Ontwikkelaars vinden via browser te exploiteren zero days in iOS

Ontwikkelaars hebben een premie verdiend van een miljoen dollar, omgerekend rond 910.000 euro, met het vinden van een exploit voor iOS-lekken die werkt via een browser. Apple mag de details voorlopig niet weten, omdat het beveiligingsbedrijf dat de premie uitloofde de info verkoopt aan overheden en bedrijven.

Beveiligingsbedrijf Zerodium kondigde op Twitter aan dat er een team van ontwikkelaars in is geslaagd om een door de lekken mogelijk gemaakte jailbreak vanuit een browser op iOS 9.1 en 9.2 te laten zien. De jailbreak was onderdeel van een wedstrijd die Zerodium uitschreef voor ontwikkelaars. Een ander team slaagde erin om een gedeeltelijke jailbreak voor elkaar te krijgen en krijgt dus vermoedelijk een deel van de premie.

De jailbreakmethode zal niet publiekelijk online komen. Zerodiums verdienmodel is volgens Wired het verkopen van informatie over kwetsbaarheden voordat bedrijven de kans hebben gekregen om de lekken te verhelpen. Veel hackers zien dat als onethisch, omdat ontwikkelaars die de lekken verkopen daardoor meehelpen aan spionage en hacken met een kwaadaardig doel.

Zerodium zegt dat het 'later' wellicht details over de kwetsbaarheden vertelt aan Apple, maar dat het die informatie eerst verstrekt aan eigen klanten. Wie die klanten zijn, is onbekend, maar klanten hebben als werkterrein defensie, technologie en financiën, zegt het beveiligingsbedrijf.

Voor een jailbreak die werkt met een voor dat doel geprepareerde site is het nodig een reeks van kwetsbaarheden te vinden in iOS die het mogelijk maken om op afstand toegang tot het systeem te krijgen en te houden en daar acties op te kunnen uitvoeren. Omdat de lekken zitten in de nieuwste versies van iOS, is die informatie nu waardevol voor bedrijven en overheden die zich op afstand toegang willen verschaffen tot iPhones. Het is dan wel nodig dat degene die de jailbreak wil uitvoeren gebruikers van iOS overhaalt naar een daartoe bestemde pagina in de browser te gaan. Het is onbekend of de jailbreak werkt via Safari of Chrome.

Een jailbreak via de browser is al eens eerder gedaan. Een ontwikkelaar maakte JailbreakMe voor iOS 4, waarmee gebruikers via een website een jailbreak konden uitvoeren.

Update, 17:10:Verduidelijkt dat het niet gaat om een voor gebruikers bruikbare jailbreak, maar om een serie zero days.

Reacties (103)

[Verwijderd]

Elders op internet een aardig artikel gevonden inzake de activiteiten van Chaouki Bekrar, de oprichter van Zerodium. Is al wat ouder, uit 2012, maar wel informatief: http://www.forbes.com/sit...get-paid-six-figure-fees/

[Justin_]

Lijkt mij strafbaar? Het verkopen van hackmethodes aan kwaadwillenden (financiële sector??)

[SidewalkSuper]

Het zou best kunnen dat het strafbaar is volgens het Wassenaar Arrangement, dat bijvoorbeeld gaat over de verkoop van exploits en hackmethodes. Dit verdrag wordt in de Infosec-wereld sinds 2014 door iedereen met argusogen bekeken. Vanwege de vernieuwde zeer brede bewoording is het goed mogelijk dat eigenlijk de hele industrie ineens veelvuldig illegale praktijken hanteert ten behoeve van exploits en intrusion software.

Het Wassenaar Arrangement (voluit The Wassenaar Arrangement on Export Controls for Conventional Arms and Dual-Use Goods and Technologies) is een verdrag voor de controle van conventionele wapens en goederen en technologieën die kunnen worden ingezet als massavernietigingswapens. Dit verdrag is de opvolger van het CoCom-verdrag dat voornamelijk de export van strategische technologieën aan communistische staten aan banden moest leggen. Het Wassenaar Arrangement werd op 19 december 1995 in Wassenaar uitgewerkt en op 12 mei 1996 in Wenen (Oostenrijk) door 33 landen ondertekend.

The Participating States of the Wassenaar Arrangement are:
Argentina, Australia, Austria, Belgium, Bulgaria, Canada, Croatia, Czech Republic, Denmark, Estonia, Finland, France, Germany, Greece, Hungary, Ireland, Italy, Japan, Latvia, Lithuania, Luxembourg, Malta, Mexico, Netherlands, New Zealand, Norway, Poland, Portugal, Republic of Korea, Romania, Russian Federation, Slovakia, Slovenia, South Africa, Spain, Sweden, Switzerland, Turkey, Ukraine, United Kingdom and United States.

