlägt, wäre mir ganz lieb. Nicht nur für einen potentiellen Geräteverlust. Auch schon wenn die Kinder oder Gäste an das Gerät dürfen.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am August 21, 2012, 16:54:26
http://www.heise.de/security/meldung/Multiplattform-Spion-hangelt-sich-auf-Smartphones-und-VMs-1671203.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am September 04, 2012, 09:14:58
http://www.mactechnews.de/news/article/Hacker-erbeuten-12-Millionen-Apple-Geraete-IDs-von-FBI-System-153869.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am September 04, 2012, 15:14:19
Da bleiben viele Fragen!

a) mit welcher Handhabe kommt das FBI an so viele Daten und warum/wozu?
b) Wer hat sie weiter gegeben:Apple, oder Facebook/Twitter/wer auch immer?
c) warum ist dann dieser FBI-Agent so blöd, sie auf einem ungenügend abgesicherten Rechner, der mit dem Internet verbunden ist, zu speichern?
d) Und wer ist betroffen? „Nur“ US-Bürger?

Peinlich für alle Beteiligten ist es auf jeden Fall. Und ein weiterer Anlass darüber nachzudenken, ob man wirklich so viele vermeintlich harmlosen Daten überhaupt erfassen muss. Apple zuallererst.
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am September 04, 2012, 15:50:44
Und ein weiterer Anlass darüber nachzudenken, ob man wirklich so viele vermeintlich harmlosen Daten überhaupt erfassen muss.

Und auch, ob man diese es-ist-ja-so-praktisch-Cloud- und Push-Dienste wirklich nutzen muss.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am September 05, 2012, 07:33:53
Und auch, ob man diese es-ist-ja-so-praktisch-Cloud- und Push-Dienste wirklich nutzen muss.

Richtig. Selbst wenn die Daten nicht wie hier gestohlen und veröffentlicht werden, haben die trotzdem die falschen Leute (kommerzielle Firma wie Apple, FBI...) in der Hand und können die potentiell nutzen.
Und solange die Daten nicht verschlüsselt abgelegt werden und zwar so, dass die schon verschlüsselt den Rechner verlassen und es dort keine Hintertür gibt, möchte ich das nicht benutzen. Daher benutze ich auch iCloud nicht, was sonst praktischer wäre. Viel lieber wäre mir eine Cloud auf dem eigenen selbst kontrollierten Server.
Aktuell nutze ich nur Dropbox für die 1Password-Datei. Ja, Dropbox verschlüsselt auch nicht und ist unsicher. Allerdings ist die 1Password-Datei verschlüsselt und daher problemlos.
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am September 10, 2012, 18:55:43
Sieht fast so aus, als wäre das mit dem Diebstahl von einem FBI-Rechner erfunden. Oder wir haben hier eine Verhüllungsstory.
Apple und das FBI haben dementiert.
Nun meldet sich eine Datensammelfirma, sie will ihre Datensätze eindeutig erkannt und auch einen Diebstahl festgestellt haben.
http://redtape.nbcnews.com/_news/2012/09/10/13781440-exclusive-the-real-source-of-apple-device-ids-leaked-by-anonymous-last-week



 
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am September 15, 2012, 08:58:37
Nanu, das iPhone auf einmal sicher?
http://www.technologyreview.com/news/428477/the-iphone-has-passed-a-key-security-threshold/

Was Bruce Schneier dazu meint: http://www.schneier.com/crypto-gram-1209.html#7
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am September 27, 2012, 14:36:19
iOS 6 stopft eine alte Sicherheitslücke in der ZertifikatsÜberprüfung:
http://www.heise.de/security/artikel/iOS-6-stopft-Konfigurationsloch-1705096.html
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am September 28, 2012, 07:20:17
Das ist schon eine ziemlich peinliche, gefährliche und überflüssige Lücke. Über die hatte die c't auch schon vor längerer Zeit hingewiesen. Jemandem dieses Profil an einem öffentlichen Hotspot unterzujubeln ist ziemlich leicht. Und danach stehen auch verschlüsselte Verbindungen zum Mitlesen offen.

Abgesehen von diesem Bug fand ich den kompletten Artikel damals recht beunruhigend. Ich bin danach dazu übergegangen, nur noch mir persönlich bekannte WLANs zu nutzen und nicht mehr öffentliche.
Titel: Re: Apple und die Sicherheit
Beitrag von: fränk am Oktober 05, 2012, 08:54:54
Apple legt jetzt mit nervigen Frage und Antwortspielchen nach:
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Oktober 05, 2012, 09:22:01
Ja, letzte Tage musste ich auch diese drei Fragen und Antworten eintragen.
Ich mag diese Fragen/Antworten überhaupt nicht, denn:
- Die Antworten auf diese vorgegebenen Fragen kennen auch andere aus meinem Bekanntenkreis bzw. lassen sich teilweise von Fremden ermitteln.
- Trage ich statt der wahren Antwort eine Phantasieantwort ein, damit nur ich die kenne, habe ich diese Phantasieantwort garantiert vergessen, wenn ich sie bräuchte.

Ich bin daher so vorgegangen: Ich habe drei Fragen gewählt und das Antwortfeld jeweils mit einer zufälligen Zeichenkombination ausgefüllt. So wird niemand (noch nicht einmal ich selber) die Antwort geben können.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Oktober 05, 2012, 09:28:53
So habe ichs auch gemacht. Allerdings habe ich von den Antworten ein BildschirmLichtbild erstellt und in meinem Ordner für verschlüsselte Angelegenheiten (http://www.apfelinsel.de/forum/index.php/topic,3605.0.html) gespeichert.
Titel: Re: Apple und die Sicherheit
Beitrag von: fränk am Oktober 05, 2012, 09:43:05
Ich habe gerade so drei Fragen gefunden, die ich vielleicht auch noch in ein paar Jahren beantworten kann.

Es wäre nun schön, wenn ich nicht unnötig von Apple mit diesem neuen Sicherheitsfeature genervt würde.
Leider befürchte ich etwas anderes.
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am Oktober 05, 2012, 10:17:38
Ja, da hat Apple mal wieder unglaublichen Bockmist abgeliefert.  >:(

Davon ausgehend, dass diese dämlichen Fragen nur bei einem allfälligen Zurücksetzen des Accounts via Support benötigt würden, habe ih es kürzlich ähnlich gemacht wie Flieger. (Allerdings war ich etwas weniger höflich und habe nicht zufällige Nummern eingegeben, sondern in nicht ganz netten Worten deutlich gemacht, was ich von solchem Mist halte...) Und nun festgestellt, dass man die Fragen schon dann gestellt erhält, wenn man z.B. sein Kennwort ändern möchte. Ganz grosses Kino, Apple! Jedes meiner unhöflichen Worte war und ist mehr als gerechtfertigt. Allerdings sei hiermit vor Fliegers Methode gewarnt. Ihr zerschiesst so quasi Euren Account.  >:(
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Oktober 05, 2012, 10:30:42
Und nun festgestellt, dass man die Fragen schon dann gestellt erhält, wenn man z.B. sein Kennwort ändern möchte. Ganz grosses Kino, Apple!

Im Ernst?  :o
Das wäre tatsächlich ganz großer Mist.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Oktober 05, 2012, 11:04:48
Das ist wirklich ganz großes Kino!

Unter https://appleid.apple.com kann ich erst nach Beantwortung von zwei Sicherheitsfragen mein Kennwort und die Fragen bearbeiten.

In iTunes scheine ich aber das Kennwort noch ändern zu können. Ich habe es aber nicht probiert. :(
Titel: Re: Apple und die Sicherheit
Beitrag von: fränk am Oktober 05, 2012, 11:41:33
Ich hab's befürchtet.

Und wie oft kann ich bei den Antworten daneben liegen, ohne mich über Tage in Warteschleifen in einer anderen Zeitzone anstellen zu müssen?

War mein erstes Auto ein Käfer oder VW-Käfer oder käfer oder kaefer oder VW oder vw oder vwkäfer..... ich bin froh nun in Sicherheit leben zu können!
Titel: Re: Apple und die Sicherheit
Beitrag von: Ninnth am Oktober 05, 2012, 18:11:32
An: fränk, warlord und MacFlieger

Ich versteh ja euren Verdruß, aber wieso habt ihr nicht anstatt auf den "Weiter" Knopf zu drücken und die 3 Fragen zu beantworten einfach auf den "Jetzt nicht" Knopf gedrückt?

(http://img.skitch.com/20121005-ea4xnypm58aamarfdychxdad47.jpg)


Dann hättet ihr euch vermutlich den ganzen Ärger gespart und alles wäre wie bisher gewohnt weiter gegangen. Ich habe diese Fragen übrigens noch nicht angeboten bekommen. Bin gespannt wann die mal auftauchen auf meinem iPhone.
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am Oktober 05, 2012, 18:28:15
Weil bei mir die Frage nach den Fragen kam, als ich die Kreditkartendaten updaten wollte bzw. musste. Und da hat mir Apple leider keinen Ausweg à la Jetzt nicht geboten. Ich habe da mehrere Runden via Cancel-Button gemacht und überall nach sowas gesucht. Aber nope. Entweder Fragen definieren oder keine Änderung der Kreditkartendaten (und damit künftig nicht mehr bei Apple einkaufen).  >:(
Titel: Re: Apple und die Sicherheit
Beitrag von: fränk am Oktober 05, 2012, 18:34:37
Und ich habe zuerst nicht richtig gelesen und dann bin ich davon ausgegangen, dass es sowieso so kommt, wie warlord es erlebt hat. ;)
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Oktober 05, 2012, 19:42:02
Ich hatte die Abfrage auch nicht unter iOS, sondern auf dem Mac. Entweder in iTunes oder im AppStore.
Und ich hatte leider auch keine andere Wahl als die Fragen zu definieren. :(
Es muss irgendwann beim Download von Updates oder Kauf von Apps (iOS 6 oder MacHeist?) gewesen sein. Ich weiß nicht mehr genau. Eine Änderung in meinen Kontaktdaten habe ich nicht gemacht. Das ist sicher.
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Oktober 10, 2012, 15:54:22
Vor einiger Zeit kaufte sich Apple die Firma Authentec und muss nun feststellen, schweigt aber dazu, dass deren Fingerabdruck-Erkennung eine schwere Sicherheitslücke hat:
http://arstechnica.com/security/2012/10/confirmed-fingerprint-reader-owned-by-apple-exposes-windows-passwords/
Titel: Re: Apple und die Sicherheit
Beitrag von: Ninnth am Oktober 10, 2012, 16:09:11
Vor einiger Zeit kaufte sich Apple die Firma Authentec und muss nun feststellen, schweigt aber dazu, dass deren Fingerabdruck-Erkennung eine schwere Sicherheitslücke hat:
http://arstechnica.com/security/2012/10/confirmed-fingerprint-reader-owned-by-apple-exposes-windows-passwords/

Die Sicherheitslücke betrifft doch Windows und dessen Registry, oder habe ich etwas übersehen? Im Artikel steht nämlich dazu folgendes: "Easily decrypted passwords are stored in one of several registry keys located in HKEY_LOCAL_MACHINE\Software\Virtual Token\Passport\, depending on the application version"

Weiterhin ist zu lesen: "No one has accused Apple of being responsible for the underlying design of fingerprint-reading software."

Als OS X und iOS User sehe ich dem also eher gelassen zu.  :D Es ist zwar richtig dass Apple diese Finger Print Firma aufgekauft hat aber das sicherheitsproblem besteht doch nicht auf Apple Produkten sondern nur unter Windows, dafür ist doch Apple nicht schuld dran wenn es an der Windows Registry liegt, wenn die so einfach auszuspionieren ist.

Kann ich daher nicht ganz nachvollziehen warum du das hier gepostet hast, noch dazu unter dem Titel "Apple und die Sicherheit". Das fällt doch dann wohl eher in die Rubrik "Microsoft und die Sicherheit" oder nicht?  ;)
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Oktober 10, 2012, 16:57:15
Das ist ein Sammelthema, da habe ich es halt reingetan.

Ja, es ist ein Windows-Problem, hätte ich wohl klar schreiben sollen (im Link steht es). Aber doch, dass Problem befindet sich im aufgekauften Programm, Windows ist nicht schuld.
Titel: Re: Apple und die Sicherheit
Beitrag von: Ninnth am Oktober 10, 2012, 17:30:59
Achso, es ist ein Sammelthema, ja dann passt es schon.

Dennoch, selbst wenn es ein Problem im Programm ist so sind OS X Benutzer ja nicht direkt gefährdet, daher also Entwarnung für alle Inselbewohner. Es sei denn jemand nutzt Windows aber das ist ja hier ein Apple-bezogenes Forum, insofern würde ich meinen eher unwahrscheinlich ;)
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am Oktober 10, 2012, 17:57:21
Nun ja, es gab die Upek Protector Suite durchaus auch für den Mac. Ob diese Versionen auch von Sicherheitsproblem geplagt werden, scheint mir bisher nicht geklärt. Von Entwarnung kann IMO nicht die Rede sein. Die Mac-Gemeinde kümmert's einfach nur nicht...   (Und sie ist insofern natürlich weniger betroffen, als Apple selbst bisher keine Fingerprint-Reader eingebaut hat.) Die Probleme mit der Windows-Version sind allerdings bereits seit Anfang September bekannt: http://www.zdnet.com/vendors-biometric-software-compromises-entire-security-model-of-windows-accounts-7000003784/

Edit: Typo
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Oktober 16, 2012, 20:14:44
Sichere Nutzung von Macs unter Apple OS X Mountain Lion - eine Praxisleitfaden vom Bundesamt für Sicherheit in der Informationstechnik (7 Seiten):
https://www.bsi-fuer-buerger.de/SharedDocs/Downloads/DE/BSIFB/Publikationen/BSIe010-Mac_OS_X_Mountain_Lion
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Oktober 17, 2012, 08:50:51
Ich finde diesen Leitfaden wirklich gut gemacht. Hätte ich vom BSI gar nicht erwartet.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Oktober 17, 2012, 14:18:09
In dem Leitfaden wird geraten:
Verwenden Sie neben dem Standard-Benutzerkonto, welches Sie für die tägliche Arbeit verwenden, ein zu­ sätzliches Benutzerkonto, um transaktionsbezogene Aktivitäten wie Online-Banking durchzuführen oder um kritische Daten online zu versenden.

Warum sollte ich mir die Mühe machen? Und was für kritische Daten sind gemeint?
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Oktober 17, 2012, 14:40:25
Bei kritischen Daten ist alles gemeint, was ähnlich brisant wie Online-Banking ist.

Nun ja, bei der Trennung des normalen Arbeitsaccounts von z.B. Online-Banking ist man auch dann beim Banking sicher, wenn man sich doch mal benutzerseitig etwas eingefangen haben sollte. Schadsoftware muss, um systemweit zu wirken, entweder ein echtes Sicherheitsloch von OS X finden oder den Anwender hereinlegen (Trojaner). Solange das nicht passiert, wirkt sich Malware nur auf den jeweiligen Account aus.

Mir ist das bei der aktuellen Bedrohungslage auch zu viel Mühe.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am November 03, 2012, 20:24:12
Und nun festgestellt, dass man die Fragen schon dann gestellt erhält, wenn man z.B. sein Kennwort ändern möchte. Ganz grosses Kino, Apple!

Im Ernst?  :o
Das wäre tatsächlich ganz großer Mist.

Hier steht die Geschichte, der wir die 3 neuen Sicherheitsfragen von Apple zu verdanken haben:
http://www.heise.de/ct/artikel/Risiko-Identitaetsklau-1740579.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Ninnth am November 04, 2012, 04:58:42
Hier steht die Geschichte, der wir die 3 neuen Sicherheitsfragen von Apple zu verdanken haben:
http://www.heise.de/ct/artikel/Risiko-Identitaetsklau-1740579.html

Also ist amazon auch mit dran Schuld weil die die 4 letzten Kreditkarten Nummern offen anzeigen. Hm... Naja und natürlich auf der Betroffene selbst, da er offensichtlich für alles das selbe Passwort benutzt hatte. Ich habe für fast alles was,mit Geld zu tun hat immer ein anderes Passwort und so kann man das Risiko noch etwas verringern falls einem mal so etwas passiert.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am November 04, 2012, 07:53:59
Üble Sache und eine Kombination von unglücklichen Zusammenhängen. Natürlich verstärkt und ermöglicht durch Benutzung von gleichen Kennwörtern.
Ich schließe mich da Ninnth an, ich habe auch für jede Website und Konto ein anderes Kennwort. Und eines, was ich mir selber nie merken kann. Dafür bin ich dann auf eine Software wie 1Password angewiesen. Im Endeffekt muss ich mich dadurch auf deren Können verlassen.  :-[
Titel: Re: Apple und die Sicherheit
Beitrag von: Ninnth am November 04, 2012, 09:13:33
Dafür bin ich dann auf eine Software wie 1Password angewiesen. Im Endeffekt muss ich mich dadurch auf deren Können verlassen.  :-[

Das ist aber immer noch das sicherste was man machen kann. Ich benutze auch 1Password, diese Software hat sich seit Jahren auf dem Markt fest etabliert und man kann ihr vertrauen, dass da nicht alle Passwörter heimlich an den Entwickler gesendet werden, wie vielleicht einige No-Name Konkurrenzprodukte es möglicherweise tun.

Das Schöne an 1Password ist ja, man muss sich wirklich nur noch ein Passwort merken.
Hier sind ein paar Tipps mit denen man, wenn man sie anwendet, im Prinzip absolut sicher ist was Passwörter angeht:

1.) Ganz wichtig! Ich habe dieses Passwort was ich zum Zugang für die 1Password App benutze nirgendwo anders in Benutzung.

2.) Wirklich für JEDE Sache ein anderes Passwort nutzen

3.) Die Passwörter mit Großbuchstaben, Kleinbuchstaben, Zahlen, Sonderzeichen usw. mischen. Innerhalb des Programms gibt es einen Passwort Generator da sollte man drauf achten dass man dort ein sehr starkens und langes Passwort verwendet. Nix ist so schnell geknackt wie kurze Passwörter à la mamma22 oder Vicky95. Man sollte daher solche Passwörter wählen gdjsFR12K9.$%hya_:;+`?widhHRqp dann ist die Wahrscheinlichkeit gering dass das geknackt werden kann

4.) Man sollte keine Angst haben lange komplizierte Passwörter zu  nutzen denn man muss nicht alles immer wieder neu abtippen da 1Password eine Kopier-und-Einfüg Funktion hat. Also immer diese nutzen und letztendlich für iPad und iPhone user....

5.) Nutzt die iPad und iPhone Apps die mit der Mac App synchronisieren. Dadurch kann man überall wenn man im Internet unterwegs ist egal mit welchem Gerät immer neue Passwörter eingeben und wenn man sich irgendwo einloggen will die kopier Funktion nutzen = Aufwand ist gleich Null oder zumindest fast Null.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am November 04, 2012, 09:21:50
Ich mache es ganz genauso. :)
Wobei ich zum Kennwort generieren einen eigenen Generator verwende, der im Ergebnis aber das gleiche macht.

Ergänzend noch zwei Punkte:
6.) Man kann auch andere wichtige Sachen in 1Password speichern. Neben Softwarelizenzen kann man beliebige Infos speichern (z.B. PIN und PUK, WLAN-Kennwörter, Kontonummern und BLZ, selten verwendete PINs z.B. vom Autoradio oder Auto selber)
7.) Man ist im absoluten Notfall nicht auf die Software 1Password (egal ob OS X oder iOS) angewiesen. Solange man die Keychain von 1Password im Zugriff hat, kann man mit jedem beliebigen Betriebssystem und Browser eine Weboberfläche aufrufen, die ähnlich wie die native Anwendung funktioniert und aussieht. Natürlich benötigt man trotzdem das Hauptkennwort. Die Sache ist also sicher, solange man keinen kompromittierten Rechner benutzt.

Mit der Schlüsselbundverwaltung von OS X kann man im Prinzip ähnliche Sachen erreichen und die hatte ich vor der Benutzung von 1Password im Gebrauch. Aber 1Password hat eben einige Vorteile (Punkt 5 und 7).
Titel: Re: Apple und die Sicherheit
Beitrag von: Ninnth am November 04, 2012, 11:42:05
Jepp stimmt! Danke für die Vervollständigungen Punkt 6 und 7
Natürlich ist es auch komfortabler mit dem Programm als mit OS X Keychain und Keychain hat ja auch keine iPhone und iPad Apps die synchronisieren, von daher also 1Password is the way to go! :D
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am November 04, 2012, 14:37:03
Die Geschichte hatte im August schon in diesem Thema verlinkt.
Das Heise die Geschichte jetzt schon aufgreift, muss man wohl unter „besser jetzt als nie“ abheften.  ;)
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am November 11, 2012, 22:34:56
So, jetzt wurde ich auch gezwungen, denn ich wollte eine App runterladen und es kamen immer wieder die drei Fragen. Abbrechen -> kein Laden. Neuer Klick auf Laden -> Passworteingabe -> drei Fragen. Und wieder von vorne…

Bisher konnte ich die Aufforderung zu den Sicherheitsfragen immer wegklicken.
Alles am Mac.

Apple scheint es also wirklich durchsetzen zu wollen.

Was ich kolossal irritierend finde:
Nirgendwo steht was, dass noch eine Verifikation-Mail kommt bzw. das man das noch verifizieren muss.

Nun kommt also eine Mail mit Link, die man nicht erwartet hat. Bei einem Klick auf den Link soll man ID und Passwort eingeben.
Also ganz genau wie bei einer Phishing Mail.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am November 12, 2012, 07:48:28
Tja, ich werde mich wohl in den nächsten Tagen mit dem Support in Verbindung setzen müssen, um die Fragen wieder zurückzusetzen. Ich werde dann zwar auch wieder wirre Zeichenkombinationen als Antwort nehmen, aber diesmal diese auch speichern.  :-\
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am November 12, 2012, 22:06:38
Ich habe gleich einen Screenshot gemacht, den ich sicher nie wieder finde. :)
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am November 13, 2012, 07:51:16
Das kommt dann wie üblich in 1Password. Da kommt mir nichts weg und ich weiß, wo ich schauen muss.
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am November 13, 2012, 14:16:46
Das kommt dann wie üblich in 1Password. Da kommt mir nichts weg und ich weiß, wo ich schauen muss.

Und warum musst Du dann zurücksetzen?
Titel: Re: Apple und die Sicherheit
Beitrag von: fränk am November 13, 2012, 14:51:39
 ;D
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am November 13, 2012, 14:56:54
Und warum musst Du dann zurücksetzen?

Man kriegt die Fragen eben nicht nur gestellt, wenn man das Passwort zurücksetzen muss. Sondern auch schon wenn man es einfach ändern will. Und das kann man ja ab und zu mal wollen oder sollen.
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am November 13, 2012, 15:00:50
Aber weiss eigentlich jemand, wie man eine Apple-ID aufhebt / gänzlich killt?  Habe da dieser Tage nichts dazu gefunden. (Und auch keinen Ort auf Apples Seiten, an dem man diese Frage stellen könnte.)
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am November 13, 2012, 15:08:48
Und warum musst Du dann zurücksetzen?

Weil ich eben bei der Eingabe der Antworten nicht wußte, dass man die in Zukunft braucht und einfach wirre Zeichen getippt und abgeschickt habe. Ich war davon ausgegangen, dass es nur eine Info ist, mit der man das Kennwort zurücksetzen kann, wenn man sein eigenes Kennwort vergessen hat. Das hatte ich für mich ausgeschlossen. Jetzt weiß ich, dass ich diese Fragen doch ab und zu benötige.  :(
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am November 13, 2012, 15:53:39
Aber weiss eigentlich jemand, wie man eine Apple-ID aufhebt / gänzlich killt?  Habe da dieser Tage nichts dazu gefunden. (Und auch keinen Ort auf Apples Seiten, an dem man diese Frage stellen könnte.)

Ja, ich weiß es: Es geht nicht oder höchstens auf direkte Anfrage bei Apple.  >:(
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am November 19, 2012, 14:12:07
Eigentlich keine Meldung wert: Apple hat nach 3 Monaten wieder eine neue Virendefinition für den in OS X eingebauten MalwareSchutz XProtect (http://www.insidemac-blog.de/index.php/apples-neues-xprotect) ausgeliefert:
http://www.intego.com/mac-security-blog/apple-updates-xprotect-malware-definitions-for-latest-imuler-variant/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Dezember 13, 2012, 20:35:52
Wie sieht ein aktueller Mac Trojaner aus?

so:

   (http://cdn.macrumors.com/article-new/2012/12/smssend_trojan.jpg)
http://www.macrumors.com/2012/12/13/apple-quickly-updates-malware-definitions-to-detect-new-sms-scam-trojan/

Wer Xprotect aktivert hat, sollte dieses Fenster aber gar nicht zu Gesicht bekommen.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Dezember 14, 2012, 10:16:25
Schön gemacht der "Grieche". :)
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 11, 2013, 21:45:18
Gefährliche Lücke in Java 7 (http://www.apfelinsel.de/forum/index.php/topic,5678.msg81971.html).

Gefährlich, weil kein Gegenmittel bekannt ist und die Sicherheitslücke bereits fleißig ausgenutzt wird:
http://www.heise.de/security/meldung/Gefaehrliche-Luecke-in-aktueller-Java-Version-1780850.html
http://www.heise.de/security/meldung/BSI-empfiehlt-Deinstallation-von-Java-1782352.html

Apple hat daher - heimlich - auf allen Macs (die per Xprotect (http://www.insidemac-blog.de/index.php/apples-neues-xprotect) ansprechbar sind) Java 7 ausgeknippst:
http://www.macrumors.com/2013/01/11/apple-blocks-java-7-on-os-x-to-address-widespread-security-threat/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 11, 2013, 21:55:34
Obwohl mein Rechner seit mindestens 1 Stunde online ist, sehe ich nichts davon - und ich kann den Haken, weder bei System, noch bei Benutzer, wegklicken ???
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 11, 2013, 21:56:08
P.S.

Und wo schalte ich Java 6 aus ??
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 12, 2013, 00:40:28
http://www.golem.de/news/browser-sicherheit-firefox-deaktiviert-alle-java-plugins-1301-96886.html
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Januar 12, 2013, 08:04:57
Zunächst einmal betrifft die Sicherheitslücke nicht Java selber sondern nur das Java Plugin, also Java im Webbrowser. Man braucht/soll auch nur dieses Java Plugin abschalten. Auch Apple hat nicht Java deaktiviert, sondern nur das Java Plugin.

Java Plugin deaktivieren:
- In den Browsereinstellungen gibt es immer irgendwo einen Punkt, wo man Java im Browser deaktivieren kann (mache ich seit Jahrzehnten so). Bei Safari ist das in "Einstellungen/Sicherheit". Achtung: Nur das Häkchen bei "Java aktivieren" weg machen und nicht bei "JavaScript aktivieren". Letzteres ist etwas völlig anderes.
- Auch eine Möglichkeit wäre, das Plugin in den verschiedenen Ordnern von Library/Internet Plug-Ins zu löschen und den Browser neu zu starten. Das Plugin heißt meist JavaAppletPlugin.plugin o. Ä.
- Für verschiedene Browser hat das BSI auf dieser Seite (https://www.bsi-fuer-buerger.de/ContentBSIFB/WissenswertesHilfreiches/Service/Aktuell/Meldungen/Sicherheitsluecke-in-Java-Version_29082012.html) ganz unten Links zusammen gestellt, wie man jeweils Java im Browser deaktiviert.

Obwohl mein Rechner seit mindestens 1 Stunde online ist, sehe ich nichts davon - und ich kann den Haken, weder bei System, noch bei Benutzer, wegklicken ???

Ist das nicht die generelle Java-Einstellung und nicht die vom Browser-Plugin? Java selber für lokale Programme kann ja aktiv bleiben. Ich benötige das z.B. für ein paar Programme.

