Posts tagged "hacker"

Angeschlagenes Vertrauen in den Apple App Store nach Hackerangriff.

Am Sonntagabend musste Apple eingestehen, dass es einen erfolgreichen Hackerangriff auf den Apple App Store gegeben hat. Festgestellt hat das die Sicherheitsfirma Palo Alto Networks.

Der Angriff war ziemlich clever und lässt die Sicherheitskontrollen von Apple ziemlich alt aussehen… Die Angreifer haben die offizielle Entwicklersoftware Xcode von Apple für App-Entwickler heruntergeladen und modifiziert mit einer Compiler Malware mit dem Namen XcodeGhost. Diese modifizierte Version hat man dann im Internet zum download angeboten. Selbst namhafte Entwickler haben diese infizierte Version geladen.

Bisher war das Alleinstellungsmerkmal des Apple App Store jeweils die gelebte Sicherheit mit aufwändigen Kontrollen. jede App welche in den Store eingereicht wird, kommt in einen lange andauernden Sicherheitscheck. Dieses Sicherheitsleck wurde allerdings bei einigen Apps nicht entdeckt! Da fragt man sich schon, wenn so offensichtliche Sicherheitsprobleme nicht entdeckt werden, um was geht es dann bei der Kontrolle?

Apple und die Entwickler haben zwar schnell reagiert und zum Glück für uns Europäer waren fast nur Apps für den chinesischen Markt betroffen. Unterm Strich musste der Apple App Store bisher mit einem Bruchteil von erfolgreich durchgeführten Angriffen umgehen im Vergleich zu den Mitbewerber, dennoch hinterlässt die Aktion einen faden Beigeschmack.

Doch keine Sicherheitslücke in iCloud.

iCloud Beta Login

Bei dutzende von Promis wurden von einem digitalen Dieb persönliche und sehr private Fotos gestohlen. In den Meldungen war die Rede von einem Hacker-Angriff auf iCloud. Angeblich soll der Diebstahl über ein Sicherheitsleck in der „Find my iPhone“-API gelungen sein. Apple ist die Privatsphäre der Kunden sehr wichtig und darum gab es eine Taskforce um den Vorfall zu untersuchen. Nun, nach 40 Stunden gibt Apple eine erste Auskunft:

We wanted to provide an update to our investigation into the theft of photos of certain celebrities. When we learned of the theft, we were outraged and immediately mobilized Apple’s engineers to discover the source. Our customers’ privacy and security are of utmost importance to us. After more than 40 hours of investigation, we have discovered that certain celebrity accounts were compromised by a very targeted attack on user names, passwords and security questions, a practice that has become all too common on the Internet. None of the cases we have investigated has resulted from any breach in any of Apple’s systems including iCloud® or Find my iPhone. We are continuing to work with law enforcement to help identify the criminals involved.

Apple schliesst nicht 100%ig aus, dass die Nackt-Bilder von iCloud stammen könnten. Was man aber mit Sicherheit sagen kann, der Angriff ist nicht über eine Sicherheitslücke geschehen. Der digitale Dieb war bereits im Besitz von Benutzername und Passwort. So vermutet man. Die Untersuchungen gehen aber weiter und auch das FBI hat sich eingeschaltet. Die prominenten Opfer haben mit Klagen in alle Richtungen gedroht. Wer auch immer die schlüpfrigen, teils pornographischen Bilder veröffentlich, muss sich warm anziehen.

Der Fall macht aber deutlich, mit einer zweistufigen Bestätigung wäre das nicht passiert. Noch nicht einmal wenn man den Benutzernamen und das Passwort weiss. Wer es noch nicht eingerichtet hat, dem empfehle ich es sehr. Zusätzlich sollte man zur Sicherheit keine Bilder ins Internet stellen, welche man nie einem ungewollten Publikum zeigen möchte. Auch nicht in gesicherten Accounts oder vermeintlich gesicherten Chats. Noch besser wäre eigentlich, man lässt das mit den Aufnahmen von nackten Körper und Nahaufnahmen von Geschlechtsteilen. Dann kann noch weniger passieren. Dennoch muss eines aus klar sein, der Hacker, bzw. Dieb, muss sich gut verstecken, denn der Diebstahl der privaten Bilder ist kein Kavaliersdelikt und da sind doch einige dutzend Prominente mit guten Anwälten…