Wassenaar Arrangement
Wassenaar Arrangement Wiki

He warned, "As written, Wassenaar controls apply to basic building blocks and artifacts of security research. Without offensive research pointing out new threats, cyberdefense will suffer and forever lag behind."

Weaponizing code: America's quest to control the exploit market

Een Britse student mag zijn scriptie niet publiceren omdat hij daarin exploits uitlegt, wat verboden is door het Wassenaar Arrangement. Dat meldde Ars Technica afgelopen vrijdag. De bachelorscriptie bevat nu enkele zwartgemaakte pagina’s, en details daaruit worden alleen aan bona fide securityonderzoekers beschikbaar gesteld. Wacht even, is het nu ook al verboden om wetenschappelijke publicaties over securitygaten te doen?

Het Akkoord van Wassenaar (niet te verwarren met het Akkoord van Wassenaar) is een verdrag dat exportrestricties stelt op wapens en dual-use technologie. In 2014 werd de scope van dit Akkoord uitgebreid: ook intrusion software is nu een ‘wapen’ en daarmee onderworpen aan exportrestricties.

Het Wassenaar Arrangement versus de security-onderzoeker

[Reactie gewijzigd door SidewalkSuper op 23 juli 2024 03:14]

[younistyler]

... is een verdrag voor de controle van conventionele wapens en goederen en technologieën die kunnen worden ingezet alsmassavernietigingswapenss.

Lees ik dit nou verkeerd of is een iPhone een massavernietigingswapen mocht hij hier onder willen vallen...

[Darkstriker]

Nee. Dual use goods zijn dingen die mogelijk in de constructie van dergelijke wapens kunnen worden gebruikt, maar oorspronkelijk ontworpen zijn voor civiele toepassing of conventionele oorlogsvoering.

[JAVE]

Waarom? Zolang je niets strafbaars doet met die kennis lijkt me er geen probleem te zijn.
Ik weet bijvoorbeeld ook precies hoe ik iemand moet doden. Dat kan ik jou ook uitleggen. Is dat strafbaar? Iemand doden is slechter dan iemand hacken...

Wat mij betreft is jailbreaken sowieso niet strafbaar, maar dat terzijde

[Verwijderd]

Als jij een boek gaat maken EN verkopen met gedetailleerde tips hoe je iemand om moet leggen denk ik dat je toch problemen kunt krijgen.

[Yggdrasil]

Ik vraag me dat af. Er liggen genoeg thrillers op de schappen van boekhandels met gedetailleerde beschrijvingen van moorden.

[Standeman]

Genoeg medische boeken waarin dat prima in beschreven staat. Net zoals de boeken die je nodig hebt voor een studie criminologie, die staan ook bordevol 'tips'.

Dus dat lijkt me geen probleem

[TheStef]

Je mag in de VS nagenoeg alles toetsen aan de grondwet, in Nederland is dit niet gangbaar, daarom zou je zo een boek best mogen verkopen in de VS, Vrije pers en zo.

[Darkstriker]

In Nederland kan je niks toetsen aan de grondwet omdat wij een monarchie hebben. Aan de andere kant kan je alsnog een beroep doen op vrijheid van meningsuiting wanneer jouw iemand aanklaagt om de verkoop van informatie. Ik denk uiteindelijk niet dat je voor de verkoop van informatie over kwetsbaarheden veroordeeld kunt worden. Wel als je bijvoorbeeld een Tool verkoopt die er gebruik van kan maken oid. Aan de andere kan zij overheden klant van dit bedrijf. Oftewel, die jullie hier niemand voor aanklagen. Misschien dat apple zelf het probeert, maar daarvoor moet ze denk ik eerst meer bewijs hebben dan een random nieuwsbericht

[TheStef]

De essentie is dat de VS veel ruimhartiger omspringt met publicaties, die nogal beladen kunnen zijn. Mein Kampf kan bijvoorbeeld gewoon in de VS worden aangeschaft.

[Darkstriker]

En het is eigenlijk schandalig dat wij boeken verbieden omdat wij het er niet mee eens zijn. Censuur is altijd een probleem. Niet pas als we iets verbieden waar de meerderheid het niet mee eens is.

[densoN]

Waar trek je dan de lijn? Er zijn genoeg zaken die het daglicht niet kunnen verdragen.

[Darkstriker]

Volgens jou. Maar dat is nou juist het probleem. Het is een fundamenteel principe op dat we niet moeten afdingen. Wat jij niet aan het daglicht wil zien wil misschien iemand anders juist wel aan het daglicht zien. Men moet dus geheel geen lijn trekken. Er zijn veel dingen die ik misschien niet wil zien, maar het moet niet aan de overheid zijn om voor mij te bepalen wat ik wel en niet mag zien. Ongeacht hoe ongepast de meerderheid van de samenleving dat materiaal ook mag vinden.