OT:
Lustiger finde ich, dass nun von Apple das Java-Plugin gesperrt wurde und auch das BSI empfiehlt das Plugin zu deaktivieren. Ich brauche das Plugin nur noch für einen einzigen Fall einmal in 3 Monaten: die Umsatzsteuervoranmeldung über Elster online. Dafür schalte ich jeweils Java im Browser ein und danach wieder aus. Aktuell muss  ich da nichts machen. Lustig wäre es geworden, wenn es Anfang diesen Monats gewesen wäre. Ich hätte das gar nicht machen können, da das Plugin ja deaktiviert gewesen wäre. Ob das Finanzamt das verstanden hätte?
Schön ist auch, dass das Elster-Applet Zugriff auf die komplette Festplatte fordert und man das erlauben muss.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Januar 13, 2013, 08:42:36
Hat das Deaktivieren des Plugins bei Dir jetzt funktioniert?
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 13, 2013, 11:27:18
Ok, ich glaub ich habs begriffen. Es geht nur um die Java Browser Plugins. Und ja, der "Java Content im Browser" läßt sich deaktivieren. Wobei egal sein müßte wie der Haken in den Java Einstellungen aussieht, Xprotect blockiert die Ausführung von Java 7.10.18b wie eine Schadsoftware.

Lustig für Leute, die ihr HomeOffice nicht mehr betreiben können:
http://www.macuser.de/forum/f8/safari-java-plugin-665827/
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Januar 13, 2013, 11:58:34
Lustig für Leute, die ihr HomeOffice nicht mehr betreiben können:

Ja, mein Beispiel mit dem Finanzamt ist ja ähnlich.
Man sollte mal mit dem Support telefonieren. das letzte mal haben die mir geraten das Häkchen bei "Den Inhalten des Erstellers dieses Zertifikates immer vertrauen" zu setzen... Ja, ne, is klar.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 14, 2013, 21:12:24
Oracle schließt die Lücke im JavaBrowser Plugin durch ein Update für Java 7:
http://www.heise.de/security/meldung/Oracle-patcht-kritische-Java-Luecke-1782915.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 17, 2013, 18:37:29
Wenige Stunden später:
http://www.golem.de/news/java-7-update-11-neuer-java-exploit-offenbar-im-umlauf-1301-96974.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 29, 2013, 19:59:29
Es empfiehlt sich nach wie vor Java im Browser zu deaktivieren:
http://www.heise.de/security/meldung/Neue-Java-Schutzfunktion-bereits-ausgehebelt-1793460.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Februar 01, 2013, 09:20:02
Apple deaktiviert das Java Browser PlugIn erneut:
http://www.maclife.de/mac/software/betriebssystem/apple-blockt-erneut-java-7-web-plug
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Februar 14, 2013, 19:48:38
iOS 6.1: Dem Bericht zufolge lassen sich so nicht nur beliebige Anrufe führen. Ferner können das Adressbuch und die Fotogalerie des iPhone-Besitzers abgerufen werden. Zudem ist der Zugriff auf die Mailbox inklusive aller dort gespeicherten Nachrichten möglich. Andere auf dem iPhone installierte Anwendungen können dagegen nicht geöffnet werden:
http://www.teltarif.de/iphone-ios-sicherheit/news/49995.html
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Februar 15, 2013, 08:51:13
Ohoh, böse Sache.
Scheint so, als ob die bei den Notrufen zu wenig sperren. :(
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Februar 15, 2013, 12:41:23
Funktioniert bei mir nicht. U.U. eine Lokalisierungs-Sache?

Edit: Apple hat den Fehler anerkannt und verspricht eine baldige Behebung:
http://www.heise.de/newsticker/meldung/Apple-kuendigt-Fix-fuer-Passcode-Problem-in-iOS-6-1-und-6-1-1-an-1804156.html
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Februar 16, 2013, 08:00:49
Ich hab es nicht selber ausprobiert, aber wenn Apple das bestätigt, wird es wohl stimmen. :)
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Februar 20, 2013, 06:16:57
Java

die meisten der betroffenen Rechner bei Facebook und Twitter dürften Macs sein:
http://www.giga.de/downloads/java-7/news/java-sicherheitslucke-malware-auf-macs-erkennen-und-beseitigen/

http://www.ios-newz.de/2013/02/19/apple-opfer-eines-hackerangriffs-facebook-auch-betroffen-update-java-plugin-hat-den-hack-ermoglicht/

http://www.macrumors.com/2013/02/19/apple-releases-java-updates-for-os-x-updating-java-se-6-to-1-6-0_41/
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Februar 26, 2013, 12:49:51
iOS 6.1.3 soll die neulich entdeckte Login-Umgehung bald per Button-Druckerei/Notruf ja beenden, da taucht auch schon ein ganz ähnlicher Trick auf:
http://threatpost.com/en_us/blogs/another-iphone-passcode-bypass-vulnerability-discovered-022513

Bn mal gespannt, ob sie das generell in den Griff kriegen oder nur wieder andere Buttons gedrückt werden müssen.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Februar 28, 2013, 17:51:39
Zur Zeit werden offensichtlich mit hohem technischen Aufwand Firmen ausspioniert – und zwar ziemlich egal ob deren Mitarbeiter Windows oder Macs benutzen:
http://www.heise.de/security/artikel/Macs-im-Visier-1807871.html


Mehr Sicherheit - ein eher aussichtsloses (http://www.heise.de/security/meldung/Ist-das-Entwickeln-sicherer-Software-Geldverschwendung-1813564.html) Unterfangen?
Siehe auch:
http://www.apfelinsel.de/forum/index.php/topic,4428.msg84981.html#msg84981
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Februar 28, 2013, 22:46:42
Ein ewiger Kampf, würde ich sagen.

Offensichtlich sind besonders Software-Dinos sehr anfällig, wie ja im anderen Artikel geschildert. Daher nutze ich ab sofort nach Java auch kein Flash mehr im Hauptbrowser. Muss mich nur noch entscheiden, welcher das ist. :)
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am März 09, 2013, 00:44:05
http://appleinsider.com/articles/13/03/08/apple-adds-encryption-to-app-store-connections-addresses-six-month-old-hole
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am März 09, 2013, 15:40:46
Das ist natürlich schon wieder mal heftigst lahmarschig. Und dieser Firma soll man seine private oder gar geschäftliche Korrespondenz u.v.a. über iCloud anvertrauen?

Die dadurch möglich werdende Man-in-the-Middle-Attacke könnte auch hinter vielen Account-Hacks stecken.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am März 12, 2013, 07:21:18
Die dadurch möglich werdende Man-in-the-Middle-Attacke könnte auch hinter vielen Account-Hacks stecken.

Das könnte ich mir gut vorstellen. Würde einiges erklären.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am März 12, 2013, 18:11:49
http://www.mactechnews.de/news/article/Sicherheitsmechanismen-von-iOS-koennten-durch-iOS-Profile-umgangen-werden-155244.html
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am März 13, 2013, 08:50:59
Hmm, das ist doch nichts neues, oder?
Wenn man irgendwelche Profile von einer unbekannten Quelle mit dem roten Hinweis "Nicht überprüft" installiert, dann können dadurch entsprechende falsche Zertifikate installiert werden.
Ist doch unter OS X (oder Windows oder Linux oder...) genauso. Wenn ich da das Zertifikat irgendeines falschen Dienstes bei mir installiere, kann das für böse Zwecke genutzt werden.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am März 20, 2013, 17:02:11
http://www.iphone-ticker.de/passcode-sperre-umgangen-telefon-zugriff-auch-unter-ios-6-1-3-moglich-45117/
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am März 21, 2013, 09:17:30
Peinlich, ja.
Habe ich es richtig verstanden? Mit dieser Methode kann man den Passcode umgehen, um zu telefonieren und auf Fotos und das Adressbuch zuzugreifen? Weiterer Zugriff ist nicht möglich?
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am März 21, 2013, 20:49:58
Dieses Problem bekommen sie wohl nie in den Griff…


Anderes Thema: die Apple ID (iCloud, iTunes usw.) bekommt scheinbar eine Zweifaktoren-Authentifizierung. Nach Eingabe des Passworts soll man einen Pin-Code auf das Gerät geschickt bekommen, der einzugeben ist. Also ähnlich wie beim SMS-Banking.
http://www.tuaw.com/2013/03/21/apple-on-the-verge-of-rolling-out-two-step-verification-for-iclo/
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am März 22, 2013, 08:14:11
Hmm, mal abwarten wie praktisch oder unpraktisch das ganze ist.

Meine Frage dazu:
Wenn man kein iOS-Gerät hat, wohin bekommt man dann seinen Code?

Man soll auch einen längeren Code bekommen, mit dem man sein Konto wieder zurücksetzen kann, falls man das Kennwort vergessen oder alle Geräte verloren haben sollte. Das soll dann diese bekloppten Sicherheitsfragen ersetzen. Vielleicht kann ich meine nicht mehr bekannten Sicherheitsfragen dann doch noch aussitzen. :)
Titel: Re: Apple und die Sicherheit
Beitrag von: mbs am März 22, 2013, 08:35:16
Zitat
Wenn man kein iOS-Gerät hat, wohin bekommt man dann seinen Code?

Das Verfahren ist nicht an iOS-Geräte gebunden. Der Code wird per SMS zugeschickt, egal an welches Gerät.

In den englischsprachigen Ländern ist diese Technik seit gestern in Betrieb, wenn man seine Apple-ID dafür freigeschaltet hat.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am März 22, 2013, 08:51:31
Das Verfahren ist nicht an iOS-Geräte gebunden. Der Code wird per SMS zugeschickt, egal an welches Gerät.

Aha, danke.
D.h. also: man muss Apple eine Mobilfunknummer mitteilen.
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am März 22, 2013, 09:09:41
D.h. also: man muss Apple eine Mobilfunknummer mitteilen.

Das will jetzt mal nicht hoffen.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am März 22, 2013, 09:51:33
Wie sollten die sonst eine SMS schicken?
Titel: Re: Apple und die Sicherheit
Beitrag von: fränk am März 22, 2013, 10:01:45
Spüre ich hier einen Hauch von Misstrauen gegenüber der Datenschutzabteilung bei Apple? ;D
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am März 22, 2013, 10:40:45
Ist doch bei Google bereits so. Oder?
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am März 22, 2013, 12:08:54
Wie sollten die sonst eine SMS schicken?

Die sollen mir gar keine SMS schicken.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am März 23, 2013, 00:51:12
Gegen die neue Bösware für OS X (http://www.apfelinsel.de/forum/index.php/topic,6090.msg):
http://appleinsider.com/articles/13/03/22/apple-updates-xprotectplist-to-block-yontoo
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am März 23, 2013, 00:52:15
EmailAdresse und Geburtsdatum reichen für ein neues Passwort der Apple-ID:
http://appleinsider.com/articles/13/03/22/new-security-hole-allows-for-apple-id-password-reset-using-apples-iforgot-page

UPDATE:
http://www.mactechnews.de/news/article/Apple-schliesst-gefaehrliche-Sicherheitsluecke-beim-Passwort-Reset-155355.html
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am März 23, 2013, 06:52:06
Die sollen mir gar keine SMS schicken.

Das war mir schon klar, aber mbs hat ja geschrieben, dass die Nachricht per SMS kommt. Und somit brauchen die eine Mobilnummer. Es ging weniger um "sollen" sondern darum, wie die das jetzt geplant haben.
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am März 23, 2013, 07:31:11
Die sollen mir gar keine SMS schicken.

Das war mir schon klar, aber mbs hat ja geschrieben, dass die Nachricht per SMS kommt. Und somit brauchen die eine Mobilnummer. Es ging weniger um "sollen" sondern darum, wie die das jetzt geplant haben.

Ja, das ist mir auch klar.  :D  Was ich damit sagen wollte: ich hoffe mal schwer, dass die Nutzung dieses "Sicherheits-Features" nicht zur Pflicht wird.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am April 29, 2013, 15:28:37
... hat Apple sich dazu entschieden, die Sicherheitslücke in Safari nicht zu schließen:
http://www.mactechnews.de/news/article/Sicherheitsluecke-in-Web-Archiven-von-Safari-entdeckt-155623.html
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am April 30, 2013, 07:00:40
Klasse Spruch. <kopfschuettel />
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Mai 10, 2013, 17:25:57
http://www.golem.de/news/polizei-apple-hat-warteliste-fuer-umgehen-der-iphone-verschluesselung-1305-99192.html
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Mai 11, 2013, 07:48:48
Das ganze klingt nach Brute-force und keinem Hintertürchen.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Mai 11, 2013, 10:22:15
Apple führt die die doppelte Authentifizierung auch in Deutschland ein. Wie in den USA optionial:
http://www.heise.de/mac-and-i/meldung/Zwei-Faktor-Authentifizierung-fuer-Apple-ID-kommt-nach-Deutschland-1860676.html
http://support.apple.com/kb/HT5570?viewlocale=de_DE&locale=de_DE
http://www.macstories.net/news/how-to-enable-two-step-verification-for-your-apple-id/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Mai 17, 2013, 19:42:58
Ein Mac Trojaner, der korrekt signiert ist:
http://www.ifun.de/mac-sicherheit-neue-malware-entdeckt-zauberspruch-aktiviert-versteckte-systembefehle-39772/
Titel: Re: Apple und die Sicherheit
Beitrag von: warlord am Mai 17, 2013, 20:51:39
Ein Mac Trojaner, der korrekt signiert ist:
http://www.ifun.de/mac-sicherheit-neue-malware-entdeckt-zauberspruch-aktiviert-versteckte-systembefehle-39772/

Wobei das
Zitat
Insbesondere interessieren uns natürlich die Umstände der durch die Signatur fälschlich vergebenen Unbedenklichkeitsbescheinigung.
natürlich Unsinn im Quadrat ist. Eine Developer ID ist nie und nimmer eine Unbedenklichkeitsbescheinigung. Damit signiert ja nicht Apple. Apple hat eine mit Developer ID signierte Software nie gesehen, geschweige denn auf Unbedenklichkeit untersucht.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Mai 18, 2013, 08:31:14
Und ob das überhaupt ein Trojaner ist, weiß man auch nicht. Das entscheidende dabei ist ja, wie ist es auf den Rechner gekommen?

Ein Programm, dass Screenshots macht und an einen fremden Server verschickt, kann jeder schreiben und mit gültiger Developer ID auch signieren. Das alleine zeichnet zwar Malware aus, aber als Trojaner, Virus und Gefahr für Macs kann man das erst bezeichnen, wenn man etwas über den Verbreitungsweg weiß.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 17, 2013, 10:54:13
http://www.ifun.de/fingierte-fbi-meldung-malware-aergert-mac-besitzer-42998/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 22, 2013, 07:36:58
http://www.ifun.de/apple-entwickler-portal-gehackt-43265/


Ergänzung:
http://www.mactechnews.de/news/article/Sicherheitsexperte-gibt-sich-als-Angreifer-auf-Developer-Connection-zu-erkennen-156254.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Juli 22, 2013, 19:18:23
Auf jeden Fall ist es wohl wieder mal ein nicht aktuelles Server-System… tja.
„In order to prevent a security threat like this from happening again, we’re completely overhauling our developer systems, updating our server software, and rebuilding our entire database. “

http://devimages.apple.com/maintenance/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 23, 2013, 12:23:07
http://www.heise.de/mac-and-i/meldung/Nach-dem-Hack-Apple-Entwicklerbereich-vorerst-weiter-offline-1921908.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 24, 2013, 16:49:58
http://www.ifun.de/neue-malware-schleicht-sich-trickreich-auf-macs-43445/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 25, 2013, 06:34:02
Apple, dies macht die jetzt verschickte Info-Mail deutlich, baut das komplette Online-Angebot [für Entwickler] momentan neu auf und wird die seit knapp sieben Tagen nicht erreichbaren Dienste erst nach und nach wieder ans Netz schalten. Bis alle Services wieder zur Verfügung stehen, informiert eine neue Status-Seite:
https://developer.apple.com/support/system-status/
http://www.iphone-ticker.de/neue-statusseite-informiert-apple-baut-komplett-neue-entwickler-zentrale-51017/
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Juli 25, 2013, 08:00:37
http://www.ifun.de/neue-malware-schleicht-sich-trickreich-auf-macs-43445/

Abgefahrener Trick!
Zum Glück nicht wirklich gefährlich. Denn wer die Meldung wegklickt, ist echt selber Schuld.
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Juli 27, 2013, 14:34:07
Die Developer-Seite ist wieder online:
https://developer.apple.com/
Titel: Re: Apple und die Sicherheit
Beitrag von: Jochen am Juli 27, 2013, 14:49:30
Die Developer-Seite ist wieder online:
https://developer.apple.com/

Es funktioniert wohl noch nicht alles ?

https://developer.apple.com/support/system-status/

Jochen
Titel: Re: Apple und die Sicherheit
Beitrag von: Bonobo am Juli 27, 2013, 20:09:54
Sind aber schon mehr grüne Punkte als letztes Mal, als ich dort schaute.
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am August 24, 2013, 14:43:22
Eine gute Idee/Wunschtraum: Apple als Vorreiter bei der Sicherheit.
http://techpinions.com/the-next-big-trend-security-as-a-service/

Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am August 29, 2013, 15:15:36
http://www.iphone-ticker.de/praeparierte-webseite-laesst-safari-und-imessage-abstuerzen-52849/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am September 20, 2013, 09:56:36
http://www.heise.de/newsticker/meldung/Auch-der-Sperrbildschirm-von-iOS-7-hat-ein-Leck-1962457.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am September 26, 2013, 21:55:55
Wie von Apple angekündigt wurde das Leck in der iOS Sperre zeitnah behoben:
http://www.heise.de/mac-and-i/meldung/Apple-veroeffentlicht-iOS-7-0-2-1968168.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am September 27, 2013, 23:54:42
Kuckuck:
http://www.iphone-ticker.de/sperrbildschirm-fehler-im-video-auch-ios-7-0-2-laesst-sich-austricksen-54750/
Titel: Re: Apple und die Sicherheit
Beitrag von: fränk am September 28, 2013, 08:52:25
Der sollte mal lieber Staub wischen. ;D
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Oktober 05, 2013, 17:18:36
http://www.golem.de/news/sicherheit-in-ios-7-der-loeschbefehl-gegen-diebstaehle-hat-geringe-prioritaet-1310-101977.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Oktober 07, 2013, 21:26:04
Ich war auch leicht schockiert, als ich den Flugmodus im Control Center erblickte.

Schade, aber Apple-typisch, dass man sich das CC nicht selbst zusammenstellen kann.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Oktober 08, 2013, 07:17:07
Da hilft es nur, die beiden Center (von oben und unten) für den Sperrbildschirm zu deaktivieren.
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Oktober 08, 2013, 23:15:19
Eben, was die ganze Sache in die typische Apple-Tragik münden lässt.

Es ist ja schon sehr hilfreich, gerade wenn man einen längeren Code nutzt. Aber ich will eben nur diverse Funktionen und ganz sicher nicht den Flugmodus oder den Kalender… so muss ich also ganz verzichten.
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Oktober 18, 2013, 12:26:35
Apple behauptet, sie könnten iMessages nicht lesen.
Wenig überraschend, stimmt dies so nicht. Da die Nachrichten an Apples Server geschickt werden, könnte jeder Angestellte aus bösem Willen - oder nach Anordnung von Geheimdiensten/Gerichten - ein falsches Zertifikat unterjubeln und somit entschlüsseln. 
http://arstechnica.com/security/2013/10/contrary-to-public-claims-apple-can-read-your-imessages/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Oktober 28, 2013, 08:39:43
Gmail Kontakte Sync:
http://www.heise.de/mac-and-i/meldung/Mountain-Lion-synchronisiert-Kontakte-unverschluesselt-1985530.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Oktober 30, 2013, 16:14:37
http://www.spiegel.de/netzwelt/apps/hrh-sicherheitsluecke-in-ios-apps-a-930778.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Oktober 30, 2013, 18:56:16
Auch hier muss der Angreifer im selben Netz unterwegs sein. I.d.R. wird das ein öffentlicher Hotspot sein.
Dort sollte man sowieso immer höchst vorsichtig sein! Ungesicherte Verbindungen sind eben genau das: ungesichert.

Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Dezember 21, 2013, 13:58:24
http://www.thesafemac.com:

How does Mac OS X protect me? (http://www.thesafemac.com/mmg-builtin/)
How does your Mac NOT protect you? (http://How does your Mac NOT protect you?)
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Dezember 22, 2013, 10:03:58
Der letzte Link geht nicht.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 21, 2014, 23:58:51
http://www.macnotes.de/2014/01/21/phisher-greifen-os-x-gezielt/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 27, 2014, 18:55:42
http://www.ifun.de/studie-bescheinigt-apple-vorbildlichen-umgang-mit-kundenkennwoertern-53921/
Titel: Re: Apple und die Sicherheit
Beitrag von: Quaestor am Februar 03, 2014, 22:45:27
Leute, ich muss jetzt doch mal fragen, wie seht ihr denn das in der Zwischenzeit mit Sicherheitssoftware wie z. B. Virenscanner usw.

Habt ihr so was schon im Einsatz? Oder sagt ihr (wie ich) unnötig?
Hatte vor kurzem einen Scanner drauf von Sophos, der hat, welch Wunder, keinen Virus o. ä. gefunden ...

Werde aber in den nächsten Tagen vielleicht hierzu einen Thread mit ein paar Links zum Thema eröffnen :-)
Titel: Re: Apple und die Sicherheit
Beitrag von: FOX am Februar 03, 2014, 23:42:30
Habe so etwas nicht im Einsatz. Bei ca 50 Macs in 15 Jahren gab's einmal, noch unter Mac OS 9, ein Problem. Lang ist's her  ;)
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Februar 04, 2014, 07:20:40
Ich habe auch keinen Malwarescanner im Einsatz. Es gibt bisher nur eine Handvoll Trojaner, die auf Mitarbeit des Nutzers angewiesen sind. Selbst bei dem einzigen Virus (Flashback), den es mal gab, hätten die vorhandenen Malwarescanner nicht geholfen.
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Februar 04, 2014, 12:40:15
Der beste Schritt zu mehr Sicherheit, scheint mir weniger im Einsatz zu haben.

Also z.B. Flash, Java oder die Steam-App.

Virenscanner braucht man nicht wirklich, höchstens um die Windows-Freunde zu schützen, wenn man was weiterreicht. Dann würde ich ClamXAV empfehlen, weil kostenlos und auch nicht schlechter.
http://www.clamxav.com/
Titel: Re: Apple und die Sicherheit
Beitrag von: Quaestor am Februar 05, 2014, 21:11:56
Naja, ich hatte bisher auch noch nie n Virus. Mein erster Mac war ein IIcx.
Flash is Dreck und JAVA ist deaktiviert.

ClamXav schneidet überall nur mittelmäßig ab, da gibt es wohl andere kostenlose die besser sind.

Was mich irritiert ist, dass Intego oft recht gut abschneidet, siehe hier:
http://www.thesafemac.com/mac-anti-virus-testing-2014/
http://securityspread.com/detection-rate-results/

Wie gesagt, ich hatte noch nie Probleme und was das Entscheidende ist, ich keine keine Antiviren Software, die unbekannte Viren erkennt. Dies schließt auch Viren ein, die nur leicht verändert worden sind.

Die Frage ist halt nur, ob man warten soll bis wirklich mal was passiert oder versucht vorzusorgen.

Zur Zeit tendiere ich zu avast oder Avira. Kombiniert mit Little Snitch. Aber bin auch erst am Anfang meiner Recherche. Vielleicht lese ich auch noch die NSA security guidelines.

Ach genau, und im Zweifel frag ich einfach bei der NSA nach, ob mein System sicher ist ;-)
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Februar 05, 2014, 22:55:55
Clam(X)AV ist vielleicht (!) marginal schwächer in der Erkennung, aber dafür Open-Source und eben kein ressourcenfressendes Feature-Monster.

Ich persönlich hatte es sporadisch im Einsatz, derzeit nutze ich gar keinen Virenscanner.

Little Snitch ist so eine Sache. Was bringt es eigentlich wirklich ausser einer Vielzahl von Meldungen? Die Meinungen gehen auseinander. Für App-süchtige (bin raus aus dieser Phase), die dauernd Programme installieren vielleicht sinnvoller als wenn man immer die gleichen Programme laufen hat. Oder auch nicht, je nach Vertrauen.
Mehr wünschen würde ich mir so etwas für iOS ohne Jailbreak, aber das ist aussichtslos.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Februar 06, 2014, 07:45:24
Little Snitch ist so eine Sache. Was bringt es eigentlich wirklich ausser einer Vielzahl von Meldungen?

Und echte Malware kann auch an diesen PersonalFirewalls vorbei kommunizieren. D.h. die wirklich böse Software bekommt man damit auch nicht mit.
Einziger Vorteil: Man sieht, welche Software offen(!) wann wohin verbindet. Schnell hat man aber auch was falsches geblockt oder muss sich damit beschäftigen.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Februar 17, 2014, 17:03:44
http://m.heise.de/mac-and-i/meldung/Apple-aktualisiert-Leitfaden-zum-Sicheren-Programmieren-2116453.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Hanna am Februar 27, 2014, 03:04:25
Hallo zusammen,

ich mache mir über Apple in Sachen Sicherheit keine Sorgen.
Nichts ist 100 prozentig sicher heutzutage und das Apple alles gibt um den höchsten Sicherheitsstandard zu genügen, ist wohl klar.
Wenn man ins Visier von Kriminellen kommt, hat man so oder so keine Chance dagegen.

Liebe Grüße
Hanna
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Februar 28, 2014, 22:28:10
http://www.heise.de/newsticker/meldung/Kommentar-zur-SSL-Luecke-Apple-muss-besser-werden-und-zwar-flott-2127065.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Mai 27, 2014, 10:32:31
http://www.ifun.de/hacker-sperren-ueber-mein-iphone-suchen-macs-und-ios-geraete-60548/

Update: So bekommt man wieder Zugriff auf sein Gerät, die Daten muss man aber einem Backup entnehmen:
http://support.apple.com/kb/HT1212?viewlocale=de_DE
Titel: Re: Apple und die Sicherheit
Beitrag von: Berndruppert am Juni 08, 2014, 08:41:40
ich mache mir über Apple in Sachen Sicherheit keine Sorgen. Kein System ist perfekt, aber glaube ich, es wird besser.



Edit von MacFlieger: Werbelink entfernt.
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Juni 10, 2014, 00:10:26
Mensch, Bernd. ;D
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juni 18, 2014, 21:18:29
http://www.heise.de/security/meldung/Forensik-Tool-soll-iCloud-Backups-ohne-Passwort-herunterladen-koennen-2233983.html
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Juni 19, 2014, 07:39:39
Naja, auch das ist eigentlich weniger verblüffend als reisserisch.
Es wird zwar nicht das einmalige und geräteunabhängige Passwort benötigt, dafür aber ein egräteabhängiges Token, d.h. quasi auch ein Passwort, aber eben ein ständig wechselndes und gerätebezogenes Passwort. Um an das zu kommen, benötigt man physikalischen Zugriff auf das Gerät.

Und schon ist das ganze nicht mehr so sensationell. Ein Gerät, welches auf einem Server für eine gewisse Zeit eingeloggt bleiben soll, benötigt dafür eben irgendeinen Schlüssel. Entweder das Kennwort selber oder einen zeitlich beschränkten Schlüssel. Dieser muss irgendwie auf dem gerät gespeichert sein und ist somit bei physikalischem Zugriff auch auslesbar. Das ist bei allen Diensten so, nicht nur bei iOS und iCloud-Backup.
Im Web werden solche Daten oft als Cookie hinterlegt (Session-ID) und wenn ich den klaue, kann ich auch alles mögliche machen.

