Mögliche Sicherheitsprobleme nach Pangu-Jailbreak

[Michael Reimann]

Bei Reddit häufen sich die Meldungen, dass es nach der Nutzung des letzten Jailbreak-Tools "Pangu" nicht autorisierte Zugriffe auf AppleIDs und in deren Folge Belastungen der dort hinterlegten Kreditkarten gegeben haben soll.

Ein User berichtet auf der Plattform, dass es unmittelbar nach dem Aufspielen des Jailbreaks einen Umsatz auf seinem Paypal-Konto gegeben haben soll, der in Beijing getätigt wurde. Mit Hilfe von Paypal konnte der Umsatz zwar zurückgebucht werden, der User hält einen Zusammenhang mit dem Jailbreak dennoch für möglich.

Andere Nutzer berichten von Zugriffen auf Facebook, Paypal, Kreditkarten und Bargeld-Konten.

Möglicher Auslöser des Problems könnte ein kleines Tool sein, das unter Windows für die Installation der chinesischen Version des Jailbreaks benötigt wird, wenn diese von der Webseite 25PP geladen wurde. Dieses Tool (PPHelper) könnte für die Zugriffe verantwortlich sein. Es ist auch möglich, dass das Jailbreak-Tool vom Webseiten-Anbieter manipuliert wurde. Und natürlich könnten alle diese Ereignisse auch nur zufällig mit dem Zeitpunkt des Jailbreaks zusammenfallen.

Die chinesische Webseite 25pp preist den Jailbreak an.

Auch Saurik (der Erfinder des alternativen App-Stores "Cydia") hat sich in die Diskussion eingeschaltet:

I will also say I trust Pangu a lot… but I don’t know if the Chinese version of their app was only touched by them. I bet the English one was their work only, though you are downloading it from 25PP, which opens some issues: do you trust the employees at 25PP with control over their servers?
​

("Ich vertraue Pangu weitestgehend ... aber ich weiß nicht, ob ihre Software nur von ihnen angefasst wurde. Ich wette die englische Version war allein ihr Werk. Wenn Du sie allerdings von der 25PP-Webseite lädst, könnte es einige Probleme geben. Vertraust Du den Angestellten von 25PP, mit deren voller Kontrolle über die Server?")

Für das Installieren des Jailbreaks wird eine AppleID benötigt. Es ist daher dringend anzuraten, dafür keine "produktive" AppleID zu verwenden, bei der Zahlungsdaten hinterlegt sind. Außerdem empfiehlt 9To5Mac in jedem Fall (bei allen AppleIDs) die Zweifaktor-Authentifizierung zu aktivieren.

Sollte der Jailbreak durchgeführt worden sein, ist es sehr ratsam, das Passwort des root-Users umgehend zu ändern und keine Apps aus unbekannten oder gar kriminellen Quellen zu installieren.

Via: Reddit, 9To5Mac, Fotos: 9To5Mac, 25PP


zurück zum Magazin...

 

[giesbert]

„Sicherheitsprobleme nach Jailbreak“: Wer hätte das gedacht?

 

[rootie]

Ich hab's hier schon geschrieben: http://www.apfeltalk.de/community/t...s-9-2-bis-9-3-3-an.503273/page-2#post-4927966

Mich beunruhigt in der heutigen Zeit einfach nur die Unüberlegtheit der Leute, so etwas ohne Hinterfragen zu installieren. Das ist einfach nur Wahnsinn!

Der Tipp, das Root-Passwort zu ändern, hat mit den Problemen dieses Jailbreaks rein gar nix zu tun. Das sollte ohnehin Grundwissen eines jeden Jailbreakers sein.

 

[Mure77]

Für mich ist es auch im Ansatz keine Überlegung wert ein iPhone zu breaken, dann sollte man sich einfach ein Androidgerät kaufen und gut ist. Dieses ganze Gefummel um es mal anders zu haben und um noch ne ganz wichtige Funktion zu erhalten die das iPhone nicht hat, komme ich nicht hinter.

