OS X en iOS vatbaar voor man-in-the-middle-aanvallen - update

Apple heeft een patch voor iOS uitgebracht die een ernstige kwetsbaarheid in de SSL/TLS-implementatie oplost. Ook OS X lijkt echter kwetsbaar. De bug maakt het mogelijk dataverkeer in te zien dat versleuteld zou moeten zijn.

Apple heeft iOS 6 en 7 updates gegeven naar de versies 7.0.6 en 6.1.6. Volgens de fabrikant was er sprake van een bug die het 'mogelijk maakte voor een aanvaller met verhoogde netwerkrechten om via ssl/tls beschermde data af te vangen en te wijzigen'. De oorzaak zou liggen bij het niet goed valideren van de authenticiteit van de verbinding, maar de details zijn nog schaars.

Het is met andere woorden mogelijk voor een aanvaller om https://-verkeer vanaf een niet gepatcht iOS-apparaat dat over een netwerk loopt waar hij ook mee verbonden is, in te zien. Ssl/tls moet vooral gevoelige dataverbindingen zoals internetbankieren, online aankopen en webmail beschermen, maar de encryptieprotocollen worden bij steeds meer sites toegepast. Vooral bij verbindingen met gratis openbare netwerken is de nu opgedoken bug een gevaar.

Meerdere bronnen, zoals beveiligingsbedrijf Crowdstrike, melden echter dat niet alleen iOS, maar ook OS X de foutieve ssl/tls-implementatie bevat. Volgens NeoWin is alleen https://-verkeer met directe ip-adressen kwetsbaar en url's met domeinnamen niet. Onduidelijk is welke versies van OS X getroffen zijn, maar volgens Neowin gaat het in ieder geval om Mavericks.

Het advies aan iPhone- en iPad-gebruikers is om de update naar de laatste iOS-versie zo snel mogelijk door te voeren. Verder wordt aangeraden om verbindingen met netwerken waarvan de betrouwbaarheid niet vast staat te vermijden. De verwachting is dat Apple een update voor OS X gaat uitbrengen, maar deze is nog niet aangekondigd.

Update, 15.30: De fout zou liggen bij een dubbele 'goto fail' in de code. Hierdoor zou de de check of het certificaat wel bij de private key hoort, worden overgeslagen, betoogt onder andere Adam Langley van Google.

Reacties (130)

[Trunksmd]

¨aanvaller met verhoogde netwerkrechten¨. Tenzij je je Mac hebt openstaan naar het internet en de aanvaller heeft jouw netwerk username (met verhoogde rechten) komt ie er toch niet in thuis. Dit is belangrijker voor bedrijven met Mac Servers.
En je iOS telefoon? Hij is nu al gepatcht.

Grappig hoe veel mensen zich zorgen maken hierover. De meesten van ons wisten toch niet van deze bug af.

Mijn beleid is: weet een beetje hoe je met veiligheid en internet omgaat. Veel problemen beginnen bij de user zelf. (geïnfecteerde bijlages downloaden etc.)
Meer kun je toch niet doen. En dan maakt het niet meer uit welk OS je gebruikt. Er zullen altijd wel bugs, beveiligingingsproblemen en lekken gevonden worden. De software wordt te complex tegenwoordig.

[noMSforme]

Tsja, hoeveel mensen doe iets op IP in plaats van domain.

An example of the issue can be demonstrated with the following commands in terminal:
curl https://neowin.net/ would fail, however curl https://74.204.71.247/ would be successful.

Je mag van een tech-site toch een duidelijke omschrijving van het probleem verwachten?
Tweakers begint steeds meer 'cherry picking' te doen op de bron artikelen met suggestieve koppen. Dat heeft een site als Tweakers toch niet nodig.

[CyBeR]

Dat werkt inderdaad wel met curl maar niet met Safari.

[VisionMaster]

Dit is niet de bug.

[LopendeVogel]

En je iOS telefoon? Hij is nu al gepatcht.
Nu al gepatcht? Weet je hoelang ik met ios 6 gelopen heb, en inmiddels versie 7? Tenzij de bug in de laatste versie verschenen is (lijkt me sterk) loop ik al heel lang met deze kwalijke bug.

Grappig hoe veel mensen zich zorgen maken hierover. De meesten van ons wisten toch niet van deze bug af.
Nee joh, ik ben geen beveiliging expert die dit zelf had kunnen onderzoeken, dat je iets niet weet, wilt het niet zeggen dat het goed was? Want dat was het duidelijk niet. Als ik dit een paar? jaar terug wist had ik ios gewoon niet meer aangeraakt.

Nu lijkt er bij mij niks gebeurd te zijn, maar als apple dit toch eerder wist hadden ze wel een alarm bel mogen laten afgaan bij de gebruikers als ik. Maar goed dat doen ze niet vanwege imago schade, dus had ik de dupe kunnen zijn omdat hun de reputatie hoog willen houden.
Vreemd dus dat het pas kenbaar komt op het moment dat de fix er is...

Ik ben het met je eens dat het bij elk os kan gebeuren, maar dit heeft niks met de user te maken. De user moet zijn telebankier app kunnen vertrouwen icm hun OS, ik download niks geks op mijn 5S en ik bekijk ook geen vreemde sites, tenzij er gekke dingen op mijn tel kunnen komen via de telegraaf of tweakers.net...
Deze fout ligt volledig bij Apple en niet de gebruiker.