iOS Backdoor Access

iPhone 5 mit iOS 6 Ortungsdienste

Kürzlich hat der Hacker Jonathan Zdziarski ein paar Dinge aufgedeckt, welche den Anschein erwecken, dass Apple ganz bewusst in iOS eine Hintertüre offen gelassen hat um Daten bei den Kunden, möglicherweise auf Anfrage von Regierungen, abzuzügeln. Ich will hier nicht zu technisch werden. Im Endeffekt gibt es ein paar Dienste, welche undokumentiert sind und wahrscheinlich weder dem Apple Support, noch sonst jemandem helfen. Auch wenn das iPhone oder iPad mit einem Passwort geschützt ist, können Hacker Daten wie Kontakte, Browser-Verlauf und mehr auslesen. Allerdings nur, wenn das iPhone an einen Computer angeschlossen wird!

Keine Panik!

Der Hacker Zdziarski selbst warnt aber ausdrücklich vor schnellen Anschuldigungen und Interpretationen.

I have NOT accused Apple of working with NSA, however I suspect (based on released documents) that some of these services MAY have been used by NSA to collect data on potential targets. I am not suggesting some grand conspiracy; there are, however, some services running in iOS that shouldn’t be there, that were intentionally added by Apple as part of the firmware, and that bypass backup encryption while copying more of your personal data than ever should come off the phone for the average consumer.

Apple selber nimmt wie folgt Stellung zu den Erkenntnissen:

Apple has never worked with any government agency from any country to create a backdoor in any of our products or services.

Ich bin gespannt ob Apple diese „Erkenntnisse“ aufnimmt und vielleicht bereits in iOS 8 angehen wird, oder bereits die Löcher gestopft hat.

Mehr Sicherheit mit dem Apple Configurator

Wer ein Höchstmass an vermeintlicher Sicherheit gewinnen möchte, dem empfiehlt Zdziarski ein starkes Passwort und die Verwendung von der kostenlosen App Apple Configurator. Mit dieser App kann „Pair Locking“ und Mobile-Device-Management aktiviert werden, was kommerzielle Forensik-Werkzeuge behindert im ausspionieren von Daten. Gegen die NSA und Co. wird aber auch das nichts nützen.

Achtung: Phishing-Mails an Apple-Kunden unterwegs!

Apple-Kunden sind zahlungsfreudig und wiegen sich oft in falscher Sicherheit weil es kaum Hacker und Virenangriffe gegen das Betriebssystem OS X gibt. Kein Wunder also kommen immer mehr Phishing-Mails auf, und zwar solche welche richtig gut gemacht sind. Eines dieser Mail ist mir vor wenigen Tagen zugestellt worden.

Apple Phishing Mail

Der Absender ist dabei allerdings etwas verdächtig gelungen und auch die falsch interpretierten Sonderzeichen in der Fusszeile sollte für Stirnrunzeln sorgen. Nicht nur ich wurde darum gebeten, über einen Link meinen Apple-Account zu bestätigen. Auch dem Twitter-Benutzer Vinschger ist das passiert. Er hat ein Mail mit dem Betreff „Confirm your account information“ erhalten:

Apple Phishing Mail

Sein Phishing-Mail ist aber um einiges besser gelungen, denn im Absender war die Mailadresse „Apple “ zu sehen und auch sonst fand man keine falschen Sonderzeichen oder sonstigen grobfahrlässigen Fehler. Nur wenn man mit dem Mauszeiger über den Link fuhr, zeigte sich als Zieladresse die Domain www.jmskinner.co.uk!

Also liebe Apple-Benutzer, haltet die Augen offen und klickt nicht gleich alles an was per Mail rein kommt. überzeugt euch immer, wenn Apple was bestätigt haben will, ob das Mail eine Apple-Domain im Absender hat und dass die Zieladresse, auf der die Bestätigung eingetragen werden muss, auch wirklich eine Apple-Domain ist. Im Zweifelsfall die Mail löschen und die Apple-ID Seite im Browser von Hand aufrufen: https://appleid.apple.com/ch/de/. Wenn Apple was von euch wollte, wird da sicher auch eine Aufforderung zur Bestätigung zu finden sein.

Entwickler-Portal von Apple endlich wieder vollständig online

Mail Von Apple: Alle Services für Developer sind wieder online!