Einzige Abhilfe ist, dass das Kennwort/der Schlüssel bei jeder Transaktion neu eingegeben werden muss. D.h. dann aber auch, kein automatische Backup/Sync/Push/Datenabgleich...
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 05, 2014, 23:44:57
http://www.macnotes.de/2014/07/05/dienstleister-knackt-activation-lock-fuer-150/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 21, 2014, 23:13:27
http://www.heise.de/security/meldung/Sicherheitsforscher-weist-auf-Hintertueren-in-iOS-hin-2263888.html
http://www.zdziarski.com/blog/wp-content/uploads/2014/07/iOS_Backdoors_Attack_Points_Surveillance_Mechanisms.pdf
http://www.iphone-ticker.de/schnueffel-schutz-iphone-gegen-unbefugte-pc-zugriffe-dritter-absichernschnueffel-schutz-iphone-gegen-unbefugte-pc-zugriffe-absichern-68697/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 23, 2014, 12:57:38
http://www.maclife.de/iphone-ipod/software/apple-entmystifiziert-vermeintliche-ios-backdoor
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Juli 23, 2014, 14:00:47
Aber echt, jetzt bin ich gespannt ob da doch noch was dran ist.
Direkter Link zum Supportdokument: http://support.apple.com/kb/HT6331
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Juli 27, 2014, 10:05:58
Tja, so wie ich es sehe, liegt das Problem an dem Punkt, dass man vor dem Zugriff auf einem entsperrten Gerät manuell dem fremden Computer vertrauen muss.

D.h. solange man das Gerät nicht offen an andere weitergibt, ist es eigentlich unproblematisch.
Aber: Genau das kann doch mittlerweile per Zwang bei Grenzkontrollen geschehen, oder?
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am August 03, 2014, 23:05:40
böses USB:
http://www.zeit.de/digital/datenschutz/2014-07/usb-controller-chip-angriff-srlabs/komplettansicht
http://www.heise.de/security/meldung/BadUSB-Wenn-USB-Geraete-boese-werden-2281098.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am August 04, 2014, 14:31:47
USB-Sticks sind in vielen sicherheitsrelevanten Bereichen schon seit Jahren verboten, was die Attacke natürlich nicht unmöglich macht. Ich meine nur, die wissen schon, warum.
Auf Virenfilter konnte man sich nämlich auch bei reinen Softwareattacken nicht verlassen.

Nun also die totale Schutzlosigkeit.

Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am September 01, 2014, 14:13:42
Anders als der direkte Login auf iCloud.com oder in iTunes war Find My iPhone nicht gegen das zufällige Ausprobieren von Hunderten Passwörtern geschützt:
http://www.computerbase.de/2014-09/icloud-hack-sicherheitsluecke-geschlossen-apple/

Warum immer noch diese, nunja, Anfängerfehler?


Ergänzung:
http://www.heise.de/mac-and-i/meldung/Apple-untersucht-moeglichen-iCloud-Hack-2305823.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am September 02, 2014, 14:04:57
Das wäre für Apple schon sehr peinlich. Generell habe ich natürlich Zweifel an Clouds aller Art, wie schon oft gesagt.
Apple schlampig und die Stars naiv…

Heute lese ich, dass man, über Werbung auf der entsprechenden Seite, mit geklauten Nacktphotos von Prominenten an die 50 000 $ am Tag verdienen kann.
Verstehe das nicht! Die meisten Pop-Stars usw. sind doch eh ständig möglichst weitgehend nackt zu sehen, der Rest ist ja wohl auch im Geiste hinzufügbar.
Titel: Re: Apple und die Sicherheit
Beitrag von: Jochen am September 02, 2014, 14:21:23
Das wäre für Apple schon sehr peinlich. Generell habe ich natürlich Zweifel an Clouds aller Art, wie schon oft gesagt.
Apple schlampig und die Stars naiv…

Heute lese ich, dass man, über Werbung auf der entsprechenden Seite, mit geklauten Nacktphotos von Prominenten an die 50 000 $ am Tag verdienen kann.
Verstehe das nicht! Die meisten Pop-Stars usw. sind doch eh ständig möglichst weitgehend nackt zu sehen, der Rest ist ja wohl auch im Geiste hinzufügbar.

Vermutlich geht es jetzt wieder um Schadenersatzansprüche der Stars. Ein cleverer Anwalt wird da schon was finden um den Providern oder auch Apple am Zeugs zu flicken.

Jochen
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am September 03, 2014, 08:58:51
Tja, "The Fappening"...

Warum immer noch diese, nunja, Anfängerfehler?

Richtig, das ist wirklich die Frage und ziemlich peinlich für Apple. Der Schutz gegen Bruteforce-Attacken an anderen Stellen wurde schon länger eingeführt, an dieser Stelle wohl vergessen. Klarer Fehler von Apple und nicht zu entschuldigen.

Inwieweit das aber mit "The Fappening" zu tun hat, ist ziemlich offen.
- Die Bilder sollen wohl nicht alle mit iOS-Geräten gemacht worden sein (auch mit Android etc.), sollen aus unterschiedlichsten Zeitpunkten stammen und ähnliches. Ein bisschen sieht es so aus, als ob da Bilder aus unterschiedlichsten Quellen nun gesammelt erscheinen. Ob und inwieweit iCloud da beteiligt ist, ist völlig offen.
- Falls die aber doch alle aus der iCloud stammen (Fotostreaming) und mit dem oben erwähnten Fehler von Apple per Bruteforce ermittelt wurden, müssen zusätzlich zu dem Apple-Fehler auch noch ziemlich schlechte Kennwörter benutzt worden sein. Sonst wäre Bruteforce nicht erfolgreich gewesen.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am September 03, 2014, 09:02:23
Stellungnahme von Apple:
http://www.apple.com/pr/library/2014/09/02Apple-Media-Advisory.html
via:
http://www.ifun.de/geklaute-nacktfotos-apple-sieht-fehler-nicht-bei-icloud-65581/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am September 03, 2014, 18:54:56
   (http://tctechcrunch2011.files.wordpress.com/2014/09/screen-shot-2014-09-02-at-3-20-56-pm.png)
http://techcrunch.com/2014/09/02/apples-two-factor-authentication-doesnt-protect-icloud-backups-or-photo-streams


http://9to5mac.com/2014/09/03/metadata-analysis-of-leaked-photos-suggest-complete-iphone-backups-obtained

Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am September 04, 2014, 07:03:23
http://techcrunch.com/2014/09/02/apples-two-factor-authentication-doesnt-protect-icloud-backups-or-photo-streams

Wie funktioniert diese 2-Faktor-Authorisierung eigentlich? So wie ich es verstanden habe, bekommt man dann auf ein zweites Gerät z.B. eine SMS und muss dessen Inhalt eingeben?
Hätte man nur ein iPhone und wollte aus dem iCloud Backup wiederherstellen, wie soll das dann gehen?

Zitat
http://9to5mac.com/2014/09/03/metadata-analysis-of-leaked-photos-suggest-complete-iphone-backups-obtained

OK, die Daten scheinen tatsächlich aus der iCloud zu stammen. Zwar nicht aus dem Photostream, aber aus dem Backup.

Für mich zeigt das ganze, unabhängig von Implementierungsschwächen von Apple (kein durchgängiger BruteForce-Schutz), das grundsätzliche Dilemma:
- auch wenn auf Cloudseite alles richtig gemacht wurde, muss man ein vernünftiges Kennwort haben.
- auch wenn man ein vernünftiges Kennwort benutzt, können Daten über Fehler oder Schwächen der iCloud evtl. in falsche Hände geraten.
(- das Geheimdienste ziemlich sicher auch ohne Schwächen oder Lücken Zugriff haben, halte ich für sicher.)

Für mich: Keine Backups oder nicht-öffentliche Daten in eine Cloud. Und da bleibe ich weiter bei.
Titel: Re: Apple und die Sicherheit
Beitrag von: mbs am September 04, 2014, 08:39:01
Hätte man nur ein iPhone und wollte aus dem iCloud Backup wiederherstellen, wie soll das dann gehen?

Ganz einfach: Keine einzige iCloud-Funktion ist mit Zwei-Faktor-Authentifizierung geschützt. Du hast selbst schon ein sehr gutes Beispiel gebracht, warum das in der Praxis auch kaum möglich ist.

Das Gerede über das Zwei-Faktor-Verfahren hat also gar nichts mit dem Problem zu tun, sondern ist reine Propaganda, um von den wahren architekturellen Lücken einer Cloud abzulenken. Wie in der oben zitierten Folie schon ersichtlich, schützt Apple nur die folgenden drei Dinge mit diesem Verfahren:

- Das Ändern der Apple-ID-Kontodaten.
- Der Zugriff auf den App Store von einem vorher nicht benutzten Gerät aus.
- Die Inanspruchnahme von Apple-Support-Leistungen, die an eine Apple-ID geknüpft sind.

Zitat
So wie ich es verstanden habe, bekommt man dann auf ein zweites Gerät z.B. eine SMS und muss dessen Inhalt eingeben?

Soweit ich weiß, muss es kein zweites Gerät sein und eine SMS ist es nur, wenn es nicht anders geht. Ein iPad ohne 3G-Funktion ließe sich per SMS gar nicht erreichen. Für die Übertragung des Zwei-Faktor-Codes wird offenbar eine "Notfall-Push-Nachricht" direkt auf den Lockscreen des Geräts gesendet. Das ist die gleiche Funktion von "Find my Device", mit der man nach einem Diebstahl das Gerät auch abschließen oder fernlöschen kann.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am September 04, 2014, 08:47:25
Das Gerede über das Zwei-Faktor-Verfahren hat also gar nichts mit dem Problem zu tun, sondern ist reine Propaganda, um von den wahren architekturellen Lücken einer Cloud abzulenken.

Danke, damit hast Du meine Meinung zu Clouds an sich gut bestätigt. :)
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am September 04, 2014, 08:52:27
Ja, ein 2. Schloss in der Haustür erhöht durchaus die Sicherheit, ändert aber nichts an der prinzipiellen Konstruktion und Schutzwirkung von Türen und Schlössern.

Wie funktioniert diese 2-Faktor-Authorisierung eigentlich? So wie ich es verstanden habe, bekommt man dann auf ein zweites Gerät z.B. eine SMS und muss dessen Inhalt eingeben?
Hätte man nur ein iPhone und wollte aus dem iCloud Backup wiederherstellen, wie soll das dann gehen?

Angenommen Apple würde auch für den Zugriff auf die Funktion iCloud Backup eine 2-fache Autorisierung verlangen, angenommen jemand hätte Dein Apple-ID Kennwort erraten und möchte Dein iCloud Backup auf seinem Gerät wieder herstellen, dann bekämst Du eine SicherheitsAbfrage auf Dein iPhone. Das hätte im aktuellen PromiFall nach meiner Einschätzung ein "außer Haus" geben der Fotos in den meisten Fällen verhindert = tatsächlicher Sicherheitsgewinn.
Hat der Spion nicht nur den Apple-ID Zugang, sondern auch das iPhone, oder die SIM Karte des iPhone (oder auch sich eine zusätzliche SIMkarte liefern lassen (http://www.zeit.de/digital/datenschutz/2013-10/online-banking-mtan-unsicher)), siehts natürlich schlechter aus. Hier könnte evtl. rechtzeitiges sperren der SIM Karte und der AppleNotfall-Push-Nachrichten helfen. (Ob die Apple Hotline die sperren kann?? Und ob sie das ohne 2 Faktor Autorisierung dürften? :P)
Natürlich kann man auch eine beliebige andere HandyNummer angeben, oder ein anderes iOS Gerät, auf das man dann irgendwie Zugriff hat.

Details:
http://www.macwelt.de/ratgeber/Zwei-Faktor-Authentifizierung-fuer-eine-Apple-ID-einrichten-8585218.html
http://support.apple.com/kb/HT5570?viewlocale=de_DE&locale=en_US
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am September 04, 2014, 09:03:32
Angenommen Apple würde auch für den Zugriff auf die Funktion iCloud Backup eine 2-fache Autorisierung verlangen,

Das würde dann aber auch heissen, dass ich für die Nutzung des Backups mind. ein zweites Gerät benötige, oder?
Und soll diese 2-Faktor Autorisierung dann nur für die Wiederherstellung gelten und nicht für das Backup erstellen selber? Wenn nicht auch das backupen selber so geschützt wird (was nervig wäre), dann könnte man zwar keine fremden Daten erbeuten, aber zerstören, oder?

Verstehe mich nicht falsch, ich habe nichts gegen die 2-Faktor-Authorisierung. Von mir aus können sie das einrichten.
Aber ich halte sie nicht für eine wesentliche Verbesserung, sondern nur für eine geringfügige.
Aber überhaupt nicht für eine Lösung der eigentlichen Cloud-Problematik.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am September 04, 2014, 09:22:46
Da sind wir uns einig. Ich habe versucht das an obigem Beispiel Tür zu veranschaulichen.

Das würde dann aber auch heissen, dass ich für die Nutzung des Backups mind. ein zweites Gerät benötige, oder?

Wenn ich all meine technische Phantasie zusammen nehme, dann halte ich für möglich, daß Apple iPhones (um bei obigem Beispiel zu bleiben) so einrichten könnte, daß eine (Bestätigungs) SMS auch vor einer Wiederherstellung des Geräts angezeigt wird. Die eingelegte SIM Karte wäre quasi das 2. Gerät.
Bei Verlust des iPhones wäre die Schutzwirkung der 2fachen Autorisierung so aber komplett weg. Aber gegen physischen Zugriff sind Daten eh immer schlechter zu schützen. Der Vorteil wäre, daß der weltweite Zugriff übers Internet erschwert wäre. Ein 2. Gerät zu nutzen ist aber natürlich besser.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am September 04, 2014, 09:35:29
Wenn nicht auch das backupen selber so geschützt wird (was nervig wäre), dann könnte man zwar keine fremden Daten erbeuten, aber zerstören, oder?

Dazu hätte ich diese Idee: sobald der rechtmäßige Eigentümer den Datenverlust bemerkt, kann er - sich dann 2fach ausweisend - bei Apple ein Backup seines Backups bekommen.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am September 04, 2014, 10:13:43
Jetzt bin ich perplex. Apple bestätigt, dass sensible Daten nicht in iCloud gehören - durch ein Verbot:
http://www.golem.de/news/regeln-fuer-developer-apple-verbietet-speicherung-von-fitnessdaten-in-icloud-1409-109025.html

Ob das auch für das iCloud Backup gilt? Es wäre dann ja verblüffend unvollständig.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am September 05, 2014, 07:26:49
In einem Interview mit dem Wall Street Journal kündigt Tim Cook umfassenden Verbesserungen am Sicherheitssystem an. Bereits in 2 Wochen sollen Nutzer per eMail oder Push Nachricht informiert werden, wenn:

- restore iCloud data to a new device

Neu, bereits in der Email/PushNachricht werden diese Handlungsoptionen angeboten:

- Passwort der Apple ID ändern
- den Vorfall an Apples Sicherheits Team melden

Emails schickt Apple bereits seit geraumer Zeit bei bestimmten Änderungen, z.B:

- someone tried to change a password
- log in for the first time from an unknown Apple device
- Änderungen der für die Apple ID hinterlegten Telefonnummer.


Darüber hinaus soll die Zwei-Schritt-Authentifizierung ausgeweitet werden:

- für die erstmalige Anmeldung mit einem neuen Gerät soll die Zwei-Schritt-Authentifizierung obligatorisch werden
- Zwei-Schritt-Authentifizierung kann auch für den Zugriff auf iCloud über mobile Geräte eingerichtet werden, iOS 8 vorausgesetzt

http://online.wsj.com/articles/tim-cook-says-apple-to-add-security-alerts-for-icloud-users-1409880977


Kein Wort von Cook zu dem spekulierten Brute Force Angriff. Er sagt lediglich: "none of the Apple IDs and passwords leaked from the company's servers".
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am September 05, 2014, 18:42:51
Das Gerede über das Zwei-Faktor-Verfahren hat also gar nichts mit dem Problem zu tun, sondern ist reine Propaganda, um von den wahren architekturellen Lücken einer Cloud abzulenken.

Danke, damit hast Du meine Meinung zu Clouds an sich gut bestätigt. :)

Ich denke mbs wollte in dieser speziellen Promi-Sache darauf hinweisen, dass das eine Ablenkung ist. Generell sind zwei Faktoren ja wohl schon besser als einer, da sind wir und alle einig, oder?

Clouds finde ich auch zu riskant. Andererseits weiß ich nicht, was für andere das größere Risiko ist:
Alles mit dem iPhone zu verlieren (Familienphotos etc.) oder die Gefahr gehackt zu werden.

Ich gehe nämlich jede Wette ein, dass sehr viele iOS-Nutzer nie lokale Backups anfertigen. Schade natürlich, dass Apple die iCloud bewirbt aber das Lokale eher auf der Abschussliste hat.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am September 08, 2014, 08:58:18
Generell sind zwei Faktoren ja wohl schon besser als einer, da sind wir und alle einig, oder?

Ja, ich habe auch nichts gegen diese Zweifaktor-Authorisierung. Auch der Schutz gegen Bruteforce ist sinnvoll und richtig.

Aber die eigentliche Gefahr bei Benutzung einer Cloud wird damit eben nicht behoben.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am September 11, 2014, 00:20:15
http://www.heise.de/security/meldung/iOS-8-stopft-Hintertueren-weitestgehend-2389447.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am September 19, 2014, 16:00:10
http://www.zeit.de/digital/mobil/2014-09/apple-ios8-sicherheit-polizei
http://www.heise.de/mac-and-i/meldung/Apple-aktiviert-verbesserte-Zwei-Faktor-Authentifizierung-2393808.html

http://www.apple.com/privacy/privacy-built-in/
http://www.apple.com/privacy/manage-your-privacy/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am September 27, 2014, 10:41:34
https://www.mactechnews.de/news/article/FBI-diskutiert-mit-Apple-ueber-Vollverschluesselung-von-iOS-8-159771.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am September 27, 2014, 18:06:32
Die haben ja richtig Schaum vorm Mund.
Genau, Verschlüsselung brauchen nur Terroristen und Pädophile.
Zitat
„Apple wird das Telefon der Wahl für den Pädophilen", ätzte der Chef der Kriminalbeamten bei der Chicagoer Polizei gegenüber der Tageszeitung.
http://www.heise.de/newsticker/meldung/FBI-Chef-kritisiert-Apple-und-Google-wegen-Verschluesselung-2404396.html

Verschwörungstheoretiker sehen das natürlich als große Show.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am September 27, 2014, 21:48:07
Der von Apple beworbene Schutz vor Positionsbestimmung und Verfolgung per eingeschaltetem WLAN ist "in der Praxis zum jetzigen Zeitpunkt sinnfrei" schreibt:
http://www.heise.de/security/meldung/WLAN-Tracking-unter-iOS-8-weiterhin-moeglich-2404719.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Oktober 05, 2014, 17:36:23
http://www.maclife.de/news/os-x-bot-netz-xprotect-findet-loescht-iworm-10058820.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Oktober 05, 2014, 19:41:08
Da gibt es aber andere Infos, dass der Wurm in verschiedenen Ordner sein kann!

http://jacobsalmela.com/roll-defense-mac-backdoor-iworm/

http://arstechnica.com/security/2014/10/reddit-powered-botnet-infected-thousands-of-macs-worldwide/#p3
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Oktober 20, 2014, 17:23:04
Wer versuche, sich aus China bei Apples Online-Speicherdienst iCloud anzumelden, dessen Passwörter seien in Gefahr. Nutzer landen auf einer gefälschten Anmeldeseite und nicht auf offiziellen Apple-Servern.Wird das Passwort eingegeben, erfolge zwar eine Weiterleitung - doch die Passwörter seien dann mitgeschnitten:
http://www.sueddeutsche.de/digital/internetueberwachung-china-faengt-angeblich-apple-passwoerter-ab-1.2181967
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Oktober 20, 2014, 21:23:23
Ich nehme an, dass in China nicht nur Apple betroffen ist. Und auch nicht nur in China.

Schon schlimm, wie sehr das Internet vom Versprechen zur Bedrohung geworden ist.
Titel: Re: Apple und die Sicherheit
Beitrag von: Quaestor am Oktober 21, 2014, 18:34:28
Betrifft zwar nicht direkt Apple, aber vielleicht dennoch interessant:
http://www.heise.de/security/meldung/So-wehren-Sie-Poodle-Angriffe-ab-2424327.html
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Oktober 29, 2014, 07:17:47
Die Postings über das unerwünschte Hochladen von Dateien und Adressen in die iCloud habe ich abgetrennt und nach Software verschoben. Das ist als Einzelthema zu wichtig, als dass es in diesem Thread untergeht.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am November 06, 2014, 19:13:14
http://www.apfelpage.de/2014/11/06/wirelurker-apple-aeussert-sich-zu-ios-malware
http://www.heise.de/newsticker/meldung/WireLurker-zielt-auch-als-Windows-Trojaner-auf-iOS-Geraete-ab-2444686.html
Titel: Re: Apple und die Sicherheit
Beitrag von: various am November 15, 2014, 03:57:44
    We are aware of malicious software available from a download site aimed at users in China, and we’ve blocked the identified apps to prevent them from launching. As always, we recommend that users download and install software from trusted sources
 Dieses Wort kopiert aus diese Artikel:WireLurker: Apple äußert sich zu iOS-Malware (http://www.apfelpage.de/2014/11/06/wirelurker-apple-aeussert-sich-zu-ios-malware/)




Edit: Werbelink entfernt.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Dezember 05, 2014, 20:00:19
http://www.heise.de/security/meldung/OS-X-Yosemite-protokolliert-Eingaben-in-Firefox-und-Thunderbird-2481933.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Dezember 10, 2014, 10:51:59
Kaspersky meldet 1500 neue Malware-Programme für OS X in 2014:
http://www.apfelpage.de/2014/12/10/neun-angriffe-im-jahr-anzahl-der-mac-malware-waechst
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Dezember 10, 2014, 14:42:28
Künstlich inflationierte Zahl, würde ich mal sagen, oder haben wir die alle verpasst?  ;)
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Dezember 10, 2014, 14:49:37
Ich schließe mich der Frage an.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Dezember 17, 2014, 18:28:48
Phone Password Breaker ermöglicht den Over-the-Air-Zugriff auf iCloud-Daten ohne ursprüngliches Apple ID und Passwort. Kennwort-freien Zugang zu iCloud-Daten wird über die Verwendung eines binären Authentifizierungstoken ermöglicht, der aus dem Computer des Benutzers ausgelesen wird.
Die Fähigkeit, Authentifizierungstoken aus dem Computer des Verdächtigen anstelle der Klartext-Anmeldeinformationen zu verwenden, ist von großer Bedeutung für die forensischen Ermittler. Das Authentifizierungstoken wird vom Computer des Verdächtigen erlangt, auf dem iCloud Control Panel installiert ist. Um das Token zu erlangen, muss der Benutzer auf dem iCloud Control Panel auf diesem PC während des Abrufs angemeldet sein.
iCloud Control Panel ist ein integraler Bestandteil von Mac OS-Systemen und kann separat auf Windows-PCs installiert werden. Die meisten Benutzer bleiben in ihrem iCloud Control Panel zur Synchronisierung von Kontakten, Passwörtern (iCloud Keychain), Notizen, Photostream und anderen Arten von Daten angemeldet. All dies bedeutet, dass die Wahrscheinlichkeit, Authentifizierungstoken aus PCs mit installiertem iCloud Control Panel zu erhalten, hoch ist. … Note that there is no email notification sent by Apple when downloading files from iCloud.
...
Access to the second authentication factor such as a trusted device or recovery key is required. Once the secondary authentication step is completed, Phone Password Breaker will save a binary authentication token to bypass manual authentication for subsequent sessions
:
http://www.elcomsoft.de/eppb.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Dezember 30, 2014, 13:29:52
http://www.zeit.de/digital/internet/2014-12/apple-macbook-hack-thunderstrike-31c3
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 09, 2015, 09:50:58
http://m.heise.de/newsticker/meldung/Datenschutzpanne-in-Mac-OS-X-Yosemite-2514198.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Januar 09, 2015, 10:37:04
Und sogar, wenn man die Bilder explizit nicht nachlädt!
das sind so Dinge, die immer mal passieren können, aber eben nicht sollten. Und nicht passieren dürften, wenn Apple es wirklich Ernst meinen würde mit Datenschutz und Sicherheit. 

Betrifft das nur Apple Mail oder auch andere Clients, wenn man diese als Standard-Programm eingestellt hat?
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Januar 10, 2015, 07:46:28
Das ganze hat nichts direkt mit dem Apple Mail, anderen Mailprogramme oder dort gemachten Einstellungen zu tun. Die Mailprogramme und ihre Einstellungen sind hier gar nicht involviert, daher ist es völlig egal, was dort eingestellt ist.

Das ganze passiert bei einer Suche in Spotlight. Seit Yosemite werden nicht nur die Suchergebnisse dargestellt, sondern auch eine Vorschau des Suchergebnisses. Zur Anzeige der Vorschau wird QuickLook benutzt, also das gleiche, was man auch mit der Leertaste im Finder bekommt. Der Fehler ist in dem QuickLook-Modul, welches HTML-Mails bearbeitet. Dieses Modul lädt einfach die Bilder nach. Meiner Meinung nach müsste dann das gleiche Problem auftreten, wenn man sich Mails per Quicklook im Finder (oder anderen Programmen) anzeigen lässt.

Ein Workaround wurde von heise gebastelt:
Workaround gegen Datenschutzpanne in OS X Yosemite (http://www.heise.de/newsticker/meldung/Workaround-gegen-Datenschutzpanne-in-OS-X-Yosemite-2514653.html)
Die ersetzen das normale problembehaftete QuickLook-Modul durch ein eigenes.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 23, 2015, 23:40:29
http://www.ifun.de/apple-ignoriert-hinweise-auf-mehrere-sicherheitsluecken-in-os-x-72142/
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Januar 24, 2015, 14:09:37
Erstaunlich. Peinlich. Schlecht.

So langsam sollte sich Apple mal aufs Wesentliche konzentrieren.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 25, 2015, 16:58:03
Die drei Löcher sollen mit 10.10.2 gestopft werden. Ebenso wie der Thunderstrike (http://www.apfelinsel.de/forum/index.php/topic,2878.msg95452.html#msg95452) Angriff über die Thunderbolt Buchse:
http://www.imore.com/thunderstrike-attack-also-fixed-os-x-10102

Wie man die über ein Betriebssystem Update schließt, würde ich mir aber gerne genauer erklären lassen.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 25, 2015, 17:38:05
Kaspersky meldet 1500 neue Malware-Programme für OS X in 2014:
http://www.apfelpage.de/2014/12/10/neun-angriffe-im-jahr-anzahl-der-mac-malware-waechst

Ich vermute es waren 1500 Schädlinge in 9 Malware Familien.

   OS X:
   (http://www.thesafemac.com/wp-content/uploads/2015/01/Mac_malware_2014_graph.png)
http://www.thesafemac.com/a-look-back-at-the-malware-of-2014/
http://www.macrumors.com/2014/12/09/os-x-malware-kaspersky/

   Windows:
   (http://www.av-test.org/typo3temp/avtestreports/malware-last-10-years_en.png)
http://www.av-test.org/en/statistics/malware
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 25, 2015, 18:07:14
Das habe ich noch nirgends gesehen, ein VergleichsTest der Wirksamkeit von Mac AntiVirensoftware:
http://www.thesafemac.com/mac-anti-virus-testing-2014/

Wobei:
"At this time [January 27th, 2014], there is no known malware capable of infecting a Mac running a properly-updated version of Mac OS X 10.6 or later, with all security settings left at the default."
Titel: Re: Apple und die Sicherheit
Beitrag von: Quaestor am Januar 25, 2015, 19:56:25
http://securityspread.com/S0urce/LatestDetectionRates.pdf
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Februar 13, 2015, 16:03:08
Zweifaktoren-Authentifizierung jetzt auch für Facetime und iMessage möglich:
http://www.heise.de/security/meldung/Apples-FaceTime-und-iMessage-kuenftig-per-Zwei-Faktor-Authentifizierung-gesichert-2548889.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Februar 23, 2015, 11:51:01
National Vulnerability Database (NVD) der US-Regierung: Apples OS X sowie iOS kommen auf deutlich mehr Lücken, auch der Linux-Kernel ist weit vor Windows platziert:
http://winfuture.de/news,85968.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Februar 23, 2015, 22:53:48
Wie wird das denn immer gemessen?
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am März 17, 2015, 18:13:16
Imho werden die von den Herstellern gemeldeten Schwachstellen herangezogen.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am März 17, 2015, 18:13:43
http://www.apfelpage.de/2015/03/17/video-diese-maschine-soll-die-iphone-codesperre-knacken


Update:
http://www.mactechnews.de/news/article/Hacker-Box-kann-iPhone-PIN-erraten-bis-iOS-8-1-0-161009.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am März 19, 2015, 14:03:32
http://www.golem.de/news/sicherheitsluecken-pseudowissenschaftliche-zahlenspiele-1503-113058.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am März 19, 2015, 19:42:43
Genau so hatte ich mir das vorgestellt. Alles Unfug.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am März 20, 2015, 11:40:59
http://www.heise.de/security/meldung/Sicherheitsupdate-fuer-OS-X-Yosemite-behebt-Luecke-im-iCloud-Schluesselbund-2581511.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am April 27, 2015, 19:26:51
http://www.golem.de/news/malware-apples-schutzmechanismen-sind-nahezu-wirkungslos-1504-113743.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Bonobo am April 28, 2015, 01:50:11
Danke, mal wieder!