[densoN]

Dus kinderporno moet ook maar gewoon kunnen? We willen tenslotte niet dat een ander voor ons de grens bepaald, toch?

Ik vind bescherming tot op zeker niveau geen kwaad goed. Als de overheid echt te ver gaat kies je voor een nieuwe regering of emigreer je. We leven gelukkig nog steeds in een 'democratie'.

[Darkstriker]

Kinderporno is altijd zo een mooi non-argument, waardoor iedereen maar stil moet zijn. Dus ja, in principe moet ook dat kunnen. Wat niet moet kunnen in de productie ervan. Maar omdat wij als land niet in staat zijn om de productie te voorkomen, hebben we maar naar censuur als middel gegrepen. Maar we grijpen het dus bij het verkeerde einde. Onze staat is alleen machteloos ten opzichte van de overtreding. Maar in de basis, brengt het downloaden en bekijken van kinderpornografie niemand schade toe. Het maken ervan wel.

Anders moeten we onze normen en waarden kwa wetgeving ook op andere vlakken op dezelfde manier doortrekken als bij kinderporno. Want er wordt in de wereld veel meer onrecht aan kinderen gedaan in de vorm van kinderarbeid, maar wij verbieden ook niet het kopen en bezitten van kleding of iPhones die met kinderarbeid zijn gemaakt.

[Reactie gewijzigd door Darkstriker op 23 juli 2024 03:14]

[TheStef]

Het valt me nog mee dat je geen terrorisme noemt, dat zijn namelijk de 2 argumenten die altijd worden aangehaald om vrijheidsbeperkende maatregelen er door te drukken.

In het geval van Kinderporno en terrorisme zou je enerzijds kunnen bevechten door achter de makers aan te gaan en anderszijds, kun je dit onder oproep tot geweld eventueel drukken, middels deze publicaties in het geval van kinderporno is het zeer waarschijnlijk dat er een kind geweld is aangedaan.

[TheStef]

Vrijheid van meningsuiting hoort absoluut te zijn, het direct oproepen tot geweld hoort de enige uitzondering te zijn. Wat je onder het tapijt schuift door censuur, kun je niet bevechten.

[a fly]

In het geval van Mein Kampf was het verboden vanwege de auteursrechthebbende: Deze wilde niet dat het boek gedrukt werd. Volgens mij was dat een instituut in Munchen.
Mijn vriendin heeft vorig jaar geholpen met een wetenschappelijke editie van dat boek. Als ik het mij goed herinner om de uitspraken van bronnen te voorzien, en daarbij dus ook erbij te vermelden wat niet klopt e.d.

[Gulli]

Het wel of niet kunnen toetsen aan de grondwet heeft niets te maken met het feit dat we in een monarchie leven. De rechterlijke macht mag geen wetten (let op, alleen wetten in formele zin, lagere regelgeving mag wel) toetsen aan de grondwet, dit mag alleen de wetgevende macht (het parlement).

Vrijheid van meningsuiting is ook niet van toepassing tussen twee private partijen (personen onderling, bedrijven/instellingen vs personen) maar beschermt een burger tegen vervolging of censuur door de overheid.

[Freee!!]

Dit begint off-topic te raken, maar wetten en andere regelgeving mogen wel aan verdragen getoetst worden en een groot deel van de Europese verdragen bevatten bepalingen die gelijk zijn aan of zelfs strenger zijn dan overeenkomstige artikelen in de Nederlandse grondwet. Dit is een wijdopen achterdeur om toetsing aan de grondwet in ieder geval volgnes de letter te omzeilen.

[jjeggink]

Constitutionele monarchie. Grondwet gebonden dus

[Ro-Maniak2]

In Nederland kan je niks toetsen aan de grondwet omdat wij een monarchie hebben.

Sorry maar heeft echt niets met elkaar te maken. Geen toetsing aan de grondwet in NL is, kort gezegd, omdat dat in de grondwet staat. Keuze vanwege "het primaat aan de politiek, niet de rechter". Als je art. 120 Gw wijzigt, kan het wel, klaar.

[jeanj]

Dus een willekeurige roman waar iemand in details beschrijf hoe de perfecte moord wordt gepleegd, is iets waar je problemen mee krijgt?

[Verwijderd]

Wel als je als titel: "How to kill someone and get away with it for dummies" meegeeft

Context is everything.

