Hoofdcategorieën
Device Settings

Hackers maken tooltje om gegevens van gejailbreakte iPhones te stelen - update

Door Arnoud Wokke, vrijdag 13 november 2009 12:14, views: 20.172

Een beveiligingsbedrijf heeft een tooltje gevonden die gebruik maakt van de ssh-hack op gejailbreakte iPhones. Het nieuwe tooltje geeft geen indicatie dat hij contact heeft met een iPhone, in tegenstelling tot drie eerdere exploits.

Apple iPhone 3GSHet is onbekend of het tooltje, dat deze week werd ontdekt, al slachtoffers heeft gemaakt. De software maakt gebruik van het ssh-lek in de iPhone, waar de afgelopen twee weken al drie keer eerder gebruik van werd gemaakt. Twee Nederlandse hackers lieten iPhone-gebruikers weten dat hun toestel onveilig was. Afgelopen week dook er software op die de bureaubladachtergrond veranderde in een plaatje van zanger Rick Astley.

Deze tool draait op desktops of laptops en scant netwerken, waarop het is aangesloten, op de aanwezigheid van kwetsbare iPhones. Vervolgens kunnen kwaadwillenden allerhande privacy-gevoelige data van de iPhone achterhalen. De iPhone-gebruiker zou niet merken dat zijn data wordt gestolen.

Het aantal potentiële slachtoffers van deze software in Nederland is klein. Tot voor kort waren er naar schatting enkele honderden mensen die hun iPhone hadden opengesteld voor deze hack. Door de actie van de twee Nederlandse hackers en de publiciteit zullen waarschijnlijk veel mensen de achterdeur voor deze hack hebben dichtgezet.

De hack kan zich voordoen bij gejailbreakte iPhones waarop een ssh-applicatie is geïnstalleerd waarvan het standaardwachtwoord niet is veranderd. Apple gebruikt voor de root-toegang van alle iPhones hetzelfde password, maar dat kan met een eenvoudige actie worden aangepast. Ssh-servers voor de iPhone hebben in installatieaanwijzingen veelal staan dat het veiliger is om het standaardwachtwoord aan te passen.

Update 16:16: Het tooltje is geen worm, zoals eerder werd gemeld, maar is een tooltje dat op desktops of laptops kan draaien.

Volgende 12:45 G.Skill brengt ddr3 2200-geheugen met lage timings uit
Vorige 11:42 Microsoft verkoopt 10 miljoen Xbox 360's in EMEA-regio
Advertentie

Reacties

«  1  2  3  »

Heeft T-mobile nu de boel al dicht gezet? Ik dacht laatste te lezen dat ze dat snel gingen doen namelijk.

Het is een beetje onzin overigens dat T-mobile poorten gaat dichtgooien omdat een bepaalde gekraakte mobiel daar problemen mee heeft. Wellicht dat de SSH poort door zakelijke gebruikers wel gebruikt wordt.

Tja, dat is de afweging tussen een veilige IPhone en klanten die in de problemen raken omdat hun wachtwoord plots (ongevraagd) gewijzigd is.

En dan kun je brieven sturen en meldingen op je IPhone tonen wat je wil, een hoop klanten zullen hun wachtwoord niet onthouden. En T-mobile krijgt (onterecht, maar toch) de schuld.

Als ik T-mobile was, dan zou ik mijn handen daar niet aan branden. Beveiliging is vooral ook een taak van de gebruiker zelf.
En wanneer je zoe iets specifieks als een SSH-client op je mobiel installeert, dan mag je aannemen dat die gebruiker weet wat het is en wat de gevolgen van een slechte beveiliging kunnen zijn. Zeker gezien alle publiciteit rond dit onderwerp de laatste dagen.

Wellicht dat de SSH poort door zakelijke gebruikers wel gebruikt wordt.
Waarom zou een zakelijke klant de binnenkomende SSH poort gebruiken om in te loggen op z'n telefoon terwijl dat niet eens kan op een niet-gejailbreakte telefoon?

Neemt niet weg dat ik het idd ook onzin vind als ze dat zouden doen. Ik vind dit typisch iets waarvoor de gebruiker zelf verantwoordelijk is. Het is niet zo dat iPhones standaard onveilig zijn, zoals je soms wel met ADSL en kabelmodems ziet. Je moet 'm feitelijk zelf onveilig maken door 'm te jailbreaken én de SSH daemon erop te installeren.

.edit: @hieronder: good point, het gaat natuurlijk niet alleen om iPhones.

[Reactie gewijzigd door .oisyn op vrijdag 13 november 2009 15:03]


Waar je er even vanuit gaat dat iedereen een iPhone heeft en niet bijvoorbeeld een t-mobile stick oid.