Nutzt jemand die im letzten Artikel genannten Werkzeuge (KnockKnock, Dylib Hijack Scanner, BlockBlock)? Spricht etwas dagegen, sie zu installieren?
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am April 28, 2015, 07:14:44
Ne, habe ich keine Erfahrung mit.
Titel: Re: Apple und die Sicherheit
Beitrag von: Bonobo am April 28, 2015, 13:57:51
Eine Antwort, die ich bekam, als ich den Golem-Artikels auf G+ teilte (https://plus.google.com/u/0/+ThomasRohde/posts/KaFiyNEBuAf), lautete:
Zitat
Die RSA-Konferenz gilt als üble Schlips-Träger und Schlangenöl-Verkäufer-Veranstaltung.

Der will nur sein Schlangenöl verkaufen.

[..]

arbeiten tut er für Synack, und für die macht er damit Werbung: https://www.synack.com/

Verkäuferei ist nie so straight-forward ;-). Er weist da sicher auf einige konzeptionelle Schwachstellen hin, aber man muss wohl root sein, um die auszunutzen.

Wenn ich aber root bin, kann ich auf iOS aber natürlich eh alles. Insbesondere kann ich Programme launchen, die überhaupt keine Signatur haben, ohne dass iOS meckert. Und diese Malware kann man auch einfach so im Hintergrund als Unix-Dienst laufen lassen, das muss keine sichtbare App sein.

Richtig scary finde ich diese Jailbreaks, die ja auch einfach so aus der Sandbox ausbrechen, und das über Apps, die von Apple approved sind...

http://taig8.net/

Also, wenn sich in einer App im Hintergrund einfach so ein Jailbreak installieren kann - grusel. Wenn man das kombiniert mit Malware, dann kann man ja wohl alles machen.

Finde ich alles zunehmend verwirrend.
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am April 28, 2015, 15:21:20
a) Ja, es braucht anscheinend Root-Rechte
b) Diese Root-Rechte will er sich erschlichen haben
c) Wer Root-Rechte hat, kann eh (fast) alles

Ergo: Die wirkliche Schwachstelle ist die, über die man sich die Root-Rechte erschwindeln kann.

Das mit dem Jailbreak bezieht sich natürlich auf iOS, hatte ich noch nichts davon gehört. Sind die Apps im Appstore? Dann wird Apple sie sicher bald entfernen. Sind sie es nicht, haben aber eine entsprechende Signatur? Selber schuld, wer sich die aufs Handy lädt!
Und mal ehrlich, wer braucht noch einen Jailbreak? Die meisten sinnvollen Erweiterungen hat Apple übernommen. Es geht den meisten um Raubkopien von Apps, die nur ein paar Euro kosten oder um in Multiplayer-Spielen schnell an die beste Burg/Schiff/Armee zu kommen, ohne tuere inApp-Käufe.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Mai 21, 2015, 01:16:23
http://t3n.de/news/apple-safari-sicherheit-ios-os-x-611588/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juni 01, 2015, 23:52:32
EFI Rootkit in vor Mitte/Ende 2014 gebauten Macs "ohne physischen Zugriff" möglich:
http://www.heise.de/security/meldung/Mac-EFI-Luecke-erlaubt-offenbar-Firmware-Modifikation-2672386.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juni 05, 2015, 18:30:48
http://www.apfelpage.de/2015/06/05/kein-zugang-fuer-nsa-edward-snowden-lobt-apples-verschluesselung/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juni 09, 2015, 19:39:21
iOS 9: App online Verbindungen nur mehr ausnahmsweise unverschlüsselt:
http://www.heise.de/mac-and-i/meldung/Apple-will-HTTP-Verbindungen-aufs-Abstellgleis-schicken-2685609.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juni 17, 2015, 23:43:40
Gravierende Sicherheitslücke im OS X Schlüsselbund ermöglicht das Auslesen von Passwörtern:
http://www.golem.de/news/security-zero-days-in-mac-os-x-und-ios-veroeffentlicht-1506-114729.html
http://www.mactechnews.de/news/article/Gefahr-fuer-Kennwoerter-im-Schluesselbund-161631.html

Der OS X Schlüsselbund ist die einzige Elektronik/Software, die ich als Daten- und Passworttresor benutze. Und nun?


Update:
Die Lücken lassen sich offenbar wie folgt ausnutzen. Eine App kann zwar nicht den Inhalt von Einträgen im Schlüsselbund des Betriebssystems auslesen. Möglich ist es aber, dass sie auf die “Whitelist” des Schlüsselbundes kommt; dass das Betriebssystem ihr also quasi vertraut. Hier kann die Malware ins Spiel kommen: Sie kann einen Schlüsselbund-Eintrag überschreiben und sich selbst zusätzlich auf die Whitelist setzen. Wenn der Benutzer in der anderen, zuvor auf der Whitelist befindlichen App dann das Passwort erneut eingeben muss – weil es jetzt einen neuen Schlüsselbund-Eintrag gibt -, erhält auch die Malware Zugriff zu diesem Passwort. Besonders pikant ist, dass sich Malware, die diese Lücke ausnutzen soll, nicht ohne Weiteres erkennen lässt:
http://www.giga.de/downloads/ios-8/news/sicherheitsluecke-in-ios-und-os-x-erlaubt-schluesselbund-zugriff/


Update 2:
Das Hilfsprogramm 1Password mini (https://support.1password.com/guides/mac/1password-mini.html) ist von der Sicherheitslücke betroffen:
https://blog.agilebits.com/2015/06/17/1password-inter-process-communication-discussion/


Update 3: Die Lücke heißt Xara:
http://www.imore.com/depth-look-ios-os-x-xara-vulnerabilities
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juni 22, 2015, 12:32:50
http://www.heise.de/mac-and-i/meldung/Apple-kuendigt-Fix-fuer-XARA-Luecke-in-iOS-und-OS-X-an-2718624.html
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Juni 23, 2015, 07:16:20
Wird ja auch zeit, dass die diese Lücke schliessen.  >:(
Mir ist das echt unverständlich, warum sie solche Sachen nicht schnellstmöglich beheben, wenn die ihnen gemeldet werden. Immer geschieht das erst auf öffentlichen Druck hin.
Titel: Re: Apple und die Sicherheit
Beitrag von: fränk am Juni 23, 2015, 10:05:57
Dann kann ich mir gut vorstellen, was mit den Sicherheitslücken geschieht, die zwar Apple, aber die Öffentlichkeit (noch) nicht kennt.
Titel: Re: Apple und die Sicherheit
Beitrag von: mbs am Juni 23, 2015, 10:41:39
In diesem speziellen Fall geht es ja nicht um eine konkrete Lücke.

Die Sicherheitsforscher haben vier allgemeine Angriffstechniken aufgezeigt, bei denen jede einzelne es erlaubt, dass ein Programm A "unerwartet" an Daten eines Programms B kommt. Der unerwartete Zugriff wird über grundsätzliche Konstruktionsentscheidungen in OS X und iOS möglich, basiert also nicht auf einem direktem Programmierfehler oder ähnlichem.

Vor ein paar Jahren wäre das noch nicht einmal als Sicherheitslücke anerkannt worden, da ja beide Programme A und B vom gleichen Benutzer gestartet worden sind und deshalb prinzipiell auf dessen Daten zugreifen dürfen. Nur weil viele es inzwischen als selbstverständlich ansehen, dass man Programmen die Möglichkeit gibt, Benutzerdaten per Internet unkontrolliert an Dritte zu senden, ist das heutzutage zu einem Problem geworden. Deshalb versucht man, die Programme durch weitere Sicherheitsmaßnahmen auch gegeneinander abzuschotten. Die Techniken dazu sind aber noch so neu und deshalb unausgereift, dass es dabei zu unerwarteten Effekten kommen kann.

Die Sicherheitsforscher haben auf wissenschaftlichem Niveau nachgewiesen, dass man der Aussage "Programme aus dem App Store sind hundertprozentig sicher" nicht trauen kann. Zu Recht muss man kritisieren, wie Apple auf solche Ergebnisse reagiert (oder eher nicht reagiert …).
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juni 23, 2015, 10:56:31
Wie auch immwe Historie und technische Hintergründe sind, ein Missbrauch meiner Schlüsselbundeinträge, noch dazu via InternetFernzugriff, ist die schlimmste Sicherheitsschwachstelle, die ich mir vorstellen kann.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juni 23, 2015, 18:08:12
http://www.heise.de/mac-and-i/meldung/Facebook-Tool-spuert-XARA-Luecken-in-OS-X-auf-2723071.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juni 30, 2015, 21:45:28
http://www.heise.de/mac-and-i/meldung/EFI-Mac-Sicherheits-Update-soll-Firmware-Manipulation-verhindern-2732357.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 28, 2015, 18:21:34
http://www.golem.de/news/security-apples-app-store-als-einfallstor-fuer-schadcode-1507-115466.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am August 03, 2015, 19:56:33
http://www.golem.de/news/thunderbolt-thunderstrike-2-laesst-sich-aus-der-ferne-installieren-1508-115565.html


Schutz erhöhen - Firmware (EFI) Passwort setzten:
https://support.apple.com/de-de/HT204455
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am August 04, 2015, 11:20:59
Eine Sicherheitslücke, die auf einem aktuellen OS X, ohne Admin Rechte, funktioniert und bereits aktiv genutzt wird:
http://www.ifun.de/mac-schwachstelle-erlaubt-malware-installation-ohne-passwort-abfrage-80107/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am August 04, 2015, 20:41:45
http://www.nzz.ch/digital/stefan-esser-apple-os-x-el-capitan-sicherheit-ld.1286
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am August 17, 2015, 15:13:13
http://www.heise.de/security/meldung/Wieder-Root-Luecke-in-OS-X-Yosemite-inklusive-10-10-5-2780509.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Oktober 15, 2015, 18:13:41
2010 bis 2014: 180 Schädlinge für OS X. 2015: 984 Schädlinge - meldet Bit9 laut:
http://winfuture.de/news,89381.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Oktober 21, 2015, 10:27:18
http://www.apfelpage.de/2015/10/21/keine-hintertuer-apple-beteuert-abermals-sicherheit-von-ios
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Oktober 22, 2015, 11:10:38
http://www.mactechnews.de/news/article/Sicherheits-Updates-fuer-EFI-iTunes-Safari-und-OS-X-10-10-und-10-9-162629.html

Wenn man noch mit 10.8 unterwegs ist, ist es sinnvoll einmal von 10.10 zu booten und das Update einzuspielen?
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Oktober 23, 2015, 07:04:09
Ja, würde ich machen.
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Oktober 23, 2015, 17:06:55
Besteht u.U. die Gefahr, dass 10.8 dann nicht mehr bootet?
Ich habe keine Ahnung, aber persönlich würde ich es am Klon ausprobieren.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Oktober 23, 2015, 17:12:38
Ich auch. Aber ein 2. EFI habe ich nicht. ;)
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Oktober 23, 2015, 18:54:44
Äh, ja,  :-[ ich war wohl kurz geistig abwesend.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Oktober 24, 2015, 21:49:23
Bis iOS 7 bekommen US Behörden von Apple aus passwortgeschützten iOS Geräten folgende Inhalte: SMS, iMessage, MMS, photos, videos, contacts, audio recording, and call history:
http://www.apple.com/privacy/docs/legal-process-guidelines-us.pdf

Macs werden in diesem Dokument übrigens mit keinem Wort erwähnt.



Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Oktober 25, 2015, 11:10:23
Bis iOS 7 bekommen US Behörden von Apple aus passwortgeschützten iOS Geräten folgende Inhalte: SMS, iMessage, MMS, photos, videos, contacts, audio recording, and call history:
http://www.apple.com/privacy/docs/legal-process-guidelines-us.pdf

Die wesentliche Aussage ist doch: Ab iOS 8 geht das nicht mehr.

Zitat
Macs werden in diesem Dokument übrigens mit keinem Wort erwähnt.

Macs sind total unsicher.
a) Kann man das Passwort leicht zurücksetzen
b) Kann Apple selbst Firmware-Passwörter aktueller Macs aushebeln/zurücksetzen (https://support.apple.com/en-us/HT203409). Die Tools werden auch die Behörden haben. Auch kann man es anscheinend leicht umgehen (http://osxdaily.com/2015/01/28/forgot-mac-firmware-password-what-now/).

Zu FileVault z.B. hätte ich aber schon gerne was gelesen.

iCloud steht den Behörden selbstverständlich offen.
Titel: Re: Apple und die Sicherheit
Beitrag von: mbs am Oktober 27, 2015, 09:07:22
Zitat
a) Kann man das Passwort leicht zurücksetzen

Das Kennwort, das Du hier meinst, hat aber eine ganz andere Aufgabe, als das unter iOS. Sobald Du auf dem Mac FileVault 2 einschaltest, dürfte jedoch eine ähnlich hohe Sicherheitsstufe erreicht werden.

Zitat
b) Kann Apple selbst Firmware-Passwörter aktueller Macs aushebeln/zurücksetzen

Bei Zugriff auf die Hardware ging das immer schon. Früher halt durch Öffnen des Gehäuses und Ändern der RAM-Konfiguration, heute (bei fest verlöteter Hardware) über eine kryptographische Absicherung des Mainboards, die autorisierte Händler durch eine Anfrage in Cupertino wieder entsperren können. Gäbe es das nicht, müsste man viele Macs verschrotten, wenn der Besitzer das Kennwort vergessen hat.
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Oktober 27, 2015, 14:46:26
Zitat
a) Kann man das Passwort leicht zurücksetzen

Das Kennwort, das Du hier meinst, hat aber eine ganz andere Aufgabe, als das unter iOS. Sobald Du auf dem Mac FileVault 2 einschaltest, dürfte jedoch eine ähnlich hohe Sicherheitsstufe erreicht werden.

Andere Aufgaben: Ja, aber teilweise überschneidend und eben am Mac auch als Zugangssperre.

Zu FileVault hätte ich eben gerne mehr gelesen.
So bietet Apple ja die Möglichkeit, dass Passwort bei ihnen zu speichern, entweder direkt nach Sicherheitsfragen oder über iCloud/Keychain Sync /sicher unsicher). Rücken sie das auch im ersten Fall heraus?
Ich würde sagen ja und so ein Passwort sollte man eh nie herausgeben, aber wird man darüber aufgeklärt?

Zitat
Bei Zugriff auf die Hardware ging das immer schon. Früher halt durch Öffnen des Gehäuses und Ändern der RAM-Konfiguration, heute (bei fest verlöteter Hardware) über eine kryptographische Absicherung des Mainboards, die autorisierte Händler durch eine Anfrage in Cupertino wieder entsperren können. Gäbe es das nicht, müsste man viele Macs verschrotten, wenn der Besitzer das Kennwort vergessen hat.

Also hat man extra wieder etwas gebastelt um den unerwünschten Security-Gewinn durch eingelötete Bauteile wieder zunichte zu machen.
Titel: Re: Apple und die Sicherheit
Beitrag von: mbs am Oktober 27, 2015, 21:05:55
Zitat
So bietet Apple ja die Möglichkeit, dass Passwort bei ihnen zu speichern

Ich glaube nicht, dass das mit dem Benutzerkennwort geht. Man kann sich ab Yosemite höchstens dazu entscheiden, die Anmeldung bei OS X auf die iCloud zu delegieren. In dem Fall überprüft bei vorhandener Internet-Verbindung nicht der lokale Rechner, sondern ein Apple-Server die Anmeldung. Ob das Kennwort dabei tatsächlich jemals an Apple übermittelt wird, ist die Frage. Laut Sicherheitsdokumentation (https://support.apple.com/de-de/HT202303) werden cloud-bezogene Anmeldungen per Token-Austausch realisiert.

Zitat
Also hat man extra wieder etwas gebastelt um den unerwünschten Security-Gewinn durch eingelötete Bauteile wieder zunichte zu machen.

Ja, aber ich fürchte das muss man. Hoffentlich liest hier keiner mit :), aber die Blödheit von Kunden ist nicht zu unterschätzen. Der Aufstand wäre groß, wenn man seinen Computer wegwerfen muss, wenn man ein Kennwort vergessen hat. So etwas wird "gefühlsmäßig" nur bei entsprechend gesicherten Kleingeräten wie Krypto-Festplatten akzeptiert.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Oktober 28, 2015, 07:43:50
Sprecht ihr evtl. aneinander vorbei?
Ich glaube(!), dass es so ist:
- mbs beschreibt, dass man ein Firmware-Kennwort mit physischem Zugriff auf den Rechner auch ohne dessen Kenntnis entfernen kann.
- Bei Benutzung von FileVault bekommt man dann aber immer noch keinen Zugriff auf die Daten.

Ich sehe da tatsächlich auch kein wirkliches Problem. Das heißt doch nur, dass bei vergessenem Firmware-Kennwort (oder im negativen Fall Diebstahl) das Gerät (nicht die Daten!) kein Sondermüll ist, sondern wieder in Funktion gesetzt werden kann.
Anders sehe ich es bei den Daten. Diese dürfen meiner Meinung nach bei Nicht-Kenntnis des FileVault-Kennwortes auf keinen Fall wieder herstellbar sein. Und ich habe bisher noch nicht gehört/gelesen, dass das möglich sei, wenn man nicht den Wiederherstellungsschlüssel bei Apple speichert (was man selbstverständlich nicht tun sollte).
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Oktober 28, 2015, 18:53:54
Ja, ich erwähnte die Möglichkeit, dass FileVault-Passwort Apple in die Hände zu geben. Zu diesem Fakt hätte ich in dem PDF gerne etwas gelesen.

Okay, ich widerrufe:
Macs sind unsicher, ausser man nutzt FileVault und gibt das Passwort niemandem heraus - was wiederum in manchen Staaten zu argen Drangsalierungen führen kann.
Anmelde- und Firmware-Passwort kann man umgehen, wenn man den Mac in Händen hat.

Nun ist es aber so, dass kaum ein Mac-User FileVault nutzt. Also sind Macs praktisch fast immer unsicher. :)

Auf iOS-Geräten, und ab iOS 8, ist dagegen eine Hardware-Verschlüsselung implementiert und Apple kennt den Schlüssel nicht. Das Anmelde-Passwort bzw. der Fingerabdruck sichert das Gerät sehr gut gegen Daten-Einschau. Aber siehe oben… eigentlich müsste man auch den User so verschlüsseln, dass er nicht mehr aussagen kann. ;)
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Oktober 29, 2015, 07:21:46
Die Hardwareverschlüsselung ist quasi das Pendant zu FileVault. Und der Unterschied liegt darin, dass bei iOS die Verschlüsselung automatisch aktiv ist und bei OS X selber aktiviert werden muss.

Du hast sicherlich Recht, dass viele Nutzer FileVault nicht aktiviert haben. Und im Windowsumfeld noch weniger, weil die entsprechende Funktion Bitlocker nur in den höheren Versionen vorhanden ist.
Ich empfehle allen immer FileVault zu aktivieren und daher haben das in meinem Umfeld auch viele. FileVault nutzt aber nur etwas bei guten Kennwörtern.
Titel: Re: Apple und die Sicherheit
Beitrag von: fränk am Oktober 29, 2015, 07:40:38
FileVault nutzt aber nur etwas bei guten Kennwörtern.

Hier rate ich seit Jahren immer wieder zu „mutti“.
Ich hatte mit „mutti“ noch nie irgend welche Probleme.
Titel: Re: Apple und die Sicherheit
Beitrag von: mbs am Oktober 29, 2015, 08:46:47
Ja, ich erwähnte die Möglichkeit, dass FileVault-Passwort Apple in die Hände zu geben.

OK, Du meinst wahrscheinlich nicht die Kennworte (die den Anmeldekennworten derjenigen Benutzer entsprechen, die auf der Berechtigungsliste für die Entschlüsselung der Platte stehen), sondern den FileVault-Wiederherstellungsschlüssel. Das sind verschiedene Dinge, aber beide können zur Entschlüsselung verwendet werden.

Zitat
Nun ist es aber so, dass kaum ein Mac-User FileVault nutzt.

Das würde ich nicht sagen. Aufgrund der vielen Anfragen, die ich dazu bekomme, würde ich vermuten, dass die meisten Benutzer mit mobilen Macs FileVault eingeschaltet haben. Bei stationären Macs ist es in der Tat eher ausgeschaltet, weil da die Diebstahlgefahr geringer ist.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Oktober 29, 2015, 12:35:13
http://t3n.de/news/software-risiken-windows-apple-651590/
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Oktober 30, 2015, 18:37:17
…sondern den FileVault-Wiederherstellungsschlüssel. Das sind verschiedene Dinge, aber beide können zur Entschlüsselung verwendet werden.

Richtig. War wieder mal ungenau in meinen Ergüssen hier.

Zitat
Das würde ich nicht sagen. Aufgrund der vielen Anfragen, die ich dazu bekomme, würde ich vermuten, dass die meisten Benutzer mit mobilen Macs FileVault eingeschaltet haben. Bei stationären Macs ist es in der Tat eher ausgeschaltet, weil da die Diebstahlgefahr geringer ist.

Interessant, hätte ich wirklich nicht gedacht. 
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Oktober 31, 2015, 08:54:00
Auch bei stationären Macs habe ich FileVault eingeschaltet und empfehle das allen. Diebstahl ist da sicherlich weniger wahrscheinlich als bei mobilen Geräten, aber trotzdem auch möglich. Und effektiv stört FileVault beim Arbeiten mit dem Mac überhaupt nicht.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 03, 2016, 11:23:22
http://www.ifun.de/wenig-hilfreich-bei-diebstahl-tastenkuerzel-deaktiviert-meinen-mac-suchen-86620/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 14, 2016, 15:13:55
http://www.mactechnews.de/news/article/OS-X-Luecke-Pornografie-im-Grafikspeicher-163203.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 16, 2016, 21:33:31
http://m.heise.de/mac-and-i/meldung/Sicherheitsforscher-Apples-Gatekeeper-weiterhin-loechrig-3072683.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Februar 03, 2016, 10:17:11
http://www.ifun.de/neue-fachkraefte-an-bord-apple-investiert-in-die-sicherheit-von-os-x-88015/
Titel: Re: Apple und die Sicherheit
Beitrag von: Quaestor am Februar 03, 2016, 23:47:21
Investieren sie darin nicht schon seit gefühlten 5 Jahren?
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Februar 12, 2016, 13:56:50
http://www.heise.de/mac-and-i/meldung/Sparklegate-legt-Finder-Bug-offen-3100117.html
Titel: Re: Apple und die Sicherheit
Beitrag von: FOX am Februar 17, 2016, 19:53:49
Apple - doch nicht evil?
http://www.apple.com/customer-letter/
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Februar 22, 2016, 21:56:21
Die Diskussion um das Terroristen-iPhone habe ich abgetrennt, sie läuft nun unter Apple vs. FBI (http://www.apfelinsel.de/forum/index.php/topic,7043.0.html).
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Februar 22, 2016, 22:16:33
Tja, die Appkontrolle seitens Apple…
http://www.heise.de/mac-and-i/meldung/Sicherheitsforscher-Piraten-App-Store-voruebergehend-in-Apples-App-Store-3113988.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Februar 25, 2016, 23:33:26
Während die Schlacht mit dem FBI tobt, will Apple angeblich iCloud-Backups so gestalten, dass selbst Apple selbst nicht mehr auf sie zugreifen kann. Diese Backups waren schon sehr oft hilfreich für die Behörden.
Andererseits hieße es dann natürlich für viele Kunden, dass sie in die Röhre gucken werden müssten. Denn wie oft ist wohl dieses iCloud-Backup die letzte Hoffnung? Und wie oft vergessen die Leute ihre Passwörter?

http://www.ft.com/cms/s/0%2Fcd295840-db6c-11e5-98fd-06d75973fe09.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am März 07, 2016, 07:36:24
Locky (http://www.heise.de/security/meldung/Krypto-Trojaner-Locky-wuetet-in-Deutschland-Ueber-5000-Infektionen-pro-Stunde-3111774.html) lässt grüssen:
http://www.macprime.ch/news/article/erste-ransomware-fuer-os-x-mit-bittorrent-client-transmission-verteilt
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am März 22, 2016, 20:47:37
http://m.heise.de/newsticker/meldung/iMessage-Sicherheitsluecke-offenbart-Fehler-in-Apples-Krypto-Infrastruktur-3147592.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am März 30, 2016, 22:23:54
http://www.heise.de/security/meldung/System-Integrity-Protection-Apples-rootfreie-Zone-ist-gar-nicht-so-rootfrei-3157130.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am April 13, 2016, 19:05:20
Wer sein iPad noch nicht auf 9.3.1 aktualisiert hat, ist in fremden Netzen bedroht vom Datums-Bug. Damit kann man iPads bis zur Wiederherstellung ausser Gefecht setzen. iPhones eher nicht.
http://www.heise.de/newsticker/meldung/Sicherheitsforscher-Timeserver-Spoof-schickt-iPad-ins-Koma-3173229.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juni 02, 2016, 17:54:18
http://www.heise.de/mac-and-i/artikel/Sollte-Apple-OS-X-abschotten-wie-iOS-3212694.html?
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juni 22, 2016, 18:26:50
http://www.heise.de/mac-and-i/meldung/iOS-10-Apple-laesst-Kernel-unverschluesselt-3246236.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juni 23, 2016, 11:06:50
http://www.maclife.de/news/ios-10-kernel-absicht-nicht-verschluesselt-10079250.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Juni 23, 2016, 17:38:20
Die Meldungen sprachen alle vom Kernel, Apple vom Kernel Cache.
Ist das im Endeffekt egal?
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 05, 2016, 15:49:59
http://www.mactechnews.de/news/article/Wie-viel-kostet-ein-iPhone-Hack-164531.html

Und wie viel kostet ein Mac-Hack?
Titel: Re: Apple und die Sicherheit
Beitrag von: Quaestor am Juli 05, 2016, 18:22:41
Musst ins Darknet gehen und fragen ;)
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Juli 07, 2016, 13:39:09
Neben Easydoc auch andere Malware
http://arstechnica.com/security/2016/07/after-hiatus-in-the-wild-mac-backdoors-are-suddenly-back/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 08, 2016, 10:15:11
http://www.maclife.de/news/apples-gatekeeper-schuetzt-mac-vor-neuer-malware-10079874.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Quaestor am Juli 08, 2016, 23:43:04
Ja, die Zeiten sind langsam vorbei, wo man als Mac-User jeden Anhang öffnen konnte
Titel: Re: Apple und die Sicherheit
Beitrag von: Quaestor am Juli 15, 2016, 18:32:36
Hier ein ziemlich guter Artikel über Viren und Scanner. Sinn oder Unsinn.
http://www.apfelwerk.de/2016/05/konsequente-sicherheit-am-mac/