[arjankoole]

Apple doet de announcement altijd pas al de patch er is, maar in de Security wereld is het dan ook al lang bekend. Voor zover ik weet is Apple doorgaans behoorlijk snel met het doorvoeren van Security updates. Zeker als ze remote exploitable zijn. Dat ze geen aankondigingen doen voor de update er is, tja, daar kun je moeilijk over doen, maar ik zie er niet het nut van in. Ze zwijgen het niet dood. (Als in: ze verstoppen het niet achter een performance / stabiliteit update)

Het kan zijn dat we al jaren rondlopen met dit issue, maar als niemand het weet... Tja... Perfecte software bestaat niet, er zitten altijd bugs in. Daarom wordt code altijd zowel automatisch als handmatig geaudit, maar zelfs daar glippen nog dingen doorheen. Het is spijtig, maar een feit.

[notsonewbie]

Het kan zijn dat we al jaren rondlopen met dit issue, maar als niemand het weet... Tja... Perfecte software bestaat niet, er zitten altijd bugs in. Daarom wordt code altijd zowel automatisch als handmatig geaudit, maar zelfs daar glippen nog dingen doorheen. Het is spijtig, maar een feit.

Houd die gedachte vast, én spread the word.
Bottomline: geen stemcomputers meer, en al helemaal niet stemmen via internet!!

Sterker nog, zElfs een goed lopend traject dat wel goed loopt, veilig is, kan op het eind nog fout uitgelegd, of voorgelezen worden bijv. (En nee notarissen zijn niet bepaald beter in het nieuws gekomen sinds die markt ook open is)

Hoe meer belangen en / of mensen iets gebruiken dat geld op kan leveren, of macht, hoe meer digi-crimi's zich er op gaan richten.
Regeringen niet uitgesloten....

[brutus]

Apple maakt het ook niet erg makkelijk om je ipad bij te werken: fix is 14,3MB groot maar ze hebben totaal 1,2GB vrije ruimte om te kunnen installeren, kortom eerst weer van alles zien op te ruimen, erg ontmoedigend zoiets.

[Ranney]

Je zou ook kunnen overwegen de update via iTunes te doen. Dan heb je veel minder ruimte nodig. Dit geld ook voor apps.

[brutus]

Idd dank voor de tip, maar dat voelt toch als terug naar af. Sinds ios 5 geloof ik kun je via wifi updaten en nu met ios 7, icloud e.d. zou je verwachten dat je aardig autonoom met je ipad of iphone kan werken dus zonder laptop/macbook/pc etc. Ik vind het een beetje een misser van Apple.

[Infor40]

Wel jammer dat voor een update van amper 20 MB hij deze niet kan installeren omdat er minstens 800 MB vrij moet zijn.

[arjankoole]

Ik gok een binary patch, die back-ups maakt e.d.

[Duerf]

Goto.. echt...

Goto is een garantie voor fouten in code die langer moet worden onderhouden dan de dag waarop ze werden geschreven. Volgens mij is de enige reden dat goto in C zit is om (automatische) transities uit oudere talen mogelijk te maken (B, Basic, Fortran en Cobal).

Mijn 1e les programmeer les was : "goto is evil".

[VisionMaster]

Onzin. Goto is gelijk aan een jump binnen de scope van een functie. In C voorkom je lange wegen om direct naar een eind conditie te springen. En zoals met iedereen met een scherp mes of een schaar in de hand: oppassen met die dingen! Goto is het probleem niet als je coding style er naar gemaakt is.

In dit geval zie je gewoon dat iemand een stomme/domme fout gemaakt heeft met flinke gevolgen.

[Armada651]

Onzin. Er is te veel vertrouwen in een programmeur die nooit een fout maakt, terwijl hij ook maar mens is. Je moet een codestijl gebruiken waar fouten zoveel mogelijk worden voorkomen en direct opvallen. Bij goto's is er geen enkele bescherming tegen fouten. Zeker in zo'n belangrijk stuk code zou ik een stijl hanteren die het voorkomen van fouten boven de gemakszucht stelt.

Op deze manier is dat stukje code nog leesbaarder dan met goto's en kan je dat soort fouten niet meer maken:

if ((err = ReadyHash(&SSLHashSHA1, &hashCtx)) == 0 &&
(err = SSLHashSHA1.update(&hashCtx, &clientRandom)) == 0 &&
(err = SSLHashSHA1.update(&hashCtx, &serverRandom)) == 0 &&
(err = SSLHashSHA1.update(&hashCtx, &signedParams)) == 0 &&
(err = SSLHashSHA1.final(&hashCtx, &hashOut)) == 0) {

err = sslRawVerify(ctx,
ctx->peerPubKey,
dataToSign, /* plaintext */
dataToSignLen, /* plaintext length */
signature,
signatureLen);
if(err) {
sslErrorLog("SSLDecodeSignedServerKeyExchange: sslRawVerify "
"returned %d\n", (int)err);
}
}

SSLFreeBuffer(&signedHashes);
SSLFreeBuffer(&hashCtx);
return err;

Ik zou hier ook aanraden om een SUCCEEDED en FAILED macro te gebruiken zodat je geen fouten kan maken met de != 0 en == 0.

offtopic:
Tweakers.net ondersteund geen code tags of indentation in het comment system, maar dat zal ook wel niet helemaal de bedoeling zijn.