 

[Schupunkt]

Dabei hatte ich immer gedacht der Jailbreak an sich wäre das Sicherheitsproblem...
Wer selber aktiv zur Unsicherheit seines iPhones beiträgt ist selber schuld, wenn da dann was passiert!

 

[rootie]

Der Jailbreak ist per definitionem IMMER ein Sicherheitsproblem, weil er ja eine Sicherheitslücke ausnutzt. Wer aber zusätzlich zu dieser Tatsache auch noch chinesische Firmenzertifikate installiert und (das ist der Überwahnsinn) seine Apple-ID samt Passwort in eine chinesische Maske eintippt, dem ist wirklich nicht mehr zu helfen. Da muss doch irgendwo der Menschenverstand einsetzen, dass man WENIGSTENS mal kurz überlegt, ob es das Risiko wert ist, mindestens die digitale Apple-Identität aufs Spiel zu setzen.

Farafan rollen sich da wohl direkt die Zehennägel auf.

 

[giesbert]

Da muss doch irgendwo der Menschenverstand einsetzen

Sollte man meinen. Ist aber nicht so. Tja.

 

[rootie]

Und bevor hier wieder Missverständnisse auftreten: Nein ich bezeichne NICHT die Allgemeinheit der Jailbreaker als "menschenverstandslos". Es gab durchaus in der Vergangenheit Jailbreaks, wo man das Risiko sehr wohl einkalkulieren konnte.

Das ist bei diesem Jailbreak definitiv nicht der Fall und eine Gruppe, (Pangu) die schon mal sehr negativ aufgefallen ist, als sie einen chinesischen App Store für Raubkopien hinzugefügt haben, kann bei mir einfach keinen Blumentopf gewinnen. Und wenn sie mir einen OLED-Bildschirm auf mein iPhone jailbreaken

 

[Schupunkt]

Sicherheitsproblem, weil er ja eine Sicherheitslücke ausnutzt. Wer aber zusätzlich zu dieser Tatsache auch noch chinesische Firmenzertifikate installiert und (das ist der Überwahnsinn) seine Apple-ID samt Passwort in eine chinesische Maske eintippt, dem ist wirklich nicht mehr zu helfen. Da muss doch irgendwo der Menschenverstand einsetzen, dass man WENIGSTENS mal kurz überlegt, ob es das Risiko wert ist, mindestens die digitale Apple-Identität aufs Spiel zu setzen.

Ich denke das ist der selbe Schlag Mensch der sich ne Entwickler-Beta auf sein iPhone knallt, ohne die entsprechende Fachkenntnis, um dann im App Store Ein-Sterne-Bewertungen für nicht funktionierende Apps abzugeben, oder sich zu beschweren das dass Telefon nicht rund läuft.

 

[GREYAchilles]

Ich finde Jailbreaks grundsätzlich doof, seit jeher. Ich kann einfach kein Verständnis dafür aufbringen. *facepalm*

 

[SuckOr]

Man kauft sich also ein iPhone - nachweislich ein sehr sicheres Gerät - und macht es dann vorsätzlich selbst unsicher? Cool.

 

[rootie]

Man muss in Punkte Sicherheit ja immer abwägen, wem man vertraut. Hier stehen zwei Möglichkeiten zur Auswahl: Apple und Pangu. Obwohl Apple inzwischen so gut wie alle ehemaligen Jailbreak-Funktionalitäten in iOS aufgenommen hat, gibt es immer noch Leute, die dafür stimmen. Stichwort Themes und (was ja so nie geschrieben wird) Raubkopien.

 

[ChrisW90]

Hatte bis iOS 9 immer einen Jailbreak, allerdings hab ich diesen nie sofort durchgeführt, sondern stets ein paar Wochen gewartet um zu gucken ob (Sicherheits-)Probleme bekannt werden.

Aber dieser JB hat für mich sowieso eine Schwelle überschritten, denn fremde Zertifikate zu installieren und zusätzlich noch eine Apple-ID einzugeben ist einfach zu riskant.

Schade, dass die JB-Community, die ja eh gern mal (unbegründet) ins kriminelle Licht gerückt wird, jetzt noch schlechter da steht.