Meinen Virenscanner lasse ich aber trotzdem installiert ;)
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am August 05, 2016, 09:51:11
Erstmalig Bountys von Apple:
http://www.heise.de/mac-and-i/meldung/Bug-Bounty-Programm-Auch-Apple-will-fuer-Sicherheitsluecken-zahlen-3288707.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am August 13, 2016, 15:10:17
http://www.heise.de/security/meldung/iOS-Sicherheit-Apples-Black-Hat-Praesentation-nennt-Details-3294116.html
https://www.youtube.com/watch?v=BLGFriOKz6U
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am August 15, 2016, 21:02:10
http://www.macnotes.de/2016/08/15/crypto-experten-halten-imessage-verschluesselung-fuer-hinfaellig/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am August 29, 2016, 12:13:19
http://m.heise.de/mac-and-i/meldung/Spyware-fuer-iOS-Selbst-Zeroday-Malware-laesst-sich-durch-einfache-Tests-erkennen-3306311.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am September 08, 2016, 16:13:42
Klappt laut Bericht auch am Mac:
http://www.heise.de/security/meldung/Zugangsdaten-von-gesperrtem-PC-in-20-Sekunden-geklaut-3316752.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am September 25, 2016, 12:08:53
http://www.maclife.de/news/verschluesselte-backups-ios-10-lassen-sich-leicht-brute-force-knacken-10082952.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Oktober 09, 2016, 10:57:08
http://www.maclife.de/news/angreifer-schneiden-facetime-skype-gespraeche-10083432.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Oktober 09, 2016, 14:27:54
Ist Sierra jetzt ein Patch für El Capitan? Und/Oder betreut Apple nur noch das jeweils aktuelle System?
Auf jeden Fall wird hier Sierra als Abhilfe für Sicherheitslücken von El Capitan dargestellt:
https://support.apple.com/de-de/HT207170

Ein gesonderter Patch für El Capitan ist also nicht mehr zu erwarten und man ist gezwungen, auf Sierra upzudaten. Blöd, wenn das (zumindest ohne Hack) auf einem älteren Rechner nicht mehr geht.
http://www.heise.de/mac-and-i/meldung/OS-X-El-Capitan-Warten-auf-das-grosse-Sicherheitsupdate-3342343.html

Laut den Kommentaren auf Heise war das bei Mavericks/El Capitan auch schon so, aber es gab doch Security Updates für beide Systeme?
Titel: Re: Apple und die Sicherheit
Beitrag von: FOX am November 04, 2016, 14:03:31
Kleine Panne bei Apple...

https://www.heise.de/newsticker/meldung/Datenpanne-Wenn-das-iPhone-die-Geheimnummer-der-Nationalratspraesidentin-kennt-3454575.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Daniel90 am November 04, 2016, 15:00:45
Na dann hoffe ich mal ganz stark, dass meine Nummer nicht plötzlich auch in Telefonbüchern von wildfremden Menschen auftaucht...
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am November 08, 2016, 15:43:05
http://www.mactechnews.de/news/article/Die-sichersten-iOS-Backups-aller-Zeiten-mit-iOS-10-2-165571.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am November 17, 2016, 16:44:33
https://www.heise.de/mac-and-i/meldung/Forensik-Tool-Hersteller-Apple-speichert-iPhone-Anrufprotokolle-in-iCloud-fuer-viele-Monate-3490866.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 02, 2017, 20:51:36
http://www.macnotes.de/2017/01/02/sicherheitsforscher-empfiehlt-das-setzen-von-firmwarepasswoertern-am-mac/
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Januar 03, 2017, 13:52:42
Also dieselbe Empfehlung wie schon immer. :)
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 09, 2017, 20:13:42
https://www.heise.de/mac-and-i/meldung/OS-X-10-11-Sicherheits-Update-kann-zu-Mac-Haengern-fuehren-3592204.html
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Januar 10, 2017, 07:26:16
Oh, dann war ich von diesem Problem, kurz bevor ich auf 10.12 geupdatet habe, wohl betroffen. Genau das Verhalten hatte ich. Allerdings trat das selektiv nur dann auf, wenn ein Java-Programm lief. Beendete ich das Java-Programm, lief wieder alles. Startete ich das Programm waren die Hänger wieder da. Nach einem Neustart waren dann auch die Hänger bei diesem Programm weg. Ich hatte die Schuld schon auf Java geschoben... :)
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Januar 12, 2017, 14:07:18
Gehört auch irgendwie zur Sicherheit: Betrügereien mit iTunes-Gutscheinkarten
https://www.heise.de/mac-and-i/meldung/Apple-warnt-vor-Betruegereien-mit-iTunes-Gutscheinkarten-3594281.html
https://support.apple.com/itunes-gift-card-scams

Hoffentlich werden diese namensungebundene Gutscheine jetzt deswegen nicht abgeschafft.
Titel: Re: Apple und die Sicherheit
Beitrag von: Quaestor am Januar 12, 2017, 23:50:00
https://www.heise.de/mac-and-i/meldung/OS-X-10-11-Sicherheits-Update-kann-zu-Mac-Haengern-fuehren-3592204.html

Die Hänger hatte ich neulich auch als ich mal wieder mein NAS an hatte. Ich hatte AFP in Verdacht. Ganz falsch lag ich offenbar nicht.

So kann man die User auch dazu bewegen auf das aktuelle MacOS upzudaten oder einen neuen Rechner zu kaufen ;)
Jochens Problem trat aber schon für diesem Update auf oder?
Titel: Re: Apple und die Sicherheit
Beitrag von: Quaestor am Januar 14, 2017, 00:20:51
Gibt es eigentlich zu diesem Update-Bug n Workaround?
Sonst gehe ich vielleicht doch wieder zurück auf 10.10. Oder 10.12.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Januar 14, 2017, 10:07:56
Ich wüßte momentan keinen. War für mich mit ein Grund, jetzt endlich auf 10.12 zu wechseln.
Titel: Re: Apple und die Sicherheit
Beitrag von: Quaestor am Januar 14, 2017, 15:58:26
Okay, danke. Mal schauen, mein mini wird offiziell nicht mehr unterstützt. Vielleicht mache ich trotzdem das Update.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 17, 2017, 21:45:46
http://www.giga.de/downloads/os-x-10.11/news/update-fuer-einfrierende-macs-apple-aktualisiert-os-x-el-capitan/
Titel: Re: Apple und die Sicherheit
Beitrag von: Quaestor am Januar 17, 2017, 21:49:57
Cool. Gleich mal installieren
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 18, 2017, 21:59:01
macOS Schadsoftware mit Mac OS Code Anteilen?
https://blog.malwarebytes.com/threat-analysis/2017/01/new-mac-backdoor-using-antiquated-code/


Kein Update:
Wo bleibt die Aktualisierung von Xprotect?
https://www.heise.de/mac-and-i/meldung/Fruitfly-Apple-Update-soll-Spionage-Software-blockieren-3603628.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 31, 2017, 05:59:31
http://www.maclife.de/news/hack-am-ende-des-aktivierungssperren-checks-schuld-10088256.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Februar 09, 2017, 16:15:07
Spyware gibt sich als Antivirus bzw. Flash-Update aus:
https://www.heise.de/mac-and-i/meldung/MacDownloader-Iranische-Malware-zielt-auch-auf-Macs-ab-3620319.html

Uralte Word-Macro-Angriffe jetzt auch für Macos erhältlich.
https://9to5mac.com/2017/02/09/new-mac-malware-detected-this-week-based-on-primitive-windows-techniques-using-word-macros/
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Februar 23, 2017, 13:46:29
Wohl noch in der Entstehung oder Proof-of-Concept:
https://www.heise.de/newsticker/meldung/Mac-Ransomware-stuempert-in-Swift-3633117.html

https://www.heise.de/mac-and-i/artikel/Erpressungstrojaner-und-Mac-Malware-Schuetzen-statt-zahlen-3273573.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am März 15, 2017, 18:55:09
https://www.heise.de/mac-and-i/meldung/Proton-Signierter-Mac-Trojaner-wird-fuer-45-000-Euro-gehandelt-3655096.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Mai 04, 2017, 19:07:08
Sicherheitslücke in Intel-Prozessoren - ob und welche Mac-User betroffen sind, ist noch unklar.
https://www.heise.de/security/meldung/Sicherheitsluecke-in-vielen-Intel-Systemen-seit-2010-3700880.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juni 16, 2017, 09:30:10
In den vergangenen Wochen, hat die Melde- und Analysestelle Informationssicherung MELANI verschiedene Schadsoftware-Wellen beobachtet, welche sich gezielt gegen Schweizer Nutzende des Betriebssystems MacOS, das von Apple entwickelte Betriebssystem, richteten:
https://www.melani.admin.ch/melani/de/home/dokumentation/newsletter/malware---si-raccomanda-prudenza-indipendentemente-dal-sistema-o.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 06, 2017, 21:53:21
Apple ist zu billig:
http://www.giga.de/downloads/ios-11/news/ios-fehler-sind-zu-wertvoll-apples-kopfgeld-nicht-hoch-genug/
Titel: Re: Apple und die Sicherheit
Beitrag von: Jochen am Juli 20, 2017, 21:01:11
Warnung von Polizei wegen Pishing
https://www.heise.de/mac-and-i/meldung/Apple-ID-Polizei-warnt-vor-neuer-Phishing-Welle-3777040.html

Jochen
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 25, 2017, 19:15:54
https://www.heise.de/mac-and-i/meldung/Spionage-Malware-Fruitfly-blieb-ueber-Jahre-auf-Macs-unentdeckt-3783163.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Juli 25, 2017, 19:34:09
Immer diese Teaser auf irgendwelche Blackhat-Vorträge.
Wie, Wann, Warum dieser Malware bleiben also erstmal unklar - und ob mehr Infos überhaupt kommen, soll man dann auf dem Vortrag hören - oder eben nicht.
Zudem stellt sie keine aktuelle Gefahr mehr da. Der Verdacht der Effekthascherei liegt da nahe.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 26, 2017, 18:01:30
https://www.heise.de/mac-and-i/artikel/Interview-Wie-sicher-sind-iOS-und-macOS-vor-Angriffen-3781809.html?artikelseite=all
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am August 19, 2017, 15:27:36
http://www.maclife.de/news/hacker-veroeffentlichen-apples-secure-enclave-key-10094967.html

http://t3n.de/news/antipolizeitaste-ios-11-iphone-849273/
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am August 19, 2017, 19:32:15
Das ist v.a. gegen iPhone-Räuber gerichtet, dass es Behörden den Zugriff erschweren könnte, ist Nebeneffekt.
Könnte, weil dann eben bald auch der Passcode abverlangt werden darf, oder hat da irgendjemand Zweifel? Als Touri im Ausland, v.a. USA, ist das sowieso so. Mal davon abgesehen, dass man nach 24 Stunden in irgendeinem Raum wohl kompromissbereiter wird.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am August 21, 2017, 12:11:13
https://www.heise.de/mac-and-i/meldung/Aktuelle-iOS-Version-anfaellig-fuer-PIN-Code-Knacker-3808240.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Apmin am August 30, 2017, 11:27:16
Gibt es bei Mac eigentlich die Möglichkeit die Festplatte zu verschlüsseln? Quasi wie der bitlocker bei windows?
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am August 30, 2017, 11:52:40
Ja, nennt sich FileVault.
Zu finden unter Systemeinstellungen/Sicherheit/FileVault

Habe ich grundsätzlich auf allen Macs laufen.
Bitlocker gibt es nur bei den teureren Windowsversionen.
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am September 07, 2017, 15:35:29
Nicht gehackt, selbst versaut:
https://www.heise.de/mac-and-i/meldung/Bug-statt-Hack-Apple-beruhigt-wegen-Fehler-auf-Entwickler-Website-3823786.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am September 12, 2017, 11:04:47
https://www.golem.de/news/iphone-ios-11-bekommt-schutz-gegen-unerwuenschte-memory-dumps-1709-129990.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am September 21, 2017, 18:53:42
https://www.heise.de/mac-and-i/meldung/Mac-ploetzlich-gesperrt-Erpresser-missbrauchen-iCloud-Funktion-3837712.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am September 25, 2017, 15:15:47
http://www.apfelpage.de/news/macos-high-sierra-prueft-regelmaessig-mac-firmware-auf-manipulationen/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am September 26, 2017, 08:54:43
Mein persönlicher Albtraum: Eine KeychainStealerApp kann alle im Schlüsselbund hinterlegten Passwörter auslesen. Und das (nicht nur) in der neuesten Version von macOS:
http://www.zdnet.com/article/apple-macos-high-sierra-password-vulnerable-to-password-stealing-hack/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am September 29, 2017, 15:48:05
In einer Stichprobe hatten 4,2 % aller Macs nicht das neueste EFI. Bei bestimmten Modellen sind es bis zu 47%:
https://arstechnica.com/information-technology/2017/09/an-alarming-number-of-macs-remain-vulnerable-to-stealthy-firmware-hacks/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am September 30, 2017, 18:47:26
Wieso spendiert Apple High Sierra ein extra Tool (http://www.apfelinsel.de/forum/index.php/topic,7327.msg106588.html#msg106588), das vor veraltetem EFI warnen soll? (Wieso) Macht das nicht die SoftwareAktualisierung schon immer?
https://www.heise.de/mac-and-i/meldung/Apple-patcht-EFI-Firmware-unzureichend-3848070.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Oktober 06, 2017, 07:07:24
Mein persönlicher Albtraum: Eine KeychainStealerApp kann alle im Schlüsselbund hinterlegten Passwörter auslesen. Und das (nicht nur) in der neuesten Version von macOS:
http://www.zdnet.com/article/apple-macos-high-sierra-password-vulnerable-to-password-stealing-hack/

macOS schreibt jetzt Passwörter im Klartext unters Eingabefeld:
https://www.golem.de/news/macos-high-sierra-apple-verraet-passwort-fuer-dateisystemverschluesselung-1710-130489.html





Gestopft in 10.13:
http://www.maclife.de/news/apple-handelt-schnell-update-macos-high-sierra-schliesst-sicherheitsluecken-10096512.html
Titel: Re: Apple und die Sicherheit
Beitrag von: mbs am Oktober 07, 2017, 10:03:56
Wieso spendiert Apple High Sierra ein extra Tool (http://www.apfelinsel.de/forum/index.php/topic,7327.msg106588.html#msg106588), das vor veraltetem EFI warnen soll? (Wieso) Macht das nicht die SoftwareAktualisierung schon immer?

Das Tool warnt nicht vor einem veralteten EFI (was die Softwareaktualisierung in der Tat bei Betriebssystem-Updates bereits auswertet), sondern vor einem gefälschten EFI. Eine Manipulation der Firmware ist, auch besonders bei Geheimdiensten, die zuverlässigste Art, einen Mac noch vor dem Start zu hacken. Diese Methode überlebt sogar eine Neuinstallation des Systems.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Oktober 10, 2017, 22:15:34
Das sage ich schon lange. Jedes Programm, das Pixel auf den Bildschirm malen darf, also jedes Programm, könnte auch - zu 100 % pixelgenau, gefälschte - Passwortabfragen auf den Bildschirm malen. Habe noch nie verstanden, wie der Endanwender hier eine Echtheitsüberprüfung vornehmen können soll:
https://www.heise.de/mac-and-i/meldung/Passwort-Phishing-in-iOS-Apple-hat-ein-Pop-up-Problem-3856135.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Oktober 12, 2017, 10:39:01
Wie Heise richtig nachreichte, gibt es doch den Unterschied, dass ein offizieller Dialog die Hometaste blockiert. Kann man einen Dialog also wegdrücken per Hometaste, ist er nicht von Apple.
Und da die Dialoge normalerweise nicht ohne Grund auftauchen, sollte man im Zweifel eh nichts eingeben.
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Oktober 12, 2017, 13:18:40
Mein persönlicher Albtraum: Eine KeychainStealerApp kann alle im Schlüsselbund hinterlegten Passwörter auslesen. Und das (nicht nur) in der neuesten Version von macOS:
http://www.zdnet.com/article/apple-macos-high-sierra-password-vulnerable-to-password-stealing-hack/

Während das in High Sierra verunmöglicht wurde, sind die Vorgängersysteme weiterhin anfällig.
https://www.heise.de/mac-and-i/meldung/Schluesselbund-Passwoerter-Klau-auf-dem-Mac-Sierra-und-El-Capitan-bleiben-anfaellig-3856892.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Oktober 12, 2017, 19:34:06
Nicht besonders ausgereift, aber für manche Leute sicher verwirrend bis gefährlich, ein Trojaner will jetzt auch an das Geld von Mac-Nutzern:
https://www.mactechnews.de/news/article/Retefe-Trojaner-nimmt-Bankkunden-auf-dem-Mac-ins-Visier-168075.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Oktober 14, 2017, 13:43:35
Wie Heise richtig nachreichte, gibt es doch den Unterschied, dass ein offizieller Dialog die Hometaste blockiert. Kann man einen Dialog also wegdrücken per Hometaste, ist er nicht von Apple.
Und da die Dialoge normalerweise nicht ohne Grund auftauchen, sollte man im Zweifel eh nichts eingeben.

Das ist aber ein Trick, den man wissen muss. Er wird einem durch nichts im GUI nahegelegt, steht nicht in der Anleitung und stört den Arbeitsfluß noch mehr als eine Passwortabfrage sowieso schon.

Ein weiterer Trick wäre, ein falsches Passwort ein zu geben. Wird es akzeptiert, so wars wohl Pishing (oder auch nicht, wenn sich dieser Trick  bis zum Pisher rumspricht ...).
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am November 05, 2017, 11:39:48
So klar war mir das bisher nicht (aus einem ct Artikel):

Das größte Firmware-Risiko birgt die Management-Engine, die seit Jahren fester Bestandteil sämtlicher CPUs von Intel ist. Die Management-Engine (kurz: ME) läuft auf einem eigenen sparsamen Prozessorkern und führt dort ein eigenes Betriebssystem aus, dessen Quellcode Intel nicht veröffentlicht. Da die ME auch Fernwartungsfunktionen übernehmen kann, hat sie vollen Zugriff auf Arbeitsspeicher, Netzwerk und alle über Busse wie PCIe angebundenen Komponenten. Verschaffen sich Kriminelle oder Geheimdienste Zugriff auf die ME, können sie private Daten und Passwörter abschnorcheln oder verändern, ohne dass das Betriebssystem überhaupt die Chance hätte, das zu bemerken. Die ME ist auf Sicherheit bedachten Firmen, Anwendern und Behörden daher seit Langem ein Dorn im Auge.

https://www.heise.de/security/meldung/Intel-Management-Engine-ME-weitgehend-abschaltbar-3814631.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am November 29, 2017, 09:55:40
http://www.maclife.de/news/rootzugriff-massive-sicherheitsluecke-macos-high-sierra-10098273.html
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am November 29, 2017, 10:08:50
Uiuiui, das ist eine ganz üble Lücke.

Was programmieren die da?
Ich kann ja verstehen, wenn ein ganz ausgefuchster Angriff eine kaum zu erkennende Sicherheitslücke ausnutzt. Das lässt sich mit Sicherheit nie vermeiden.
Aber das hier ist ja ein ganz übler Schnitzer. Wie kann es möglich sein, dass ein root-Zugang ohne Eingabe des Kennwortes akzeptiert wird? Ist für mich ähnlich schlampig, wie das Kennwort im Hinweisfeld im Klartext einzublenden (Mounten von verschlüsselten APFS-Volumes). Sowas darf nicht passieren.
Titel: Re: Apple und die Sicherheit
Beitrag von: fränk am November 29, 2017, 18:04:39
Die Lücke hat`s sogar in die Nachrichten geschafft.
Das Update ist verfügbar.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am November 29, 2017, 19:31:45
https://m.heise.de/mac-and-i/meldung/Root-fuer-jeden-Schwachstelle-in-macOS-High-Sierra-schon-laenger-oeffentlich-3904542.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am November 30, 2017, 01:09:57
Ein Update führt zum nächsten Update führt zum nächsten Update führt zu…

Zumindest hoffe ich, dass ein Update kommt, denn das Security Update führt zum Nichtfunktionieren des File Sharings.
https://forums.macrumors.com/threads/security-update-2017-001-breaks-file-sharing.2091913/#post-25532877

Umso prickelnder, dass es automatisch installiert wird. Ich wüsste nicht, dies jemals erlaubt zu haben. Steht wahrscheinlich in den High-Sierra-Lizenzbestimmungen.
„…and starting later today it will be automatically installed on all systems running the latest version (10.13.1) of macOS High Sierra.“
https://9to5mac.com/2017/11/29/macos-root-fix/
Titel: Re: Apple und die Sicherheit
Beitrag von: fränk am November 30, 2017, 06:06:37
Ich habe die Installation des Sicherheitsupdates auf drei Macs manuell anschieben müssen.
Titel: Re: Apple und die Sicherheit
Beitrag von: mbs am November 30, 2017, 08:34:10
Zumindest hoffe ich, dass ein Update kommt, denn das Security Update führt zum Nichtfunktionieren des File Sharings.

Die lokale Kerberos-Konfiguration kann durch das Update beschädigt werden. Man kann das mit Apples Anleitung (https://support.apple.com/en-us/HT208317) schnell reparieren.

Umso prickelnder, dass es automatisch installiert wird.

Man kann es automatisch installieren lassen, wenn man das zulässt, unter "Systemeinstellungen > App Store > Automatisch nach Updates suchen > Systemdatendateien und Sicherheits-Updates installieren". Ist bei einer Neuinstallation Standard.

Diese Einstellung betrifft auch den in macOS eingebauten Virenscanner und die Programmsperrlisten, die alle paar Tage unsichtbar aktualisiert werden.
Titel: Re: Apple und die Sicherheit
Beitrag von: fränk am November 30, 2017, 08:39:31
Man kann es automatisch installieren lassen, wenn man das zulässt, unter "Systemeinstellungen > App Store > Automatisch nach Updates suchen > Systemdatendateien und Sicherheits-Updates installieren". Ist bei einer Neuinstallation Standard.

Ich habe so meine Zweifel, ob man wirklich selber entscheiden kann, wann was installiert wird.

Ich habe gerade mach nachgeschaut, wenigstens bei einem Rechner ist das, was Du beschreibst angehakt und das Sicherheitsupdate hätte eigentlich automatisch installiert werden müssen.
Hat es aber nicht, ich habe es angeschoben.
Titel: Re: Apple und die Sicherheit
Beitrag von: mbs am November 30, 2017, 09:27:11
Ich habe gerade mach nachgeschaut, wenigstens bei einem Rechner ist das, was Du beschreibst angehakt und das Sicherheitsupdate hätte eigentlich automatisch installiert werden müssen.
Hat es aber nicht

Wenn das eingeschaltet ist, heißt das nicht, dass Updates sofort installiert werden, wenn sie zur Verfügung stehen. Das würde auch die Server völlig überlasten.

macOS verwendet eine interne Verhaltensdatenbank, die beobachtet, an welchen Orten (= mit welchen Verbindungen ins Internet) der Rechner von wem wie lange typischerweise benutzt wird. Aufgrund dieser Daten berechnet das System einen günstigen Zeitpunkt nach Updates zu suchen. Wenn man Pech hat, kann sich das System verschätzen und das Update wird dann eine Woche später installiert …

Es ist also richtig, dass man nur entscheiden kann, ob Updates automatisch installiert werden, nicht wann das geschieht.
Titel: Re: Apple und die Sicherheit
Beitrag von: mbs am November 30, 2017, 09:43:47
Wie kann es möglich sein, dass ein root-Zugang ohne Eingabe des Kennwortes akzeptiert wird?

Patrick Wardle (https://objective-see.com/blog/blog_0x24.html) hat den Fehler und seine Korrektur inzwischen im Assemblercode analysiert. Kurz zusammengefasst beruht der Fehler auf folgendem Ablauf:

1) Das System erhält den Auftrag, Name und Kennwort des Benutzers "root" zu prüfen.
2) Aus Sicherheitsgründen ist root normalerweise zur Anmeldung gesperrt, was durch den ungültigen Hash-Code "*" im Kennwortfeld des Benutzers-Accounts markiert ist. Bei der Prüfung des Kennworts erkennt macOS diese Sperre aber nicht sofort (noch kein Fehler, aber eine schlechte Design-Entscheidung), sondern ruft standardmäßig ein Unterprogramm auf, das in der Benutzerdatenbank veraltete gespeicherte Hashcodes im "crypt"-Standard routinemäßig in moderne Kennworte nach dem "shadowhash"-Verfahren umschreibt.
3) Nun wird geprüft, ob das Kennwort gültig ist. Im Code wurde jedoch vergessen, das Ergebnis dieser Prüfung auszuwerten! (Das ist der Fehler.)
4) Das Unterprogramm zum Upgrade der Hashcodes setzt fälschlicherweise seine Arbeit fort und will den Kennworteintrag aktualisieren.
5) Da die Kennworte nirgendwo im Klartext gespeichert werden und auch nicht rückermittelt werden können, muss die Aktualisierung des Hashcodes über die einzige Quelle erfolgen, die es gibt, nämlich die gerade erfolgte Eingabe des Benutzers.
6) Aus der Eingabe des Benutzers wird ein moderner Hashcode nach dem shadowhash-Verfahren berechnet und in der Benutzerdatenbank eingetragen.

Das hat folgende Auswirkung:
- Die Anmeldesperre für "root" wird gelöscht.
- Für root wird ein neues Kennwort angelegt, nämlich das, was der Benutzer gerade eingegeben hat. Wenn er nichts eingegeben hat, ist das eben das leere Kennwort …
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am November 30, 2017, 09:48:38
Danke für die Beschreibung der Fehlerursache bzw. des -vorganges

3) Nun wird geprüft, ob das Kennwort gültig ist. Im Code wurde jedoch vergessen, das Ergebnis dieser Prüfung auszuwerten! (Das ist der Fehler.)

Das ist also das hauptsächliche Problem. Finde ich haarsträubend.
Titel: Re: Apple und die Sicherheit
Beitrag von: mbs am November 30, 2017, 11:43:57
Ja, absolut.

Man kann nur spekulieren, aber der Fehler sieht nach einer typischen Programmiersituation aus, wo man eine if-Anweisung auskommentiert, "um mal etwas auszutesten", und dann später vergisst, sie wieder zu aktivieren.

Es zeigt vor allem, dass offenbar keinerlei Code Reviews stattfinden, um die Qualität zu sichern. Gerüchteweise verwendet Apple nur noch "Continuous Integration mit automatisiertem Unit Testing", in der naiven Hoffnung, man könnte durch Testen alle Fehler finden.

Eine so groteske Situation wie die zweifache Falschanmeldung mit dem gleichen Kennwort an einem gesperrten Benutzer-Account dürfte wohl niemand als geplanten Testfall vorgesehen haben …
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am November 30, 2017, 14:37:59
Man kann es automatisch installieren lassen, wenn man das zulässt, unter "Systemeinstellungen > App Store > Automatisch nach Updates suchen > Systemdatendateien und Sicherheits-Updates installieren". Ist bei einer Neuinstallation Standard.

Dann ist die von mir zitierte Apple-Info nicht korrekt.