[Crazy Harry]

Er is een tv-serie die heet 'How to Get Away with Murder'. Ik weet niet of er een beschrijving in voorkomt van een moord, maar de titel verwijst in ieder geval naar zoiets dergelijks.
Dus ik denk dat zelfs dat niet strafbaar is.

[Verwijderd]

Wat ik ermee wil aangeven is dat er verschil zit tussen fictie en nonfictie dan wel instructies geven.

How to get away with murder is gewoon een drama serie, die echt niet uitlegt hoe je een perfecte moord pleegt. De serie geeft eerder aan dat men je toch altijd wel te pakken krijgt. Heb zelf het eerste seizoen gezien

[Justin_]

Als ik je zeg dat ik iemand wil gaan doden (is niet zo) en jij vertelt mij hoe het moet ben je zeker wel strafbaar en medeplichtig als ik vervolgens iemand omleg,

[Reactie gewijzigd door Justin_ op 23 juli 2024 03:14]

[Babrak]

Ik weet bijvoorbeeld ook precies hoe ik iemand moet doden. Dat kan ik jou ook uitleggen. Is dat strafbaar? Iemand doden is slechter dan iemand hacken...

Ik weet bijvoorbeeld waar de zwakheden in onze kernenergie centrales zijn. Dat kan ik aan een paar terroristische groeperingen verkopen (misschien vertrel ik achteraf, over en paar maanden/jaren onze overheid ook wel over, zoals Zerodium dat misschien ook aan Apple door zal spelen). Ik ben volgens jou redenering niet strafbaar bezig. Gelukkig heb jij het fout.

[Pietervs]

Dus iemand die aan mij een mes verkoopt, waar ik iemand mee omleg, is strafbaar? Zal toch aan het type mes liggen en de vraag of de verkoper weet (of kan weten) wat ik met dat mes ga doen: als hij weet dat ik plannen heb om iemand te vermoorden, zal hij inderdaad strafbaar zijn. Als hij mij een mes verkoopt met het idee dat ik dat ga gebruiken om appeltjes mee te schillen, zal hij vrijgesproken worden.
Hetzelfde geldt ook hier: als het beveiligingsbedrijf de informatie aan hun klanten verkoopt met het idee dat zij het zullen gebruiken om hun spullen te beveiligen, en vervolgens blijkt dat hun klanten de informatie misbruiken om rottigheid uit te halen is het beveiligingsbedrijf op zich niet aansprakelijk...

[mangahuisman]

Blijkbaar mag aan de overheid verkopen wel

[laptopleon]

Het jailbreaken op zich interesseert niemand, het gaat er om, andermans gegevens te stelen, mensen te volgen, af te luisteren en dergelijke via hun telefoon.

Je vergelijkt het met uitleg, maar dit is geen uitleg maar – mag je aannemen, het artikel is erg vaag op meerdere punten… – software. Eerder een gereedschap dan kennis. In principe ben je als leverancier van een stuk gereedschap niet verantwoordelijk voor wat de koper er mee gaat doen. Dat gezegd hebbende: Dat de verkopers redelijkerwijs konden weten dat de plannen van de koper (c.q. haar klanten) met deze zeer specifieke software illegaal zijn, maakt het alweer een heel ander verhaal. Dat strafbare deel moet daarvoor wel eerst bewezen worden.

[Verwijderd]

Lijkt me juridisch lastig. Je mag bijvoorbeeld ook lockpick setjes verkopen.

[jeanj]

Kennis kan nooit strafbaar zijn, alleen degene die de kennis misbruikt. (Ook iemand die kennis deelt kan strabaar zijn)

[OttoNL]

Ze zullen wel zeggen dat het gaat om hackpreventie gaat voor defensie o.i.d. Als je een keer het woord terrorist noemt kijkt niemand er meer van op.

[kritischelezer]

Het is andersom denk ik. Het beveiligen tegen een kwetsbaarheid levert geld op.

[Zoijar]

maar dat het die informatie eerst verstrekt aan eigen klanten. Wie die klanten zijn, is onbekend, maar klanten hebben als werkterrein defensie, technologie en financiën, zegt het beveiligingsbedrijf.
...
Omdat de lekken zitten in de nieuwste versies van iOS, is die informatie nu waardevol voor bedrijven en overheden die zich op afstand toegang willen verschaffen tot iPhones.

En dit is geen faciliteren van strafbare feiten (hacken etc)? Het hebben over torrent magnet locaties of omzeilen van kopieerbeveiigingen gaat snel onder het kopje faciliteren en hele sites worden naar beneden gehaald en internationale verdragen opgesteld om het tegen te gaan, maar zoiets als op afstand iphones hacken is prima -- wat kan je anders met deze informatie? Erg opmerkelijk.

