Feature XARA: Apple soll schwerwiegende Sicherheitslücke in OS X und iOS seit Monaten bekannt sein

[sternenstaub]

Und ich hoffe ja, dass es auch Patches für ältere Versionen geben wird.

Nein. Die werden alle Versionen darunter total im Regen stehen lassen und sich darüber kaputt lachen, ist doch klar. Sonst wären diese USA Oberkapitalisten ja wohl kaum das mächtigste und wertvollste IT Unternehmen der Welt.

Manche Leute stellen sich Fragen...

 

[doc_holleday]

Nein. Die werden alle Versionen darunter total im Regen stehen lassen

Nichts anderes erwarte ich. Ist bei Rootpipe ja auch so. Alles vor 10.10. wird keinen Patch bekommen.

 

[sternenstaub]

Ich stelle da - aus Erfahrung - andere, höhere Erwartungen an Cupertino und bin da selten enttäuscht worden, gerade wenns um substantielles wie schwere Sicherheitslücken geht. Das wird sich Apple nicht geben.

 

[doc_holleday]

Auch wenn ich mir wünschen würde, dass solche Lücken in älteren OS Xen gepatcht würden, sieht es momentan nicht danach aus:

"Rootpipe" war von Apple nur in OS X 10.10.3 angegangen worden, die früheren Betriebssystemversionen OS X 10.9 und 10.8 wurden dagegen nicht mit einem Fix bedacht, was viel Kritik hervorgerufen hatte. Eine genaue Begründung gab es nicht, es war aber zu hören, dass es Apple nicht möglich gewesen sei, den Patch ohne große Eingriffe ins System zurückzuportieren.

http://www.heise.de/mac-and-i/meldung/Rootpipe-Luecke-in-OS-X-besteht-offenbar-weiter-2612346.html

Mal abgesehen davon, dass die Bemühungen Apples bisher auch nicht für Yosemite gefruchtet zu haben scheinen.

 

[raven]

. Falscher Thread.

 

[tjp]

Apple hat laut dem Bericht direkt im September darauf reagiert mit der Bitte, 6 Monate Zeit zu bekommen.

Das ist keine angemessene Reaktion! Solange die betroffenen Kunden nicht vom Sicherheitsrisiko zu informieren ist unverantwortlich. Einige wenige Tage wären angemessen gewesen für einen Workaround, so daß die Sicherheit wiederhergestellt gewesen wäre. Die Behebung des eigentlichen Problems kann ja durchaus Monate beanspruchen, wobei dies schon auf sehr deftige Designfehler in der Software hinweist, aber in der Zwischenzeit kann man die Kunden nicht ungeschützt der Gefahr ausgesetzt lassen. Security by Obscurity ist keine Sicherheit sondern Selbstbetrug.

 

[sternenstaub]

@Doc
In dem von dir verlinkten Artikel ist ein Satz, der gerade bei der Behebung des aktuellen Sicherheitsproblems eine sehr große Rolle zugeteilt bekommen könnte seitens Apple.

"Den Patch auf mehreren Betriebssystemversionen ausreichend zu testen, ist viel aufwändiger."

Ich traue denen in Cupertino durchaus zu, aus Fehlern der Vergangenheit (wie Rootpipe Patches) zu Lernen. Das wird schon, warten wir es ab.

Ich will das nicht verniedlichen, abba Rootpipe war soooooo schlimm - wenn du etliche User hier fragst, selbst solche die hier in dem Fred posten, würden die auf Rootpipe angesprochen ehrlicherweise doch nur ad hoc antworten: Was für ein Auto? ^^.

 

[doc_holleday]

Jetzt hast du mich inhaltlich abgehängt.

Ja, das ausführliche Testen ist vermutlich aufwendiger, als das Programmieren des Patches/Fix.

Mag sein, dass das der Grund ist, warum Apple (scheinbar - das letzte Wort ist evtl. noch nicht gesprochen) einen möglichen Patch ausschließlich für 10.10. anbieten wird.

Aber das ändert doch nichts an der grundlegenden Fragestellung/Problemstellung, dass man sich eben nicht sicher sein kann, dass Apple auch ältere Systeme in Sachen Sicherheit auf aktuellem Stand hält, obwohl diese Systeme prinzipiell noch mit Updates versorgt werden.

Warum sich Apple dagegen entscheidet mach doch dabei kaum einen Unterschied.

Im Endeffekt gibt es jetzt bei Apple nicht mehr mehrere unterstützte Systeme, sondern nur noch eins.

Oder ich habe nicht verstanden was du mir damit sagen wolltest.

Anyway, die Nachrichten rund um Rootpipe waren (inkl. solcher wie oben von Heise verlinkt) für ich der Anlass Mavericks hinter mir zu lassen (auch wenn ich es immer noch vermisse).

Was den Bekannheitsgrad der Sicherheitslücken angeht: es kommt halt nicht alles in der Tagesschau, aber Rootpipe wurde hier in den News genauso ausführlich behandelt wie XARA. Die Aussage, dass die meisten User hier mit dem Ausdruck "Rootpipe" nichts anfangen können wird also genauso auf XARA zu treffen.


Nachtrag:
Irgendwie empfinde ich das als unglücklich, dass jetzt zwei Artikel zum Thema mit recht ähnlichen Inhalten parallel bestehen. Hat sich jetzt aber wohl so ergeben und wird sich vermutlich auch nicht so leicht ändern lassen, oder? (@Martin Wendel)

 

[sternenstaub]

Bin zu allen Zeichen deines Posting d'accord! Signed.

