Magazin iOS 8.3: Fehler in Mail-App ermöglicht ausgeklügelte Phishing-Attacken auf iCloud-Passwörter

[RudolfGottfried]

Wo soll sich diese Einstellung genau befinden?

Einstellung "Mail, Kontakte, Kalender" - Unterpunkt "Bilder von Webservern laden". Klick mich!
Eine weitere Möglichkeit ist die Überprüfung des Dialogs via Homebutton. Beim echten Dialog hat der Homebutton keine Funktion. Ausserdem wird bei einem echten Dialog immer die iOS-Tastatur automatisch angezeigt; beim gefälschten Dialog nicht. Klick mich!

Schade. Na Hauptsache die typisch @RudolfGottfried 'sche Unterstellung wurde hinterhergejagt.

Wem der Schuh passt...

Ich würde nicht auf eine Erklärung warten...

Ist doch furzegal, was du tun würdest, Jonnyboy.

 

[Martin Wendel]

Einstellung "Mail, Kontakte, Kalender" - Unterpunkt "Bilder von Webservern laden". Klick mich!

Was haben Bilder mit HTML- und CSS-Code zu tun? Und das "womöglich" im Heise-Artikel ist wie zu deuten?

 

[RudolfGottfried]

Was haben Bilder mit HTML- und CSS-Code zu tun? Und das "womöglich" im Heise-Artikel ist wie zu deuten?

Keine Ahnung, ist mir auch völlig wurscht. Denn ich 'abe gar kein Smartphone.
Aber du könntest das ja mal ... recherchieren. Wie wäre es damit?

 

[johnnybpunkt]

Was haben Bilder mit HTML- und CSS-Code zu tun?

Würde mich auch interessieren, ist aber furzegal...
Blockiert das Nachladen der Bilder denn auch anderen Remote-Code? Nur weil Heise das schreibt, heißt das jetzt nicht so viel. Apple äußert sich dazu nicht, oder? Ich würde vermuten, dass es nicht geht, tendenziell äußern sie sich gerne, wenn es einigermaßen praktikable Workarounds gibt, totgeschwiegen werden nur nicht direkt lösbare Probleme...

 

[Martin Wendel]

Keine Ahnung, ist mir auch völlig wurscht.

Habe ich schon. Mehr als den Heise-Artikel, der von "womöglich" spricht, habe ich nicht entdeckt. Und eine solche Aussage als Quelle heranzuziehen, ist schon etwas fragwürdig. Ich dachte halt du wüsstest mehr darüber, besonders wenn du direkt mit Unterstellungen beginnst. Ist dann wohl doch nicht so. Wirklich überraschen tut es mich jetzt aber auch nicht.

 

[RudolfGottfried]

Habe ich schon. Mehr als den Heise-Artikel, der von "womöglich" spricht, habe ich nicht entdeckt. Und eine solche Aussage als Quelle heranzuziehen, ist schon etwas fragwürdig. Ich dachte halt du wüsstest mehr darüber, besonders wenn du direkt mit Unterstellungen beginnst. Ist dann wohl doch nicht so. Wirklich überraschen tut es mich jetzt aber auch nicht.

Kann es sein, dass du so angepisst bist, weil du genau weisst, wass deinem Artikel fehlt?

Was jetzt die Aussage in obiger Heisequelle betrifft, da gibt es exakt zwei Möglichkeiten.
Entweder die Sache funktioniert, was bedeutet, dass "Bilder nachladen" Code wie HTML, CSS und Java Script einschliesst. Erscheint mir ziemlich logisch, denn wie sollte sonst das Nachladen von Inhalten funktionieren?.
Oder die Sache funktioniert eben nicht.

Wie kann der Redakteur einer bekannten appleaffinen Nachrichtenseite das rauskriegen?
Mhmm... na z.B. mit einer Anfrage per E-Mail an Jan Soucek. Oder besagter Redakteur besorgt sich den Source-Code und probiert es einfach selbst aus. Oder er fragt jemanden, der sich damit auskennt.
Allemal besser, als weiter über die Bedeutung des Wortes "womöglich" nachzugrübeln.