[Zarhrezz]

Tja, ik ben niet zo van de alu-hoedjes, maar dit soort berichten heeft toch een hoog hoedje-vouwen gehalte. Verkopen van root-kits e.d. is strafbaar...zolang het niet aan overheden en opsporingsdiensten is (zie onze Italiaanse vrienden). Dit is ongeveer hetzelfde, alleen wordt het vinden van de zero-days en maken van de root-kit ge-outsoursed (da's vast goed Nederlands).

Ik zou het leuk vinden als Apple 'under cover' de exploit van het winnende team of dit 'bedrijf' zou kopen en silent zou fixen. Dan als genoeg partijen de informatie gekocht hebben de fix uitrollen en wachten tot iedereen z'n geld terug gaat halen (hoewel ik vrees dat dat niet kan wegens kleine lettertjes bij dit soort transacties).

[Mijzelf]

Verkopen van root-kits e.d. is strafbaar...

Oh ja? Op grond waarvan? En wat is een rootkit dan precies? Met die juiste definities zijn een Linux Live USBstick of een VM ook een rootkit.

Het lijkt me dat het installeren van een rootkit op een computer zonder toestemming van de eigenaar verboden is, en ook het faciliteren daarvan. Maar verder?

[Zarhrezz]

Ik ben geen specialist, maar als ik dit zo lees is het faciliteren van computervredebreuk (= verkopen van software die erop gericht is dit te doen) strafbaar in Nederland.

Voor computervredebreuk worden meestal speciale "hack"-programma's gebruikt. Het maken, vervaardigen, verkopen, verwerven, invoeren, verspreiden of anderszins ter beschikking stellen of voorhanden hebben van dergelijke software is op zich ook een strafbaar feit (art. 139d lid 2 onder a Strafrecht). De wet hanteert daarbij als criterium dat de software "hoofdzakelijk geschikt gemaakt of ontworpen is tot het plegen" van computervredebreuk. Netcat of een hex editor zou je kunnen gebruiken om in te breken maar daar zijn ze niet speciaal voor gemaakt, dus die vallen er niet onder. Een trojan die een rootkit installeert valt er wel onder, want een rootkit heeft hoofdzakelijk maar één doel en dat is inbreken.

[mangahuisman]

Niet als je aan de overheid verkoopt blijkbaar

[janbaarda]

De hackers incaseren hun geld en kijken rond of er nog meer te halen valt. Wellicht kunnen ze dezelfde informatie nogmaals verkopen. Informatie vredwijnt niet door verkoop. Wij weten nu dankzij Tweakers dat een mobiel met iOS niet meer veilig is. 100% zeker!

[himlims_]

snap ik het nu goed? een bedrijf, anders dan apple, looft een geld potje uit aan hackers/crackers die een webbased exploid maken.

die exploid -niet- met de ontwikkelaar bespreken, maar weer door verkoopt aan 3th party (overheid, malefide bedrijven etc. maar net wie aanzienlijk meer geld biedt dan de uitgeloofde prijs)...

dat het kan/mag .... belachelijk!

[Verwijderd]

Moet je maar je source open zetten. Als jij security door obscurity wil gaan doen moet je niet zeuren dat mensen lekken vinden en dit niet delen. Wees blij dat ze überhaupt zeggen dat er een lek in zit en later alsnog willen geven aan Apple. Ze konden het ook stilhouden en doorverkopen aan een of andere groep uit Rusland of China.

[Niemand_Anders]

Maar goed dat er in Android totaal geen exploits zitten dan he. Closed source en open source zegt helemaal niets over exploits. PHP kent bijvoorbeeld ook voldoende gaten, maar een closed source platform zoals Magento kent ook exploits..

Closed source houd een echte hacker niet tegen, maar wel de script kiddies welke vooral analytische tools gebruiken om incorrecte code te detecteren (zoals mogelijk buffer overruns). Je kunt security door obscurity ook zien als een extra security laag. Zolang het niet je laatste verdediging is, is daar niets mis mee..

[Verwijderd]

Ik bedoel helemaal niet dat open source veiliger is. Ik kan daar makkelijker de code analyseren en ook gebruiken afhankelijk van de licentie. Ik krijg er kennis voor terug.

Bij een closed source heb je dat niet. Waarschijnlijk betaalt Apple wel(geen idee) maar de buren kunnen beter betalen. Dan doe je het dus voor geld.

[Yggdrasil]

Ook in Open Source software vindt men lekken en ook daar worden die geheim gehouden door dubieuze partijen. Open Source is geen garantie voor veiligheid. De potentiële "vele ogen" bestaan in werkelijkheid niet altijd. Vooral in specialistische componenten. Zie o.a. het OpenSSL debacle van afgelopen jaar. Het feit dat OpenSSL Open Source is zorgde er voor dat deze gaten aan het licht kwamen, maar voorkwam niet dat ze jarenlang bestonden.