[Reactie gewijzigd door Armada651 op 23 juli 2024 17:13]

[VisionMaster]

Je zegt het goed: code style die bij je past. Dus het gaat om de coder en zijn style, niet om de "goto".

[Armada651]

Niet zozeer code stijl die bij je past, maar code stijl die bij de situatie past. Je moet je stijl aanpassen aan de stijl van het project, maar ook aan de situatie. In deze situatie moet je goto's zo veel mogelijk vermijden want ze lijden gemakkelijk tot fouten.

[VisionMaster]

Ik vind niet dat het tot fouten lijdt doordat je een goto gebruikt. Wat ik eerder zou verwachten dat je zou stellen hier is duidelijk gebruik van curly-braces. Daar had je dit ook mee tegen kunnen houden. Wat ik zou kunnen toegeven is dat de goto met gebruik van curly-braces hier overbodig zou maken, maar dat vind ik ondergeschikt aan het punt.
De style van het project is trouwens ook maar net wat je afspreekt als conventie. Dat lijkt me belangrijker. Consistentie helpt in een project waar meer mensen aan werken.

[Duerf]

Ik heb vrij veel ervaring met goto's. Veel voorkomende problemen:

GOTO FAIL: gebrek aan deallocatie -> memory leak
GOTO START: dubbele allocatie -> memory leak en foute initialisatie van variabele
GOTO BREAK_DOUBLE_LOOP: het begin van de grootste problemen van goto. De flow van het algoritme is niet meer duidelijk. Zonder duidelijk commentaar zijn begin en eind condities van de code niet meer zichtbaar.
GOTO INSIDE_THREE_DOUBLE_LOOP_BACK_TO_MIDDLE_OF_FUNCTION: Nu is het onleesbaar geworden: Er zijn dus uitzonderings condities waarin wordt terug gesprongen in de tijd zonder dat het duidelijk is waarom en wat bewust wordt gereset en wat niet.

En nu moet je de code onderhouden 5 jaar nadat het geschreven is, en degene die het gemaakt heeft werkt hier niet meer.

[VisionMaster]

Ieder zijn code style, maar dit probleem heb ik nooit gehad, omdat ik consistent blijf in mijn style.

Je stelt dat als je goto fail; gebruikt dat je dan allocatie mist. Dat wil ik tegenspreken:
Stel je hebt een aantal geneste if's, en dan heb je een error. Tja... wat doe je dan? De if's unrolen of jumpen naar goto. De deallocatie is niet van toepassing, of... nog mooier, je hoeft nu maar op 1 plek de deallocatie netjes op te lossen. Heerlijk, helder consistent. Je kan ook aan het eind van een functie altijd een normaal einde forceren, of er over heen springen en naar een error clause lopen in de functie.

Ik heb mijn code style over de laatste jaren ligt aangepast in C. Dit is gewoon een methode om consistente deallocatie te doen. De andere goto start, break double/triple loop is nasty en verdient niet deze oplossing als oplossing. Je moet de noodzaak hebben.

Als je de code door een decompiler heen haalt, of je leest de assembly, dan kom je uiteraard efficientere code tegen als je gelijk een jump maakt na een conditie. Dat scheelt je vaak een hoop instructies.

Bottomline: Ieder zijn style, de goto didn't kill/pull the trigger, volg je gevoel en als dit niet je style is, don't do it. Hetzelfde geld voor het moeten oppassen met scherpe messen.

[gwyrrdin]

"Verder wordt aangeraden om verbindingen met netwerken waarvan de betrouwbaarheid niet vast staat te vermijden."

Dit lijkt mij een goede vuistregel voor de rest van je leven met elk netwerkapparaat wat je in je handen hebt

[Anoniem: 103465]

Dit is inderdaad het beste maar is niet per direct nodig tenzijj je wel dingen doet op je mobiel die een bepaalde bescherming nodig hebben . zoals dit was toch al een tijdje bekend en is niet zo'n drama voor gebruikers. Er zijn nog een paar schoonheidsfoutjes aan imessenger en ios6,7 maar dat is afwachten wat dat wordt met 7.1

[Reactie gewijzigd door Anoniem: 103465 op 23 juli 2024 17:13]

[elmuerte]

maw: gebruik geen internet.

[BoringDay]

Neen, men bedoeld niet roekeloos op willekeurige wifi hotspots in te loggen ...

[Sfynx]

Bij je eigen internetverbinding houdt je controle ook op bij je modem.

[notsonewbie]

Er in-, er voor- of er na?

Zoals je ziet is een up to date OS geen garantie.
Met of zonder goed afgesteld modem/router/firewall

Dan is er bijv. de bank zelf nog, of een dns server, of certificaten die aangepast zijn, enz.

[12345dan]

Ik heb de update net zo snel mogelijk geinstalleerd. Ik vraag me af of hier veelvoudig misbruik is van gemaakt. Fijn dat Apple ook in iOS 6 een update heeft uitgebracht, dan worden oudere apparaten ook een beetje beveiligd.

