Feature XARA: Apple soll schwerwiegende Sicherheitslücke in OS X und iOS seit Monaten bekannt sein

[Martin Wendel]

Eine Forschergruppe der Universitäten in Indiana, Georgia und Peking hat einen umfassenden Bericht über eine schwerwiegende Sicherheitslücke in iOS und OS X veröffentlicht. Die darin beschriebenen Fehler hätten potentiell "verheerende Auswirkungen" und könnten zu einer "vollständigen Offenlegung der sensibelsten Nutzerinformationen (zum Beispiel Passwörter) gegenüber einem Schadprogramm" führen. Apple wurde von den Forschern bereits im Oktober 2014 über die Problematik informiert, selbst nach einer Herausgabe einer Vorabversion des Forschungsberichtes im Februar sollen die Lücken aber bis heute nicht geschlossen worden sein.[prbreak][/prbreak]

XARA steht für Cross-App Resource Access und beschreibt Probleme in der Kommunikation zwischen dem Betriebssystem und einzelnen Apps bzw. der Kommunikation von Apps untereinander. Über die Sicherheitslücke sei es Schadprogrammen möglich, auf sensible Daten anderer Apps zuzugreifen. Die Forscher nennen einige konkrete Beispiele: So soll es möglich sein, über die Sicherheitslücke auf die im Chatprogramm WeChat gespeicherten Fotos zuzugreifen. Auch eine Entwendung der Sicherheits-Token für das Notiz-Programm Evernote sei möglich und selbst der Zugriff auf Passwörter im Passwort-Manager 1Password sei ihnen gelungen.

Die Forscher haben 1.600 Mac- und 200 iOS-Apps untersucht und festgestellt, dass 88,6 Prozent der Programme den Angriffsversuchen "vollständig ausgesetzt" seien. Dem Team gelang es eigenen Angaben sogar, Schadprogramme, die sich die Sicherheitslücke zunutze machen, in den App Store und Mac App Store einzuschleusen. Einmal installiert, würde eine solche App "unautorisierten Zugriff auf sensible Daten anderer Programme" erlauben. Die Forschergruppe stellt fest, dass Sicherheitslücken wie XARA "eine ernste Bedrohung für den Isolationsschutz von Apps in modernen Betriebssystemen" seien.

Apple wollte die Probleme eigentlich innerhalb von sechs Monaten beheben, schreiben die Forscher. Da dies bis heute aber nicht passiert ist, hat sich das Forscherteam nun dazu entschlossen, ihren Bericht mit allen Details zu veröffentlichen. In den vergangenen Wochen und Monaten wird immer mehr Kritik an der Art und Weise, wie Apple mit Sicherheitslücken umgeht, laut. Kritisiert wird, dass man sich als Nutzer nicht auf die Veröffentlichung von Sicherheitsupdates verlassen kann und Apple erst dann reagiere, wenn der Konzern in die Ecke gedrängt wird. Apple hat sich auf Anfrage von The Register und Spiegel Online bisher nicht zu dem Sachverhalt geäußert.

Bild von Pixabay
Vielen Dank an @Nemesis & @MacMac512 für den Hinweis!​

Via Spiegel Online

 

[connectfan]

Ist denn irgendwas bekannt, ob das Problem mit iOS 8.4 und/oder OS X 10.10.4 behoben wird?

 

[echo.park]

http://www.heise.de/newsticker/meld...en-offenbar-Passwoerter-auslesen-2715047.html

Hier der passende Artikel von Heise.

 

[Inum]

Heise schreibt hierzu: "Der Konzern habe sich ein halbes Jahr für einen Fix erbeten und in OS X 10.10.3 sowie der Beta von 10.10.4 erste Schutzmaßnahmen integriert, diese lassen sich aber offenbar umgehen."

Genaues ist also noch nicht bekannt.

 

[Farafan]

"Die Rente is sischer" (Norbert Blüm)
1password auch.
Und niemand hat die Absicht eine Mauer zu bauen.

Nur den Kritikern wollte ja noch vor wenigen Wochen hier niemand glauben.

 

[u0679]

Ich befürchte, je komplexer IT wird, desto angreifbarer wird es auch. Von daher ist nur sicher, das nichts sicher ist. Als Endanwender oder Admin kann man nur versuchen, auf dem aktuellsten Stand zu bleiben. Eine Sicherheitsgarantie ist auch das nicht. Irgendwie deprimierend.

 

[forenwalter]

Es gibt immer noch Anwender welche behaupten Apple System sind immer noch sicher, leider ist das aber immer weniger der Fall und da diese Probleme nur auf Umwegen zu erfahren sind weiss das der grösste Teil der Anwender nicht.
Man stellt auch heute Windows Systeme als grösste Virenschleuder in den Vordergrund und dabei wurden da grosse Fortschritte gemacht. Selber arbeite ich mehr mit Windowssysteme und meine Schutzprogramme erkennen die bekannten Schädlinge. Auch das Apple System wird immer mehr von Virenprogrammierer angegriffen weil die Anzahl der Anwender zunimmt.

 

[BlackRa1n]

"Die Rente is sischer" (Norbert Blüm)
1password auch.
Und niemand hat die Absicht eine Mauer zu bauen.

Nur den Kritikern wollte ja noch vor wenigen Wochen hier niemand glauben.

Um überhaupt an die Daten zu kommen muss jemand dein iPhone entwenden und eine App installieren.

Also beim besten Willen keine gefährliche Sicherheitslücke. Das ist ein Szenario welches sich nur sehr schwer verwirklichen lässt. Für mich ist das keine Sicherheitslücke. Wer es zulässt, dass ein Unauthorisierter auf seinem iPhone/Mac eine App installieren kann, der ist selber die Sicherheitslücke.