[Verwijderd]

Alles is te kraken... echt alles.
Zelfs Fort Knox is binnen dring baar en zelfs het Witte Huis tot Obama aan toe is binnen dring baar.

[laptopleon]

Dat ze dit bekendmaken is prachtige, gratis reclame voor hun bedrijf, ordinair eigenbelang. Ze maken het heus niet bekend omdat ze het zo goed voor hebben met de mensheid. Het gaat gewoon om grof geld verdienen aan criminaliteit.

[Jeanpaul145]

Zo belachelijk is het niet. Het is namelijk een van de weinige manieren waarop je een onwillend bedrijf tot actie zou kunnen dwingen. Nu neemt Apple toevallig veiligheid wel serieus maar anders was 3rd party action de enige optie.

Daarnaast is er ook nog zoiets als een 'vrije' markt enzo

[Reactie gewijzigd door Jeanpaul145 op 23 juli 2024 03:14]

[Verwijderd]

En waar haalt iemand het gore lef vandaan om eigen rechter te gaan spelen en bedrijven te dwingen hun bedrijfsvoering aan te passen? Het feit dat je een lek hebt gevonden maakt je nog altijd geen God. Dit is gewoon afpersing. Als zo'n bedrijf niet betaalt zullen ze het waarschijnlijk gewoon gaan publiceren.

[z1rconium]

Nee ze verkopen het aan de hoogste bieder. Zerodium is gewoon een venture-capital backed startup die geld moet verdienen. Apple komt er (in eerste instantie) helemaal niet achter wat de exploit is.

[Hetisweergezell]

tenzij Apple natuurlijk ook mee biedt maar dan onder een andere naam...

[Verwijderd]

Ik vermoed juist dat Zerodium aan vaste klanten verkoopt om zichzelf in te dekken.

[Verwijderd]

Met die restrictie dat er daarbij wel wordt gehandeld binnen de wetten van de V.S., zoals je kunt lezen in de FAQ op hun site: https://www.zerodium.com/faq.html

[laptopleon]

Tja, dat moeten ze er wel bij zetten, voor de vorm, maar hoe kan de VS ooit weten of ze zich aan die regels houden?

[Maurits van Baerle]

Het is een bijzaak maar ik vermoed dat ze niet aan één hoogste bieder verkopen. Als ze het voor een half miljoen per stuk aan minstens drie klanten verkopen hebben ze al winst.

Een klant die er een half miljoen voor heeft betaald houdt de inhoud natuurlijk zelf ook geheim (ze hebben niet voor niets betaald) dus je kunt dit best lang uitmelken.

Apple ligt al een tijd overhoop met de FBI omdat ze geen toegang kunnen verlenen tot de data van gebruikers. Alleen de gebruiker heeft de sleutel van de encryptie. De FBI zou dus best wel eens klant willen worden. Grote kans dat die er geen zin in hebben om het door te spelen naar de NSA (gewoon niet vertellen dat je het gekocht hebt) zodat de NSA ook in de buidel mag tasten.

[Reactie gewijzigd door Maurits van Baerle op 23 juli 2024 03:14]

[Jeanpaul145]

Het is absoluut geen afpersing. Of zijn ze op Apple afgestapt met een dreigement in de zin van "betaal ons voor onze exploit, want anders..."?
Even wat feiten op een rij:
1. Clean room reverse engineering (noodzakelijk om exploits te vinden in binary-only software) is volledig legaal.
2. Er is geen enkele wet die zegt dat je vervolgens geen geld mag verdienen met wat je dan ontdekt, zaken als IP en copyright daargelaten.
3. Met mijn "vrije markt" opmerking bedoelde ik dat als je exploit vindt en Apple heeft er geen zin in om voor te betalen, je juridisch in je recht staat om dat dan aan anderen aan te bieden.

Ofwel, hoewel moraliteit een 2e issue is, zijn ze volgens de wet(!) gewoon 100% legaal bezig.

[laptopleon]

Het lijkt er anders sterk op dat dit in Nederland verboden is, zie hierboven de reactie met quote over computervredebreuk.

[maniak]

Hoe had jij het dan willen aanvliegen? Niets doen en dan afwachten totdat de eerste website in de lucht was om jailbreaks uit te voeren tegen betaling?