Es wird nämlich oft vergessen, dass Apple sich mit Sicherheit einige im Laufe der Zeit dazugekommene Funktionen von JB-Tweaks abgeguckt hat.

 

[rootie]

Ja man darf nicht alle Jailbreaker als Raubkopierer hinstellen, das wäre wirklich falsch. Ich hätte halt gern nur eine Antwort auf die Frage, welches Detail eines heutigen Jailbreaks so genial ist, dass man sämtliche Sicherheitsbedenken einfach über Bord wirft. Irgend ein anderes Theme oder ein kleiner Tweak kann es ja eigentlich nicht sein, oder?

 

[GREYAchilles]

Man kauft sich also ein iPhone - nachweislich ein sehr sicheres Gerät - und macht es dann vorsätzlich selbst unsicher? Cool.

...und das auch noch in diesen Zeiten wo die "digitale Gefahr" eigentlich omnipräsent ist! Gerade wenn Sowas aus China kommt sollte man Brain 2.0 einschalten...

Ja man darf nicht alle Jailbreaker als Raubkopierer hinstellen, das wäre wirklich falsch. Ich hätte halt gern nur eine Antwort auf die Frage, welches Detail eines heutigen Jailbreaks so genial ist, dass man sämtliche Sicherheitsbedenken einfach über Bord wirft. Irgend ein anderes Theme oder ein kleiner Tweak kann es ja eigentlich nicht sein, oder?

Hab das mal bei Teenagern so mittbekommen... Dann ist man cooler im Schulhof wenn man ein Jailbreak hat...

 

[KoboldDresden]

Ich kann auch keinen vernünftigen Grund für einen Jailbreak finden, zumal Apple der Hersteller ist, der seine Geräte am längsten mit Sicherheit-Updates versorgt!

 

[ChrisW90]

Kommt halt immer auf die eigenen Präferenzen an, und vor allem vermisst man gewisse Tweaks, wenn man diese zuvor jahrelang genutzt hat.

Ich hätte gern einen (relativ sicheren) JB um das Control-Center so anzupassen, wie es mir gefällt (CCControls).

SwipeSelection, ein Tweak der quasi die 3D-Touch-Funktion zur Verschiebung des Cursors imitiert (gab es übrigens schon lange vor 3D-Touch), ist ebenfalls toll.

Die Möglichkeit Kodi/XBMC auf meinem iPad zu installieren fehlt mir auch.

StatusHUD (oder so ähnlich?) war ebenfalls genial, es verlagert die Anzeige der Lautstärkeveränderung in die Status-Bar und somit aus dem Blickfeld.

Um nur ein paar Dinge genannt zu haben, die einen JB auch abseits der Raubkopierer-Szene attraktiv machen.

Vieles davon kann man halt erst nachvollziehen, wenn man es selbst genutzt hat, aber auch mir ist dies nicht mehr das Risikos eines JBs wert ...

 

[rootie]

Es steht außer Frage, dass es gute Tweaks gibt. Man muss sich halt einfach immer auch im Klaren sein, dass die Sicherheit und Integrität einfach nicht mehr gewährleistet ist. Cydia braucht meinem Wissen nach Root-Rechte, um Packages zu installieren und man kann immer noch x-beliebige (nicht vertrauenswürdige) Repositories hinzufügen. Außerdem weiß man halt nie, was der Tweak-Programmierer für schöne Sachen reinprogrammiert...

 

[Balkenende]

So ganz überraschend ist die Meldung nicht. Das war eine Frage der Zeit, dass derlei Sicherheitsprobleme wieder mal auftreten.

Allerdings sollte man an die ganze Diskussion wertfrei führen - und sich zuerst einmal daran erinnern, dass ein Jailbreak immer genau dann nur möglich ist, wenn in iOS selbst eine Sicherheitslücke existiert.

 

[rootie]

Ja klar. Es ist auch für uns Nicht-Jailbreaker gut, weil diese Tatsache iOS wieder ein Stückchen sicherer macht.