News iOS-Sicherheitslücke: Apple reagiert auf Vorwürfe seitens Google

[Garack]

• Was verstehst unter einer "externen" app?
• Natürlich muss alles durch irgendeine System-API laufen. Wie denn sonst?

Würde ich auch vermissen - kann gegebenfalls ganz praktisch sein.

Also Privacy - weniger Sicherheit - da du umliegende Wifi Access Points zur Positionsbestimmung nutzen kannst. Aber darfst ja sowieso nur wifi scannen, wenn du so oder so Permission "Location" hast - also von daher...

Was mich an dieser Stelle viel mehr stört:

Wie du einfach an MAC Adressen umliegender Geräte - inkl. Router - kommst! Super cool - nicht...

Hat sich iOS noch nichts geändert, oder? Gehe mal davon aus, wenn ich solche Apps im Store sehe:
https://apps.apple.com/us/app/scany-network-scanner/id328077901

Möchte ja nichts sagen, aber Android 10 - habe ich zwar noch nicht getestet, aber wie z.B. aus diesem Bug report hervorgeht - scheint hier tatsächlich Beschränkungen vorgenommen zu haben!
https://issuetracker.google.com/issues/130103885


Ist mir bewusst, dass du geschrieben hast, ASLR (wie address space layout randomization - nicht alsr) haben beide. Das war mein Punkt - eben dass trotzdem ASLR nur im iOS whitepaper aufgeführt wird.

Dachte bei Android kannst du mit Berechtigung direkt auf die jeweils andere externe App (eine App die nicht systemseitig vorhanden ist, Drittanbieterprogramme..) zugreifen und bei ios gehts immer nur übers system.

Bei ios gibs keine netzwerk scanner die kanäle Und Signalstärke zeigen ausserhalb des eigenen netzwerkes.

 

[Tuxgamer42]

Dachte bei Android kannst du mit Berechtigung direkt auf die jeweils andere externe App (eine App die nicht systemseitig vorhanden ist, Drittanbieterprogramme..) zugreifen und bei ios gehts immer nur übers system.

Ähm - kurz gesagt, nein.

Ist Android eigentlich ziemlich ähnlich iOS:

• Eine App darf sagen "Hey, ich kann Karten öffnen". Und eine andere App kann dem System sagen "Öffne mal das hier auf einer Karte" - in welchem Fall sich erste App öffnet
• Android lässt sich so etwas sogar mit einer Permission absichern - weiß nicht, wie das iOS ist
• Ausnahmeregel gibt es für Apps des selben Herstellers: Apps mit gleicher Signatur dürfen gegenseitig gewisse Daten austauschen. Ähnliche Regel gibt es aber auch für iOS.

Bei ios gibs keine netzwerk scanner die kanäle Und Signalstärke zeigen ausserhalb des eigenen netzwerkes.

Ich weiß - hast mir ja schon gestern geschrieben. Ich wüsste aber nicht, was sich seitdem an meiner Antwort geändert haben soll...

Wie bereits gesagt, darfst Android sowieso nur nach Netzwerke scannen, wenn du Permission "Location" hast. Von daher sehe ich kein Problem. Anders als z.B. bei MAC-Adressen von irgendwelchen Routern...

 

[ChatN0ir]

Heartbleed

Ich wollte nie behaupten dass sich in der Open-Source Community keine Schwerwiegenden Programmierfehler einschleichen, ich meinte dass es unwahrscheinlicher ist schwerwiegende Sicherheitslücken in Open-Source Betriebssystemen zu finden als in Betriebssystemen die unter Verschluss gehalten werden.

Security by Obscurity ist nie eine Lösung.

 

[AntiUser]

, ich meinte dass es unwahrscheinlicher ist schwerwiegende Sicherheitslücken in Open-Source Betriebssystemen zu finden als in Betriebssystemen die unter Verschluss gehalten werden

Na dann ist ja gut, dass der Großteil von iOS auch OpenSource Software ist. Ähnlich wie bei einigen Android Geräteherstellern werden die GUI Herstelleraufsätze nicht veröffentlicht.

https://opensource.apple.com/

 

[L0g4n]

"Großteil". Sehr optimistisch ausgedrückt. Und ich seh da nur was zu iOS 11, wo ist denn das schon seit einem Jahr veröffentlichte iOS 12?

 

[yummycandy]

Und im Gegensatz zu macOS ist das bei iOS eher ein Witz.

 

[Kalsarikännit]

Naja, wenigstens fallen Sicherheitslücken unter Android deutlich schneller auf da es ein Open-Source-Projekt ist...

Wo findet man denn den Sourcecode der Binarys welche man aktuell auf seinem Android-Smartphone hat?

 

[yummycandy]

Wo findet man denn den Sourcecode der Binarys welche man aktuell auf seinem Android-Smartphone hat?