Übrigens, die Schlüsselbund-Lücke, über die jedwede App Zugriff erlangen konnte, wurde auch für die Vorgänger-Systeme gestopft. Das erfährt man einen Monat später.
https://www.heise.de/mac-and-i/meldung/Aeltere-macOS-Versionen-Apple-fixt-heimlich-schwerwiegende-Luecke-im-Schluesselbund-3904759.html

Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Dezember 02, 2017, 20:26:26
https://m.heise.de/mac-and-i/meldung/macOS-High-Sierra-Update-und-Neuinstallation-bringen-Root-Luecke-zurueck-3906980.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Dezember 02, 2017, 20:31:39
Es sei völlig unverständlich, dass Apple die zuvor “perfekt erscheinende Balance aus Sicherheit und Komfort” mit iOS 11 plötzlich aufgegeben hat, meint Elcomsoft. Nicht jeder habe Apples “perfektes System” gemocht, Nutzer hätten “geheult”, die Polizei und das FBI hätten sich beschwert – ”und Apple gab auf”:
https://m.heise.de/mac-and-i/meldung/Forensiker-Sicherheit-von-iOS-11-haengt-an-seidenem-Faden-3906833.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Dezember 12, 2017, 23:32:24
Im neuen iMac Pro gibt es einen extra T2 Prozessor mit sicherer Enklave:
https://www.mactechnews.de/news/article/iMac-Pro-bringt-neuen-Chip-mit-Den-Apple-T2-168548.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Dezember 22, 2017, 16:48:31
https://www.heise.de/mac-and-i/meldung/iOS-Schwachstellen-Schwere-Vorwuerfe-an-Apples-Security-Team-3923901.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 03, 2018, 19:01:53
http://www.apfelpage.de/news/macos-linux-und-windows-fehler-in-intel-prozessoren-gefaehrdet-alle-systeme/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 04, 2018, 10:53:42
http://www.apfelpage.de/news/iphones-auch-gefaehrdet-prozessorluecke-steckt-wohl-auch-in-arm-prozessoren-unternehmen-aeussern-sich-und-beschwichtigen/
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Januar 04, 2018, 14:11:13
Wenn man per Software diesen Bug umgeht, geht das auf die Performance. Im Extremfall sollen das 25% sein, aber auch 5% sind ja schon eine Hausnummer.
Ganz schön teuer, Intels Schlamperei. Und wer profitiert davon? Genau, Intel, denn es werden ja jetzt kaum alle AMDs kaufen, sondern oft neue, leistungsfähigere Intels. 
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 07, 2018, 16:03:25
Im neuen iMac Pro gibt es einen extra T2 Prozessor mit sicherer Enklave:
https://www.mactechnews.de/news/article/iMac-Pro-bringt-neuen-Chip-mit-Den-Apple-T2-168548.html

https://www.mactechnews.de/news/article/Der-T2-Chip-Chief-Operating-Officer-des-iMac-Pro-168654.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 11, 2018, 07:48:16
https://m.heise.de/mac-and-i/meldung/Zweite-Passwort-Luecke-in-macOS-High-Sierra-3938468.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Januar 18, 2018, 19:29:02
„Textbombe“ geht um und bringt mitunter das ganze System, iOS wie macOS, zum Absturz:
https://www.heise.de/mac-and-i/meldung/Textbombe-crasht-iOS-und-macOS-3943828.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Februar 01, 2018, 16:24:18
https://www.heise.de/mac-and-i/artikel/Pro-Contra-Tut-Apple-genug-fuer-die-Sicherheit-3949013.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Februar 12, 2018, 15:29:27
https://www.heise.de/mac-and-i/meldung/Bericht-iBoot-Leaker-wollte-Jailbreak-Szene-helfen-3965429.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Februar 12, 2018, 17:24:04
https://www.heise.de/mac-and-i/meldung/Mac-Apps-koennen-heimlich-Bildschirminhalt-aufzeichnen-trotz-Sandbox-3965929.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Februar 21, 2018, 09:32:12
Coldroot kann unbemerkt und aus der Ferne einen anfälligen Apple-Computer kontrollieren und Passwörter aus dem Schlüsselbund stehlen:
http://www.zdnet.de/88326529/coldroot-mac-trojaner-bleibt-zwei-jahre-unentdeckt/
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Februar 21, 2018, 19:17:41
Wieso aus der Ferne, wenn es als Dateianhang kommt, also lokal installiert wird?
Das die Antivirologen nichts mitbekommen, ist nicht neues. Überhaupt stellt sich die Sinnhaftigkeit dieser Software nach wie vor als fragwürdig dar. Gegen Ransomware, NotPetya usw. halfen die Programme jedenfalls nicht. Und auch den meisten Trojanern wird nur hinterher geputzt.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Februar 21, 2018, 21:08:43
Wenn das hinterher wegputzen, ab zwei Tage nach "Ausbruch" einer Schadsoftware stattfinden würde, wäre das schon nützlich. Hier aber, war jegliche AntiSchadsoftware mindestens zwei Jahre hinterher.
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Februar 21, 2018, 22:35:55
Zwei Jahre sind vielleicht viel, unterstützen aber die These. :)
Da Macs nicht so verbreitet sind und kaum Mac-Nutzer Antivirus-Programme kaufen, ist der Elan halt auch nicht besonders groß. Das kommt noch dazu.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Februar 22, 2018, 00:17:31
Elan würde ich mir von den Herstellern der Betriebsysteme wünschen. Die sollten an erster Stelle dafür sorgen, ihr Produkt sicher zu halten. Ansätze gibt es ja, hie Windows Defender, bei macOS X-Protect. Letzterer hatte Coldroot aber offenbar auch nicht auf dem Schirm. Mehr Elan bitte!
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Februar 22, 2018, 15:39:05
Ich stimme natürlich zu, die OSe sollten möglichst sicher konzipiert werden und auf Lücken/Gefährdungen sollte möglichst schnell reagiert werden und zwar transparent und möglichst fehlerfrei…

Aber die Antivirus-Hersteller versprechen ja gerade, mit ihnen sei man sicher. Oder zumindest wesentlich sicherer. Das ist das einzige Geschäftsmodell, das sie haben.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Februar 23, 2018, 07:57:43
Tja, ich sehe das ganze etwas differenzierter.

Elan würde ich mir von den Herstellern der Betriebsysteme wünschen. Die sollten an erster Stelle dafür sorgen, ihr Produkt sicher zu halten.

Da kann ich Dir nur zu 100% zustimmen. Es gibt so viele Stellen an denen Sicherheitslücken auftauchen, an denen und an einer besseren QS sollten die Hersteller arbeiten.

Aber:
Zitat
Ansätze gibt es ja, hie Windows Defender, bei macOS X-Protect. Letzterer hatte Coldroot aber offenbar auch nicht auf dem Schirm. Mehr Elan bitte!

An der Stelle sehe ich es anders. Sowohl Coldroot als auch z.B. Shlayer (https://www.heise.de/mac-and-i/meldung/Shlayer-Neue-Mac-Malware-setzt-auf-alte-Tricks-3976392.html) und auch andere Malware nutzen keine Sicherheitslücke im Betriebssystem aus, sondern täuschen einfach nur die Nutzer.
Ja, die Systemhersteller könnten an einigen Stellen noch dafür sorgen, dass die Nutzer nicht so leicht ausgetrickst werden können, aber das wären nur marginale Verbesserungen.
Effektiv könnten solche Angriffe nur verhindert werden, wenn nur noch von Apple geprüfte Programme startbar sind (wie unter iOS) und diese Programme auch immer nur in einer strengen Sandbox laufen dürfen (wie unter iOS). Beides kann man nicht ernsthaft für ein Computersystem wollen.

Die Antivirus-Programme und XProtect können nur hinterherkärchern, also nach Bekanntwerden einer Malware diese unterbinden. Mit den bekannten Folgen von False Positives, sobald riesige Mengen an Malware vorhanden sind. Wenn den Firmen und Apple eine Malware nicht bekannt ist, weil die unter dem Radar gut versteckt unbekannt vor sich hin arbeitet, hilft auch noch so viel Elan kein Stück weiter.

Nur signierte Programme starten zu lassen (die Einstellung benutze ich auch) hebt die Schwelle nur soweit an, dass sich böse Programmierer als Entwickler anmelden müssen. Und ich nutze einige Programme, die unsigniert sind und deren Start ich dann einmalig absegnen muss.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Februar 23, 2018, 20:08:27
Wenn eine Software den Schlüsselbund auslesen kann, da hört bei mir der Spaß auf. Auch wenn ich die Software bei der Installation mit einem Passwort legitimiert habe, muss der Hersteller einer Passwortdatenbank das Auslesen unter allen Umständen verhindern!! Wenn dieser Hersteller sogar das umliegende Betriebssystem kontrolliert, lasse ich erst recht keinerlei Ausreden gelten. Laut Artikel hat Apple wohl mit 10.12 nachgebessert.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Februar 24, 2018, 08:23:42
Wenn eine Software den Schlüsselbund auslesen kann, da hört bei mir der Spaß auf.

Da stimme ich Dir doch voll zu (s.o.). Das ist eine Sicherheitslücke und die müssen von den Herstellern mit mehr Elan behoben werden. Völlig richtig!

Gegen die Malware an sich hilft das aber überhaupt nicht. Das war mein zweiter Punkt. Das Auslesen des Schlüsselbundes war ja nur eine Teilfunktion der Malware. Auch ohne diese, also ohne Ausnutzung irgendeiner Sicherheitslücke, ist die Malware schlimm genug. siehe auch die Verschlüsselungstrojaner. Die kommen völlig ohne Ausnutzung einer Sicherheitslücke daher.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am März 14, 2018, 22:43:46
https://www.heise.de/mac-and-i/meldung/Untergejubelte-iPhone-Konfigurationsprofile-bleiben-ungeloestes-Problem-3995104.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am März 14, 2018, 23:34:18
https://www.golem.de/news/websicherheit-apple-datei-auf-webservern-verraet-verzeichnisinhalte-1803-133319.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am April 03, 2018, 21:07:16
https://m.heise.de/mac-and-i/meldung/Sicherheitsluecke-in-Apple-Mail-erlaubte-Mitlesen-verschluesselter-Nachrichten-4009761.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juni 15, 2018, 22:33:32
https://www.heise.de/mac-and-i/meldung/macOS-Apps-Apple-wird-zum-Notar-4069692.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 03, 2018, 11:17:00
https://www.mactechnews.de/news/article/Sicherheitsexperte-Neues-iOS-Feature-spielt-Online-Banking-Betrueger-in-die-Haende-169901.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am August 10, 2018, 14:02:00
Security researchers take control of a brand new Mac on first Wi-Fi connection:
https://9to5mac.com/2018/08/10/mac-hack-wifi-mdm/

https://www.heise.de/mac-and-i/meldung/Bug-Bounty-Google-Hacker-fordert-Millionen-von-Apple-ein-4133208.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am September 06, 2018, 14:12:39
Kann Apple nichts dafür, aber eben erreicht mich eine Phishing-Mail, die behauptet meine Apple ID sei gesperrt und ich solle doch via dem angefügten Link mich dort einloggen und aktualisieren.
Die URL verweist auf mail.atlantis.sk/…

Bilder habe ich nicht geladen, aber ich schätze dann sähe die Mail noch überzeugender aus. Zumal ich gerade gestern mal wieder was im Appstore gekauft habe. Wesentliche Auffälligkeit am Täuschungsversuch ist die englische Sprache und das Layout. Apples Mails zur ID sind auch ohne HTML in Mail.app mittig und mit einem grauen Hintergrund angezeigt, Absender ist „Apple“, nicht „Apple ID" oder sonst was. Die Absende-Emailadresse ist appleid@id.apple.com
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am September 07, 2018, 22:09:15
https://appleinsider.com/articles/18/09/07/more-malicious-apps-found-in-mac-app-store-that-are-stealing-user-data
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Oktober 04, 2018, 15:41:59
https://www.apfelpage.de/news/apple-server-china-soll-ueberwachungschips-eingeschleust-haben-apple-statement/
https://m.heise.de/security/meldung/Bericht-Winzige-Chips-spionierten-in-Cloud-Servern-von-Apple-und-Amazon-4181461.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Pashery am Oktober 05, 2018, 10:41:07
Und ich fürchte auch, Apple wird sich erst dann bessern, wenn es mal zu einem echten Virus gekommen ist.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Oktober 07, 2018, 18:49:57
https://www.heise.de/newsticker/meldung/Spionage-Chips-Amerikanische-und-britische-Behoerden-glauben-Apple-und-Amazon-4182812.html
https://www.heise.de/mac-and-i/meldung/Apple-zu-Spionage-Chip-Vorwuerfen-Niemals-etwas-gefunden-4183495.html

https://www.heise.de/security/meldung/Winzige-Spionage-Chips-aus-China-Was-dafuer-spricht-und-was-dagegen-4182159.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Oktober 09, 2018, 16:49:45
Riesiger Bullshit von Bloomberg.

Wie sie sich von ungenannten Quellen so ins Bockshorn jagen ließen, ist sehr bezeichnend. Den Riesen-Scoop vor Augen hat man wohl vergessen, dass es Interessen gibt, z.B. das Verhältnis der USA zu China weiter zu verschlechtern. Warum wurde nach den energischen Dementi der Firmen, immerhin die wertvollsten überhaupt, kein Wert auf weitere Infos gelegt?

Vorstellbar ist vieles, dass ist ja das Schöne an solchen Storys. Aber wahrer wird sie dadurch nicht.

Risky Business Feature: Named source in "The Big Hack" has doubts about the story
https://risky.biz/RB517_feature/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Oktober 19, 2018, 22:17:39
https://www.buzzfeednews.com/article/johnpaczkowski/apple-tim-cook-bloomberg-retraction
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am November 07, 2018, 22:36:12
https://www.heise.de/mac-and-i/meldung/Schadcode-per-FaceTime-Anruf-Apple-stopft-kritische-Luecke-4212538.html

https://www.heise.de/mac-and-i/meldung/iOS-macOS-watchOS-und-tvOS-per-Funk-abschiessbar-4208415.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 10, 2019, 13:40:49
https://www.heise.de/mac-and-i/meldung/Tool-kann-iPhone-Gesundheitsdaten-extrahieren-4263482.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Januar 10, 2019, 15:00:54
„Allerdings sind dazu Zugangsdaten des Nutzers (Apple ID plus Passwort) notwendig sowie dessen iPhone-PIN.“

Toller Hack! ;)
Um was es geht, ist also, dass der User nicht mitgeteilt bekommt, wenn andere mit seinen Logindaten zugreifen. Gut, ein Fehler, den Apple berichtigen muss. Der Rest liegt beim Benutzer…
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 24, 2019, 18:30:10
https://www.heise.de/mac-and-i/meldung/Chaos-iPhone-Luecken-erlauben-Remote-Jailbreak-4287021.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 29, 2019, 08:50:11
https://www.heise.de/mac-and-i/meldung/FaceTime-als-Wanze-Apple-schaltet-Gruppenfunktion-des-VoIP-Dienstes-ab-4290587.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Januar 31, 2019, 23:15:08
Angeblich üble Malware im Umlauf. Spioniert Cookies und andere Dinge aus, um Zweifaktor-Authentifizierung auszuhebeln. Und dann installiert es auch noch eine Cryptomining-SW und saugt die Rechenkraft des Macs.
AV-Hersteller/Sicherheitsfirma will’s entdeckt haben: https://unit42.paloaltonetworks.com/mac-malware-steals-cryptocurrency-exchanges-cookies/
Üble Hetzte gegen das Keks(=Cookie)-Monster. ;) Einfacher zu lesen fand ich:
https://thenextweb.com/hardfork/2019/01/31/macos-malware-cookies-swipe-cryptocurrency/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Februar 01, 2019, 18:03:31
https://www.zdnet.de/88353025/cookieminer-neue-mac-malware-pluendert-geldboersen-von-kryptowaehrungen/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Februar 02, 2019, 13:34:14
https://www.golem.de/news/sicherheitsluecke-facetime-gruppen-bleiben-erst-einmal-deaktiviert-1902-139141.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Februar 04, 2019, 22:08:27
Mal (https://www.heise.de/mac-and-i/meldung/Schwachstelle-in-macOS-bis-High-Sierra-Apps-koennen-alle-Schluesselbund-Passwoerter-klauen-3842355.html) wieder (https://www.apfelinsel.de/forum/index.php/topic,2878.msg107653.html#msg107653). Lücke im macOS Schlüsselbund bis hin zur aktuellen Version macOS 10.14.3:
https://www.heise.de/mac-and-i/meldung/Sicherheitsforscher-Kritische-Luecke-in-macOS-erlaubt-Auslesen-von-Passwoertern-4297437.html
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Februar 05, 2019, 07:58:25
Der Inhalt der Meldung ist aber sehr dürftig.
Da behauptet jemand, dass es eine Lücke gibt, aber es gibt keinerlei Informationen, wo die liegt, was evtl. an Mitarbeit des Benutzers nötig ist etc.
Damit kann man gar nichts anfangen, leider.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Februar 05, 2019, 19:20:08
Wichtige Passwörter könnte man in einen 2. Schlüsselbund, ungleich "Anmeldung", verschieben, den man nur entsperrt, falls tatsächlich gerade nötig. Nach Werkseinstellung landen alle Passwörter im Schlüsselbund Anmeldung, der standardmäßig nach der Anmeldung immer geöffnet ist:
https://www.heise.de/mac-and-i/meldung/Kritische-Luecke-im-Mac-Schluesselbund-Wie-sich-Nutzer-schuetzen-koennen-4298398.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Februar 05, 2019, 22:57:41
Komisch, mein Schlüsselbund scheint nie offen zu sein. Ohne Passwort geht nix.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Februar 06, 2019, 07:46:58
Das stimmt schon. Der Anmelde-Schlüsselbund ist normalerweise offen. Sonst würde man auch alle naselang nach dem Öffnen gefragt, wenn ein Programm dort hinterlegte Daten braucht.

Dieser "Workaround" ist aber auch nicht besonders sinnvoll. Das "böse" Programm kann ja einfach im Hintergrund warten, bis man mal wieder den Schlüsselbund aufsperrt, was ziemlich häufig passiert. Genau in dem Moment kann es dann zugreifen.

In dem Artikel stehen aber weiter keine Sachen drin, die eine Einschätzung erleichtern würden. Im Prinzip steht da nur, dass jemand behauptet, einen Weg gefunden zu haben, alle offenen Schlüsselbunde außer dem iCloud-Schlüsselbund mit einem Programm auslesen zu können. Mehr Informationen gibt es nicht. Es mag stimmen, es mag nur unter gewissen Bedingungen möglich sein, es könnte auch nur unter abstrus sinnlosen Voraussetzungen möglich sein. Niemand weiß anscheinend, wie die Bedingungen sind und ein Dritter hat das auch noch nicht bestätigen können.

Also für mich: Sehr unbefriedigend, aber keine Panik.
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Februar 06, 2019, 14:17:49
Der Forscher will nicht damit rausrücken, weil Apple nichts bezahlt für das Berichten von Mac-Lücken. Das ist natürlich dumm von Apple, bei iOS zahlen sie ja. Aber auch mies von diesem Forscher.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Februar 06, 2019, 15:04:11
Ja, ich weiß, warum er damit nicht heraus rückt. Aber er könnte das doch von einem Dritten zumindestens bestätigen lassen und die genaue Vorgehensweise auf Benutzerseite beschreiben (also z.B. "Es muss ein böses Programm gestartet werden, es muss ein Kennwort eingegeben werden etc.") Also nicht die genaue Methode, was das Programm echt, sondern was der Angegriffene machen muss.
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Februar 06, 2019, 15:23:03
Ich denke, er pokert, um doch noch was zu kriegen. Mies eben.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Februar 12, 2019, 09:09:35
https://www.zdnet.de/88353655/windows-app-umgeht-gatekeeper-und-infiziert-macs-mit-malware/
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Februar 12, 2019, 09:15:24
Klarer Fehler im Gatekeeper, finde ich.
Apple bitte umgehend fixen.
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Februar 12, 2019, 18:46:09
Ist das wirklich so, dass Gatekeeper nur ausführbare Dateien anhand des vorgegebenen Dateityps prüft? Kann ich kaum glauben, dass ist doch schon vor gefühlt hundert Jahren benutzt worden, um Dateien einzuschleusen.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Februar 13, 2019, 07:39:10
Das weiß ich nicht. Aber ich könnte mir schon gut vorstellen, dass Apple das so gebaut hat. Nicht ausführbare Dateien sind direkt auch erst einmal nicht ausführbar und daher weniger (gar nicht?) gefährlich. Laut dem Bericht wird anhand der Dateiendung entschieden, ob ausführbar oder nicht. Das wäre eine eher zweifelhafte Methode, wie man sieht.
Apple hat schließlich auch diese Option "Sichere Dateien öffnen" in Safari standardmäßig an. Also zuzutrauen wäre es ihnen.
Titel: Re: Apple und die Sicherheit
Beitrag von: mbs am Februar 13, 2019, 09:36:21
Das lässt sich auf Basis von Gatekeeper nicht anders machen. Die Idee hinter Gatekeeper ist, dass aus jedem ausführbaren Programm das Sicherheitszertifikat ausgelesen und geprüft wird. Handelt es sich aber um eine Datei, die nicht als macOS-Programm erkennbar ist, kann auch nichts geprüft werden.

Diese Art des Schutzes lässt sich immer umgehen. Man könnte z.B. ein Trojanisches Pferd mit gültigem Zertifikat entwickeln, das erst auf dem Computer des Opfers ein zweites Programm mit Schadfunktionen erzeugt. In diesem Fall gäbe es im Vorhinein überhaupt keine Datei, die geprüft werden könnte.

Solche Angriffe lassen sich nur mit einem echten Virenscanner verhindern wie Apples Malware Removal Tool (MRT), das in jeder Version von macOS vorhanden ist und ständig aktualisiert wird, aber dessen Existenz von Apple verschwiegen wird.

Gatekeeper wird außerdem in Zukunft so ausgebaut werden, dass jeder Entwickler seine fertigen Programme zunächst an Apple schickt, dort prüft Apple alle Dateien mit einem Virenscanner und wenn keine gefunden werden, wird das Programmpaket "notariell versiegelt" und an den Entwickler zurückgeschickt. Die Entwickler liefern dann nur noch diese beglaubigten Kopien aus und nur die werden von Gatekeeper durchgelassen.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Februar 13, 2019, 10:42:51
Danke mbs! Wieso verschweigt Apple sein Sicherheitskonzept?

Das klingt doch gar nicht so schlecht:
The macOS strategy against malware is generally to prevent unsigned software from running in the first place (Gatekeeper), to detect known malware (XProtect), and to remove any malware which is found (MRT):
https://eclecticlight.co/2018/01/20/just-what-do-xprotect-and-mrt-protect-your-mac-from/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Februar 14, 2019, 15:15:36
https://www.heise.de/mac-and-i/meldung/Gecrackte-iPhone-Apps-Apple-bekommt-Zertifikat-Missbrauch-nicht-in-den-Griff-4309628.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Februar 14, 2019, 18:31:41
https://www.heise.de/mac-and-i/meldung/Mac-Trojaner-will-Gatekeeper-abschalten-Apps-koennen-Safari-Verlauf-auslesen-4309776.html

Kann man das Auslesen des Safari Verlaufs in macOS 10.13 irgendwie verhindern? Browser wechseln?
Titel: Re: Apple und die Sicherheit
Beitrag von: mbs am Februar 16, 2019, 10:51:47
Wieso verschweigt Apple sein Sicherheitskonzept?

Es passt halt besser zum Apple-Sicherheitsaberglauben ;), wenn man so tut, als ob man auf dem Mac keinen Virenscanner bräuchte.

Kann man das Auslesen des Safari Verlaufs in macOS 10.13 irgendwie verhindern? Browser wechseln?

Ich wüsste jetzt keinen Browser der das kann. Außer eben "Safari auf Mojave", der das können sollte, wo es aber mit der Umsetzung noch hapert.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Februar 27, 2019, 13:54:09
https://www.zdnet.de/88354997/thunderclap-sicherheitsluecke-in-thunderbolt-betrifft-windows-macos-und-linux/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am März 01, 2019, 14:20:17
https://www.heise.de/mac-and-i/meldung/Schwachstelle-im-Mac-Schluesselbund-Details-nun-doch-an-Apple-uebermittelt-4324108.html

https://www.mactechnews.de/news/article/Fix-it-already-Wann-bietet-Apple-endlich-iCloud-Backups-mit-kompletter-Verschluesselung-171768.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am März 04, 2019, 18:12:24
https://www.heise.de/mac-and-i/meldung/Frist-verstrichen-Google-enthuellt-ungepatchte-Schwachstelle-im-macOS-Kernel-4325636.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am März 05, 2019, 11:04:20
Wirklich ärgerlich. Zur Zeit bekleckert sich Apple wahrlich nicht mit Ruhm, was sicherheitsrelevante Bugfixes angeht. Wahrscheinlich ist man zu sehr damit beschäftigt, neue Emojis einzubauen…
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am April 18, 2019, 17:44:21
https://www.heise.de/security/meldung/iPhones-Macs-Android-NAS-Geraete-ueber-Broadcom-WLAN-Treiber-angreifbar-4402376.html

Und welche Hardware hat Broadcom WLAN Chips intus?
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am April 19, 2019, 18:19:38
Die allermeisten oder alle Macs der letzten zehn Jahre oder mehr haben Broadcom-Chips und damit wohl auch den betreffenden Treiber. Was bei Dir drin ist, kannst Du in den Systeminformationen sehen - unter USB, weil das WLAN-Modul über USB angeschlossen ist.
iPhones und iPads haben auch Broadcom-Chips, wie ich diversen Teardowns entnehme. Bei Watch und TV bin ich mir sicher, nehme es aber an.

Ebenso sind diese Broadcom-Chips in praktisch allen Routern, die so verkauft werden.

Da man nichts anderes machen kann, als auf Patches zu warten, sollte man bis dahin halt fremde WLANs meiden. Meine Meinung. Denn die Lücken werden dermassen detailliert beschrieben, dass die Angriffe wohl schon stattfinden. Finde ich immer etwas merkwürdiges Verhalten von „Sicherheitsforschern“.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Mai 17, 2019, 17:49:16
https://www.apfelpage.de/news/apples-airdrop-erlaubte-manipulation-von-dateien-und-ausschalten-von-iphones/


„Es ist einfach Realität, dass es so viele Zero-Day-Exploits für iOS gibt“, schreibt der deutsche Sicherheitsforscher Stefan Esser, der sich intensiv mit Apples Mobilbetriebssystem beschäftigt, in einem Tweet. „Und der einzige Grund, warum nur wenige Angriffe in freier Wildbahn entdeckt wurden, ist, dass iOS-Telefone vom Design her die Verteidiger daran hindern, die Telefone zu untersuchen.“:
https://www.zdnet.de/88360283/bericht-iphone-sicherheitsfunktionen-verhindern-malware-erkennung/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Mai 27, 2019, 13:17:58
https://www.apfelnews.de/2019/05/27/apple-macos-gatekeeper-sicherheitsfunktion-verwundbar/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juni 12, 2019, 15:42:05
Obacht! Auf älteren OS X Versionen, bis einschließlich 10.11 El Capitan, ist der Schlüsselbund durch Schadsoftware auslesbar:
https://www.heise.de/mac-and-i/meldung/Nach-Apple-Patch-KeySteal-Exploit-fuer-Mac-Schluesselbund-veroeffentlicht-4445112.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juni 21, 2019, 11:10:48
"Bei der Aktualisierung ist ein Fehler aufgetreten" war zwar die Meldung zum Abschluss, es war aber lediglich der übliche Fehler, dass sich mein macOS (im Gegensatz zu iOS) nicht wieder automatisch mit einem WLAN verbindet, sollte dieses zwischenzeitlich einmal weg gewesen sein.

    (https://upload.wikimedia.org/wikipedia/commons/thumb/3/3a/Apple_airport_express.jpg/220px-Apple_airport_express.jpg)
https://de.wikipedia.org/wiki/Apple_AirPort

Ansonsten muss ich Apple schon fast für die Selbstverständlichkeit loben, dass Sicherheitsdefekte in funktionierender Hardware behoben werden:
https://www.heise.de/mac-and-i/meldung/Apple-behebt-schwere-Sicherheitsluecken-auch-in-aelteren-WLAN-Routern-4452601.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juni 25, 2019, 14:44:15
https://9to5mac.com/2019/06/25/macos-gatekeeper-vulnerability-2/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 01, 2019, 14:21:15
No fewer than six examples of Mac malware were discovered last month:
https://9to5mac.com/2019/07/01/crescentcore/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 09, 2019, 12:27:48
Die macOS Deinstallationsroutinen schaffen es nicht, das hier zu verhindern:
https://www.golem.de/news/sicherheitsluecke-zoom-erlaubt-zugriff-auf-die-webcam-von-mac-nutzern-1907-142422.html
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Juli 10, 2019, 07:54:12
Die macOS Deinstallationsroutinen schaffen es nicht, das hier zu verhindern:

Naja, diese Formulierung finde ich etwas merkwürdig.
Es passiert doch folgendes:
- Ein Benutzer installiert absichtlich eine Software inkl. Webserver, der eine Sicherheitslücke hat.
- Das Deinstallationsprogramm dieser Software (nicht von mac OS!) ist ebenfalls fehlerhaft und deinstalliert diesen Webserver nicht.
Also das vom Benutzer absichtlich installierte Programm hat zwei große Fehler.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 10, 2019, 14:58:39
Ich sehe das Löschen von Software eher als Aufgabe des Betriebssystems. Es sollte mindestens anzeigen, wenn noch etwas übrig ist. Ich vermute beim Betriebssystem iOS z. B. wäre es schwieriger nach dem Löschen noch Softwarereste zu haben.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Juli 10, 2019, 15:51:40
Ja, bei iOS gäbe es solche Reste nicht. Allerdings gäbe es diese Software auch gar nicht, weil iOS wie Du weißt mögliche Software sehr einschränkt.