Bis... ^^. Letzter Absatz. Wäre Rootpipe furchtbar schlimm für alle OSX User gelaufen, müssten wir uns nicht überlegen wer überhaupt mit solchen Begriffen wie Rootpipe oder XARA was anfangen kann. Lassen wir alle Polemik und Medienrummel weg scheint das Universum der OSX User tatsächlich noch weiter zu existieren und ohne die Gefahr klein zu Reden... es wurde und wird daran gearbeitet, es wird professionell gelöst von Apple.

Ich bin da nicht nur zuversichtlich sondern entspannt geradezu.

 

[Farafan]

Ich bin da nicht nur zuversichtlich sondern entspannt geradezu.

Da können wir einen Club gründen.

 

[rootie]

Ich wurde für diese Aussage fast gesteinigt hier

 

[doc_holleday]

Wäre Rootpipe furchtbar schlimm für alle OSX User gelaufen, müssten wir uns nicht überlegen wer überhaupt mit solchen Begriffen wie Rootpipe oder XARA was anfangen kann.

Über die Schwere der Sicherheitslücken habe ich doch gar nix gesagt?!

Die Rootpipe-Lücke besteht, sie ist bekannt und sie ermöglicht (zumindest theoretisch) die Vergabe von sehr weitreichenden Rechten im System.

Ich sage ja nicht, dass man deswegen schlaflose Nächte haben soll. Aber das trifft auch auf alle anderen Dinge zu, die ich/man nicht wirklich ändern kann.

Ich möchte einfach, dass Apple das in den Griff bekommt (sowohl Rootpipe als auch XARA). Besser heute als morgen. Und noch besser auch rückwirkend für 10.9.

Und wenn sie schon dabei sind, kann es auch nicht schaden bezüglich solcher Dinge mal die Klappe aufzumachen und den Usern da draußen mitzuteilen, dass bald alles gut sein wird und man sich keine Gedanken machen muss.

 

[raven]

Nachdem offenbar die Threads zusammengelegt wurden kann ich den Link ja wieder einstellen.
Link: http://www.apfelpage.de/2015/06/20/sicherheitsluecke-in-iosos-x-apple-arbeitet-an-fehlerbehebung/

Teilauszuga:
Im Statement heißt es weiter:

Wir arbeiten derzeit an weiteren Lösungen und werkeln mit den Forschern, [die die Sicherheitslücke entdeckt haben] zusammen, um die Vorwürfe in ihren Berichten zu überprüfen […].

Quellenangabe Apfelpage.de

 

[sternenstaub]

@rootie
Ach was - ernsthaft. Das wären dann abba sehr unprofessionelle Flugbahnen der Steine geworden. Davor hättest du keine Sorge haben müssen ^^.

@Doc
"Über die Schwere der Sicherheitslücken habe ich doch gar nix gesagt?!"
Ich etwa, das DU was darüber gesagt hast... ne. Also.

"Und wenn sie schon dabei sind, kann es auch nicht schaden bezüglich solcher Dinge mal die Klappe aufzumachen und den Usern da draußen mitzuteilen, dass bald alles gut sein wird und man sich keine Gedanken machen muss."

Sehe ich nicht. Mir würde ein multimillarden Doller schweres, weltweit agierendes Unternehmen vorkommen wie ne Frittenbude, wenn reflexartig für alles ne Pressemitteilung rausgehauen wird. Da ist mit eine besonnene und damit professionelle Vorgehensweise allemal lieber als Budenzauber.

 

[doc_holleday]

Okay, inzwischen reden wir aneinander vorbei.

Macht aber auch nix. Ich denke, dass jeder seinen Standpunkt ausreichend dargelegt hat.

Alles gut.

 

[sternenstaub]

Dito. Auch alles gut und Danke fürs Gespräch.

 

[simmac]

Ich bin da nicht nur zuversichtlich sondern entspannt geradezu.

Da können wir einen Club gründen.

Hmm, entspannt obwohl ihr wisst, dass eure Macs eine öffentlich dokumentierte Sicherheitslücke haben, die seit Monaten bekannt ist? Seltsames Sicherheitsgefühl.

Besonders bei @Farafan wundert mich das, da er dafür bekannt ist, sehr sicherheitsbewusst zu sein.

 

[Farafan]

Besonders bei @Farafan wundert mich das, da er dafür bekannt ist, sehr sicherheitsbewusst zu sein.

Diese Lücke kann ich sehr gut einschätzen und ich könnte sogar dauerhaft damit leben. Und sie wäre kein Grund selbst bei fehlendem Fix mein Arbeitspferd von 10.9. auf 10.10. hochzuziehen.

 

[Martin Wendel]

Besteht das Problem denn nur unter Yosemite? Kann ich mir nicht vorstellen.

 

[rootie]

Bis vor ein paar Tagen war die Sicherheitslücke halt auch nicht gefährlich, weil sie keiner kannte. Und ich kann nur einmal mehr sagen, dass es auch nach wie vor kein relevantes Sicherheitsproblem für mich sein wird, weil ich mir einfach nicht jeden Müll auf das System lade.

Wenn das jetzt eine Lücke wäre wie damals bei Windows XP, wo ein ungepatchtes System rein nur durch das Online-Gehen infiziert werden könnte, ok. Aber das hier (ohne es harmlos reden zu wollen) ist eine Lücke, die ausnahmslos wieder von den Medien aufgebauscht wurde. Und das auch nur, weil der Zeitraum so lang ist.