Zoals Rune al zegt, mobiele internet diensten voor andere apparaten dan iPhones zoals Laptops. Ik zeg niet dat het gebruikt wordt, maar ik kan me voorstellen DAT het gebruikt wordt.

Heel toevallig wordt het wel eens zo gebruikt.
Op sommige locaties is het niet mogelijk om internet te krijgen via een lijntje, als daar dan een systeem moet hangen dat af en toe bereikbaar moet zijn is ssh nogal handig.

* CSB spuit even zijn mening
Volgens mij hoeft T-Mobile geheel geen verantwoording af te leggen en poorten dicht te gaan zetten tegenover mensen met een gejailbreakte iPhone. De provider levert de telefoon as-is en dat men zelf via een illegale omweg het systeem openzet, sjah.

En welk IP adres wordt dan gebruikt?

Je kunt de inkomende ssh poort zo goed als zeker kunnen blokkeren. Wie zou er via ssh naar zijn telefoon willen inloggen?

Uitgaand kan ik me inderdaad wel voorstellen, dat mensen dit gebruiken.

Ik heb een iphone abbo, in een g1, ssh inkomend/uitgaand gaat nog gewoon als van ouds. Zouden ze eens moeten flikken ineens dicht gooien... heb ik nie om gevraagd

[Reactie gewijzigd door himlims_ op vrijdag 13 november 2009 15:11]


nieuws: T-Mobile gaat ssh-hack iPhones onmogelijk maken
"Nu is het overnemen van iPhones via ons netwerk nog mogelijk, maar op korte termijn moet dat niet meer kunnen." Op welke termijn dat gaat gebeuren is nog niet duidelijk, maar dat zal 'eerder een kwestie van weken dan van maanden' zijn, aldus Tomasoa.
Kan dus nog wel een weekje of 2 duren..

Heeft T-mobile nu de boel al dicht gezet? Ik dacht laatste te lezen dat ze dat snel gingen doen namelijk.
T-Mobile hoeft niets te doen. Apple ook niet. Het betreft alleen mensen die - in strijd met de gebruiksvoorwaarden (waar je je aan dient te houden om zeker te zijn van functionaliteit en garantie, dat is doodnormaal) - hun iPhone gejailbreakt hebben én een SSH client hebben geïnstalleerd. Dat zijn er niet zoveel. En doordat die aan de de standaard veilige iPhone hebben gesleuteld vragen ze er eigenlijk ook wel een beetje om.

Mwoah, Apple hoeft niets te doen? Het is een standaard wachtwoord wat onafhankelijk van de SSH server toch op het toestel ingesteld staat. Dat een gebruiker er standaard niet bij kan moet niet een excuus zijn voor slecht ontwerp, iets simpels als het root wachtwoord gelijk zetten aan de pincode van de gebruiker of een hash daar van had al heel wat leed gescheeld. Dat mensen het ding jailbreaken kan ik begrijpen, hoewel de opzet van de iPhone veel wegheeft van een console, is de rest van de smartphone markt meer 'PCs' is, wil er dus voor zorgen dat men een Twilight hack toepast op hun iPhone om toch ook homebrew te gaan gebruiken, omdat men misschien stiekem de gedachte had een 'PC' te kopen in plaats van een console (over slecht uitgewerkte analogie gesproken).

Apple zou dit kunnen hebben doen, wat dan voornamelijk netjes was binnen de programmeurs van Apple zelf, maar verder zie ik veel liever dat ze hun energie steken in een goede beveiliging buiten het zowiezo stupide gedoe van jailbreaken om (koop dan Android oid) en het verbeteren van hun interface e.d.

SSH is niet de enige manier waarop iemand toegang tot de iPhone zou kunnen krijgen. In principe zou dat ook via een bugs in de Apple software kunnen. En dat kun je alleen afgrendelen door het root wachtwoord altijd door de user te laten veranderen.

Het is exact hetzelfde argument als dat je bij gewone computers niet wilt users met admin rechten draaien.

In 99% van de gevallen waarbij je root access kan krijgen, heb je gewoonweg geen paswoord nodig.

Het is een standaard wachtwoord wat onafhankelijk van de SSH server toch op het toestel ingesteld staat
Standaard is er gen SSH-server aanwezig, als je die wel installeerd heb je de iPhone al gejailbreakt en ben je dus zelf verantwoordelijk.

Je moet dan dus zelf een uniek wachtwoord kiezen.