[FreezeXJ]

Apple kan nu geen actie ondernemen, want het enige dat ze weten is dat er een gaatje in zit, niet waar dat gaatje zit. Alleen hun klanten kunnen nu gaan vrezen voor hun integriteit, want dat gaatje wordt nu doorverkocht aan nare spionerende instanties (defensie bijvoorbeeld, of misschien je concurrent, of een lelijke startup die probeert zoveel mogelijk appels te hacken en de info daarvan te verkopen).

Niet lekker, en ik zou zeggen dat het heling is, maar van de andere kant: Apple geeft geen source vrij, en het is niet per se dat ze een (legale) bepaling van de EULA hebben overtreden... (meestal staat daar iets in over reverse-engineering, of hack-pogingen). We'll see, ik heb weinig medelijden met Apple, maar vind dit een rotstreek richting hun klanten.

[Crazy Harry]

Zolang de klant zijn telefoon niet besluit te jailbreaken is deze eigenlijk veilig. Want de exploit werkt door te jailbreaken.
Alleen als degene die de exploit gebruikt, de telefoon na het implementeren van de exploit verder in exact dezelfde toestand terug weet te brengen, heeft het een kans van slagen.

[laptopleon]

Hoeft niet, de aanvaller kan ook gewoon uit zijn op het adressenboekje, foto's en andere bestanden. Dat het slachtoffer daarna merkt dat het gebeurd is, maakt de aanvaller vaak niet uit.

[maniak]

Je moet eerst een mobiel in bezig hebben om een EULA te kunnen overtreden.. Het kan wel zijn dat er een wet is overtreden maar ben geen jurist.

[Annihlator]

Een EULA (zeker in de vorm die Apple toepast) is per-definitie al nietig in ons land, dus overtreden kan ook niet...

[Reactie gewijzigd door Annihlator op 23 juli 2024 03:14]

[Maurits van Baerle]

Apple geeft geen source vrij

Dat weet je nu nog niet. Een deel van iOS is Open Source (inclusief de hele kernel) en het lijkt me nog niet bekend of het lek in een Closed Source of Open Source gedeelte zit.

[Reactie gewijzigd door Maurits van Baerle op 23 juli 2024 03:14]

[Lexis]

Het zal om een reeks gaatjes gaan die samen de jailbreak mogelijk maken.
Het feit dat dit in het nieuws komt geeft Apple in ieder geval een (extra) aanleiding om nog eens extra fouten op te sporen. Dat is dan nog enigszins positief.

[bonus]

Eigenlijk gewoon middelen zoek om te hacken want wat hun en de eventueel kopende partij ermee doen is niet te controleren. Een kwalijke zaal lijkt me. Een hack laten maken onder het mom van een wedstrijd ??!!

Een beetje van laat mij zien hoe ik ongezien de bank binnen kom en er weer uit met een hoop geld, dan "vertel" ik de bank wel dat er iets niet goed zit met hun beveiliging (als het mij uitkomt) of verkoop deze informatie aan geintresseerden... Hmmmmm

[MenN]

Belachelijk, misschien. Maar dit is big business, er is een hele grote markt voor het kopen/verkopen van zero day's voor allerhande software. De grootste spelers hierin zijn overheden die grof geld neerleggen om hun geheime diensten te voorzien van digitale achterdeurtjes voor spionage ect.

Het is dat dit nu zo publiek speelt bij iOS, maar je kan er vanuit gaan dat voor elk stukje software op je pc er tal van bugs/exploits in de verkoop zijn voor bedrijven en overheden.

In deze business wordt heel heel veel geld verdient!

leuk leesvoer over dit onderwerp:
Countdown to Zero Day

[Reactie gewijzigd door MenN op 23 juli 2024 03:14]

[Verwijderd]

Dit is toch hetzelfde als die commerciele partij waar de overheden al hun hacks kunnen kopen? Kan even niet op de naam komen. Ze stonden laatst nog in het nieuwsoverzicht met hun nieuwe marketing praatjes.

[Thirler]

Je bedoelt Hacking Team

[Verwijderd]

Klopt. Zijn nog wel meer bedrijven die daarmee geld verdienen. Patrick Wardle heeft er ook een handje van, verschaft tooltjes(?) op zijn persoonlijke site Objective-See maar verdient zijn geld ondertussen bij Synack.

http://uk.businessinsider...are-2015-4?op=1?r=US&IR=T
https://objective-see.com/index.html
https://www.synack.com

[418O2]

Apple mag de details voorlopig niet weten, omdat het beveiligingsbedrijf dat de premie uitloofde de info verkoopt.

zo gauw er een implementatie live staat, kan Apple volgens mij prima achterhalen hoe het werkt en het patchen.

[lepel]

Maar dat is het probleem, dit word geen publieke jailbreak tool die iedereen kan gebruiken om Cydia op zijn of haar iPhone te krijgen. Dit is een bedrijf zoals het Hacking Team dat deze exploits verkoopt aan regeringen, bedrijven, etc.