 

Nach dem Hacker-Angriff gegen das Entwickler-Portal von Apple wurden alle Services vom Netz genommen. Gut drei Wochen war das Portal nun offline. Heute Morgen konnte Apple mitteilen, dass wieder alle Services für alle Entwickler zur Verfügung stehen. Natürlich entschuldigt man sich für die Unannehmlichkeiten, hat die Zeit aber auch genutzt um einiges zu Verbessern in Sachen Sicherheit. Apple ist sich dessen bewusst, dass es für die Entwickler eine sehr unerfreuliche zeit war, denn es konnte kaum Arbeiten erledigt, bzw. keine Preisanpassungen vorgenommen oder Updates eingespielt werden. Er st nach und nach konnte einige wenige Dienste wieder aufgeschaltet werden.

Drüben bei iFrick hat Oliver Oswald von Apps with Love Auskunft gegeben was die Entwickler in der Zwischenzeit machen konnten und welche Auswirkungen ein solcher Ausfall hat. Apple schenkt alle Entwickler einen Monat Zugang zum Entwickler-Portal. Ein kleiner Trost für einen Ausfall von solchem Ausmass…

Warum man das iPhone nicht einem Jailbreak unterziehen sollte…

Das Deutsche Fernsehen, besser der WDR, hinterfragt die Sicherheit der Smartphones, insbesondere das der iPhones. Grundsätzlich eine gute Sache. Allerdings schlimm, wenn man zu vielen Tricks zurückgreifen muss, um tatsächlich an Ziel zu gelangen und dann 0815-Konsumenten nicht darüber aufklärt, dass man „geschumelt“ hat, bzw. diese Art von Sicherheitsleck eine ganze Reihe von Sicherheitsversössen voraussetzt.

Im Beitrag werden zwei „fabrikneue“ iPhones an die Testpersonen übergeben. Tatsächlich handelt es sich aber bei den beiden Geräten um iPhones mit einem Jailbreak. Ein Verstoss gegen die Nutzungsrichtlinie von Apple. Über den Cydia App Store musste dann mindestens noch ein spezielle Programm geladen werden, um den Zugriff zum Root freizuschalten und der Benutzer hat alle Warnungen bewusst missachtet, dass der Root-Zugriff ein neues Passwort bekommen sollte. So, unter diesen Umständen ist dann tatsächlich möglich, was uns das WDR-Fernsehen weiss machen will. Aber einmal ein Beweis, man sollte das iPhone nur einem Jailbreak unterziehen, wenn man genau weiss was man da tut!

Hätten die beiden Testpersonen tatsächlich zwei fabrikneue iPhones gehabt mit der aktuellen iOS Version, hätten die beiden Sicherheitsexperten nichts zu tun gehabt und müssten gelangweilt an ihrer Cola nippeln… Sehr, sehr erschrecken was hier gestandene Journalisten mit den unwissenden Konsumenten tun. So was ist schon fahrlässig!

(via)

iPad-Leck ist eine AT&T Sicherheitslücke

iPad

Wie diese Woche bekannt wurde, haben unbekannte Hacker das Registrierungsprozedur von AT&T angegriffen und dank einer Sicherheitslücke mehr als 100.000 Mailadressen gesammelt, unter anderem auch von Prominenten und Politiker.

Interessanterweise wird in den Medien meistens vom iPad-Leck, – Datenleck oder -Hack gesprochen. Jedoch hat der Angriff der Hacker eigentlich herzlich wenig mit dem iPad zu tun. Denn der Angriff ging nicht auf das iPad, sondern gegen die Server von AT&T auf welchem sich die iPad 3G-Benutzer, bzw. AT&T Kunden, registrieren mussten. Das Leck liegt also bei AT&T und nicht beim iPad…

Klar, für die Medien klingt es natürlich viel reisserischer wenn man über ein iPad-Datenleck berichten kann, als über ein langweiliges AT&T-Leck… Oder wie man bei TUAW sagt:

„AT&T screwed up“ is a „dog bites man“ headline. „Apple screwed up“ is a „900+ Digg/4300+ retweet“ headline.

Yellowsn0w – iPhone 3G unlock ist da!

Das lange währt, wird endlich gut! Die Jungs vom iPhone Dev Team haben heute die Hacking-Software veröffentlicht, mit welcher man auch das iPhone 3G von sämtlichen zwängen befreien kann: yellosn0w!