Nee precies, jailbreaken is 1 ding, ssh gebruiken weer een ander. Ik heb m'n iPhone voor de interesse weleens gejailbreaked (waarvan ik totaal geen voordelen ondervond in mijn manier van gebruik), maar ssh gebruikte ik zowiezo al niet. Dus zelfs dan had ik er nog geen last van gehad, kans dat dit gaat om om en nabij 1% van de iPhone gebruikers lijkt mij vrij groot... wellicht zelfs minder.

Maar het is goed mogelijk dat in de toekomst een lek wordt gevonden in de iPhone OS of in een app waardoor je misschien wel toegang kan krijgen van buitenaf en het standaard wachtwoord kan misbruiken.

Het feit dat dat kan via de officiele weg is dan wel Apple aan te schrijven en dan zou de hele discussie volkomen duidelijk zijn. Ik verwacht dan ook een geweldig snelle reactie dmv een update, want men heeft anders meteen een flink slechte pr te pakken. Nu niet, wellicht patched men dit wel maar prioriteit zal het niet hebben.

Waarom moet Apple dit patchen?

Zolang de iPhone van de fabriek uit veilig genoeg is, hoeft Apple niets te doen.

Dat zou hetzelfde zijn als wanneer ik de gordels in mijn auto eruit sloop, en daarna bij de fabrikant ga klagen dat dit kan en ik daardoor zwaar gewond ben geraakt bij een ongeluk...

Als er nu een lek wordt gevonden en een exploit wordt geschreven voor het iPhone OS dan zijn ook de "legale" iPhone gebruikers kwetsbaar.

Voorkomen is beter dan genezen. Ik hoop dat Apple geen standaard root wachtwoorden gebruikt in de toekomst.

Ja, DAN moeten ze het patchen en waarschijnlijk zijn ze ook al op hun gemakje aan het kijken wat de mogelijkheden zijn maar zolang er geen exploit voor legale iPhones is, hoeft Apple in principe niets te doen.

Dat Apple geen geen lekken kan vinden wil nog niet zeggen dat er daadwerkelijk geen lekken zijn.

Het kan zo op de een op de andere minuut gebeuren dat iemand die wel een lek heeft gevonden zijn kwaadaardige software loslaat in het wild en dan is het kwaad al geschied.

En wat dan als Apple die lek niet kan vinden en de vinder van die lek het niet publiceert? Enige manier is dan het root password aanpassen. Dat kunnen ze wat mij betreft in de eerst volgende update toepassen.

[Reactie gewijzigd door magnifor op vrijdag 13 november 2009 13:13]


Daar hebben ze dus ook al wel maatregelen voor waarbij de sandboxes die ze gebruiken ook een rol spelen. Hoofdzaak is om te zorgen dat zo'n exploit zo min mogelijk schade kan toebrengen en dus niet zo makkelijk bij systeemonderdelen kan komen. De vraag die je eigenlijk zou moeten stellen is of de maatregelen die ze hebben genomen wel afdoende zullen zijn. Je kunt een root wachtwoord wel wijzigen naar iets wat je zelf weet te onthouden maar veel mensen gebruiken daar een veel te simpel wachtwoord voor. Die wachtwoorden kunnen weer eenvoudig te achterhalen zijn met o.a. brute force attacks. Sja, wat ben je dan aan het dichten? ;)

Een niet standaard wachtwoord helpt niet als je een expoit in de code vindt. Dit wachtwoord heb je niet nodig als je een buffer overflow oid hebt. Je hebt deze alleen nodig als je wil inloggen op de console of via ssh. Dan kan normaal niet...
Als je dat via een exploit opeens wel kan, waarom zou je de exploit dan een loginprompt laten geven...?

Hoe veilig is een telefoon die met klik klik druk te jailbreaken is? Volgens mij begint daar het probleem al. Als Apple groot genoeg wordt (en dat doet de iPhone) dan is er veel interesse om er virussen/trojans/malware en andere ongure programma's voor te schrijven.

En ik weet zeker dat (en dan doe ik niks af aan de knappe koppen van Apple) dat het gezamelijke intellect van alle virusschrijvers groter is dat het intellect van Apple derhalve zal de communitie zie het zaakje wil hacken het zaakje hacken!

Om de iPhone te jailbreaken met je hem fysiek in handen hebben en met een USB kabel aan je computer hangen. Dat is al zo sinds de introductie van OS 1.2 (toen het sandboxen werd ingevoerd.)

Normaal gezien kan je root worden via een bug door een overflow of een bug in een of andere system call, waardoor je in een hogere permission ring geraakt. Heb jij ooit al een gewone system call gezien waarbij je een root paswoord moet ingeven?

Ik ook niet.

De hele root paswoord historie is een red herring, naast de kwestie en een non-issue.