De consument heeft hier helemaal niks aan.

[Eddy_BE]

Als ze het verkopen aan een regering, veronderstel ik dat het voor spionage doeleinden zal zijn? Poetin kan dus een leuk bodje doen. Maar wat doen bedrijven hiermee? Lijkt me dat het niet voor legale doeleinden zal zijn. Dit kopen om hun werknemers te beschermen tegen deze hack lijkt me vergezocht.

[Verwijderd]

Houden zich wel aan bepaalde regels die in de V.S. gelden ten aanzien van dit soort verkopen. Kun je vinden in de faq: https://www.zerodium.com/faq.html

[Liberteh]

Ik las net dat dit bedrijf alleen met NATO aangesloten overheden samenwerkt. Denk je dat de westerse regeringen lieverdjes zijn? Kom eens onder je steen vandaan.

[Verwijderd]

Jawel, die is nu op de hoogte dat de laatste iOS versie weer een lek heeft via de browser. Dit is eerder een uitzondering dan de regel namelijk. Wanneer je een jailbreak op deze manier kunt installeren, kun je technisch gezien ook malware etc installeren.

[lepel]

Dat wel, maar tegelijkertijd weet je dat er dus een exploit (waarschijnlijk) in het wild wordt misbruikt, terwijl Apple voorlopig nog in het donker tast. Bij de jailbreak tools is het eenvoudig te achterhalen welke exploits gebruikt worden en kan Apple het dus patchen.

Apple gaat nu natuurlijk snel wat mensen hier op zetten, maar als het toch een slinkse exploit is dan zou het even kunnen duren voor ze het vinden, zeker als je kijkt naar de prijzenpot. En in de tussentijd ben je wel kwetsbaar

[swhnld]

Het is onbekend of de jailbreak werkt via Safari of Chrome.

Waarom maakt dat uit? Elke browser op iOS is onderhuids toch Safari? Het enige wat Chrome en Firefox e.d. toe kunnen voegen is een andere grafische interface, en functies zoals favorieten syncen e.d.?

[DLeijen]

Dat is een aantal versies van iOS (uit m'n hoofd met iOS7) al aangepast.

[Tjolk]

Klopt niet helemaal.
In iOS 7 was het juist zo dat alle apps met een ingebouwde webview (browsers, maar bijvoorbeeld ook Facebook) tegen het probleem aanliepen dat ze niet volledig van de NitroJS (Javascript) engine gebruik konden maken. Chrome maakt daarom gebruik van UIWebView:
Zie https://developer.chrome.com/multidevice/ios/overview

[PhilipsFan]

Dit is rampzalig voor je privacy. In theorie kan een veiligheidsdient (of eigenlijk, iedereen met wat geld en middelen) dus nu een DNS-server vernaggelen (omdat men nog nauwelijks DNSSEC gebruikt) en alle IOS-gebruikers die tweakers.net intypen omleiden naar een server waar de jailbreak wordt uitgevoerd om de gebruiker vervolgens te redirecten naar tweakers.net. Dus dan is de gebruiker gejailbreakt zonder dat hij dat merkt en heeft de veiligheidsdienst meer toegang tot je telefoon dan jijzelf.

Hoe zou je je hiertegen kunnen wapenen?

[R4gnax]

Hoe zou je je hiertegen kunnen wapenen?

Geen met het web verbonden diensten consumeren op je iOS device.
Dat is zo ongeveer het enige.

[beantherio]

Er hangt op z'n minst een heel onethisch luchtje aan. Er zijn allerlei "real world" equivalenten te bedenken die nooit getolereerd zouden worden. Overheden zouden zich geroepen moeten voelen om met wetgeving te komen die dit verbieden. Als je cybersecurity hoog op de agenda hebt staan dan moet je niet bedrijven in de luwte willen houden die die veiligheid om commerciële redenen bedreigen.

[R4gnax]

Overheden zouden zich geroepen moeten voelen om met wetgeving te komen die dit verbieden.

In Nederland is dit al verboden.
Het verkopen van software of concrete receptuur wat als hoofddoel het compromitteren van en binnen breken in andermans computer systeem heeft, valt onder het faciliteren van computervredebreuk. En dat is bij wet verboden, zoals hierboven al vermeld staat.

[WokeBroke]

Omdat de lekken zitten in de nieuwste versies van iOS, is die informatie nu waardevol voor bedrijven en overheden die zich op afstand toegang willen verschaffen tot iPhones.
Dan vraag ik mij toch af, is deze 'lek' niet voor overheden die zich op afstand toegang willen verschaffen tot iPhones.