Mir kommt die Formulierung "Die macOS Deinstallationsroutinen schaffen es nicht..." komisch vor, weil es keine Deinstallationsroutinen von macOS gibt.

Ja, man kann sich wünschen, dass das Betriebssystem selber nicht nur eine Installation (über die pkgs) anbietet, sondern auch alles überwacht und dann automatisch deinstalliert.
Ich bin mir nur nicht sicher, ob das nicht
- entweder erhebliche Nebeneffekte hat, die wir nicht wollen. Ich meine erhebliche Einschränkungen was Software kann und darf, damit so eine Erkennung auch zuverlässig funktioniert. Also Einsperren, Kastrieren und Einschränken in Richtung iOS.
- oder es nicht bei jeder Software 100% funktioniert.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 10, 2019, 19:22:49
Ich weiß was Du meinst. Ob diese erheblichen Einschränkungen, für das was ich meine, notwendig sind, kann ich nicht beurteilen, ich bezweifel es einfach mal. :)

Deinstallationsroutine des Betreibssystems war nicht korrekt ausgedrückt. Ich meine im Grunde eher sowas wie, drastisch formuliert, die GUI darf nicht lügen. Und dafür, dass die sichtbare Oberfläche, das was in einem Computer wirklich vorgeht, in ausreichendem Maße, darstellt, kann, meiner Meinung nach, nur das Betriebssystem verantwortlich sein. Sprich, wenn ein Programm in der GUI als komplett abwesend angezeigt wird, dann müsste es eben auch wirklich komplett weg sein. Also der Softwarehersteller dürfte schon die Freiheit haben, eine Deinstallationsroutine falsch zu schreiben, nach der Deinstallation sollten aber die verbliebenen Reste für Jedermann eben noch erkennbar sein.
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Juli 10, 2019, 20:23:56
Finde ich auch, Protokollierung und Dateioperationen sind grundlegende Funktionen eines Betriebssystems. Da wäre es doch ein leichtes, alle Spuren wieder zu entfernen. Eine Firma, die den Appstore betreibt, wird das ja wohl nicht aus Freiheitsgedanken unterlassen.
 Vielmehr will Apple den Gebrauch von Nicht-Appstore-Programmen möglichst unbequem machen. Und das ist wirklich allmählich freiheitsbedrohend.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Juli 11, 2019, 08:15:44
Ich weiß was Du meinst. Ob diese erheblichen Einschränkungen, für das was ich meine, notwendig sind, kann ich nicht beurteilen, ich bezweifel es einfach mal. :)

Ich glaube, dass für das, was Du Dir vorstellst, solche Einschränkungen nicht notwendig sind. Bei den "normalen" Programmen, die Dir vorschweben, ist das vermutlich ganz gut und ohne große Probleme umsetzbar. Aber Programme unter macOS können ja über alle möglichen Wege installiert werden, sie können alles mögliche veranstalten, schreiben und machen. Auch durchaus sinnvolle Sachen. Ich glaube nicht, dass es verlässlich möglich ist, alle möglichen Aktionen eines Programmes automatisiert zu überwachen und zu analysieren.

Zitat
Deinstallationsroutine des Betreibssystems war nicht korrekt ausgedrückt. Ich meine im Grunde eher sowas wie, drastisch formuliert, die GUI darf nicht lügen. Und dafür, dass die sichtbare Oberfläche, das was in einem Computer wirklich vorgeht, in ausreichendem Maße, darstellt, kann, meiner Meinung nach, nur das Betriebssystem verantwortlich sein. Sprich, wenn ein Programm in der GUI als komplett abwesend angezeigt wird, dann müsste es eben auch wirklich komplett weg sein. Also der Softwarehersteller dürfte schon die Freiheit haben, eine Deinstallationsroutine falsch zu schreiben, nach der Deinstallation sollten aber die verbliebenen Reste für Jedermann eben noch erkennbar sein.

Also darf es keine Programme mehr ohne GUI geben?
Wie unterscheidet das Betriebssystem bei von einem Programm geschriebenen Dateien zwischen denen, die weg sollen und denen, die erhalten bleiben sollen (z.B. nutzergenerierte Dokumente/Skripte/Programme). Wenn ich BBEdit deinstalliere, werden dann auch alle Dateien, die damit erzeugt wurden, entfernt?

Ja, ich fände so eine Fähigkeit auch gut, ich zweifel nur an der praktischen Umsetzbarkeit.

Da wäre es doch ein leichtes, alle Spuren wieder zu entfernen.

s.o. So leicht finde ich das nur bei den leichten Fällen. Meiner Meinung nach müsste man, um so ein System praktikabel umzusetzen, die Möglichkeiten der Programme stark beschränken. So wie bei iOS. Das wollen wir aber nicht.

Zitat
Eine Firma, die den Appstore betreibt, wird das ja wohl nicht aus Freiheitsgedanken unterlassen.

Ich glaube nicht, dass die fehlende Einschränkung unter macOS alleine auf einem Freiheitsgedanken aufsetzt. Eher glaube ich, dass Apple weiß, dass solche Einschränkungen von keinem akzeptiert werden.

Zitat
Vielmehr will Apple den Gebrauch von Nicht-Appstore-Programmen möglichst unbequem machen. Und das ist wirklich allmählich freiheitsbedrohend.

Naja...
Diese Weltuntergangsstimmung kursiert seit Jahren. Aber es ist weiterhin möglich, außerhalb der Einschränkungen des AppStores zu bleiben. Die Versuche, das System sicherer zu machen, führt dazu, dass es an einigen Stellen unbequemer wird. Aber auch völlig ohne AppStore wäre es doch identisch.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 11, 2019, 20:30:52
ich fände so eine Fähigkeit auch gut, ich zweifel nur an der praktischen Umsetzbarkeit.

Ja, die Änderungen wären sehr groß. Die gesamte Art wie Programme installiert werden und wie eine GUI erzeugt werden müssten vermutlich von Grund auf neu programmiert werden. Eine Umsetzung ist realistischerweise nicht zu erwarten.

Immerhin der Betriebssystemhersteller kümmert sich im aktuellen Fall:
https://www.appgefahren.de/macos-apple-veroeffentlicht-stilles-update-und-entfernt-zoom-webserver-255731.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Juli 11, 2019, 22:40:33
Wo ist denn das technische Problem, Dateioperationen zu protokollieren und wieder rückgängig zu machen? Wäre ja nur bei .pkg-Installs oder zumindest in Fällen, in denen das Passwort fällig wird.

Sage nicht, dass es keine Probleme gibt, ist eine Frage.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Juli 12, 2019, 07:47:20
Ja, die Änderungen wären sehr groß. Die gesamte Art wie Programme installiert werden und wie eine GUI erzeugt werden müssten vermutlich von Grund auf neu programmiert werden.

Eben. Die vielen unterschiedlichen Möglichkeiten, ein Programm mit und ohne GUI zu installieren, selber erstellen etc. müssten alle durch Zwang auf eine Version gebracht werden. Zusätzlich müssen die Programme einzeln eingesperrt und in ihren Möglichkeiten kastriert werden, damit sie diesen Installationsmechanismus nicht umgehen können. Also quasi wie bei iOS.
Gleichzeitig verhindert das aber viele eigentlich legitime Nutzungen. So eine Limitierung ist zumindestens von meiner Seite her überhaupt nicht gewünscht.

Wo ist denn das technische Problem, Dateioperationen zu protokollieren und wieder rückgängig zu machen? Wäre ja nur bei .pkg-Installs oder zumindest in Fällen, in denen das Passwort fällig wird.

Da gibt es kein technisches Problem. Wenn man nur das macht, dürfte mein Punkt "oder es nicht bei jeder Software 100% funktioniert." zum Zuge kommen. Gerade so Software, die bei der Deinstallation Ärger macht, hält sich nicht an die Vorgaben und installiert dann etwas unter Umgehung der normalen Methode. Zudem können in pkgs nicht nur Dateien, die irgendwohin geschrieben und später gelöscht werden, drin sein, sondern auch Skripte, die irgendwas machen. U.a. auch bestehende Dateien verändern. Das automatisiert rückgängig zu machen, ist extrem schwierig. Es reicht eben nicht aus, nur neu geschriebene Dateien zu löschen. Und was machst Du, wenn Programmbestandteile nicht während der Installation, sondern erst beim x-ten Programmstart irgendwohin geschrieben werden?
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 12, 2019, 09:02:17
Aus der offiziellen Bedienungsanleitung von macOS 10.13:
Zitat
Apps deinstallieren

Du kannst Apps deinstallieren, die du aus dem App Store oder von Websites geladen oder von Speichermedien installiert hast. Du kannst keine Apps deinstallieren, die Bestandteil von macOS sind, z. B. Safari oder Mail.

Geladene Apps aus dem App Store: Klicke auf das Launchpad-Symbol  im Dock, positioniere den Zeiger über dem Symbol der App und halte die Maustaste so lange gedrückt, bis alle Symbole zu wackeln beginnen. Klicke dann auf die Taste „Löschen“  der App. Wenn du die App später wieder verwenden möchtest, kannst du die App aus dem App Store erneut installieren.

Wenn ein Symbol keine Löschtaste hat, kann die App nicht im Launchpad deinstalliert werden. Weitere Informationen zum Launchpad findest du unter Launchpad zum Anzeigen und Öffnen von Apps verwenden.

Andere Apps: Klicke in der Finder-Seitenleiste auf „Programme“ und führe einen der folgenden Schritte aus:

Befindet sich eine App in einem Ordner, öffne den Ordner der App und sieh nach, ob sich darin ein Deinstallationsprogramm befindet. Wenn sich „App deinstallieren“ oder „App Deinstallationsprogramm“ im Ordner befindet, doppelklicke darauf und folge der Anleitung.

Wenn sich die App nicht in einem Ordner befindet oder kein Deinstallationsprogramm hat, bewege die App aus dem Ordner „Programme“ in den Papierkorb (am Ende des Docks) und wähle „Finder“ > „Papierkorb leeren“.

Alte Zöpfe abschneiden und nur mehr einen Weg anzubieten, um Programme zu löschen, fände ich schon eine große Vereinfachung und einfach "maclike". Dass sich das Löschen eines Programms nicht vom Löschen anderer Objekte unterschied war schon genial einfach in MacOS.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Juli 12, 2019, 09:20:49
Ich glaube, wir missverstehen uns.

Das, was Apple in dem Zitat beschreibt, ist genau das, was ich geschrieben habe.
Apps aus dem AppStore sind in ihren Möglichkeiten eingeschränkt und nur(!) solche Apps installieren zu können, ist eine der großen Befürchtungen, die es seit Einführung des AppStores gibt. Ich persönlich möchte das nicht haben, zum Glück haben sich bisher diese Befürchtungen nicht bewahrheitet.
Für andere Progamme wird darauf hingewiesen, dass es ein Deinstallionsprogramm geben könnte(!). Was in dem vorliegende Fall ja eben genau das Problem war.

Alte Zöpfe abschneiden und nur mehr einen Weg anzubieten, um Programme zu löschen, fände ich schon eine große Vereinfachung und einfach "maclike".

Ja, so etwas wäre maclike, wenn es funktionieren würde.
Bedeutet aber gleichzeitig, damit es funktioniert, das Programme nur noch auf ganz bestimmte Wege installiert werden dürften und sie auch nicht mehr alles tun dürften, was sie oder auch wir als Benutzer wollen.

Zitat
Dass sich das Löschen eines Programms nicht vom Löschen anderer Objekte unterschied war schon genial einfach in MacOS.

Was heißt "war"?
In diesem Punkt hat sich doch absolut nichts geändert. Wenn sich ein Programm an die Vorgaben von Apple hält (bzw. halten kann), dann funktioniert es doch auch genauso. Das "Problem" ist doch, dass sich Programme auch nicht daran halten können, weil sie es nicht wollen oder können, und dann dieser einfache Weg nicht funktioniert.
Programme, die sich nicht durch einfaches Kopieren installieren bzw. Löschen deinstallieren lassen, gab es schon immer. Ich sehe da keinerlei Änderung.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 16, 2019, 19:11:27
Programme, die sich nicht durch einfaches Kopieren installieren bzw. Löschen deinstallieren lassen, gab es schon immer. Ich sehe da keinerlei Änderung.

Ich dachte, im klassischen Mac OS hätte es nur die eine Methode - Löschen über den Papierkorb - gegeben.


Aber wir betrachten mittlerweile 2 Sachen:

a) Einfachheit der Bedienung (Meine Kritik: Drei Löschmethoden sind dreimal so kompliziert wie eine.)

b) Sicherheit: Wer steht für die Integrität von Anzeigen an den Nutzer ein? Dürfen Programme, die nicht im Programmordner sichtbar sind, (teilweise) noch da sein? Den Wahrheitsgehalt dieser Anzeige den SoftwareAnbietern zu überlassen halte ich für eine Sicherheitslücke by Design.

Die von Dir genannten Einschränkungen möchte ich natürlich auch nicht. Wenn es technisch nicht anders geht, finde ich die Methode von Mozilla gut: bestimmte Operationen (in about:config) sind möglich, aber nur abgetrennt hinter einem Hinweis "Hier endet die Gewährleistung". Was im Umkehrschluss ja heißen muss, wer dort nichts macht, bleibt auf der sicheren Seite.


https://www.heise.de/mac-and-i/meldung/Weitere-Videokonferenz-Tools-machen-Macs-unsicher-4472535.html
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Juli 17, 2019, 07:39:08
Ich dachte, im klassischen Mac OS hätte es nur die eine Methode - Löschen über den Papierkorb - gegeben.

Das Löschen über den Papierkorb war und ist die "normale" und "empfohlene" Methode für Software. Korrelierend dazu eben die Installation durch einfaches Kopieren.
Aber es gab schon immer Software, die einen eigenen Installer mitbrachte (oft sehr gruselig). Manchmal waren derartig installierte Programme auch durch Löschen über den Papierkorb deinstallierbar. Nämlich dann, wenn der Installer im Endeffekt nichts anderes als Kopieren gemacht hat. Es gab aber auch schon damals Software, die sich quer über die Festplatte installierte (Adobe als prominentes Beispiel) und nicht nur das Programm selber, sondern noch alle möglichen Hilfsprogramme, Erweiterungen etc. installierte.
Mit Mac OS wurde dann das Installationsprogramm von Apple eingeführt und somit die Notwendigkeit, eigene gruselige Installer zu benutzen, aufgehoben. An der Situation selber hat sich nichts geändert.

Zitat
a) Einfachheit der Bedienung (Meine Kritik: Drei Löschmethoden sind dreimal so kompliziert wie eine.)

Ja, das ist komplizierter und es sind nicht nur drei, sondern unendlich viele. Es gibt AFAIK zwei empfohlene:
- Löschen über Papierkorb für Programme, bei denen das geht.
- der Softwareentwickler muss ein Deinstallationsprogramm zur Verfügung stellen für Programme, bei denen einfaches Löschen über den Papierkorb nicht geht.
Aber es gibt für Softwareentwickler keinen Zwang, sich an diese beiden Wege zu halten. Und solange es keinen Zwang gibt, wird es immer auch Software geben, die noch einen anderen Weg benötigen.

Zitat
b) Sicherheit: Wer steht für die Integrität von Anzeigen an den Nutzer ein? Dürfen Programme, die nicht im Programmordner sichtbar sind, (teilweise) noch da sein? Den Wahrheitsgehalt dieser Anzeige den SoftwareAnbietern zu überlassen halte ich für eine Sicherheitslücke by Design.

Du siehst das sehr einseitig aus der Sichtweise von einfachen Apps/Programmen. In diesem Punkt hast Du Recht.
Aber es ist doch noch viel mehr Programme, die weder im Programmordner liegen, noch eine GUI haben müssen, noch...
Ohne Zwang seitens Apple wirst Du es nicht schaffen, dass sich alle Entwickler oder auch man selber, an dieses starre Korsett halten.

Zitat
Die von Dir genannten Einschränkungen möchte ich natürlich auch nicht. Wenn es technisch nicht anders geht, finde ich die Methode von Mozilla gut: bestimmte Operationen (in about:config) sind möglich, aber nur abgetrennt hinter einem Hinweis "Hier endet die Gewährleistung". Was im Umkehrschluss ja heißen muss, wer dort nichts macht, bleibt auf der sicheren Seite.

Aber ist es nicht so? Apple empfiehlt Wege, mit denen man auf der sicheren Seite ist. Wenn Du nur AppStore-Programme verwendest, dann hast Du das von Dir gewünschte Verhalten. Benutzt Du andere oder "gar" unsiginierte, dann bist Du dafür selber verantwortlich.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 17, 2019, 16:01:38
https://www.heise.de/mac-and-i/meldung/Neues-Silent-Update-behebt-Videoschnueffelei-unter-macOS-4472809.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 19, 2019, 19:13:15
https://www.giga.de/news/apple-ausgetrickst-so-dreist-geht-ein-israelischer-entwickler-vor/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am August 02, 2019, 14:51:28
Insbesondere Sicherheitsfirmen kontaktieren uns fast täglich mit Pressemeldungen und Berichten über angeblich extrem gefährliche Sicherheitslücken, welche die IT-Welt bedrohten. Bei näherem Hinsehen zeigt sich oft, dass die Berichte aufgebauscht und wichtige Details weggelassen wurden:
https://www.golem.de/news/berichterstattung-ueber-sicherheitsluecken-so-sicher-nicht-1908-142922.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am August 06, 2019, 21:32:01
https://www.giga.de/news/aus-gutem-grund-dieses-iphone-von-apple-gibt-s-nur-fuer-ausgewaehlte-kunden/
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am August 27, 2019, 18:38:04
https://www.heise.de/mac-and-i/meldung/macOS-Zurueckgelassene-Helper-Tools-als-Sicherheitsproblem-4507656.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am August 30, 2019, 20:15:54
https://www.maclife.de/news/krass-gehackte-webseiten-infizierten-iphones-jahre-mac-life-100114608.html
https://www.heise.de/mac-and-i/meldung/Google-Project-Zero-iPhone-Nutzer-ueber-Jahre-mit-boesartigen-Implants-infiziert-4510434.html
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am September 01, 2019, 10:25:56
Das klingt nach einer üblen Sache. Leider steht da nicht, wie weit verbreitet der Angriff war, wo man sich u.a. infizieren konnte bzw. was der Schädling dann wirklich gemacht hat oder wie man ihn erkennen könnte. Schade.

Zeigt aber wieder einmal, dass es keine Systeme ohne Fehler gibt.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am September 02, 2019, 15:16:27
https://m.spiegel.de/netzwelt/gadgets/iphone-spionage-angeblich-gegen-uiguren-gerichtet-a-1284798.html

https://www.heise.de/security/meldung/Analyse-Was-bedeutet-der-iPhone-Massen-Hack-4511921.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am September 05, 2019, 11:46:51
https://www.heise.de/mac-and-i/meldung/Exploit-Broker-Mehr-iPhone-Hacks-als-jemals-zuvor-4513799.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am September 06, 2019, 21:45:25
Apple: A message about iOS security:
https://www.appgefahren.de/iphone-hacking-apple-nimmt-stellung-und-gibt-deutliche-entwarnung-259850.html
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am September 07, 2019, 07:42:55
Naja, die Wahrheit wird vermutlich irgendwo in der Mitte liegen. Was soll Apple auch anderes sagen?
Schockierend ist das ganze ja nur für diejenigen, die ein iOS-Gerät für unangreifbar halten.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am September 09, 2019, 21:42:06
https://www.heise.de/mac-and-i/meldung/iPhone-Massen-Hack-Krieg-der-Statements-zwischen-Google-und-Apple-4516744.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am September 30, 2019, 21:55:01
Lange Zeit gab es für Nutzer mit erhöhtem Sicherheitsbedürfnis nur eine Empfehlung: Kauf ein Apple-Gerät.

Doch nach mehreren schwerwiegenden Sicherheitslücken hat Apples Ruf gelitten. Auf dem Schwarzmarkt kosten sogenannte Zero Days für Android-Geräte erstmals mehr als bisher unbekannte Exploits für iPhones

https://www.sueddeutsche.de/digital/apple-iphone-it-sicherheit-checkm8-1.4622223
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am September 30, 2019, 22:38:14
Lange Zeit gab es für Nutzer mit erhöhtem Sicherheitsbedürfnis nur eine Empfehlung: Kauf ein Apple-Gerät.

Und ich dachte immer, die Empfehlung ist Linux.
(Ich weiß, es ist kein Zitat von Dir, sondern aus dem Artikel).


Zitat
Doch nach mehreren schwerwiegenden Sicherheitslücken hat Apples Ruf gelitten. Auf dem Schwarzmarkt kosten sogenannte Zero Days für Android-Geräte erstmals mehr als bisher unbekannte Exploits für iPhones

Vielleicht auch, weil der Marktanteil deutlich größer ist?

Das Apple Nachholbedarf hat, stimmt sicherlich. Das die meisten Android-Installationen sicherer sind, keineswegs. Das gilt höchstens für die neueste Version, die dann wieder viele nicht installieren können, weil vom Hersteller nicht bereitgestellt.

Ein Fehler wie Checkm8 ist natürlich immer schlecht. Konkret gefährdet sind aber wenige User, wie der Artikel ja auch erläutert. Intel hat solche Fehler auch schon gemacht und andere auch. Überhaupt stellt sich mir die Frage, ob die ARM-Chips in anderen Smartphones wirklich vor solchen Fehlern gefeit sind.

Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Oktober 29, 2019, 21:03:59
https://www.heise.de/mac-and-i/meldung/iPhone-6-Co-Apple-schliesst-Sicherheitsluecken-auf-alten-Geraeten-4571815.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am November 13, 2019, 21:44:12
https://www.mactechnews.de/news/article/Apple-Mail-fuer-macOS-Siri-legt-alle-Mails-unverschluesselt-ab-173765.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Dezember 13, 2019, 23:13:10
85 % aller iOS Geräte mit nicht behebbarer Sicherheitslücke:
https://www.maclife.de/news/cellebrite-kommt-dank-checkm8-selbst-bei-gesperrten-iphones-aufs-dateisystem-100115583.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Dezember 19, 2019, 23:49:07
Das ein konfisziertes iPhone - wie auch alle anderen Geräte - irgendwann geknackt werden könnte, davon wäre ich sowieso ausgegangen. Es scheint ja keine moderne Soft- oder Hardware ohne Lücken zu geben oder gar geben zu können.
Trotzdem ist das mehr als unschön, weil nicht zu beheben.


Apple hat einen Security-Überblick seiner Plattformen online gestellt.
https://support.apple.com/de-de/guide/security/welcome/web

(Noch?) nur auf Englisch.

Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Dezember 20, 2019, 11:15:09
https://www.heise.de/mac-and-i/meldung/Apple-zahlt-fuer-Sicherheitsluecken-bis-zu-1-5-Millionen-US-Dollar-4620807.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 30, 2020, 00:17:41
https://www.heise.de/mac-and-i/meldung/Safari-fuehrt-deaktivierte-Erweiterungen-aus-4649012.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 30, 2020, 23:23:15
https://t3n.de/news/forensiker-android-handys-lassen-1247800/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Februar 12, 2020, 09:14:32
https://www.heise.de/mac-and-i/meldung/Malware-Analyse-Sicherheitsfirma-protokolliert-Erdrutsch-bei-macOS-4659280.html
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Februar 13, 2020, 07:54:50
Naja, wieder einmal: Der Titel ist reißerisch, der Inhalt relativiert es dann wieder.
Endergebnis ist: Es gibt einen Schädling, der über Firefox kam und ein gezielter Angriff war. Alles andere ist ungewollte Software, die vom Nutzer selber installiert werden muss...
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am März 26, 2020, 23:31:05
https://appleinsider.com/articles/20/03/26/ios-bug-prevents-vpn-apps-from-encrypting-all-traffic
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am März 27, 2020, 07:57:57
Wenn ich das richtig verstehe, dann ist Inhalt des Bugs, dass beim Aktivieren des VPN bereits bestehende Verbindungen nicht getrennt und dann wieder neu per VPN verbunden werden.
Klar ist das ein Bug, der behoben werden muss.
Aber eines der genannten Probleme hat man auch, wenn das korrekt funktioniert: Die IP-Adresse ist bei den betroffenen Verbindungen sowieso schon bekannt, denn die Verbindung bestand schon vor Aktivierung des VPN.

D.h. aber auch: Wenn man ein ständig aktiviertes VPN hat, wie ich hier (https://www.apfelinsel.de/forum/index.php/topic,7281.0.html) beschrieben habe, dürfte es kein Problem geben, weil es keine Verbindungen ohne VPN gibt.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am März 31, 2020, 10:43:39
https://www.heise.de/mac-and-i/meldung/Mac-Firmware-Nicht-immer-auf-dem-aktuellen-Stand-trotz-Update-4693573.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am April 23, 2020, 13:56:22
https://www.golem.de/news/zero-day-ios-wird-ueber-praeparierte-e-mails-gehackt-2004-148048.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am April 30, 2020, 19:03:43
https://www.heise.de/mac-and-i/meldung/Google-Sicherheitsforscher-Apples-zentrales-Bild-Framework-schlecht-abgesichert-4712716.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am April 30, 2020, 20:11:40
Apple sieht da kein Problem:
https://www.heise.de/mac-and-i/meldung/macOS-Sandbox-Ausbruch-per-Editor-4712045.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Mai 05, 2020, 19:29:46
https://www.apfelpage.de/news/weitere-seit-jahren-bestehende-luecke-in-ios-ipados-laesst-unberechtigte-zugriffe-auf-dateisystem-zu/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am August 02, 2020, 15:07:27
https://9to5mac.com/2020/08/01/new-unpatchable-exploit-allegedly-found-on-apples-secure-enclave-chip-heres-what-it-could-mean/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am August 05, 2020, 15:05:13
https://www.spiegel.de/netzwelt/gadgets/office-makros-auf-dem-mac-der-ausnahme-hack-a-b910d0c4-e045-4255-9558-4fc117fac4c2
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am August 17, 2020, 14:16:34
https://www.mactechnews.de/news/article/Neue-Mac-Malware-verbreitet-sich-ueber-Xcode-175724.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Jochen am August 21, 2020, 18:22:42
Bekannt?

Apple legt das Häkchen um.

https://netzpolitik.org/2020/werbe-tracking-apple-legt-das-haekchen-um/

Jochen
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am August 22, 2020, 08:36:21
Ja, ist bekannt.
Wenn die Werbefirmen jammern, war es für den Nutzer die richtige Entscheidung.  ;D
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am August 25, 2020, 20:50:01
https://www.heise.de/news/iOS-und-macOS-Browser-Schwachstelle-ermoeglicht-Extraktion-lokaler-Dateien-4878892.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am August 31, 2020, 18:35:58
https://www.heise.de/news/Notarisierte-Mac-Malware-Apple-beglaubigte-offenbar-mehrfach-Trojaner-4882770.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am September 01, 2020, 11:32:37
Vom Heise-Forum ist man es ja gewohnt, aber wie viele Leute die Überprüfung der Signatur für eine Zulassung zum Appstore halten...