[Will_M]

Voor diegenen die er over klaagde dat Apple het "nieuws" pas naar buiten brengt op het moment dat ze een patch klaar hebben: Dit zelfde geldt praktisch voor de meeste/alle leveranciers van software.

Als je een beetje bij wil blijven aangaande alle bekende securityissues dan is er een site van de rijksoverheid waar je voldoende info kunt halen: National Cyber Security Center.

Hier zojuist al m'n iOS devices even bijgewerkt. iPhone/iPad maar ook m'n ATV3 (Apple TV). Misschien wel handig om ook dat device in het artikel te vermelden want dat apparaat wordt vaak overgeslagen terwijl het wél 24/7 aan het internet hangt én iOS draait (ATV kán automagisch updaten maar doet dat out of the box niet).

[ASS-Ware]

Quote:
Volgens NeoWin is alleen https://-verkeer met directe ip-adressen kwetsbaar en url's met domeinnamen niet.

Https verkeer naar een ip adres zal altijd kwetsbaar zijn, je kan er immers geen certificaat voor kopen, dus kun je niet checken of je met je server communiceert of met de man in the middle.

[Anoniem: 579713]

Mensen zeggen dat iOS veiliger is dan andere OS'en. Elk OS is vatbaar voor aanvallen of hacks.

[Cinemaniak]

Dan is t statistisch nog wel veiliger hoor. Ik doe geen rare dingen op mn MacBook en check van bijna alles de herkomst.

[Loller1]

Statistisch is alle even veilig zolang je er dezelfde dingen op doet. Het is ddus niet "statistisch veiliger" in een bepaalde situatie. Het ligt er maar net aan waar er wordt geprobeerd je aan te vallen. Daarbij word ongewenste software al vaak doorgesluisd via reclames, ook op vertrouwde websites, zoals Tweakers bijvoorbeeld.

[Conzales]

En toch blijft afzinken in een duikboot zonder gaten erin veiliger dan in een duikboot vol met gaten gek genoeg! Als je verschillende dingen gelijk behoordeeld, met dus dezelfde criteria, kan je zeker wel spreken van statistisch. Dat is precies wat het betekent.

Het ligt er maar net aan waar er wordt geprobeerd je aan te vallen.

Hoe verandert dat de statistieken als de criteria hetzelfde zijn?

Daarbij word ongewenste software al vaak doorgesluisd via reclames, ook op vertrouwde websites, zoals Tweakers bijvoorbeeld

Je bedoelt dat er statistieken worden bijgehouden en dus gegevens worden verzonden via reclame op websites? Wat bedoel je met software 'doorsluizen' via reclames?

[Reactie gewijzigd door Conzales op 23 juli 2024 17:13]

[Loller1]

En toch blijft afzinken in een duikboot zonder gaten erin veiliger dan in een duikboot vol met gaten gek genoeg! Als je verschillende dingen gelijk behoordeeld, met dus dezelfde criteria, kan je zeker wel spreken van statistisch. Dat is precies wat het betekent.

Inderdaad, en daar zit het probleem: zijn beoordeling is niet gelijk.

Hoe verandert dat de statistieken als de criteria hetzelfde zijn?

Niet, maar zijn criteria was dan ook niet hetzelfde

Je bedoelt dat er statistieken worden bijgehouden en dus gegevens worden verzonden via reclame op websites? Wat bedoel je met software 'doorsluizen' via reclames?

Dit vraag je op Tweakers? Nog nooit van malware gehoord?

[notsonewbie]

Ik dacht met mijn mac mini minder gedoe te hebben dan met mijn windows 'gemiddeld' van afgelopen decennia.
Ik kwam van een koude kermis thuis. Het zijn net pc's, al noemt men het dan grey-screen meen ik...

[blorf]

Ze zijn niet allemaal even vatbaar. Naar mijn idee zijn juist de geslotenheid van de software en de mate waarin de eindgebruiker het echte beheer van zijn systeem wordt ontnomen een serieus risico.
Bij mobiele apparaten is dat helaas vrijwel altijd het geval. Die barriere is alleen handmatig per toestel te doorbreken en dan nog ben je in de eerste instantie afhankelijk van de oorspronkelijke software-omgeving.

[Anoniem: 561095]

Maar als Apple stopt met ondersteuning van je telefoon ben je de klos. Terwijl bij opensource operating systems je ook ver nadat de fabrikant is gestopt met support je er nog aan kan sleutelen, zoals bij Android en Linux.

[Macshack]

Dat is idd mogelijk. Ik weet niet waarom je Linux erbij haalt. Want dan is het ook mogelijk om dit te patchen in Windows of OS X.

De vraag is, of dit ook in de praktijk voor komt. De 3GS (bijna 5 jaar oud) krijgt ook de update. Om voor Android voor alle telefoons van de laatste 5 jaar een patch uit te brengen is echt een hoop werk. Ik denk dat het voor recente modellen nog wel zou kunnen gebeuren. Maar open source is ook beperkt in tijd en energie. Want zij worden immers niet verantwoordelijk gehouden als er een lek in Android zit.

[itsme]

Je hebt niet gelezen dat iOS 6 ook gepatched is zeker? Dat betreft dus de iPhone 3GS. Persoonlijk verbaast het me zelfs dat Apple die nog patched.

[Y.Y.Eagle]

Zijn nog zat mensen met een iPhone 4(s) en 5 met iOS 6.