Hier, aber nicht für alle Teile von deinem Smartphone. Bei den anderen mußt du den Hersteller fragen. https://android.googlesource.com/

 

[AntiUser]

Und im Gegensatz zu macOS ist das bei iOS eher ein Witz.

macOS und iOS sind das gleiche. In XNU von macOS ist der ARM Code von iOS enthalten. Lediglich die Unterschiede sind separat unter iOS aufgelistet.

 

[yummycandy]

Danke für die Aufklärung!

 

[Kalsarikännit]

Hier, aber nicht für alle Teile von deinem Smartphone. Bei den anderen mußt du den Hersteller fragen. https://android.googlesource.com/

soweit so gut - aber sind die o.g. compilierten Sourcen dann auch wirklich auf dem Telefon? Das kann doch keiner garantieren.

 

[yummycandy]

soweit so gut - aber sind die o.g. compilierten Sourcen dann auch wirklich auf dem Telefon? Das kann doch keiner garantieren.

Da hilft nur selbst kompilieren und vergleichen.

 

[Kalsarikännit]

Da hilft nur selbst kompilieren und vergleichen.

sehe ich auch so. Deswegen tu ich mir mit der Aussage „Android ist Open Source“ auch etwas schwer. Stimmt natürlich grundsätzlich für vermutlich große Teile des BS, aber realistisch gesehen weiß auch bei Android keiner was auf seinem Smartphone läuft.

 

[sedot]

Dann die Einschränkungen, z.b. Vermisse ich bei ios nen wlan tool welches mit frequenz kanalbrlegung stärke

usw. in der nähe befindlichen wlans anzeigt. Android kann das, aber apple gewährt auf einige wichtige prozesse einfach mal null Zugriff.

Die Apple Airport App kann das, „Stärke“ explizit fehlt allerdings wobei mir gerade nicht klar ist was du genau meinst. Gerätename, Kanal, RSSI, etc. plus Extra-Fenster mit Übersicht auf welchen Kanälen sich die Gesamtzahl der Geräte tummelt für 2,4 und 5GHZ.

 

[Tuxgamer42]

Deswegen tu ich mir mit der Aussage „Android ist Open Source“ auch etwas schwer.

=> Custom ROM - ohne Google App. Immerhin hast du Android diese Möglichkeit - ansonsten bleibt tatsächlich vom "Open Source" aus Nutzersicht nicht viel übrig...

 

[knoxxi]

Gab hier ein Update auf 12.4.1





Edit: das selbe Update mit dem selben ChangeLog gibt es auch für den Apple TV HD und Apple TV 4k

 

[Garack]

Die Apple Airport App kann das, „Stärke“ explizit fehlt allerdings wobei mir gerade nicht klar ist was du genau meinst. Gerätename, Kanal, RSSI, etc. plus Extra-Fenster mit Übersicht auf welchen Kanälen sich die Gesamtzahl der Geräte tummelt für 2,4 und 5GHZ.

Ja ich weiss, die app ist rudimentär im vergleich zu android aber zur not zu gebrauchen. Externe apps dürfen allerdings nicht auf diese apis zugreifen.

 

[Tuxgamer42]

Gab hier ein Update auf 12.4.1

Das hat hiermit eigentlich nichts zutun - die Lücken, um die es hier geht, wurden spätestens vor ca. einem halben Jahr behoben.
Ist eigentlich schon ein Witz, dass die Öffentlichkeit erst jetzt davon erfährt...

Aber ja, klar werden trotzdem immer wieder Sicherheitslücken gepatcht - auch dank Project Zero.

 

[Hardware_Junkie]

Und was sollte da drin stehen?

Die haben wie üblich nach Sicherheitslücken gesucht und wieder Mal eine gefunden. Nun bei uns. Dann haben sie uns informiert und wie in der Industrie üblich später die Öffentlichkeit. Das war unfair und hat unseren Ruf geschädigt, da wir immer mit mehr Sicherheit werben.
[...]

Rufschädigung indem man eine Mücke zu einem Elefanten aufbläst. Google hat mit seinen Worten ja lt. Apple maßlos übertrieben bzgl. den Behauptungen zur Lücke. Das kann allein durch die Wortwahl schon Millionen an Schaden verursachen. Aber wir werden ja sehen.

 

[Tuxgamer42]

Google hat mit seinen Worten ja lt. Apple maßlos übertrieben bzgl. den Behauptungen zur Lücke.

Apple hatte allen ernstes ein halbes (!!!) Jahr Zeit ein marketingtaugliches Statement zu verfassen. Oder wie die Marketingabteilung bei Apple sagt "keine Maßlose Übertreibung".

Brauchen sich sicherlich nicht zu wundern, wenn irgendwann die Sicherheitsforscher bei Google jetzt entsprechende Details veröffentlichen, eben wie Sicherheitsforscher Details zu Sicherheitslücken veröffentlichen.
Sprich: Ohne alles ein mal durch die Marketingabteilung zu schicken, dass alles eben nicht mehr nach Sicherheitslücke, sondern nach Mückenschiss, klingt.

Aber wir werden ja sehen.

Inwiefern? Was erwatest du, das noch passiert?