Magazin XARA-Sicherheitslücke: Apple arbeitet an Behebung

[Martin Wendel]

Vor wenigen Tagen hat eine Forschergruppe einen ausführlich dokumentierten Bericht über verschiedene Sicherheitslücken veröffentlicht, mit denen unter iOS und OS X sensible Informationen entwendet werden können (wir berichteten). Apple wurde bereits im letzten Oktober von den Forschern über die Probleme informiert, hat die betreffenden Bereiche bisher aber nicht ausreichend abgesichert. In einer Stellungnahme gegenüber iMore hat Apple nun bestätigt, dass an einer Behebung der Probleme gearbeitet wird. In dieser Woche sollen bereits erste Maßnahmen umgesetzt worden sein. Einen genauen Zeitrahmen für die Behebung von XARA nennt Apple jedoch nicht.[prbreak][/prbreak]

"Anfang dieser Woche haben wir serverseitig ein App-Sicherheitsupdate implementiert, das App-Daten absichert und Apps mit Problemen bei der Sandbox-Konfiguration vom Mac App Store blockiert", erklärt ein Unternehmenssprecher von Apple. "Wir haben weitere Fehlerbehebungen in Vorbereitung und arbeiten mit den Forschern zusammen, um die Behauptungen in ihrem Bericht zu untersuchen." Apple hat also offenbar bereits (oder endlich…) erste Maßnahmen zur Absicherung von OS X ergriffen. Durch XARA sind zwar auch Daten unter iOS angreifbar, primär dürfte durch die Schwachstellen aber OS X gefährdet sein.

Wie dem Forschungsbericht zu entnehmen ist, wurde Apple erstmals im Oktober 2014 auf die Probleme Aufmerksam gemacht. Im November 2014 gab es erneut Kontakt zu Apple. Der Konzern gab an, für die Behebung der Probleme mindestens sechs Monate zu benötigen. Im Februar 2015 stellte das Forscherteam Apple eine Vorabversion des Forschungsberichtes zu Verfügung. In der aktuellen Beta von OS X 10.10.4 hat Apple eine erste Schutzmaßnahme umgesetzt. Laut den Forschern behandle diese aber nur einen Teilbereich der Probleme, zudem würde sich die Barriere umgehen lassen.

​

Bild von Pixabay
Via iMore

 

[Gelöschtes Mitglied 115674]

Schön zu lesen, dass nun endlich aktiv an der Behebung gearbeitet wird.
Schade, dass sich erst wieder mit entsprechenden Druckmittel bei Apple etwas bewegt:rolleyes:

 

[simmac]

Finde ich auch sehr schade. Erst wenn so eine Nachricht Wellen schlägt, reagiert Apple darauf.
Ist aber (muss man fairerweise sagen) leider nicht nur bei Apple so.

 

[Mannschafter]

Ich vermute stark, dass  sehr bewusst geschwiegen hat und mit sehr hoher Wahrscheinlichkeit auch nicht untätig war. Ich bin mir jedenfalls selbst nicht sicher, welche Strategie (Transparenz oder Schweigen) für  (seine Aktionäre UND seine Kunden - Langfristig ist das kein Widerspruch!) die bessere wäre. Deshalb würde ich mir nicht wagen,  zu sagen, was hier richtig oder falsch gemacht worden ist - und von wem.

 

[Stachelbär]

Na endlich, was lange währt wird endlich gut, od ein kleiner Schlag auf den Hinterkopf erhöht das Denkvermögen
Warum ist es für so große Konzerne eigentlich so schwer Fehler od Bugs ohne Umschweife zuzugeben??

 

[u0679]

Eine, wie ich finde, gute Nachricht. Ob Apple auf Grund des Drucks oder bereits seit längerem an der Behebung daran arbeitet, sei dahingestellt. Primär wichtig ist mir, dass etwas getan wird. Drücken wir die Daumen, dass bald ein Update kommt und dass nicht nur für Yosemite, sondern auch für Mavericks und ML.

 

[NorbertM]

Im Februar 2015 stellte das Forscherteam Apple eine Vorabversion des Forschungsberichtes zu Verfügung.

Warum erst im Februar, was haben sie dann im Oktober übermittelt?
Hallo Apple, es gibt da ein Problem?

 

[Martin Wendel]

Warum erst im Februar, was haben sie dann im Oktober übermittelt?

Vermutlich weil sich ein Forschungsbericht nicht von heute auf morgen schreibt? :rolleyes:

 

[simmac]

Ich vermute stark, dass  sehr bewusst geschwiegen hat und mit sehr hoher Wahrscheinlichkeit auch nicht untätig war. Ich bin mir jedenfalls selbst nicht sicher, welche Strategie (Transparenz oder Schweigen) für  (seine Aktionäre UND seine Kunden - Langfristig ist das kein Widerspruch!) die bessere wäre. Deshalb würde ich mir nicht wagen,  zu sagen, was hier richtig oder falsch gemacht worden ist - und von wem.

Na ja, bevor Apple die nächste OS X und iOS Version anfängt, sollten sie sich auf die Behebung dieser gravierenden Sicherheitslücke konzentrieren.

Aber nein, die Aktionäre würden ja ausrasten, wenn die nächste OS Version einen Monat zu spät veröffentlicht wird.