 

[iMerkopf]

Kann es sein, dass du so angepisst bist, weil du keine Ahnung hast, ob das Deaktivieren des Auto-Loads von Bildern irgend etwas gegen diese Sicherheitslücke bringt - du aber ganz ordentlich vorgeprescht bist mit deiner Behauptung, dem wäre so?

 

[Martin Wendel]

Kann es sein, dass du so angepisst bist, weil du genau weisst, wass deinem Artikel fehlt?

Ich bin überhaupt nicht angepisst und meiner Einschätzung nach fehlt dem Artikel auch nichts. Ich wollte lediglich darauf hinaus, dass du deine süffisanten Seitenhiebe ein wenig zurückfahren kannst.

 

[RudolfGottfried]

Kann es sein, dass du so angepisst bist, weil du keine Ahnung hast, ob das Deaktivieren des Auto-Loads von Bildern irgend etwas gegen diese Sicherheitslücke bringt - du aber ganz ordentlich vorgeprescht bist mit deiner Behauptung, dem wäre so?

Kann es, das du ebenfalls keine Ahnung hast, aber trotzdem mitreden willst?

Ich bin überhaupt nicht angepisst und meiner Einschätzung nach fehlt dem Artikel auch nichts. Ich wollte lediglich darauf hinaus, dass du deine süffisanten Seitenhiebe ein wenig zurückfahren kannst.

Es war nur ein "Seitenhieb" und der war nicht süffisant sondern sarkastisch.
Wie auch immer, wenn du der Meinung bist, dass Informationen wie diese

Eine weitere Möglichkeit ist die Überprüfung des Dialogs via Homebutton. Beim echten Dialog hat der Homebutton keine Funktion. Ausserdem wird bei einem echten Dialog immer die iOS-Tastatur automatisch angezeigt; beim gefälschten Dialog nicht.

nicht relevant sind, dann kommen wir hier eh nicht mehr zusammen.

 

[Martin Wendel]

Wie auch immer, wenn du der Meinung bist, dass Informationen wie diese

"Eine weitere Möglichkeit ist die Überprüfung des Dialogs via Homebutton. Beim echten Dialog hat der Homebutton keine Funktion. Ausserdem wird bei einem echten Dialog immer die iOS-Tastatur automatisch angezeigt; beim gefälschten Dialog nicht."

nicht relevant sind, dann kommen wir hier eh nicht mehr zusammen

Habe ich das behauptet? Die Info kam von dir aber auch nicht gemeinsam mit deinem sarkastischen Seitenhieb, sondern erst heute. Du hast wohl erkannt, dass dein ursprünglicher Tipp zu nichts führt.

Die Zwei-Faktor-Authentifizierung scheint mir insgesamt aber die sicherere Methode und der bessere Tipp zu sein. Bei Heise wurde das nicht mal erwähnt.

 

[Mannschafter]

Jedenfalls klingt D A S:

Eine weitere Möglichkeit ist die Überprüfung des Dialogs via Homebutton. Beim echten Dialog hat der Homebutton keine Funktion. Ausserdem wird bei einem echten Dialog immer die iOS-Tastatur automatisch angezeigt; beim gefälschten Dialog nicht.

doch recht interessant und hilfreich.
Und deshalb gebe ich [member]RudolfGottfried[/member] auch ein "Gefällt mir" dafür.

 

[iMerkopf]

Kann es, das du ebenfalls keine Ahnung hast, aber trotzdem mitreden willst?

mit "ebenfalls" inkludierst du dich selbst, ja?
Zur Erinnerung: Die von dir genannte Einstellung ist bei mir schon seit Jahren aktiv - wie schon geschrieben.

 

[theSNAD]

Für mich ist die Abfrage alles andere als authentisch. Vielleicht ist es ja noch keinem aufgefallen, aber bei einer Original Passwortabfrage für iCloud und AppStore gibt es kein Eingabefeld für die Apple-ID. Die steht immer schon da, weil sie in den Einstellungen hinterlegt werden muss. Da muss sich der Phishingangreifer schon was besseres einfallen lassen.