Apple moet ervoor zorgen dat er geen bugs zijn in de system calls vanuit de standaard sandbox. Op dit moment zijn er nog niet zo'n bugs gevonden. Laat ons hopen dat dit zo blijft.

[Reactie gewijzigd door newinca op vrijdag 13 november 2009 18:32]


Even mierenneuken: het gaat hier niet om een ssh client want daar is helemaal niets mis mee, het gaat hier louter alleen om een ssh server die je gejailbreakte iPhone open zet voor de rest van de wereld. Ook iets wat in het artikel omgewisseld wordt zo te zien.

Tjonge jonge Tweakers, makkelijk hoor, van dit soort populistische berichten.

Sorry, maar echt hacken kun je dit toch niet noemen? Mensen die na hun jailbreak openSSH installeren en vervolgens het standaard wachtwoord niet vervangen worden niet gehackt, maar die vragen er gewoon om. Sorry maar als je je voordeur open laat staan en er komen mensen in je huis binnen die er niet hadden mogen zijn dan is dat toch zeker je eigen schuld. Moet je je deur maar op slot doen.

Als Gmail een standaard wachtwoord zou hebben, bijvoorbeeld 1234, en iemand gaat alle gmailadressen proberen met dat wachtwoord dan kun je er donder op zeggen dat je wat Gmail accounts in kunt... Is dat dan hacken? mwah, ik vind nog niet echt eigenlijk..

T-mobile moet gewoon een brief naar z'n klanten versturen hierover.

Waarom zou T-mobile de boel moeten dichttimmeren? Als je je iPhone jailbreakt dan hef je ook alle support op. Problemen met wormen? Los het zelf op!

You just got Rick Roll'd..

Marreh, als Apple al weet dat er een lek is. Waarom is die nog niet weggewerkt?

Enkel gehackte telefoon. Dus apples doesnt care!

En terecht vind ik, eigen schuld dikke .... juist.


Offtopic: Een goede vriend van mij heeft een Iphone 3G, en het ging mis met jailbreaken op een of ander manier heeft hij upgrade gedaan naar 3.1 software, en daardoor is zijn iphone totaal onbruikbaar geworden. Na een bezoekje bij Apple store, werd hem geadviseerd naar iphoneclub.nl te surfen voor "oplossing". Dus over service kan ik niet klagen 8-).

Off-offtopic:

Toen ik laatst een keer in een macshop was, stond daar ook een iPhone showmodel met Cydia er op! Hihi

[Reactie gewijzigd door Biinjo op vrijdag 13 november 2009 12:51]


Enkel gehackte telefoon. Dus apples doesnt care!
Apple heeft een fix al voor de bug bekend was:
standaard firm-/software installeren.

Omdat dit al buiten de 'wat mag' valt, jailbreak + ssh zijn je eigelijk verantwoordelijkheid, waarom zou Apple iets fixen als zij het standaard niet eens beschikbaar stellen?

Omdat het toch de Apple IPhone naam is die te grabbel wordt gegooit in de media.

@hieronder:
'tuurlijk is het onterecht ! Maar toch is het voor een naam van een bedrijf/product niet goed om genoemd te worden i.c.m. (beveiligings)problemen. Die combi blijft kleven in de hoofden van mensen. Vooral als ze de de klok wel hebben horen luiden...

[Reactie gewijzigd door T-men op vrijdag 13 november 2009 13:15]


Ik lees toch in ieder bericht over deze lek en de uitwerking daarvan dat het om gejailbreakte iPhones gaat.
Noem mij kortzichtig, maar (zeker met de uitleg over wat jailbreaken is, en dat SSH niet default aanstaat, zoals in de meeste media ook nog gegeven wordt) is het Jan Publiek ondertussen redelijk aan het dagen dat zijn ongemodde iPhone niet kwetsbaar is.

En Apple kan hier uiteindelijk alleen maar om grinnken... als "dat krijg je nou van jailbreaken"

Wat een onzin, als jij je computer sloopt is microsoft toch ook niet verantwoordelijk? Dat windows zonder het nog meer te verneuken dan het al is zo lek is als een mandje staat daar los van.

Het is alsof je de sloten uit je auto sloopt en dan je automerk aanklaagt om dat iemand anders er ook in kan.

verantwoordelijk niet neen, maar hoeveel mensen heb je niet die Sweex / tybotech / whatever hardware kopen en achteraf klagen dat hun pc instabiel is en dat het de fout van MS is want dat windows slecht is? Meer dan genoeg... Juist bij de iPhone gaat dat hetzelfde zijn; dat de fout bij de gebruiker ligt zal snel vergeten worden, en het zal op het imago van de iPhone gaan afstralen.