[itsme]

Er zijn ook nog zat mensen met Windows XP maar om dat nou verstandig te noemen ...

[Y.Y.Eagle]

Windows XP is ruim 12 jaar oud en is niet te vergelijken met een iPhone die je tot medio vorig jaar nog standaard kreeg met iOS 6. XP kun je beter vergelijken met iOS 1x/2x of 3x.

[lappro]

Is toch niet te vergelijken. Een winxp gebruiker kan zonder omwegen upgraden naar w7 (zijn goede redenen voor te bedenken). Bij apple kan dat niet. Je mag enkel update/restoren/whatever naar de nieuwst mogelijke versie voor je toestel. Als een jailbreak dan belangrijk voor je is heb je een probleem en bij winxp gebruikers niet die gerust een eerdere versie kunnen kiezen en toch alle updates kunnen krijgen voor die specifieke versie.

[itsme]

Nou dan mag jij me laten zien hoe Windows 7 op een PC met de volgende specs draait:

De minimale hardwarevereisten voor Windows XP Home Edition zijn:
Pentium-processor van 233 megahertz (MHz) of sneller (aanbevolen wordt 300 MHz)
Ten minste 64 megabyte (MB) RAM-geheugen (128 MB aanbevolen)
Ten minste 1,5 gigabyte (GB) beschikbare ruimte op de vaste schijf
Cd-rom- of DVD-rom-station
Toetsenbord en een Microsoft Mouse of een ander compatibel aanwijsapparaat
Videoadapter en monitor met Super VGA (800 x 600) of hogere resolutie
Geluidskaart
Luidsprekers of hoofdtelefoon

Weet je wat, een PC met de dubbele specs mag ook! Je krijgt m er niet eens op!

[White Feather]

Beetje lafjes, de minimum specs van XP vergelijken met de minimum specs van Windows 7.

De persoon die daadwerkelijk de minimum specs van windows XP heeft, draait op een processor uit 1997 (Pentium 233 MMX) (4 jaar voor komst windows XP!). En die processor is dus al 16+ jaar oud.

Die persoon zal niet het internet opgaan omdat iedere site die hij bezoekt te langzaam laadt, zijn processor vele instructies niet zou kennen die nodig zijn om software te installeren. Hij kan al geen huidige virusscanner draaien. Die zal zijn systeem dus niet hoeven updaten, omdat hij er geen voordelen van heeft.

In 2001, toen Windows XP uitkwam, was er al de Pentium 3 1.0 Ghz en de Pentium 4 1.3 Ghz. Dit voldoen dus wel aan de minimum eisen van Windows 7.

Als je dus de afgelopen 10 jaar een redelijk systeem hebt gekocht of de afgelopen 15 jaar een high end, dan kun je prima over naar Windows 7. Je zult er wellicht wat extra geheugen in moeten zetten.

De case die jij beschrijft is dus prachtig, maar zal in de praktijk nauwelijks voorkomen.

[SF750]

Heb zojuist de 4 van m'n vriendin geüpdatet.
De als spelletjesconsole gebruikte 3 van mijn zoon heeft inderdaad het nakijken. Het stopt toch echt een keer denk ik.

[snelwegkat]

Dat zegt een hoop over de ernst van de bug, of eigenlijk Apple's inschatting hiervan. IOS6 is klaar tenzij er serieuze (claim waardige) issues worden gevonden.
Ik ga snel upgraden!

[Anoniem: 415197]

Persoonlijk verbaast het me zelfs dat Apple die nog patched.

Hoezo? Dat kost misschien hooguit 40 man-uur. Die kan Apple echt wel betalen hoor...

[Wolfos]

Veel success met zelf drivers schrijven voor jouw telefoon dan. Het is echt beschamend dat Android zo slecht met updates om gaat.

[doom71]

Het is niet android die hier slecht mee omgaat. Dat is een foutieve veronderstelling die hier op tweakers continue voorbij komt. Het zijn de fabrikanten die hier slecht mee omgaan. Android wordt snel genoeg gepatcht wanneer er een serieus probleem is gevonden.

[Wolfos]

Maar vanilla Android heeft ook geen methode om die automatisch bij gebruikers te brengen. Dit zou gewoon helemaal niet bij de fabrikant moeten liggen.

[doom71]

Dit begrijp ik niet. Nexus apparaten worden direct door googel zelf geupdate.

Ben het trouwens volledig met je eens dat niet de fabrikanten de updates moeten verzorgen. Een betere situatie zou dan ook zijn dat alle launchers zoals sense, touchwiz enz los van het os worden getrokken. Dat zou geen probleem moeten zijn. Nova, ADW, trebuchet kunnen allemaal los van eht os geinstalleerd en gebruikt worden.

[Wolfos]

Volgens mij zitten de launchers al in application space. Ze zijn iig heel makkelijk te vervangen zonder je apparaat te rooten.

[Jasper Janssen]

Google heeft inderdaad een manier om updates te pushen. Die is closed source. AOSP heeft er geen.

[Reactie gewijzigd door Jasper Janssen op 23 juli 2024 17:13]

[Erwin1967]

Mijn Google telefoon uit 2012 wordt niet meer gepatcht sind juni 2013. En ja de fabrikant verantwoordelijk voor het updaten is Google. Ik noem die support dus gewoon beroerd.