Entsperren kann man damit alle iPhone 3G mit der Firmware 2.2 und der Baseband 02.28.00. Wer eine ältere Baseband auf dem iPhone hat, muss zuerst das Update durchführen! Wie gewohnt ist nach dem Hack Cydia und der altbekannte Installer zur Verfügung über welche man noch weitere Programme installieren kann als nur über iTunes.

Yellowsn0w ist zwar mit der Version Nummer 0.9.1 noch im Beta-Stadium und somit noch nicht voll ausgereift, aber für den grössten Teil der Hack-Freudigen sollte es funktionieren. Auch wenn man die über 4000 Kommentare im Blog des iPhone Dev Team anschaut, kann man zuversichtlich sein… Man muss sich aber bewusst sein, dass es für die Wiederherstellung nach einem Hack keine Garantie gibt und man eventuell das iPhone wieder komplett neu einrichten muss!

Ich persönlich verzichte vorerst auf einen Unlock an meinem weissen iPhone 3G. Im Moment sehe ich keinen persönlichen Nutzen oder Mehrwert wenn ich das iPhone mit yellowsn0w aufbohre. Daher kann ich keinen nahen Erlebnisbericht über den iPhone 3G Unlock schreiben, aber vielleicht möchte das ja jemand da draussen übernehmen? Erfahrungen und Berichte sind gerne in den Kommentaren, oder per Mail erwünscht.

Happy Hacking und ein gutes neues Jahr!

Apple wird Ziel für Cyberkriminelle

Steve Jobs

Das Magazin PC Professional hat mit dem Artikel „Hacker-Angriffe: Apple muss einstecken“ ein heikles Thema angesprochen. Böse Zungen behaupten nämlich, dass Apple gar nicht sicherer als Windows sei und nur wegen der kleinen Verbreitung bisher kaum unter Angriffen von Kriminellen gelitten habe.

Wenn das stimmt, dann kommen interessante Zeit auf uns zu! Denn Apple ist zur Zeit so beliebt wie kaum jemals. Schon nur in meinem bescheidenen Umfeld ist im Moment der Switcher-Wahn ausgebrochen. Man kann also davon ausgehen, dass spätestens nächstes Jahr eine beachtliche Anzahl von Apple Computer im Internet hängen. Dann könnte Apple’s Leopard auch auch ein lohnendes Ziel für Cyberkriminelle werden. Schnell wären dann Viren und Trojaner für die Raubkatze im Netz!

Oder wie man im Artkel lesen kann:

„Die Diebe gehen dorthin, wo das Geld ist. Apple stellt jetzt ein immer lohnenderes Ziel dar“, begründet Analyst Roger Kay von Endpoint Technologies Associates. Auch F-Secures Konkurrent Sophos bestätigt den Trend. „Cyberkriminelle nehmen iPhone-Fans ins Visier“, warnt der Sicherheitsexperte.

Was ich jedoch an der Aussage von F-Secure nicht verstehe, ist nun Apple allgemein ein neues Angriffsziel, oder „nur“ das iPhone? Oder sind iPhone Benutzer autonmatisch Switcher und Apple-Benutzer? Wie dem auch sei, sollte sich die Tatsache bewahrheiten, dann wäre ein neuer Markt für Security-Experten gegründet.

Selbsthilfegruppe für NonGlossy iMac

iMac

Bei den neuen iMac’s wird immer wieder ein Punkt bemängelt: der spiegelnde (glossy) Bildschirm. Dagegen hilft es, wenn man kein Fenster im Hintergrund hat, die Helligkeit des Monitors hoch schraubt und am besten das Umgebungslicht auf ein Minimum herunter dreht. Eben richtige Hacker-Stimmung… =)

Die alternative dagegen ist ein Bildschirm ohne Glossy-Effekt. Bloss der wird nicht von Apple angeboten. Waldfee123 aus dem Apfeltalk Forum hat sich nun mit einer Firma und einem Apple-Händler zusammen getan und ein Angebot erarbeitet. Dabei kann man den iMac einschicken und bekommt den entspiegelte iMac zurück. Das ganze kostet zwischen 120 und 190 Euro. Wer sich die Montage einer entspiegelten Scheibe selber zutraut, der darf das auch selber machen. Beim Weg über den Händler verliert man allerdings die Garantie nicht, was ja auch noch wichtig wäre.

Bei dem Angebot handelt es sich allerdings erst um eine Liste in der man sich eintragen kann. Damit wird quasi der Markt für die Entspiegelung abgecheckt.