News Apple: BSI warnt vor Sicherheits­lücken in Mail-App von iOS

[iSight2TheBlind]

die private und geschäftliche SIM-Karte in einem Gerät nutzen zu können

Da ich vor 10 Minuten einen Anruf auf meine geschäftliche eSIM in meinem mit privater SIM bestückten iPhone 11 Pro bekommem habe möchte ich dir sagen: Öhm...!

 

[Helge01]

klar machen Sie das. Ich Kauf mir ein neues MacBook melde mich mit meinem iCloud Account an und Voilla all meine E-Mail Konten inklusive Passwort sind sofort eingerichtet. Also müssen alle Daten in der Cloud beziehungsweise bei iCloud liegen

Die Backup Passwörter sind nicht unverschlüsselt in der iCloud. Auch ist der iCloud-Schlüsselbund nicht zwingend notwendig für das betreiben der E-Mail App. Wer die Funktion Backup über die iCloud nutzt, muss sich auch über die Konsequenzen klar sein. Backups lassen sich auch problemlos lokal auf einem MacOS Gerät anlegen. Ich nutze seit vielen Jahren Apple Produkte, habe aber noch nie die iCloud aktiviert oder gar benutzt.

 

[marcwo]

Das BSI ist nicht allwissend.
Jahrelang haben sie gesagt das jedes Jahr neue Passwörter erstellt werden sollen.
Obwohl die Alten weder gehackt noch sonst was wurden.
Jetzt kommt aufeinmal das die Mailapp angreifbar ist.
Das ist das Eine .
Dazu kommt die Corona APP nächsten Monat.
Sehr seltsam.

 

[teufelernie]

An alle die hier schreiben "ist ja nicht so schlimm, bin nicht so wichtig":
Dann veröffentlicht hier doch bitte eure kompletten Kontaktdaten (Name, Straße, PLZ, etc.) und Nicknames bei allen Onlinediensten die ihr benutzt. Wie macht ihr nicht? Ihr seid doch laut eigener Aussage nicht so wichtig, also los macht doch mal.

@Topic
Ist mir befremdlich, warum so eine Lücke so lange nicht gefixt wurde, da ist man doch schnell bei "höheren Interessen" ... sollte eigentlich einen Untersuchungsausschuss zu solchen gravierenden Lücken geben, wenn die aus Gründen nicht zeitnah (sprich ASAP) gefixt werden. Denn es gibt einfach viel zu viele betroffenen Menschen.

das ist doch überhaupt nicht vergleichbar.
Durch die Lücke sind die Daten doch nicht für alle Verfügbar, sondern nur für Kriminelle!

Gut, dass ich erst vor ca zwei Monaten von Android auf IOS gewechselt bin, denn ich habe ja nichts zu verbergen !!!1!1!!!!11!!1!!1eins!elf!

 

[Autokiller677]

Unter iOS 13 lässt sich der Angriff komplett ohne Nutzerinteraktion im Hintergrund durchführen. Abgesehen von einer vorübergehenden Verlangsamung des Geräts sei der Angriff für die Opfer nicht wahrnehmbar. Da sich mit den Sicherheitslücken Code im Rahmen der Mailapp (iOS 12) beziehungsweise Maild (iOS 13) ausführen lässt, kann der Angreifer die E-Mail anschließend einfach löschen. Um das iPhone oder iPad komplett zu übernehmen, benötigt der Angreifer eine weitere Sicherheitslücke zur Rechteausweitung. Die Kombination mehrerer Sicherheitslücken, das sogenannte Chaining, ist jedoch nicht unüblich. Im vergangenen Jahr entdeckte Google fünf verschiedene Exploit Chains für iPhones, die aktiv ausgenutzt wurden.

Dann solltest du das zu deiner Aussage dazuschreiben. Die klang nämlich so, als ob die jetzt gefunden Lücke dafür ausreichen würde.

Ein paar hundert. Aller Generationen. Muss ich von Berufswegen leider. Zum Glück immer nur kurzfristig.