Also, es geht nur um die Signatur. Die wird wahrscheinlich erschwindelt worden sein. Ein Code-Audit oder auch nur eine Funktionsprüfung findet dabei nicht statt. Der Schutz gegen Malware ist nicht präventiv, sondern, nach Aufkommen eines Vorfalls, kann der Entwickler-Account gesperrt werden.

Im Appstore sind die Regeln viel strenger und trotzdem rutscht auch da öfters mal was durch.

Schlimmer ist, dass die altbekannte Malware offensichtlich nicht auf Apples Virenliste stand und der Gatekeeper nicht ansprang.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Oktober 06, 2020, 16:15:33
https://9to5mac.com/2020/08/01/new-unpatchable-exploit-allegedly-found-on-apples-secure-enclave-chip-heres-what-it-could-mean/

https://www.apfelpage.de/news/kein-patch-moeglich-t2-chip-im-mac-mit-sicherheitsluecke-die-weitreichenden-zugriff-ermoeglicht/
https://www.golem.de/news/apples-t2-wenn-der-sicherheitschip-zum-keylogger-wird-2010-151401.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Oktober 09, 2020, 18:58:55
Legale/White Hacker nehmen sich Apples Internet-Infrastruktur vor. Von iCloud zu Apples eigenen Projektseiten.
Zitat
There were a total of 55 vulnerabilities discovered with 11 critical severity, 29 high severity, 13 medium severity, and 2 low severity reports

https://samcurry.net/hacking-apple/

Ich nehme an, bei anderen Firmen geht es auch nicht viel anders zu. Immerhin hat Apple stets recht zügig reagiert.
Da es ja angeblich keine fehlerfreie Software geben kann, wie es immer heißt, steht ja eigentlich die gesamte Digitalisierung in Frage, aber es ist ja immer noch irgendwie meistens gut gegangen...
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Oktober 14, 2020, 10:54:48
https://www.heise.de/news/Apples-T2-Chip-Exploit-in-Aktion-gezeigt-4928042.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Oktober 26, 2020, 20:43:52
https://www.heise.de/news/Apple-beglaubigte-erneut-Mac-Adware-4939332.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am November 17, 2020, 13:14:34
Nach dem Update auf Big Sur konnten manche Nutzer keine Drittanbieterprogramme mehr starten. Grund waren Serverprobleme bei Apple, aber auch das Blockieren auf Userseite. Natürlich hängt das mit dem Gatekeeper zusammen.
Danach kamen Gerüchte auf, Apple würde protokollieren, welche Programme man wann öffnet. Das stimmt nicht, wie man auch leicht wissen konnte, denn der Datenverkehr war unverschlüsselt.

Trotzdem kam jetzt eine Stellungnahme von Apple.

https://support.apple.com/en-us/HT202491
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am November 26, 2020, 22:44:46
https://www.apfelpage.de/news/apple-torpediert-die-arbeit-von-sicherheitsspezialisten-am-mac/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 12, 2021, 12:29:31
https://www.apfelpage.de/news/das-iphone-12-kann-womoeglich-herzschrittmacher-abschalten/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 13, 2021, 10:46:00
https://www.zdnet.de/88391255/macos-malware-bleibt-fuenf-jahre-unentdeckt/
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Januar 13, 2021, 18:09:30
AppleScript lebt! ;)
Da Raubkopien nicht so verbreitet sind am Mac, hoffe ich, dass dies nicht zu große Kreise zog.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 24, 2021, 22:31:38
https://www.apfelpage.de/news/das-iphone-12-kann-womoeglich-herzschrittmacher-abschalten/

15 cm und beim induktiven Laden 30 cm Sicherheitsabstand:
https://www.apfelpage.de/news/das-iphone-12-mit-magsafe-und-die-herzschrittmacher-apple-verschlimmbessert-sein-supportdokument/
https://www.heise.de/news/iPhone-12-MagSafe-und-Herzschrittmacher-Apple-raet-zu-sicherem-Abstand-5035155.html
https://www.heise.de/news/MagSafe-Gefahr-fuer-Herzschrittmacher-Apple-nennt-Sicherheitsabstand-6121427.html

https://appleinsider.com/articles/21/06/03/magsafe-has-clinically-significant-risk-to-cardiac-devices-says-american-heart-association
Titel: Re: Apple und die Sicherheit
Beitrag von: mathias am April 09, 2021, 10:54:37
Schlüsselbund, Passwörter und Touch ID bei MacBookAir mit externem Display.
Beim MBA werden PW für Webseiten automatisch ausgefüllt, nachdem man sich mit TouchID identifiziert hat. Das ist super praktisch, das funzt nämlich auch mit registrierten Fingern von verschiedenen Personen. Zum Beispiel für den Zugang zur Fritz!Box. So weit, so gut.

Allerdings meine ich, folgende Erfahrung gemacht zu haben:

Das Airbook hängt an einem externen Display und ist dabei zugeklappt (also das Airbook). TouchID ist also nicht erreichbar. Das ausfüllen des PW für die Fritz!Box hat aber trotzdem funktioniert, einfach mit Klick auf das Dialogfeld. Ich habe mich nicht via TouchID identifiziert und musste auch kein NutzerPW eingeben oder ähnliches.
(Am MacMini ist es auch so.) Ist TouchID nur bei mobilen Geräten notwendig? Und wenn das MBA an einem externen Display hängt, dann sollte es doch dennoch als "mobiles Device" gelten, oder?
Also ich muss das bei Gelegenheit noch einmal austesten...
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am April 09, 2021, 14:15:00
Man loggt sich ja in seinen Mac-Account ein. Ist das Passwort dasselbe wie für den Schlüsselbund, ist dieser auch entriegelt.

Ich habe kein Macbook, aber denke, dass es natürlich erkennt, dass a) der Deckel zu ist und b) ein externer Bildschirm angekoppelt ist. Daher muss es stationär sein und es besteht nicht mehr das Risiko wie unterwegs. Zudem ist es natürlich viel komfortabler, weil ja Touch ID nicht zur Verfügung steht.

Am Mac ist das auch schon immer so. In der Standardeinstellung reicht ein Ruhezustand oder natürlich Ausloggen, um den Schlüsselbund (und den Account) wieder zu verriegeln. Deshalb sollte man verschiedenen Personen auch eigene Accounts geben, schon wegen der Übersicht.


Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am April 12, 2021, 22:45:32
https://www.maclife.de/news/apple-aktualisierte-a12-soc-s5-soc-sicherheitsgruenden-100118931.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am April 24, 2021, 00:05:51
https://www.appgefahren.de/airdrop-sicherheitsluecke-verraet-telefonnummer-und-mailadresse-an-fremde-299534.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Mai 26, 2021, 13:23:40
https://t3n.de/news/fehler-chip-design-m1-apple-1380732/
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Mai 26, 2021, 19:19:42
Chips ohne Bugs sind wohl mittlerweile genauso illusorisch wie fehlerfreie Programme.
Zwar besteht bei diesem Bug wohl keine Gefahr, aber es kommen sicher noch mehr. Und das so schnell einer gefunden wurde, ist auch nicht gerade beruhigend. Immerhin kann Apple so schneller Fehler ausmerzen... und neue machen.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Mai 27, 2021, 14:19:08
https://www.golem.de/news/browser-apple-patcht-sicherheitsluecke-in-safari-ueber-wochen-nicht-2105-156823.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Juni 12, 2021, 17:15:34
Apple-Angestellte drängen Kunden bei Reparaturen zur Passworteingabe/-deaktivierung. Was an sich schon ein Unding ist.
In mindestens einen Fall postete einer dann geklaute freizügige Photos einer Kundin ins Internet, was Apple Millionen an Schadensersatz kostete.
https://mjtsai.com/blog/2021/06/11/settlement-for-applecare-privacy-invasion/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 09, 2021, 01:00:49
https://www.heise.de/news/Kontopluenderung-per-geklautem-iPhone-Brasilianische-Polizei-verraet-Methode-6132832.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Juli 09, 2021, 18:10:43
Darum sollte man nie Informationen öffentlich machen und diese „Sicherheitsfragen“ am besten boykottieren oder Phantasiedaten eintragen. Wobei die ja langsam aussterben, weil sie eben nicht sicher sind.
Die SMS-Codes sind so leider so auch zu umgehen. Fehlt aber immer noch das Passwort, das wirkt, wenn es sicher ist. Und nicht der Name des ersten Hundes oder der Mutter ist oder 01234.

Sehe keine Verbindung zu Apple, dass ginge so mit allen Handys. Bei neueren iPhones hat man ja nicht mal mehr eine physische SMS-Karte. Wer relevante Infos öffentlich macht, lebt gefährlich. Das gilt nicht nur in Brasilien übrigens auch für Daten, wo man sich gerade befindet.
 „Grüße aus dem Urlaub an die Nachbarn in der Ganovengasse! Bitte Jemand die Blumen gießen, Schlüssel unter der Matte!“  8)

Die Leute müssen endlich schlauer werden!
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 26, 2021, 21:28:51
https://www.spiegel.de/netzwelt/web/iphone-sicherheit-und-pegasus-apples-liste-des-boesen-a-1b92f2a2-ff3b-440d-9f24-0217ef41d1a4
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am September 25, 2021, 00:17:00
Entwickler meldet vier Zero-Day-Lücken.
Drei werden nicht gestopft, eine nach einer ganzen Weile, ohne Nennung des Melders. Der fragt nach, es geschieht nichts, nun geht er an die Öffentlichkeit:
https://habr.com/en/post/579714/

Ich finde es schon recht irritierend, wenn Sicherheitslücken einfach offen gelassen werden. Auch der Umgang mit den Meldern ist - nach vielen Fällen kann man das als bestätigt ansehen - eine ziemliche Sauerei. Belohnungs-Vergabe also allenfalls mit Geschmäckle. Damit treibt man die Leute doch direkt dahin, wo viel Geld bezahlt wird. Zu NSO oder Geheimdiensten oder eben zu Verbrechern.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Dezember 11, 2021, 20:56:42
https://www.apfelpage.de/news/das-iphone-12-kann-womoeglich-herzschrittmacher-abschalten/

15 cm und beim induktiven Laden 30 cm Sicherheitsabstand:
https://www.apfelpage.de/news/das-iphone-12-mit-magsafe-und-die-herzschrittmacher-apple-verschlimmbessert-sein-supportdokument/
https://www.heise.de/news/iPhone-12-MagSafe-und-Herzschrittmacher-Apple-raet-zu-sicherem-Abstand-5035155.html
https://www.heise.de/news/MagSafe-Gefahr-fuer-Herzschrittmacher-Apple-nennt-Sicherheitsabstand-6121427.html

https://appleinsider.com/articles/21/06/03/magsafe-has-clinically-significant-risk-to-cardiac-devices-says-american-heart-association

https://www.spiegel.de/wissenschaft/iphone-deaktiviert-das-smartphone-von-apple-herzschrittmacher-a-3d0df675-838c-46fd-914b-4d26cf4685ae
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 04, 2022, 15:14:09
https://www.golem.de/news/apple-sicherheitsluecke-kann-iphones-und-ipads-unbenutzbar-machen-2201-162134.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 15, 2022, 23:34:32
https://appleinsider.com/articles/22/01/15/multi-platform-backdoor-discovered-targeting-macos-windows-linux#P2Ws
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Januar 17, 2022, 23:20:47
Beliebige Websites können Rückschlüsse auf andere besuchte Seiten ziehen. Betrifft Safari 15 auf allen Apple-Systemen.
https://fingerprintjs.com/blog/indexeddb-api-browser-vulnerability-safari-15/

Der Fix sollte bald veröffentlicht werden, glaubt man dem Artikel. Wurde aber schon im November 21 gemeldet…
Ich empfehle generell nur noch Brave. Das verhindert auch Fingerprinting und wird ständig aktualisiert.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Februar 18, 2022, 21:03:25
https://www.heise.de/news/Macs-mit-T2-Sicherheitschip-Tool-soll-Passwort-Knacken-ermoeglichen-6497844.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Mai 08, 2022, 15:18:38
https://www.maclife.de/news/sicherheitsluecke-apple-silicon-angreifbar-100120800.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Mai 08, 2022, 23:21:22
Immer derselbe Mist mit diesen Vorabladern. ;)
Bin auf Apples Reaktion gespannt. Oder lässt man es unkommentiert? Sähe ihnen ähnlich.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juni 11, 2022, 17:23:27
https://9to5mac.com/2022/06/10/pacman-m1-chip/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juni 17, 2022, 17:48:36
https://9to5mac.com/2022/06/15/apple-pays-more-samsung-bug-bounty-program/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 07, 2022, 08:54:58
https://www.heise.de/news/Lockdown-Mode-Apple-macht-fuer-Spionagegefaehrdete-die-Schotten-dicht-7164653.html
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Juli 10, 2022, 11:37:09
Interessante Sache. Bin mal gespannt, ob man davon hört, dass Leute so etwas wirklich benutzen.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am August 18, 2022, 22:55:20
https://www.heise.de/news/VPN-auf-dem-iPhone-Sicherheitsforscher-warnt-vor-moeglichen-Datenlecks-7235446.html
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am August 19, 2022, 09:18:36
Das klingt nicht gut. Ich mache ja gerade ein VPN auf, damit der komplette Traffic darüber läuft. Großer Mist.
Titel: Re: Apple und die Sicherheit
Beitrag von: maya am August 20, 2022, 16:36:43
Betrifft das Datenleck nur die eiPhons oder sollte macos auch geaktualisiert werden?
(habe bei heise leider keinen Zugriff, deswegen diese Frage hier)
Titel: Re: Apple und die Sicherheit
Beitrag von: mbs am August 21, 2022, 09:47:27
Es geht hier gar nicht wirklich um VPNs, sondern um Anonymisierungsdienste, die eigene Apps zur Einwahl verwenden, umgangssprachlich "VPN-Apps" genannt.

Solche Apps werden im Moment aus Sicherheitsgründen daran gehindert, bereits bestehende Netzwerkverbindungen anderer Apps abzubrechen. Das entspricht den normalen Regeln des App Store.

Die "normale" Verwendung eines VPNs, also beim gesicherten Zugang zum eigenen Firmen- oder Zuhaus-Netz, ist davon überhaupt nicht betroffen. Normalerweise will man dort auch gar nicht den ganzen Datenverkehr durch das VPN leiten, sondern nur die eigenen Daten, die gesichert werden müsssen.

Dieser angebliche "Sicherheitsforscher" hat nicht viel Sachkenntnis.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am August 21, 2022, 12:32:43
Puh, das klingt schon wesentlich entspannter.
Ich benutze keine spezielle "VPN-App", sondern mache mit Bordmitteln eine VPN-Verbindung nach Hause und möchte auch, dass alles darüber geleitet wird.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am August 30, 2022, 19:52:25
https://www.mactechnews.de/news/article/Malware-Scans-in-macOS-Suche-nach-Schadsoftware-findet-jetzt-viel-haeufiger-statt-180880.html

Ergänzung:
The macOS strategy against malware is generally to prevent unsigned software from running in the first place (Gatekeeper), to detect known malware (XProtect), and to remove any malware which is found (MRT)

XProtect Remediator scheint die bisherige Funktion von "MRT" zu übernehmen, er soll also nicht nur das Ausführen bekannter Malware blockieren, sondern diese auch nachträglich von einem bereits infizierten System entfernen können. Das neue Tool hat Apple nicht nur in macOS 12 Monterey integriert, sondern auch in die älteren Versionen macOS 11 Big Sur und macOS 10.15 Catalina:
https://www.heise.de/news/Apples-Mac-Antiviren-Tool-wird-aktiver-7250805.html

macOS Versionen vor 10.15 bekommen also kein XProtect Remediator, und das MRT wird offenbar seit Frühjahr 2022 nicht mehr aktuell gehalten.  :(
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am September 05, 2022, 18:23:24
Systeme vor Catalina bekommen doch auch gar keine Security-Updates mehr und sollten eigentlich nicht mehr benutzt werden. Linux drauf und Weiternutzung.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Oktober 05, 2022, 20:12:03
https://www.heise.de/news/Bundesamt-iPhone-und-iPad-sind-sicher-genug-fuer-Verschlusssachen-7285265.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Oktober 07, 2022, 19:07:48
https://www.heise.de/news/macOS-ZIP-Archive-koennen-Apples-Gatekeeper-umgehen-7287601.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Oktober 25, 2022, 12:59:21
https://www.heise.de/news/Zero-Day-Fehler-im-Kernel-von-iOS-und-iPadOS-wird-ausgenutzt-7319500.html
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Oktober 26, 2022, 09:41:49
Also auf jeden Fall updaten.
Habe ich gestern schon gemacht und läuft alles.
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Oktober 28, 2022, 11:43:27
Neue Security-Seite soll helfen, sicherheitskritische Bug-Reports schneller zu verwalten, sage ich mal. ;)
https://www.macrumors.com/2022/10/27/apple-launches-new-security-research-website/

https://security.apple.com/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am November 19, 2022, 11:27:59
"Aufgrund von Abhängigkeiten der Architektur und Systemänderungen in jeder aktuellen Version von macOS (beispielsweise macOS 13) werden nicht alle bekannten Sicherheitsprobleme in früheren Versionen behoben (beispielsweise macOS 12)":
https://support.apple.com/de-de/guide/deployment/depc4c80847a/web
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am November 19, 2022, 18:20:36
So ein Mist!
Habe null Bock immer gleich upzugraden. Bug-verseuchte 0er-Versionen oder monatelang bekannte Sicherheitslücken im System… na Mahlzeit!
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am November 20, 2022, 09:02:28
Ich warte auch immer erst einige Zeit ab, oft sogar mehr als ein halbes Jahr und bleibe auf der Vorgängerversion.

Aber wirklich neu ist diese Info nicht, oder? Das wurde öfters schon mal thematisiert, glaube ich. Macht es aber nicht besser... >:(
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am November 20, 2022, 10:04:07
Neu ist die offizielle Bestätigung von Apple.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Dezember 15, 2022, 10:32:48
So verwendest du die Sicherheitsprüfung auf deinem iPhone (ab iOS 16)| Apple Support:
https://www.youtube.com/watch?v=YvjF7CBFQLQ
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Dezember 16, 2022, 17:34:39
https://www.mactechnews.de/news/article/Schnellere-Sicherheitsupdates-fuer-macOS-Erster-Testlauf-fuer-Apples-Rapid-Security-Response-181625.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 26, 2023, 22:10:17
https://www.heise.de/news/MacBooks-fuer-die-Tonne-Kritik-an-Apples-Aktivierungssperre-flammt-wieder-auf-7472186.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Februar 20, 2023, 17:12:12
https://www.heise.de/news/iPhones-Versteckter-WLAN-Sync-als-Hintertuer-fuer-Stalker-7521785.html
https://www.certosoftware.com/certo-wifi-sync-checker/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am April 16, 2023, 18:24:29
https://9to5mac.com/2023/04/16/lockbit-ransomware-targeting-macs/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am April 20, 2023, 08:30:06
https://www.heise.de/news/iPhone-Code-reicht-Diebe-sperren-Opfer-permanent-aus-Apple-Account-aus-8973271.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am April 28, 2023, 12:11:53
Die NSO Group mal wieder:
https://mjtsai.com/blog/2023/04/27/zero-click-exploits-against-ios-16/
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Mai 03, 2023, 14:05:27
macOS-Malware extrahiert Passwörter aus Schlüsselbund:
https://www.heise.de/news/Neue-macOS-Malware-klaut-Browser-Daten-Schluesselbund-und-mehr-8984079.html
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Mai 03, 2023, 14:26:56
Ist zum Glück eine ziemlich schlecht gemachte Malware.
Man muss sie selber starten.
Man muss sie so starten, dass sie trotz fehlendem Zertifikat gestartet werden kann.
Man muss nach dem Start den Zugriff auf verschiedene Ordner erlauben.

Tja, gegen so eine Software kann es keinen Schutz geben.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Mai 03, 2023, 19:54:19
Ich habe schon einigen Programmen Leserechte im Dokumentenordner gewähren müssen. Ich würde nicht damit rechnen, dass danach der Schlüsselbund ausgelesen werden kann. ???
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Mai 04, 2023, 07:23:43
AFAIK kann mit der Erlaubnis den Homeordner zu lesen auch nicht der Schlüsselbund ausgelesen werden. Die App fragt wohl mehrfach die verschiedenste Erlaubnisse an, um verschiedene Sachen auszulesen. Zum Zugriff auf den Schlüsselbund muss natürlich das Benutzerkennwort eingegeben werden.

Es wird hier wohl überhaupt keine Lücke ausgenutzt, sondern nur der Benutzer.
Sowas liesse sich nur verhindern, wenn der Benutzer selber auch keinen Zugriff mehr hat oder eigene/fremde Software installieren/starten kann etc.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Juli 11, 2023, 23:02:07
https://www.maclife.de/news/zero-day-patch-ios-ipados-macos-zurueckgezogen-100122553.html
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Juli 12, 2023, 08:27:15
Ich hatte mich gestern morgen auch schon gewundert. Auf allen Newsseiten war das Update angekündigt, aber ich bekam es nicht angezeigt.

Gerüchten zufolge wurde das Update zurückgezogen, weil einige "wichtige" Webseiten (Facebook, Instagram, WhatsApp, Zoom etc.) nicht mehr richtig funktionierten, weil deren Skripte mit der Versionsbezeichnung (angehängtes a an die Nummer) nicht klar kamen.

Da sieht man mal wieder was für einen Mist die sich zusammenprogrammieren. Meiner Meinung nach sollte man die Funktion einer Website nicht von irgendeinem Inhalt des User agent abhängig machen. Aber was weiß ich schon...
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Juli 13, 2023, 08:20:41
Das Sicherheitsupdate ist nun wieder da und hat im Namen den Zusatz "(c)" bekommen.
Komisch ist, dass mir das iOS-Update im Finder nicht angezeigt wird, sondern nur auf dem Gerät selber. Naja...
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am August 13, 2023, 16:14:53
https://www.golem.de/news/qualitaetsmaengel-bei-apple-forscher-laesst-malware-warnsystem-von-macos-verstummen-2308-176715.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am September 08, 2023, 18:11:45
https://www.heise.de/news/NSO-Group-Angriff-Notfall-Updates-fuer-iPhone-iPad-Mac-und-Apple-Watch-9298564.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Oktober 20, 2023, 17:41:25
https://www.mactechnews.de/news/article/macOS-von-Sierra-bis-Sonoma-Welche-Sicherheitsupdates-Apple-zur-Verfuegung-stellt-183566.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am November 03, 2023, 13:43:31
https://www.heise.de/news/Keylogger-Tastatur-schleust-Daten-ueber-Apples-Wo-ist-Ortungsnetz-aus-9342791.html
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am November 04, 2023, 00:30:22
Naja, also wenn man physisch auf einen Rechner zugreifen kann, sind Keylogger oder auch andere versteckte USB-Geräte immer ein Problem. Da gibt es Lösungen aus dem Baukasten für,ein paar Euro, unabhängig vom System.
Der Alptraum ist so groß, dass in sicherheitskritischen Umgebungen die Buchsen versiegelt werden.

In diesem Fall wird am Gehäuse gebastelt, was man auch verhindern oder erkennen kann, aber fieser ist das schon,

Im übrigen war FireWire auch ein Rieseneinfallstor. Thunderbolt auch, schon wegen der USB-Funktionalität. Gilt auch für alle andere Buchsen, wie wäre es mit einem Network-Sniffer am Drucker? Auch lecker direkt am Router, oder über die aussenliegende Kamera kommt man teilweise locker ins Netzwerk.

Die ganzen Angriffsszenarien vorher zu erkennen, ist gar nicht einfach und für Privatleute eher unmöglich bis unnötig.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Dezember 21, 2023, 21:47:01
https://www.heise.de/news/iPhone-PIN-weg-Millionen-entwendet-Wie-Gauner-Apples-Oekosystem-missbrauchen-9579990.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Dezember 28, 2023, 18:58:13
https://www.heise.de/news/Neuer-iPhone-Diebstahlschutz-Wichtige-Orte-als-Sicherheitsloch-9582753.html
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 25, 2024, 10:10:38
iOS 17.3:
https://www.mactechnews.de/news/article/Schutz-fuer-gestohlene-Geraete-aktivieren-am-besten-gleich-184157.html
Titel: Re: Apple und die Sicherheit
Beitrag von: fränk am Januar 25, 2024, 15:06:02
iOS 17.3:
https://www.mactechnews.de/news/article/Schutz-fuer-gestohlene-Geraete-aktivieren-am-besten-gleich-184157.html
Liest sich wie eine weitere Nerverei, die leider doch nicht verhindert, dass das Telefon geklaut wird.
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Januar 25, 2024, 19:13:09
Finde das schon zielführend.
Wann ändert man denn z.B. das Passwort? Alle heiligen Zeiten bis gar nicht. Da kann man doch den Code eingeben und das Gesicht vor die Kamera halten. Macht man ja eh.
Und die Ortung finde ich auch okay, selbst wenn man ständig unterwegs ist, sind es doch oft dieselben Punkte. Weicht das plötzlich ab, braucht man halt den Code+Visage.

Natürlich könnte man in den meisten Situationen auch besser aufpassen, dass niemand zu genau darauf schauen kann, wenn man den Passcode eingibt. Oder man macht ihn komplexer, so dass es sich die nur die wenigsten Diebe überhaupt merken können. Und nie das iPhone fremden Leuten in die Hand geben, keine Bonbons annehmen und keine Gläser halbvoll stehen lassen, wenn es zum Nasepudern geht.
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Januar 26, 2024, 08:47:51
Ich habe die Funktion auch direkt eingeschaltet. Ich gehe zwar davon aus, dass das bei mir unnötig war/ist, aber man weiß nie. Die Gefahr war ja, dass jemand, der das entsperrte iPhone hat, einfach mal so auf die Schnelle alle möglichen Zugänge ändern kann. Und das sollte auf keinen Fall sein.
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 27, 2024, 21:29:48
https://www.computerbase.de/2024-01/via-push-notifications-verbreitete-ios-apps-greifen-heimlich-geraetedaten-ab/
Titel: Re: Apple und die Sicherheit
Beitrag von: Florian am Januar 28, 2024, 01:44:16
Das ist zwar nicht mein Grund, aber ich untersage den Apps generell das Recht für Push- und sonstige Meldungen, außer halt was man wirklich braucht.
Von den genannten asozialen Netzen habe ich selbstverständlich keine einzige App jemals installiert.

Jedenfalls wirft das wieder mal ein Licht darauf, warum die Verkäufer immer wollen, dass man die App installiert statt die Webseite zu nutzen. Weil die wenigsten User Werbefilter für Apps nutzen, im Vergleich zum Netz. Und dann erlauben viele auch noch diese Meldungen.
Wobei mittlerweile viele Webseiten schon fragen, ob man Push-Nachrichten will.

Und bei dem Link, und so vielen anderen, muss man aktiv der Datenweitergabe zustimmen oder kann ihn nicht lesen. Auf Heise, nur ein anderes Beispiel, ist das genauer aufgeschlüsselt, aber am Ende muss man der US-Datensaugmaschine doch zustimmen!
Ich habe jedenfalls null Bock auf so ein Internet. Hush macht leider manche Seiten untauglich, sonst würde ich die Cookie-Hinweise ausfiltern.
Lockdown wiederum filtert nur noch die wesentlichen Tracker, wenn man es gratis nutzt. Würde ja zahlen, aber nicht als Abo!
Titel: Re: Apple und die Sicherheit
Beitrag von: radneuerfinder am Januar 28, 2024, 21:56:00
https://9to5mac.com/2024/01/28/security-bite-iphones-stolen-device-protection-has-a-fatal-flaw-but-you-can-fix-it/
Titel: Re: Apple und die Sicherheit
Beitrag von: MacFlieger am Januar 29, 2024, 09:01:00
Ja, Pushmitteilungen habe ich auch fast alle deaktiviert. Nur die, die ich wirklich für wichtig halte. Ansonsten kriegt man ja einen Rappel bei den ganzen "wichtigen" Mitteilungen...