[Conzales]

Als je een apparaat van google koopt, de nexus-serie, dan heb je daar geen last van. Ook zijn er wal andere OEM's die 'open' met android omgaan. Maar Samsung is helaas de grootste op het gebied van Android. Dit is de differentiatie/fragmentatie van Android waar Steve Jobs voor gewaarschuwd heeft.

[badnews.nl]

Eens, maar alleen voor de geeks. Huis, tuin en keuken gebruikers verwachten automatische updates, en 80% van de android toestellen zijn low budget versies, vooral verkocht aan deze groep mensen.
Zij weten niets anders dan dat alles automatisch hoort te gaan.
Als Ubuntu stopt, zullen ook veel mensen niet meer updaten, want hun apt repos werkt niet meer.
Zodra een fabrikant stopt met support, moet je ervan uit gaan dat de support ook stopt voor het grootste deel van de klanten, al zijn er nog mensen die, zoals bij open source, dingen voortzetten.

[Thomas18GT]

"Huis, tuin en keuken gebruikers verwachten automatische updates"
Vind jij.. Ik ken genoeg mensen die hun telefoon gewoon goed genoeg vinden en helemaal geen update willen, al helemaal niet automatisch die altijd op ongeschikt moment komt.

Kijk naar iOS7 op een iPhone 4, zeker de eerste versies liepen totaal niet lekker, dan was je beter af met iOS6.

[mystic101]

Van low budget mag je verwachten dat er geen updates komen. Het is niet voor niets low budget.

[Ribo89]

Zeer oneens. Dat een toestel low budget is wil niet zeggen dat de consument geen goed toestel mag verwachten. De klant mag juist wel verwachten dat een toestel, in dit geval een mobiele telefoon, minimaal 2 á 3 jaar gebruiksvriendelijk is en veilig is. Dit betekent dus ook dat consumenten mogen verwachten dat zij voldoende updates krijgen wanneer zij een low budget toestel kopen.

[Woutske]

Tegen die tijd is je telefoon al lang afgeschreven. Voor de gemiddelde consument zit "aan opensource software sleutelen" er niet in, dus op dat punt doet Apple het gewoon beter door langere updatesupport te geven. Waarom moet het altijd direct gaan naar de "ja maar als je heel veel moeite doet kan het bij andere ook dus het is beter"

[YopY]

Zou je denken, maar het blijkt dat veel telefoons die wij afgeschreven hebben - die bijv. verkocht worden voor een paar tientjes aan die 'telefoons = geld!1one' sites - gerefurbished worden en een tweede leven krijgen in oost-Europa en dergelijke.

[Conzales]

En gelukkig maar. Apparatuur op een afvalberg gooien terwijl het nog goed functioneert is waanzin! Natuurlijk is het beter om ook bij het kopen er al rekening mee te houden dat het voor langere tijd mee moet gaan en dat altijd met de nieuwste hype (laatste toestellen) meelopen dus helemaal niet nodig moet zijn. Als je iets nodig hebt, of een 'freak' bent, ok. Helaas geldt voor velen dat het nieuwste van het nieuwste direct moet worden aangeschaft om maar mee te lopen. Al zal dat bij tweakers wel meevallen denk ik. Het zijn vooral de leken die dat doen.

[hidden]

Elk voordeel heeft zijn nadeel.
Android toestellen hebben meestal niet de laatste versie en is dus heel erg versplinterd in tegenstelling van ios apparaten.
Dit is dus gefixed vanaf 3gs, en laten we eerlijk zijn.... hoeveel iphone 3's zouden er nog in nederland zijn ?

[notsonewbie]

Voor- EN nadelen.
Kunnen de digi-crimi's 1 type apple Phone met ios x hacken, dan zijn het er gelijk duizenden, 100-duizenden, miljoenen die ook dat type met ios # uitgerust zijn.

Uniformiteit kent ook zo diens nadelen.

[Anoniem: 530086]

3GS heeft zelfs een update gekregen, een telefoon van 4,5 jaar oud. Qua updates is het altijd top hij Apple, ik kan me niet voorstellen dat android 4,5 jaar updates geeft.

[YopY]

ik kan me niet voorstellen dat android 4,5 jaar updates geeft.

Ik kon het me ook niet voorstellen, maar ik denk dat Google de ontwikkeling van Android wel flink aangepast heeft. Eerder waren het alleen volledige updates (dwz android 2.1 naar 2.2, etc), die uiteindelijk door de telefoonvendors aangeboden moest worden - wat dus vaak niet gebeurde, omdat ze er teveel meuk bijdeden dat getest moest worden, etc.

De nieuwe strategie van google is dat ze veel systeemcomponenten losgetrokken hebben van de 'major' versie van het OS, die ze los van de Android releases kunnen updaten. Ik hoop dat daar ook beveiligingsupdates die dit soort issues oplossen in zitten, en dat ze die over vijf jaar ook nog voor telefoons die nu nieuw zijn kunnen verspreiden. Want wij mogen telefoons na 2-3 jaar wel vervangen, maar ze kunnen nog jarenlang gebruikt worden als de batterij vervangen wordt.

[Erwin1967]

Support is maximaal 18 maanden na introductie in Amerika.