Persönlich schätze ich es mehr, Standardapps festlegen zu können, die private und geschäftliche SIM-Karte in einem Gerät nutzen zu können, Exchangeserver auch ohne Drittanbieterzertifikat verbinden zu können, ein Update auch per USB Verbindung und Kommandozeile einspielen zu können und generell für schon 300€ ziemlich gute Smartphones zu bekommen.

Ich weiß, ITler und ihre komischen Ansprüche...

Bitte schieb das nicht auf alle ITler. Mir ist es völlig latte, wie das Update läuft, solang es läuft. Ich hab da jetzt wenig Verlangen, das selber per USB und Kommandozeile zu verschicken. Solang es keine Probleme gibt sehe ich nicht, wieso ich diese Zeit investieren sollte.

Dual Sim gibts bei iPhones jetzt auch schon was länger, so viel zu den Sim Karten. Und mit Exchange Accounts hatte ich auch noch nie Schwierigkeiten, das lief (im ggs. zu Android) schon bei iOS 2 ordentlich.

klar machen Sie das. Ich Kauf mir ein neues MacBook melde mich mit meinem iCloud Account an und Voilla all meine E-Mail Konten inklusive Passwort sind sofort eingerichtet. Also müssen alle Daten in der Cloud beziehungsweise bei iCloud liegen

Wie schon gesagt macht das die Keychain, die ich seperat verwalten kann. Und im ggs. zu Spark & co. ist die Keychain einfach nur ein Passwortmanager wie jeder andere, bei dem die Daten nur Ende-zu-Ende verschlüsselt auf den Server kommen: https://support.apple.com/de-de/HT202303
Das hat wenig mit dem zu tun, was z.B. Spark macht: Die haben dein Passwort im Klartext und lassen ihre Server deine Mails abrufen & verarbeiten.

 

[SVΞN]

Update: Im Update findet sich nun eine offizielle Stellungnahme von Apple.

Liebe Grüße
Sven

 

[Tolpan]

Wo stellt man die Sync beim Ipad ab?

 

[fuyuhasugu]

ein Update auch per ... Kommandozeile einspielen zu können ... Ich weiß, ITler und ihre komischen Ansprüche...

Der Wunsch, ein Smartphone oder seine Apps per Kommandozeile upzudaten, ist tatsächlich reichlich "komisch".

Aber Du kannst keine Apps per se als Standard definieren. Google kann das innerhalb seiner Apps umgehen, das wars auch schon.

Die IT deines Abeitgebers konnte das nicht? Oder bist du die IT?

 

[knoxxi]

Wo stellt man die Sync beim Ipad ab?

in den jeweiligen Accounts den Sync beenden. Also den Schieber hinter Mail von grün auf grau umlegen.

 

[Alphanerd]

Microsoft hatte Ärger wegen eines vorinstallierten Browsers, den man aber problemlos abwählen konnte. Apple darf Standardapps vorschreiben. Rate mal, was ich für schwerwiegender halte.

Ohne weiter zu lesen, weiß ich was dir geantwortet wird:
"Ja aber der Marktanteil von iPhones ist ja niedrig".

Darauf antworte ich schon mal: nein, bei iOS Telefonen haben die iPhones 100% Marktanteil

 

[testwurst200]

Das auf digitale Forensik spezialisierte ZecOps gibt an, bereits im Januar 2018 Angriffe über diese Lücken in freier Wildbahn gesehen zu haben.

Obgleich das Unternehmen in den Sicherheitslücken kein akutes Risiko erkennt, da die Sicherheitssysteme des iPhones oder iPads nicht umgangen werden könnten und bisher keinerlei Erkenntnisse zu erfolgreichen Angriffen vorliegen würden, werde Apple die Sicherheitslücken bald mit einem Update schließen.

Obwohl die Lücke ausgenutzt wird ist es halb so wild?

 

[iSight2TheBlind]

@Alphanerd Nur dass die Kategorie nicht "iOS Telefone" heißt sondern "Smartphones".
Während Microsoft eine dominierende Stellung beim maximalst-allgemeinen Begriff "Personalcomputer" hat(te).

