Magazin Kommentar: Apple und der SSL-Bug, eine Beziehungskrise

[IcYCunT]

Soeben wurde OS X 10.9.2 mit entsprechenden Fix bereit gestellt

edit: ok ich war nicht der schnellste

 

[Metalfreaky]

Man kann es auch übertreiben. Klar, vielleicht hätte es schneller gehen können (10.9.2 ist eben online gegangen). Apple hat gesagt, dass das Update sehr schnell kommen wird, und da ich der Meinung bin, dass Apple sich über die Größe dieser Lücke bewusst ist, glaube ich ihnen, wenn sie sagen es kommt sehr bald.
Als Außenstehender zu fordern, es soll schneller gehen, ist immer easy, wenn man nicht weiß welche Elemente im OS alles beeinflusst werden. Es wurde berichtet, das u.a. Mail, FaceTime & Co. betroffen sind. In dem Fall möchte ich bitte ein Update, dass das Problem behebt und keine neuen schafft.

Aber gleich von einer "Beziehungskriese" anfangen halte ich für vollkommen übertrieben. Drama, baby!

 

[Bio Exorzist]

Nein, das stimmt nicht. Der Angreifer kann sich auf dem gesamten Netzweg zwischen dem Mac und dem angesprochenen Server befinden. Das Beispiel mit dem öffentlichen Netz im Café wird nur deshalb immer genannt, weil es dort für einen Angreifer ziemlich einfach ist, sich in eine sogenannte "privilegierte Netzposition" zu bringen, die es ermöglicht, die Lücke auszunutzen. Das heißt aber nicht, dass das im Rest des Internet nicht ginge.

Dort ist das nur schwieriger. Da man mit genügend krimineller Energie aber Millionen mit dem Bug verdienen könnte, sollte man jedoch die Bestechlichkeit der Administratoren bei Internet-Providern nicht unterschätzen … Und in Ländern, in denen das Internet sowieso staatlich überwacht wird, könnte man noch andere schlimme Dinge mit dem Bug anstellen.

Also nichts was irgendwas mit der Realität zu tun hätte! Gut das wir darüber gesprochen haben

Und staatliche Stellen, haben eh Möglichkeiten gegen die wir uns nicht wehren könnten...

 

[faba_rem]

jetzt bist du wieder glücklich

 

[Michael Reimann]

Ja!

 

[Michael Reimann]

Aber gleich von einer "Beziehungskriese" anfangen halte ich für vollkommen übertrieben. Drama, baby!

Man wird doch wohl noch mal rum heulen dürfen!

 

[hhzapfel]

10.9.2 wird gerade geladen

 

[iDesign]

Könnte die Meinung größtenteils so unterschreiben. Schöne Eigenarbeit der Redaktion, davon jederzeit mehr!

Kann mir jemand der Fachkundigen erklären, warum eine doppelte Codezeile so gravierende Auswirkungen haben kann? Gerne reicht auch die Verlinkung auf einen entsprechenden Artikel. Leider habe ich die Thematik in den letzten Tagen nicht mitbekommen und im Internet finde ich nur unzureichende Erklärungen

 

[Rastafari]

warum eine doppelte Codezeile so gravierende Auswirkungen haben kann?

Weil das zweite Auftreten des Befehls nicht mehr an eine "if ..." Prüfbedingung gekoppelt ist und *immer* ausgeführt wird. Der wichtige Code der in diesem Abschnitt noch folgt wird dadurch einfach ignoriert.

 

[kyr]

Wie eben immer gleich übertrieben werden muss. Kein Wunder dass überall alles so am Arsch is.

 

[Oolong]

Auch bei iOS war man nicht schnell. Der Fehler ist ja intern seit vielen Wochen bekannt.

 

[Macaddict]

So, Update installiert, Schwamm drüber, alles wird gut


Sent from my iPhone using Apfeltalk mobile app

 

[iFönler]

Ich bin nicht sicher, was ich mit obigem Artikel nun anfangen soll....

Klar, wenn man zu Apple etwas von einer "Sicherheitslücke" in den Schlagzeilen liest, dann wird man als Apple User schnell hellhörig, so oft kommt dieses nun nicht vor. Trifft diese Schwachstelle dann auch noch beide Systeme (keine grosse Kunst, ein iOS ist am Ende auch ein OS X) und es wird nur an einer Stelle gefixt, dann kommen Fragen auf. Schnell bei iOS, mit Verzögerung bei OS X, wobei dann "schnell" bei iOS auch nur relativ ist. Mehrfach angemerkt, der Fehler zieht sich schon lange durch die Systeme.

Ok, Verunsicherung und Fragen...gut.

Dann sollte doch im nächsten Schritt aber die eigene Denke einsetzen? Oder ist hier wirklich jemand, der das globale Rauschen im Blätterwald zu allem, was Apple betrifft, unbesehen hinnimmt? Das hier gerne "Alarm" gerufen wird, dies ist doch bekannt.