[Tim.k]

Die vlieger gaat niet op. De gemiddelde consument kan echt niet programmeren en de kernel, welke vaak niet wordt vrijgegeven door de fabrikant is toch echt nodig om een OS te ontwikkelen. Daarbij is ook nog vaak de bootloader gelockt zodat consumenten er niet mee kunnen spelen.

Ja, al deze punten zijn te omzeilen met hacky manieren maar of je dat moet willen?

[Shark.Bait]

Maar als Apple stopt met ondersteuning van je telefoon ben je de klos. Terwijl bij opensource operating systems je ook ver nadat de fabrikant is gestopt met support je er nog aan kan sleutelen, zoals bij Android en Linux.

Android is niet echt een open source OS. Google houdt enkele zaken heel erg closed.

[doom71]

Toch jammer van je post. Het punt wat je eigenllijk wil maken, namelijk de 'schijnveiligheid' die iedereen ervaart bij open source, haal je volledig onderuit door die opmerking over android. Laat die eeuwige aanval op android nu eens achterwege. Daar gaat dit artikel ook helemaal niet over. Er is een patch uitgebracht voor ios. That's it!

[Conzales]

wiskids

Klopt, kids wissen tegenwoordig meer dan ze aan problemen oplossen. Overal zitten ze met de vingers aan! Maar gelukkig zijn er altijd wizkids om de problemen voor de technisch gehandicapten onder ons op te lossen.

[Reactie gewijzigd door Conzales op 23 juli 2024 17:13]

[HMC]

Ze brengen het nieuws naar buiten als de patch er is, wat natuurlijk logisch is, ok.
Maar weet jij veel hoe lang dit lek al een probleem vormde?
Dat jij er NU pas wat vanaf weet omdat Apple het NU pas laat weten, betekent niet dat anderen er niks van afwisten, voor al een hele lange tijd.

[BugBoy]

Als het gevaar alleen is bij SSL verbindingen naar een IP adres i.p.v. een DNS, dan zal het in de praktijk wel meevallen voor de normale consument. De meeste applicaties en websites benader je via de DNS-naam en niet via een IP adres. Het gaat met name om de snelheid van patchen. Ben wel benieuwd hoeveel tijd tussen de ontdekking en de release zat.

Apple is druk bezig met iOS v7.1, maar blijkbaar vonden ze dit kritisch genoeg om als een tussentijdse patch op v7.0 te releasen. Het kan ook zijn dat v7.1 nog even gaat duren.

[enomiss]

Laten we nog realistischer zijn, hoe groot is de kans dat Pietje op openbaar netwerk X bij friettent X toevallig een of andere geniale hacker in de buurt heeft en besluit bankzaken te doen in een friettent.

[Anoniem: 415197]

Hoe zit dat eigenlijk met TLS verbindingen en applicaties?
Als ik bijvoorbeeld met Google Chrome surf, is mijn verbinding dan mogelijk ook in gevaar? Chrome heeft toch zijn eigen TLS implementatie aan boord?

[Jasper Janssen]

Chrome op OS X wel, Chrome op iOS niet.

[notsonewbie]

EN men ontkomt zo aan class act's van consumenten ivm bijv. digi-diefstal vanwege dit soort 'lekken'.
Terwijl als je weet dat mavericks onveilig is, en je vertrouwt je windows pc ook al niet, net als je ubuntu tablet/phone, dan kan je eventueel kiezen om mint vanaf live cd te gebruiken voor telebankieren, of indien mogelijk, een week nIEt te tele-bankieren.

[Fly-guy]

Doordat google op elke huidige (vanaf 2.3 dacht ik) telefoon de play services nu zelf kan updaten, kan het, buiten de fabrikant/provider om, dingen aanpassen, inclusief veiligheid en een aantal bugs.
Daarnaast kun je natuurlijk ook en nexus telefoon kopen, krijg je sowieso updates van google zelf.

[Anoniem: 432173]

+ security patches worden in android wel vrij snel in orde gebracht... Ze moeten wel passeren langs de fabrikant maar bij mij komen die eigenlijk altijd vrij snel door...

Het updaten van de android-versies kan idd bij verschillende fabrikanten veel sneller, maar qua security zit dat wel vrij goed...

[jeroen7s]

Nexus? dan krijg je ook snel updates

[notsonewbie]

Mja, daar komt het uit een soort febo muur :
Nieuws : patch uit de muur

Apple als fabrikant. i.t.t. concurrenten, heeft er nul manuren inzitten in beveiliging updates.

[telenut]

denk dat ik toch lang zal mogen wachten voor die update op mn ipad 1 staat...
En dat toestel is even krachtig als sommige goedkope android telefoons die je nu nog kan kopen.
Maar voor de rest heb je gelijk. Voor kapitaal krachtige mensen die om de twee jaar een nieuw toestel kopen van boven de 500 euro is iOS wel een voordeel.

[Anoniem: 120693]

Voor kapitaal krachtige mensen die om de twee jaar een nieuw toestel kopen van boven de 500 euro is iOS wel een voordeel.

Da's minder dan een Euro per dag (doorverkoop niet meegeteld). Ik denk dat iedereen op tweakers dat bedrag er wel voor over heeft!