 

[LuckyMagnum]

Apples Statement ist interessant. Gab es nun erfolgreiche Angriffe oder nicht?

 

[Alphanerd]

@iSight2TheBlind
Wenn ich glaube im iOS system gefangen zu sein (sind einige, wie man zb im SE2 Thread lesen kann, wie viele "freuen" sich über ein bezahlbaren iPhone um das erste SE oder 6er abzulösen) gibt es nur ein Smartphone.

 

[Autokiller677]

Ohne weiter zu lesen, weiß ich was dir geantwortet wird:
"Ja aber der Marktanteil von iPhones ist ja niedrig".

Darauf antworte ich schon mal: nein, bei iOS Telefonen haben die iPhones 100% Marktanteil

Oh, die Definition ist toll. Sollten sich die Unternehmen auch mal dran halten, dann können die bei den Quartalsergebnissen immer prahlen, dass sie 100% Marktanteil haben. </ironie>

@Alphanerd
Ja, man freut sich, dass man das System nicht Wechseln muss. Ist bei Android doch genauso. Da bleiben viele Leute auch gerne beim gleichen Hersteller, weil man nicht wechseln muss und herstellerübergreifende Backups häufig doch deutlich weniger Übertragen als beim gleichen Hersteller. Außerdem muss man sich nicht umgewöhnen. Und der Wechsel zu Apple ist von Android aus genauso nervig wie umgekehrt.

Jeder im SE2 Thread wäre auch in der Lage auf ein Android zu wechseln. Die Frage ist halt, wieso, wenn es eben einen Nachfolger gibt.

 

[Damokles]

Apples Statement ist interessant. Gab es nun erfolgreiche Angriffe oder nicht?

Wenn man einen betroffenen Hersteller fragt, wird es die NIE geben. Egal welcher das ist. Jeder Hersteller wird dir dann verkaufen wollen: "Ist ja halb so schlimm, quasi nicht erwähnenswert".
Die Prio1-Anfrage bei Apple ergab: "Wir diskutieren keine Sicherheitslücken mit Außenstehenden".
Auch nicht als Partner / Prosumer / Consumer / whatever.

 

[druckluft]

Nen 1000er darauf, dass mit dem Update auch das von Google und Apple angekündigte Tracking integriert ist. Ich bleib erstmal bei iOS12...

 

[AYAlf]

Apples Statement ist interessant. Gab es nun erfolgreiche Angriffe oder nicht?

Wenn ein Unternehmen alles in einer Hand behalten will und keine Statements darüber verlauten lässt, dann wirst du diese Fragen nur von denjenigen beantwortet bekommen können, die das Ganze schon 100.000x ausgenutzt haben.
Aber auch die werden den Teufel tun, um das freiwillig zu bestätigen. Die wollen schließlich von den unzähligen Lücken bei Apple profitieren.

Übrigens kann nur so Apple aufrechterhalten, dass sie angeblich sicher sind.
Die Abuser und der Operator können dadurch nur verlieren.

Eigentlich ein echt perverses System.

 

[Kalsarikännit]

Das aber praktisch: ich stelle eine Behauptung auf, kann sie aber natürlich nicht mit Fakten untermauern weil die ja von "interessierter" Stelle unter Verschluss gehalten werden. Check!

 

[AYAlf]

@Kalsarikännit ich weiß auch, dass Diktaturen schlecht sind. Dafür muss ich nicht in einer Leben. Übrigens, das selbe Prinzip.
Außerdem gibt es genug solcher Fälle. Die Lücke ist hier nicht das Problem (um das noch mal klar zu stellen). Sonder welche Stellen sie publik machen und wie sie ans Tageslicht kommen.
Wer das nicht hinterfragt, hat das System Apple verdient, imho.

Dieses in Blasen denken, scheint ja ein totaler Trend zu sein. Ich schau mich nicht um, damit ich nix schlechtes finde oder irgendetwas, was mein Weltbild widerlegt.
So kann man leben, muss man aber nicht.

Das sind dann die "umgekehrten" Verschwörungstheoretiker. Beides ein lustiger Ansatz - leider nicht für mich.