Developer Center: Apple bestätigt Hacking-Versuch

[ProUser]

Das ist ja das Problem, Du prangerst an aufgrund von bloßen Vermutungen, ohne nur die geringste Ahnung darüber, was genau passiert ist..

 

[FelixMacintosh]

Anders sieht es aus, wenn Apple zu 100 % seine eigene Server-Software betreibt.

Eigentlich eine interessante Frage, welche Software benutzt Apple eigentlich für die Cloud und den anderen Kram?
BSD? Mountain Lion Server wird es wohl nicht sein .

 

[echo.park]

Das ist ja das Problem, Du prangerst an aufgrund von bloßen Vermutungen, ohne nur die geringste Ahnung darüber, was wirklich passiert ist..

Und mir wird ohne Grund vorgeworfen, ich würde nicht wissen, wie sich das mit Lücken verhält und würde verlangen, dass alles immer lückenfrei zu sein hat... was natürlich schlichtweg utopisch ist.

 

[kelevra]

Der genauer Wortlaut ist

In order to prevent a security threat like this from happening again, we’re completely overhauling our developer systems, updating our server software, and rebuilding our entire database.

Daraus leite ich jetzt keine Versäumnis ab, sondern einfach nur, was man unternimmt, um einen solchen Zwischenfall in Zukunft zu verhindern. Fraglich bleibt, inwiefern die Lücken schon vorher bekannt waren, oder ob bereits Updates vorhanden waren. Nur weil eine Lücke bekannt ist, bedeutet es nicht, dass sie sofort geschlossen werden kann.

Davon abgesehen kocht auch Apple nur mit Wasser und nutzt Linux-basierte Server mit Citrix.

 

[FelixMacintosh]

Ich denke echo.park hat da gar nicht so unrecht dies mal zu hinterfragen.
Im Endeffekt bleiben wir (trotz Nachricht) etwas im Dunkeln. Wäre seitens Apple alles klar, wäre die Server sicherlich nicht mehrere Tage offline.
Das birgt schon Raum für "Spekulationen" bzw. sollte zum Nachdenken anregen, wie sicher zentriert gelagerte Daten (Cloud-Systeme) überhaupt sind.

 

[kelevra]

Je nachdem, wie schwerwiegend der Angriff war, kann es durchaus mehrere Tage oder gar Wochen dauern, bis die Lücken geschlossen und zusätzliche Sicherheitsmechanismen eingebaut sind.

Selbstverständlich wird sich Apple nicht dazu äußern, wie genau jetzt der Angriff stattgefunden hat und wie sie die Systeme absichern. Du erzählst ja auch nicht jedem, wie du dein Haus gegen Einbrecher schützt.

Das birgt schon Raum für "Spekulationen" bzw. sollte zum Nachdenken anregen, wie sicher zentriert gelagerte Daten (Cloud-Systeme) überhaupt sind.

Das ist sehr relativ. Prinzipiell herrscht durchaus eine gewisse Sicherheit. Wirklich sicherheitsrelevante Daten speichert man aber dennoch nicht in fremden Cloud-Diensten. Deswegen benutzen Firmen ja auch ihre eigenen Server und VPN-Zugänge um die volle Kontrolle zu haben. Grundsätzlich gilt aber, sobald ein externer Zugriff möglich ist, ist dessen Schutz auch angreifbar. Alles eine Frage der Ressourcen.

Daten, die niemanden außer mir etwas angehen, würde ich grundsätzlich nicht in Cloud-Diensten speichern. Leider geht man aber auch immer wieder für den Komfort Kompromisse ein, wie beim Speichern des Adressbuches in der Cloud. Es bleibt also immer abzuwägen, wie sicherheitsrelevant einem die Daten sind.

 

[FelixMacintosh]

Selbstverständlich wird sich Apple nicht dazu äußern, wie genau jetzt der Angriff stattgefunden hat und wie sie die Systeme absichern. Du erzählst ja auch nicht jedem, wie du dein Haus gegen Einbrecher schützt.

Baltic behauptet, die Seite sei über einen vergleichsweise einfachen "Unescaped Injection"-Angriff auf die Datenbank gehackt worden.

Ja, das hat schon jemand anderes getan .

Quelle:

http://www.heise.de/mac-and-i/meldu...eitsforscher-will-Daten-loeschen-1921018.html

 

[MacHoliday]

Es sind definitiv auch "normale" Apple IDs betroffen. Ich habe als hinterlegte zweite E-Mail Adresse für meine Freundin am Freitag um 18:53 und am Samstag um 0:03 Uhr jeweils diese typische Mail bekommen, als ob meine Freundin ihr Passwort vergessen hätte und nun ein neues anlegen wollte. Und sie hat keinen Developer Account.
Ich selbst habe mich mal als Developer angemeldet (diese kostenlose Version bei der man fast nix machen kann...) und habe keinerlei Mail erhalten.