 

[iMerkopf]

Wenn man diese hier mit der durchschnittlichen Phishing-Attacke vergleicht ("Ihr Paket ist Da. klicken Hier um zu prüfen Paketstatus"), dann ist die gar nicht schlecht.
Und auch auf die durchschnittlichen Attacken fallen die Leute rein, sonst gäbe es sie nicht.

 

[Scotch]

Die Zwei-Faktor-Authentifizierung scheint mir insgesamt aber die sicherere Methode und der bessere Tipp zu sein. Bei Heise wurde das nicht mal erwähnt.

Die hilft ja auch nicht, oder zumindest nur eingeschraenkt, denn nicht jedesmal, wenn du dein iCloud-Passwort eingeben musst greift die 2FA - schon gar nicht, wenn du (wie vmtl. so ziemlich jeder) das Geraet als vertrauenswuerdig markiert hast. Dann greift die 2FA nur noch beim ersten Zugriff nach Neustart (analog der "Initialisierung" von TouchID).

2FA ist auf jeden Fall sinnvoll, aber in diesem Fall nichts, was die Phisihing-Attacke zuverlaessig ausbremesen kann. Die Phisher werden ja nicht so bloed sein, eine mail mit dem Requester "Bitte aendere deine Kontoinformationen" (->2FA) zu schicken, sondern eher "iCloud-Backup braucht dein Passwort, um ein Backup zu machen weil (...)" (-> keine 2FA) oder aehnliches.

Für mich ist die Abfrage alles andere als authentisch.

Das ist ja auch nur der PoC und keine echte Phishing-mail. Den meisten wuerde wohl auch auffallen, dass die mail keinen Inhalt hat, ausser den Requester anzuzeigen

 

[Martin Wendel]

Die hilft ja auch nicht, oder zumindest nur eingeschraenkt, denn nicht jedesmal, wenn du dein iCloud-Passwort eingeben musst greift die 2FA - schon gar nicht, wenn du (wie vmtl. so ziemlich jeder) das Geraet als vertrauenswuerdig markiert hast. Dann greift die 2FA nur noch beim ersten Zugriff nach Neustart (analog der "Initialisierung" von TouchID).

Und was macht der Datendieb mit meinem Passwort, wenn ich die Zwei-Faktor-Authentifizierung nutze? Nicht viel bis gar nichts.

 

[Scotch]

OK, ich war irgendwie davon ausgegangen, dass es auf Grund der gefuehlten 50 posts vorher in der Diskussion noch darum ging festzustellen, ob der Requester nun "echt" oder nicht ist.

 

[ken-wut]

Mein Passwort ist von anbeginn, als es die Suffle mit 512 MB gab, iTunes unter Win2000. Ist das einzige Passwort welches nur mit iTunes verwendet wird.
Mein Wiederherstellungs Email Passwort ist 32 Stellig, dürfte genügen. Bankpasswörter allesamt groß klein ziffern sonderzeichen.
Nur eben das itines nicht, 5 stellig groß klein ziffern. Itunes hab ich nur Guthabenkarten und clickandbuy begrenzt auf 20€

ITunes ist eh bald Geschichte....

Hm... Iwas mache ich falsch. Immer bzw alle paar Monate erscheint bei mir die Meldung, ich soll mein Pw ändern. Meist, wenn ich " mein iPhone Suche" oder die  Store ab öffne.
Dort steht dann ich soll mein Pw ändern. Sobald die Meldung erscheint, ist mein bisheriges Pw unbrauchbar.
Woran liegt das oder hab nur ich das? Im Durchschnitt alle 3-4 Monate


Edit: ja, besagte Pw abfrage Kamm auch schon diese klicke ich aber immer weg.

 

[Scotch]

Woran liegt das oder hab nur ich das?

Bei mir passiert das definitiv nicht.