Sterker nog, Apple KAN dit niet eens fixen, omdat er niets kapot is.
Er zijn gewoon een stel prutsers die een default password niet veranderd hebben.

En daarom zou een blog als Tweakers dus ook juist een andere titel moeten kiezen.

"Eerste kwaadaardige ssh-worm voor iPhone duikt op" is vrij misleidend, aangezien een standaard iPhone niet vatbaar is voor deze worm...

Beter zou zijn:
"Eerste kwaadaardige ssh-worm voor Jailbreak/openSSH duikt op"

Komop tweakers, je bent een techno blog, voor geavanceerde tweakers. Ik vindt dat we dit soort details wel juist hier goed mogen verwachten. Ga je je naam eer aan doen, of ga je titels verzinnen die niet kloppen maar zo lekker veel mensen trekken door ze op het verkeerde been te zetten?

Omdat het geen Apple lek is maar een jailbreak 'lek'.
Standaard staat SSH dicht bij Apple, maar bij een jailbroken iPhone kan SSH aanstaan. Met het standaard wachtwoord.

Zolang je niet jailbreakt is er niets aan de hand.
Jailbreaken wordt niet door Apple ondersteund dus waarom zouden zij dat 'lek' moeten dichten?

Als ze het rootwachtwoord nou eens niet 'standaard' hadden laten staan, dit is, bereikbaar of niet, toch een stukje slordig ontwerp. Iets simpels als het rootwachtwoord aan de PIN-code gelijk zetten of een hash daarvan was al veiliger geweest! Als ik een auto bouw, en die uitrust met 20kg zware springstof, en de 'boem' knop wegstop helemaal in de moterkap, en de 'moterkap openmaak' knop weglaat, en er vervolgens een douanier met blikopener toch op die knop drukt, ben ik toch ook schuldig dat ik mijn explosieven kant en klaar met ontsteking ergens heb laten slingeren, moterkap op slot of niet?

Het is gewoon een account. Dat mensen er mee gaan rommelen is hun eigen probleem.
Er staat een standaardwachtwoord op, om dat je er toch niet in kan komen, en dat is de beveiliging. Bovendien, om er in te komen met je de telefoon in je bezit hebben, en op dat moment maakt het al niet meer uit welk wachtwoord er op staat, want dan kan diegene hem lekker wissen.

Als mensen een SSH-server met standaard wachtwoord online zetten, dan kan je daar niemand op aankijken, behalve de gebruiker die dat deed. Punt.

Enneh, hoe is een niet default password precies bruikbaar?
Ik weet niet HOE de iPhone precies werkt, maar ik kan me voorstellen dat gebruikers niet standaard als root op het apparaat werken. (Als dat wel het geval zou zijn, dan zijn ze daar bij Apple prutsers) Om het root wachtwoord te kunnen veranderen, moet je dus weten wat het is.

[Reactie gewijzigd door Rune op vrijdag 13 november 2009 13:18]


Dit is dus precies waarom de titel van het stuk zo slecht gekozen is.

Een standaard iPhone met een Apple Firmeware staat gewoon dicht. Daar kun je niet naar toe SSH-en.

Wanneer men echter jailbreakt en SSH openzet dan kan dat wel. Als je dan het root wachtwoord niet veranderd dan kan iedereen dat. Dus niet Apple prutsers, maar de gebruiker is op dat moment de prutser.

Je kunt er overigens niets aan doen dat je dat niet begreep. Tweakers schrijft het stuk opzettelijk alsof het over alle iPhones gaat, want dan trekken ze veel meer bezoekers. Goed bezig voor een techno nieuwssite...

@Rune

Dat hoeft helemaal niet. Ubuntu stelt standaard het root-wachtwoord ook in op niets. Je kunt vervolgens dit wachtwoord veranderen door

sudo passwd

te doen. Hierdoor kun je de toegangscode veranderen zonder dat je de huidige code weet; je hebt alleen je gebruikerswachtwoord nodig, als die al ingesteld is.

En in dit geval was het inderdaad wel zo netjes geweest van Apple om een niet-standaard wachtwoord in te stellen.