[Thomas18GT]

Ik heb vanaf de 3G tot en met de 5 elke iPhone gehad en verkocht hem elk jaar, moest dus per jaar tussen de 150 en 200 euro bijleggen voor het nieuwe model. Nu met een Samsung is dat wel anders, neem de Note 2 die ik 15 maanden geleden kocht voor 600 euro, is nu nog maar 340 euro nieuw dus tweedehands met geluk 250 euro. Als je het zo bekijkt is een iPhone juist goedkoop

[V-rg]

Ik heb mijn Galaxy S3 voor €250,- verkocht (dit was met lichte krasjes op het scherm) en mijn Galaxy S4 + lederen hoesje voor €430,- gekocht. Het verschil is dus €180,- waarbij ik nog een lederen hoesje bij krijg. Dus als je het zo bekijkt is een Galaxy juist goedkoop . Kwestie van slim kopen en verkopen.

Daarnaast zakt de prijs van Galaxy toestellen wel, terwijl dit niet zo is bij een iPhone (tot een nieuwe iPhone uitkomt). Je kan lastig verwachtten dat je Note 2 voor €400,- kan verkopen terwijl de nieuwprijs €340,- is. Als Apple de prijzen niet bepaalde en ook goedkoper werd in het verloop van het jaar dan zal je precies hetzelfde hebben. (terwijl de productiekosten wel lager wordt in de loop van het jaar, dus Apple maakt eigenlijk meer winst hoe ouder het toestel is tot dat nieuwe generatie eraan komt en prijs beetje omlaag gaat.)

[Reactie gewijzigd door V-rg op 23 juli 2024 17:13]

[Thomas18GT]

Alleen vergeet je nu dat je de S4 pas koopt wanneer zijn opvolger er al weer aan komt, bij de release was de S4 zeker niet voor 430 verkrijgbaar. Noem me gek maar ik wilde telkens het nieuwe model wanneer die uit kwam.

Tuurlijk is het voordeliger om te wachten. Misschien is dat de tip als je een Samsung koopt, koop het nieuwe model pas na een half jaar, dan is er al 30 tot 50% van de waarde af terwijl dat bij een iPhone 1 tot 2 jaar duurt.

[V-rg]

Ik heb mijn S4 in juni 2013 gekocht. Ik heb sinds de S1 al telkens in de zomer nieuwe Galaxy S aangeschaft. Mijn S3 was dus ook zo goed als een jaar oud toen ik die verkocht.

[Reactie gewijzigd door V-rg op 23 juli 2024 17:13]

[Thomas18GT]

In juni 2013 was de minimumprijs in de pricewatch nog 570..

[V-rg]

Daarom koop ik ze ook van mensen over die abonnement nemen en gelijk de telefoon nieuw in doos verkopen. Gezien ik gewoon de 2 jaar garantie heb ben ik gek om meer te betalen ervoor .

[Thomas18GT]

Dat noemen ze tweedehands

Ik denk dat mijn punt zo wel duidelijk is.
Nieuwprijs S4 570 euro, S3 verkocht voor 250 zou + 320 euro zijn.

[Reactie gewijzigd door Thomas18GT op 23 juli 2024 17:13]

[V-rg]

Ik pak vandale.nl er even bij.

twee·de·hands, twee·de·hands (bijvoeglijk naamwoord, bijwoord)

1 niet nieuw, al gebruikt: een tweedehands piano

Gezien het niet gebruikt is kan ik het niet tweedehands noemen. Daarnaast heb ik ook niet gezegd dat ik het in de winkel heb gekocht. Er is ook geen enkele reden om dit te doen, als jij 570 euro wilt betalen vind ik het best.

(Daarnaast betekent niet automatische dat iets tweedehands is als je het van een particulier koopt.)

[Reactie gewijzigd door V-rg op 23 juli 2024 17:13]

[Thomas18GT]

Als we zo gaan doen kan je net zo goed zeggen dat alle nieuwe telefoons gratis zijn, je pakt hem in de winkel en gaat hard wegrennen.. Maak je er nog winst op als je ze doorverkoopt ook!

[V-rg]

denk dat ik toch lang zal mogen wachten voor die update op mn ipad 1 staat...
En dat toestel is even krachtig als sommige goedkope android telefoons die je nu nog kan kopen.
Maar voor de rest heb je gelijk. Voor kapitaal krachtige mensen die om de twee jaar een nieuw toestel kopen van boven de 500 euro is iOS wel een voordeel.

Even krachtig als sommige goedkope Android telefoons? iPad 1 gebruikt een single core Cortex A8 800 Mhz. Als ik even kijk naar de Pricewatch en dan op prijs + android sorteer dan zie ik enkele Samsung toestellen, deze maken echter gebruik van A9 die beter is dan de A8. Dus nee, jouw iPad is niet even krachtig als sommige goedkope Android telefoons die je nu nog kan kopen.

Daarnaast, waarom zou iOS een voordeel moeten zijn als je elke 2 jaar een nieuwe toestel koopt?

[Reactie gewijzigd door V-rg op 23 juli 2024 17:13]

[notsonewbie]

Het gaat eerstens over osx en maverick en iOS.
Over chromebook heb ik het niet gehad. Hoogstens in een lijst met voorbeeld OS's, zoals in reclame men 3 merken moet noemen, toyota, mercedes, bmw...