 

[Scotch]

Es gibt immer noch Anwender welche behaupten Apple System sind immer noch sicher, leider ist das aber immer weniger der Fall

iOS und OS X sind auch nach wie vor "sicherer" als z.B. Windows oder Android - zumindest, wenn man nach Anzahl und Schwere der Lücken gehen will.

Problematisch ist (und war) der Umgang von Apple mit Lücken: Apple ist nicht sonderlich transparent im Umgang damit, welche Lücken denn nun gefunden und/oder gefixt wurden (Apple selber wird ja auch Sicherheitsexperten am Start haben) und die Reaktion auf Lücken ist zumindest zäh (teilweise würde ich es eher ignorant nennen).

Und da kommt es zum Problem: Was nutzt es mir, wenn Apples OS weniger Lücken als andere haben, diese aber nicht gepatcht werden?

Was ist sicherer: Ein Windows mit 50 gepatchten Lücken, oder ein OS X mit zwei offenen?

 

[xees]

Das Problem an diesen Meldungen ist, dass nicht bekannt ist, wie lange diese 3 Unis mit welchem Aufwand, mit wieviel Personal nach den Fehler gesucht und nachhaltig beschrieben haben.
Dazu kommt in der Regel, dass ein Hersteller dies erst im eigenem Haus bzw. im Auftrag Nachvollziehen muss, schauen muss welche Auswirkungen eine Behebung haben kann (Funktionseinschränkung oder öffnen weiterer Lücken), das Durchtesten und mögliche Komplikationen mit weiteren Anwendungen usw..

Erst dann kann daran gedacht werden, ein Update einzuspielen bzw. mit anderen Updates zur Verfügung zu stellen.

Es ist auch in Europa üblich, das eine Firma "mauert" und erst mal nichts zugibt.

Hoffen wir mal auf ein Update und dass der Schaden begrenzt bleibt.

Sollte sich in Zukunft das ganze System Internet und Computer als nicht beherrschbar herausstellen, dürfen wir uns aussuchen was wir lieber haben wollen: Offline Computer und Handy (Also Handy ohne Internet oder Apps) oder Online mit Gefahren.

 

[xees]

Um überhaupt an die Daten zu kommen muss jemand dein iPhone entwenden und eine App installieren.

Also beim besten Willen keine gefährliche Sicherheitslücke. Das ist ein Szenario welches sich nur sehr schwer verwirklichen lässt. Für mich ist das keine Sicherheitslücke. Wer es zulässt, dass ein Unauthorisierter auf seinem iPhone/Mac eine App installieren kann, der ist selber die Sicherheitslücke.

Stimmt nur bedingt. In der Meldung war zu lesen (Dem Team gelang es eigenen Angaben sogar, Schadprogramme, die sich die Sicherheitslücke zunutze machen, in den App Store und Mac App Store einzuschleusen. Einmal installiert, würde eine solche App "unautorisierten Zugriff auf sensible Daten anderer Programme" erlauben.), dass auch Apps im Appstore befallen sein können. Du lädst dir ganz offiziell die schadhafte App aus dem Apple Appstore runter und zahlt eventuell sogar noch dafür.

 

[Ragnir]

Die eine oder andere Lücke wird es immer geben, aber Apples Reaktionszeit auf gewisse Dinge ist manchmal echt haarsträubend.

Ich habe nur eine kleine Klitsche, weitab von den Ressourcen Apples, aber meine Kunden würden mich steinigen, wenn ich mir bei wichtigen Dingen solange Zeit ließe.

 

[Marcel Bresink]

Um überhaupt an die Daten zu kommen muss jemand dein iPhone entwenden und eine App installieren.

Nein, das ist ja gerade der Witz.

Die Forscher zeigen, dass man im App Store böswillige Programme unterbringen kann, die andere Programme über insgesamt 4 mögliche Techniken angreifen und dabei deren Daten abgreifen können, ohne dass Apple das merkt. Es ist also eine klassische Trojaner-Situation, in der Du selbst eine App installierst, und zwar eine von Apple geprüfte und gelieferte.

 

[BlackRa1n]

@Marcel Bresink , @xees

Richtig. Denkfehler meinerseits. Danke sehr.

 

[Mannschafter]

... Ich habe nur eine kleine Klitsche ...

Eben! [emoji6]
Mit einem Laden wie  könntest Du Dir so ziemlich alles leisten.

 

[Zenturio]

Ich muss gestehen, mich beschleicht schon etwas Unbehagen, wenn ich sowas höre. Allerdings liest man sowas leider häufiger, nicht nur über Apple.

 

[cashYOU]

Die eine oder andere Lücke wird es immer geben, aber Apples Reaktionszeit auf gewisse Dinge ist manchmal echt haarsträubend.

Also wenn das wirklich schon seit einem halben Jahr bekannt war finde ich es auch erschreckend. Hier handelt es sich ja nicht um eine Lappalie sondern um die Schlüsselbund-Passwortverwaltung...

 

[herz3272]

Wurde Lücke schon ausgenutzt? Wenn nicht, dann kann es nicht so einfach sein.

 

[Nemesis]

Wurde Lücke schon ausgenutzt? Wenn nicht kann nich so einfach sein.

Jetzt schon, da die Schwachstellen veröffentlicht sind. Jetzt ist die Frage wer schneller ist. Die bösen Jungs oder die Entwickler von Apple beim schließen der Lücken.

 

[ottomane]

Leider schlecht von Apple. Ich verstehe nicht, warum ein Unternehmen mit diesen immensen Ressourcen solche potenziell massiv rufschädigenden Probleme nicht schnell beseitigt.

Als User und auch als Aktionär gefällt mir das gar nicht.