Je vergelijkingen zijn van de pot gerukt om het maar even recht door zee te stellen. Dat is zo omdat je niet goed snapt waar het hier om gaat en hoe het in elkaar steekt. Dat root wachtwoord zegt niets. Je hebt nu een standaard wachtwoord die je kunt proberen maar er zijn diverse lijsten op internet te vinden (omdat bijv. een of ander site het nalaat om een security bug in haar blog software te patchen waardoor wachtwoorden van users te achterhalen zijn) met daarop heel wat wachtwoorden. Je kunt dus wel een wachtwoord instellen voor dat root account maar dan is de volgende stap de geprobeerd wordt het raden van dat wachtwoorden en dat gebeurd o.a. met eerder genoemde lijsten. Op die wijze heb je netjes een ander wachtwoord ingesteld en kun je toch nog gehackt worden. Als je het root wachtwoord aan de pincode gelijk stelt ben je een randdebiel, dan heb je echt geen enkel flauw benul wat security inhoudt. Een pincode is maar 4 cijfers van 0 t/m 9. Als er iets is wat dodelijk eenvoudig te raden is dan zijn het wachtwoorden van 4 cijfers. Dan kun je je maar beter de moeite van het wijzigen van het wachtwoord besparen want veiliger zal het er echt niet op worden. Zo'n hash heeft ook geen nut, zoiets noem je gewoon een sterk wachtwoord bestaand uit cijfers, letters en tekens die je ook zelf kunt bedenken (zo niet dan hebben we daar ook wel tools als pwgen voor) ;)

Je voorbeeld is om een andere reden ook fout, dat wat het weergeeft komt niet overeen met wat er hier gaande is qua jailbreak, ssh server en default wachtwoorden. Om in de auto analogie te blijven moet je als voorbeeld een Audi A2 nemen waarbij je door een haarscheurtje in een cilinderkop het ding in 2 stukken kunt breken als je er met een hamertje op tikt. Om dit te doen zul je eerst de motor uit de A2 moeten slopen (das nogal lastig want dat ding heeft geen motorkap, is helemaal dicht), vervolgens moet je de motor open slopen om bij de cilinderkop te komen, daarna moet je dan de cilinderkop eruit halen en er een tik met je hamer op geven. De rode draad in dit voorbeeld zijn de omwegen die je moet maken om bij de fout te komen, het is dus niet iets wat zomaar even eenvoudig te doen is en wat al helemaal niet wordt aangeraden door de fabrikant. De fabrikant raadt in geval van de Audi A2 aan dat je bij problemen (kapot voorlicht bijvoorbeeld) maar naar de garage moet om die het te laten oplossen. Dit even helemaal afgezien van het feit dat een auto analogie sowieso nooit goed zal vastleggen wat er hier exact gaande is.

Het feit dat er een user-id/password is is niet verbazingwekkend bij een OS. Bij unix/bsd/windows heb je user-acounts en een administrator danwel root account. En die staan gewoon dicht bij iPhoneOSX. Wellicht hebben ze zo'n standaard wachtwoord nodig bij reparatie.

Het feit dat er springstof in een auto zit is wel verbazingwekkend. Dat is *niet* normaal en dat heb je ook niet nodig voor gebruik in welke vorm dan ook. Daar gaat jouw vergelijking dan ook mank.

Verder is het niet Apple die iets misdoet, de gebruiker (chauffeur bij een auto voorbeeld) moet de kofferbak openbreken (jailbreak), een bom installeren (ssh server) en vervolgens ondanks dat zijn maatje hem waarschuwt (schermmelding) "vergeten" de kofferbak *dicht* te doen (niet eens het slot vergeten, maar zelfs de klep niet naar beneden). Zoiets kan je de fabrikant niet kwalijk nemen.

Iets simpels als het rootwachtwoord aan de PIN-code gelijk zetten of een hash daarvan was al veiliger geweest!
Naast dat het zoals ppl ook al aangaf ontzettend dom is om dat te doen, is het niet eens mogelijk omdat je telefoon de pincode helemaal niet weet. Die staat namelijk opgeslagen op de SIM en kun je niet opvragen. Het enige wat je kunt doen is aan de SIMkaart vragen: "hey, mag ik inloggen met pincode <x>", waarop de SIM ja danwel nee antwoordt.

Omdat die lek wordt gecreerd door een third party app.
Niet door apple zelf.

omdat de lek niet werkt als je de iphone niet gejailbraikt is.
dit is iets waar apple dus niks aan gaat doen

met opzet gaat doen, want ze kunnen het mischien wel,
maar dan helpen ze de jailbraikers en dat gaan ze echt niet doen.

Lees het artikel aub, de hack werkt enkel op gejailbreakte Iphones waarop een ssh-client is geinstalleerd. Dus een gewone niet gemodificeerde Iphone heeft hier geen last van... Apple heeft hier dus geen zak mee te maken aangezien ze de applicatie niet ondersteunen en het jailbreaken al helemaal niet.

Het lijkt wel alsof er een competitie is wie het snelste op jouw vraag kan antwoorden.

Omdat het geen lek is ;)

Lek? welk lek?