 

[naich]

Ich vermute stark, dass  sehr bewusst geschwiegen hat und mit sehr hoher Wahrscheinlichkeit auch nicht untätig war.

Die Frage ist natürlich generell: Wieso sollte Apple Sicherheitslücken öffentlich rausposaunen - gerade wenn die Behebung kompliziert ist. Da ist es sicher sinnvoller, erstmal still zu halten und versuchen die Fehler zu beheben.

Für micht klingen die Probleme recht tief verwurzelt - die wird man wohl nicht alle einfach so mit einem kleinen Sicherheitsupdate beheben. Teilweise sind ja auch definitiv Änderungen an den betroffenen Programmen nötig. Daher gehe ich durchaus davon aus, dass Apple schon länger versucht, die Lücken zu beheben und nicht erst jetzt damit anfängt.

 

[Farafan]

Ja klar.
Apple wird erst tätig wenn so etwas an die Öffentlichkeit kommt. Das Denken von manchen hier ist doch sehr naiv.

Nur weil etwas nicht in allen Details in die Welt posaunt wird heißt dies nicht das man Däumchen dreht. Ganz im Gegenteil ist es eher so das gerade in Fällen in denen es um IT-Sicherheit geht kaum bis gar keine Informationen verbreitet werden.

Sorgfalt geht hier immer vor Geschwindigkeit. Aber auch beim IT-GAU im Bundestag wird ja gern öffentlich geplärrt das "die alle" unfähig und faul sind. Vor allem von denen die nicht die geringste Ahnung von komplexen Infrastrukturen haben.

 

[Greenie77]

Ich sehe das Problem auch darin begründet dass die Betriebsysteme viel zu kurze Zyklen haben. Es bleibt keine Zeit sich mit voller Sorgfalt um wirklich wichtige Dinge zu kümmern. Stattdessen wird mit biegen und brechen versucht schnell den ganz großen neuen Wurf rauszubringen. Am Ende mus man sich um drei oder mehr Systeme in der Fehlerbehebung kümmern. Wir müssen wieder weg von Marketinggeplanten kurze Jahreszyklen hin zu stabilen sicheren Releases. Hü und Hopp muss nicht sein.

Passend dazu:
http://winfuture.de/news,85281.html

 

[simmac]

Ja klar.
Apple wird erst tätig wenn so etwas an die Öffentlichkeit kommt. Das Denken von manchen hier ist doch sehr naiv.

Nur weil etwas nicht in allen Details in die Welt posaunt wird heißt dies nicht das man Däumchen dreht.

Die Lücke ist Apple seit Oktober bekannt. Hätte sich Apple anstatt das nächste Major Release vorzubereiten um die Sicherheitslücke gekümmert, wären die schon längst fertig. Das aber die erste Dev Preview für OS X und iOS draußen ist zeigt aber, dass sie an anderen Dingen als an der Lücke gearbeitet haben.

 

[Farafan]

Das aber die erste Dev Preview für OS X und iOS draußen ist zeigt aber, dass sie an anderen Dingen als an der Lücke gearbeitet haben.

Toll das hier jemand derart intime Einblicke in die internen Prozesse und Aufgabenverteilungen bei Apple hat.

Das dies vielleicht Aufgaben sind die von völlig getrennten Teams bearbeitet werden ist wohl völlig abwegig, oder? Ach nee, Apple hat ja nur 3 Programmierer und Admins die den ganzen Tag ausschließlich Kaffee trinken und privat surfen.

 

[simmac]

Das dies vielleicht Aufgaben sind die von völlig getrennten Teams bearbeitet werden ist wohl völlig abwegig, oder? Ach nee, Apple hat ja nur 3 Programmierer und Admins die den ganzen Tag ausschließlich Kaffee trinken und privat surfen.

http://www.apfeltalk.de/community/index.php?posts/4642541

Sorry, aber so eine Sicherheitslücke sollte Priorität Nummer 1 sein.

 

[Mannschafter]

Es gab da mal einen sogenannten "Staat" in Deutschland, der hatte klar erkannt, dass man sich zuerst und überhaupt ausschließlich auf das Wesentliche konzentrieren müsse.
Also ließ er all seine Bürger antreten, um für den Weltfrieden und die "Hauptaufgabe" zu kämpfen. Alle anderen kleinen Problemchen wurden derweil mal zurückgestellt.
Nach 20 Jahren wusste keiner mehr, was eigentlich die "Hauptaufgabe" war. Und nach weiteren 20 Jahren war der ganze "Staat" selbst Geschichte.

 

[Dario von Apfel]

Ob sie dann gleich die Lücke mit dem efi fixen?

 

[Arcane]

Na immerhin haben sie nach 9 Monaten schon erste Fortschritte gemacht.
Da war die Werbung um die Apple Watch wohl wichtiger.
Oder die übertrieben große Vielfalt an Schnittstellen des MacBook.

 

[Farafan]

Na immerhin haben sie nach 9 Monaten schon erste Fortschritte gemacht.

Hast du in deinem Leben bereits mal eine Zeile Code geschrieben?

 

[u0679]

Apple hat ja nur 3 Programmierer und Admins die den ganzen Tag ausschließlich Kaffee trinken und privat surfen.

Das erklärt jetzt einiges [emoji23]