Kann ich bestätigen. Ich habe heute innerhalb von 2 Stunden für meine beiden Apple-ID's (beide keine Developer Accounts) die genannten E-Mail von Apple erhalten.
Vorsichtshalber habe ich die Paßwörter direkt geändert.

 

[kelevra]

Was der YouTube-Fritze behauptet lasse ich mal dahingestellt. Wer so stark nach medialer Präsenz hechelt, ist grundsätzlich fragwürdig.

Davon abgesehen, gibt es grundsätzliche Möglichkeiten, die Datenbanken gegen die genannte Angriffsmethode zu schützen, die Apple hoffentlich kennt .

 

[echo.park]

Kann ich bestätigen. Ich habe heute innerhalb von 2 Stunden für meine beiden Apple-ID's (beide keine Developer Accounts) die genannten E-Mail von Apple erhalten.
Vorsichtshalber habe ich die Paßwörter direkt geändert.

Hmm, ich hatte keine solche Mail im Postfach. Komisch das Ganze. Geht man von den Mails aus, was zu bezweifeln ist, dann scheint tatsächlich nicht "Jeder" betroffen.

// Edit:

Warum Apple diese Standard-Mails verwendet, anstatt extra eine Mail mit entsprechendem Inhalt auf zu setzen, um so zu erklären für was die Mail gedacht ist und worum es geht, das ist mir absolut unverständlich.

 

[larsfreiburg]

Kann ich bestätigen. Ich habe heute innerhalb von 2 Stunden für meine beiden Apple-ID's (beide keine Developer Accounts) die genannten E-Mail von Apple erhalten.
Vorsichtshalber habe ich die Paßwörter direkt geändert.

Sorry, aber ich halte das noch immer für KEINEN Zufall!

 

[MacHoliday]

Ich ebenfalls nicht. Zumal ich heute Nacht erneut eine E-Mail erhalten habe.
Sehr suspekt das ganze!

 

[Martin Wendel]

Warum Apple diese Standard-Mails verwendet, anstatt extra eine Mail mit entsprechendem Inhalt auf zu setzen, um so zu erklären für was die Mail gedacht ist und worum es geht, das ist mir absolut unverständlich.

Ich denke nicht, dass der Versand dieser Mails von Apple initiiert ist.

 

[MacHoliday]

Der Versand der E-Mail wird ausgelöst durch den Versuch das Passwort zuändern.
Das lässt sich auch ganz einfach reproduzieren.
Sofern ich eine fremde E-Mail-Adresse kenne die zu einer Apple-ID gehört klicke ich "Passwort vergessen" an - et voilà der Eigentümer bekommt Post.

 

[echo.park]

Zudem ist noch anzumerken, dass hier berichtet wird, die Mails zu einer Apple ID würden mehrfach versandt werden. Wenn die Mails von Apple kommen würden, dann würden die doch genau EIN (!) Mal verschickt. Und nicht alle paar Stunden erneut. Das ist doch Blödsinn.

Wohl eher versucht sich jemand fremdes an eurem Account!

 

[Martin Wendel]

Bis jetzt hast du ja noch genau das Gegenteil behauptet.

 

[echo.park]

Echt? Wie meinst du das?

// Edit:

Du meinst vermutlich das:

Warum Apple diese Standard-Mails verwendet, anstatt extra eine Mail mit entsprechendem Inhalt auf zu setzen, um so zu erklären für was die Mail gedacht ist und worum es geht, das ist mir absolut unverständlich.

Dann sagen wir lieber:

"Warum Apple diese Standard-Mails verwenden SOLLTE, anstatt extra eine Mail mit entsprechendem Inhalt auf zu setzen, um so zu erklären für was die Mail gedacht ist und worum es geht, das ist mir absolut unverständlich."

 

[Gelöschtes Mitglied 115674]

Ich habe heute folgendes bekommen:

"Apple Developer Website Update"

Last Thursday, an intruder attempted to secure personal information of our registered developers from our developer website. Sensitive personal information was encrypted and cannot be accessed, however, we have not been able to rule out the possibility that some developers’ names, mailing addresses, and/or email addresses may have been accessed. In the spirit of transparency, we want to inform you of the issue. We took the site down immediately on Thursday and have been working around the clock since then.

In order to prevent a security threat like this from happening again, we’re completely overhauling our developer systems, updating our server software, and rebuilding our entire database. We apologize for the significant inconvenience that our downtime has caused you and we expect to have the developer website up again soon.

Mehr nicht. Kein Hinweis, dass man das Passwort besser ändern sollte. Aber da ja meine Apple ID für den Dev-Account und den iTunes Account zählt. Ändere ich gleich mal das Passwort. Von iCloud am besten auch gleich mit.

 

[echo.park]

Hast du das als Mail bekommen?

Und dein iCloud-Passwort ist nicht das deiner Apple ID? Hast du zwei Apple IDs?

 

[Martin Wendel]

Das ist der selbe Text, der auch im Dev Center steht und den auch viele andere (alle?) Entwickler per Mail bekommen haben. Also nichts besonderes.