Er zijn mensen die een default password gebruiken in plaats van er zelf een te verzinnen,dat is geen lek waar Apple iets aan moet doen.

ik vind ssh-lek nog steeds onzin, het is gewoon iets wat mensen zelf open zetten. Dan zou een website ook een http lek zijn :P

Een kwaadaardige SSH Worm echter gaat het hele artikel jammer genoeg over de vorige twee wormen en wordt er in 1 zinnetje uitgelegd wat ie doet.

Verder moet je natuurlijk je ssh niet aan hebben staan op momenten dat je het niet gebruikt en je password changen.

ik heb even de gelinkte bron gelezen en een google news search gedaan en het blijkt feitelijk helemaal geen worm te zijn zoals de tweaker redakteur wokke in plaatje en kopje meent te moeten publiceren.

het is een tooltje dat je op een wifi accesspoint of een pc kunt installeren. de tool gaat vervolgens zitten scannen op ssh access naar een gejailbreakte iphone met het default root password. vindt het er eentje, dan haalt het gegevens op van de iphone. naar alle waarschijnlijkheid gebruikt het hier een shell script voor dat op de iphone middels ssh wordt uitgevoerd in een unix sessie als gebruiker root. hierna logt de tool weer uit.

het is dus niet een worm die zichzelf propageert en vermenigvuldigt van iphone naar iphone maar gewoon een script. waarom wokke het een worm noemt is of stemmingmakerij of gewoon dommigheid/kopieergedrag.

Admin-edit:Commentaar over de vorm van het nieuws hoort in geachte redactie

[Reactie gewijzigd door Floppus op zondag 15 november 2009 12:57]


"De hack kan zich voordoen bij gejailbreakte iPhones"
die mensen hebben pech vind niet dat providers wat er tegen moeten doen..

De telefoons van tegenwoordig zijn uitgegroeit tot mp3-fotocamera-kalender-telefoon-desktop-agenda-en-honderden-dingen-in-1 apperatuur. Geen wonder dat dit ook virussen en andere kwaadwilligen aantrekt. Apple moet eens wat beter aan zijn communicatie met klanten werken, service hoort niet alleen tijdens geld transacties, dan had iets als dit makkelijk voorkomen kunnen worden.

[Reactie gewijzigd door Bilel op vrijdag 13 november 2009 12:20]


Want? Mensen zetten zelf een ssh client op hun telefoon ze jailbreaken zelf de telefoon ze stellen zelf geen wachtwoord in. Apple hoeft helemaal niets te doen, dit is alleen een probleem voor mensen die zelf het "hek" hebben open gezet

[mierenminnaar]
Overigens is het de SSH server die het probleem is, dat die toevallig met de client gebundeld is, is een ander verhaal.
[/mierenminnaar]

/Offtopic
Ik vind de service van Apple geweldig. Als er iets stuk gaat dan is herstel of vervanging geen enkel probleem, zelfs niet via een andere apple reseller.

/On topic

1) Als iemand zelf de boel hackt (jailbroken) en
2) vervolgens nog een (potentieel) beveiligingslek (ssh daemon installeren en
3) password op standaard laten staan) waarbij hij tijdens installatie op gewezen wordt (melding op het scherm tijdens ssh installatie)

dan moet je niet naar Apple wijzen, maar naar je spiegelbeeld.

Dus als ik een ssh server heb draaien op windows zonder wachtwoord is dat de schuld van microsoft?

Braaf je iPhone via iTunes backuppen. Zodat je altijd terug kan. Moeilijk hoor.

En er even rekening mee houdend dat ze dus al zo ver zijn dat ze via deze ingang al wat iTunes wachtwoorden hebben.

Waarom blijven ze het eigenlijk hacken noemen?

Dit noem ik eerder inloggen en wat software installeren, het wordt pas hacken als dit ook kan op een iPhone zonder SSH.

Waarom blijven ze het eigenlijk hacken noemen?
Omdat dit gewoon hacken is?

Je verschaft je immers toegang tot een machine, waar je het recht c.q. de toestemming van de eigenaar niet toe hebt.

En dat is één definitie van hacken.

Dit is meer een vorm van cracken, de vorige 3 iPhone SSH artikelen gingen over hacken.

Dit wordt vaak door elkaar gehaald, De meeste mensen zien crackers als mensen die beveiligingen van software cracken om het illegaal aan te bieden, en hackers die beveiligingen kraken om er misbruik van te maken.

De werkelijke definitie is:

Hacken: Testen van een beveiliging en daarna aanbevelingen doen aan de maker van de beveiliging, hackers richten dus geen schade aan, ze testen, verbeteren en rapporteren.