Die SSL Lücke konnte leicht umgangen werden, Safari nicht benutzen, Ende der Geschichte. Denn, bei Nutzung von Chrome oder Firefox war die Lücke kein Thema. Nun wissen wir aber, unter iOS mal eben den Standardbrowser wechseln, eher schwer, weil im System so nicht vorgesehen. Auf dem Mac? Kein Ding, nutzt man eben nicht Safari und sagt dem System "Du sollst nun den Feuervogel einzig nutzen" und gut.
Somit ist doch die Schwere der Lücke von den beiden Systemen abhängig. Unter iOS brannte sie, keine Frage, unter OS X auch? Ich denke nein.
Somit kann man sich auch erklären, warum Apple nicht einfach einen Fix für OS X brachte, sondern das im Grunde fertige 10.9.2 um den Patch erweiterte und einge Tage später brachte.

Fakt auch, Betriebssysteme weisen immer irgendwelche Lücken auf, daran wird sich in Zukunft nichts ändern. Fakt auch, eineige OS sind löchriger, andere nicht. Findet sich nun ein Loch in einem OS, so sind Berichte zum doch eigentlich weniger anfälligen System für die Medien immer spannender, wen interessiert den Sicherheitslücke XY unter Windows wirklich, die planen monatlich Patchdays nur zum fixen von Scheunentoren...

Keine Ahnung, für einen blinden Fanboy halte ich mich eher nicht. Ich denke nur gerne Sachen zu Ende, so auch den letzen Fail von Apple, welcher nun hineichend durch die Medien gejagt wurde.

 

[Basti82]

Die SSL Lücke konnte leicht umgangen werden, Safari nicht benutzen, Ende der Geschichte.

Kommt auf dein Userverhalten an. Wenn du alles im Browser machst, dann geht das. Ich benutze Mail, Kalendar und habe einen ownCloud Sync und zwei Dropbox Syncs im Hintergrund laufen. Diese Verbindungen sind auch über SSL verschlüsselt. Wegen solchen Geschichten nehme ich auch immer eine VPN Verbindung wenn ich in einem öffentlichen Netz bin, zumindest fügt das eine Sicherheitsebene hinzu.


Sent from my iPhone using Apfeltalk

 

[Rastafari]

nehme ich auch immer eine VPN Verbindung wenn ich in einem öffentlichen Netz bin, zumindest fügt das eine Sicherheitsebene hinzu

Wie nett angedacht. Tatsache ist aber leider: Du bist gefährdet durch die Summe von Sicherheitslücken aus beiden Ansätzen.
Ketten werden wohl kaum stabiler, indem man mehr schwache Glieder einbaut. Oder?

 

[MACaerer]

Ich hoffe sehr, dass unter Ml keine solchen Sicherheistlücken klaffen. den für ML ist keinerlei Update verfügbar.

Betroffen von dem SSL-Bug "Goto Fail" sind, soweit ich gelesen habe, nur die iOS-Systeme ab iOS 6.x und MacOs X Mavericks. MountainLion und noch ältere MacOsX-Versionen sind nicht betroffen.

MACaerer

 

[Basti82]

Wie nett angedacht. Tatsache ist aber leider: Du bist gefährdet durch die Summe von Sicherheitslücken aus beiden Ansätzen.
Ketten werden wohl kaum stabiler, indem man mehr schwache Glieder einbaut. Oder?

Also statistisch ist das sicher besser. Besser doppelt schlecht geschützt als einmal schlecht geschützt. Ich hab's auch schon mal mit Brieftauben versucht, das ist am sichersten aber funktioniert leider nicht so gut...

 

[Tuer]

Guter und wichtiger Kommentar von Michael Reimann. Das trifft es sehr gut.
Eine Firma die mit iCloud und Entfernen des lokalen Syncs aufs Internet setzt, muss das Versprechen der Sicherheit dann auch einlösen.
Die ganzen Werbeversprechen wirken ansonsten ziemlich hohl.

 

[MacApple]

Mal meine Gedanken dazu.

• Der Bug war unentschuldbar, aber die Ausnutzung der Lücke ist nun auch nicht so trivial, dass jedes dahergelaufene Scriptkiddy das hinbekommen hätte. Daher Aufregung ja, aber nicht übertreiben.
• Apples Umgang damit war selten dämlich. Ok, ich kann ja noch verstehen, dass wenn 10.9.2 sowieso kurz vor der Veröffentlichung steht, man sich für den Fix für OS X die paar Tage dann auch noch gönnt. Dumm war es jedoch, nicht auch mit den Updates für iOS zu warten und dann eben alles gleichzeitig raus zu geben. Denn, soweit ich das mitbekommen habe, ist die Lücke ja erst durch das iOS Update richtig öffentlich geworden, oder wer hat vor dem iOS Update schon davon gehört?
• Es bleiben erhebliche Zweifel an der Qualität von Apples Softwaretests. Wenn ich eine Funktion programmiere, die etwas auf Gültigkeit überprüft, dann muss ich doch auch prüfen, dass ungültige "Eingaben" auch als ungültig erkannt werden. Solch einen Test kann Apple ja nicht gemacht haben, sonst wäre der Bug wohl kaum so lange unentdeckt geblieben.

 

[Basti82]

Ha ha ha - das ist mal eine gute Antwort: http://www.heise.de/mac-and-i/news/foren/S-4-Tage-Nervenkitzel/forum-275536/msg-24846144/read/