Cracken: Inbreken met kwaadaardige bedoelingen, zoals een worm plaatsen, crackers richten dus schade aan.

Hacken heeft nog veel meer betekenissen, het gaat hier over computerhacken.

Wikipedia over hacken: http://nl.wikipedia.org/wiki/Hacken
Wikipedia over hackers: http://nl.wikipedia.org/wiki/Hacker
Wikipedia over crackers: http://nl.wikipedia.org/wiki/Computerkraker

Alleen het cracken is strafbaar.

[Reactie gewijzigd door donny007 op vrijdag 13 november 2009 14:07]


Het nadeel van wikipedia is dat het geen enkele relatie *hoeft* te hebben met wat wel en niet waar is. Het is maar een visie van iemand die zichzelf expert noemt, terecht of niet.

Een hacker heeft niet altijd met beveiliging te maken en een hacker hoeft het ook niet altijd te rapporteren. Wat je ook in de door jou aangehaalde wikipedia pagina's kan lezen.

En over het niet strafbaar zijn van hacken, daar kijk ik toch liever bij een juridische website. http://www.iusmentis.com/...iteit/computervredebreuk/ : Een hacker is strafbaar!

Wettelijk is er geen verschil tussen hacken en cracker.

Dat is het nadeel van populere producten natuurlijk, er gaan meer mensen mee rommelen en komen dus meer virussen en hacks kijk maar naar windows

Dit zegt natuurlijk meer over de beveiligings mogelijkheden van het iphone OS en de door hun toegelaten software dan over het SSH protocol.

Ten eerst is het blijkbaar te makkelijk om de iphone te gejailbreake en het feit dat je standaard wachtwoorden niet kan veranderen is natuurlijk altijd een slechte zaak.

SSH wat in principe 1 van de veiligste protocolen is waar je mee kan inloggen door de 256bit encryptie en dat je het zo kan instellen dat alleen mensen die jij jouw public key geeft acces kunnen krijgen en dus geen paswoorden worden uitgewisseld waardoor je de man in de middel attacks uitsluit.

edit
oeps beetje scheel gelezen ik had gelezen dat het wachtwoord niet veranderd kon worden, inplaats van dat het niet veranderd is door de gebruiker.

[Reactie gewijzigd door dispie op vrijdag 13 november 2009 18:15]


Als je Windows kraakt, ok, maar daar zijn dus zowiezo op de legale wijze al duizenden virussen voor. Voor de iPhone is er nog niets wat gevaarlijk is, als je dus gewoon legaal bezig bent (althans, legaal in de zin van, gebruiken hoe het bedoelt is). Het feit dat er nog geen worm (en dit is overigens ook geen worm) of virus is voor een mobiel welke al zo populair is, zegt mij dat de beveiliging toch vrij goed in orde is.

Ten eerst is het blijkbaar te makkelijk om de iphone te gejailbreake en het feit dat je standaard wachtwoorden niet kan veranderen is natuurlijk altijd een slechte zaak.
Twee details: na een jailbreak moet je ook nog ssh installeren en starten om hier last van te ondervinden.

Het veranderen van een wachtwoord is geen enkel probleem en wordt bij zowel de jailbreak als het installeren van ssh aangeraden.

Iemand moet dus drie dingen doen en een ding nalaten om kwetsbaar te zijn.

MacOS nog niet zo populair dus weinig tot geen virussen. :+

Leuk, die uitleg van je maar je kunt het rootwachtwoord wel wijzigen. Dit lek is niet toe te schrijven aan Apple maar aan gebruikers die guides volgen zonder te weten wat ze doen.

Is dit nog nieuws? Het aantal mensen dat er nog door getroffen zal worden, want zoals in het nieuwsbericht al staat, je moet wel een hele specifieke situatie hebben wil je getroffen kunnen worden (en jailbreak, en ssh, en standaardwachtwoord).

Het lijkt er meer op dat dit nieuwsbericht inspeelt op het feit dat er nieuws over Apple is, en dat het dan altijd gelezen zal worden. Er komt toch ook geen nieuwsbericht op de frontpage als er een virus in addon zit voor een MMO waardoor misschien 100 mensen getroffen worden?
«  1  2  3  »

Op dit item kan niet meer gereageerd worden.

Volgende 12:45 G.Skill brengt ddr3 2200-geheugen met lage timings uit
Vorige 11:42 Microsoft verkoopt 10 miljoen Xbox 360's in EMEA-regio
VNU Media logo Hosted by True

© 1998 - 2012 Tweakers.net B.V. - Alle rechten voorbehouden - Contact - Jouw privacy - Algemene Voorwaarden

Uitgever van:

Website van het jaar 2011