Gerucht: hackers hielpen FBI met zero-day-lek om iPhone te kraken

De FBI heeft naar verluidt niet de hulp van een Israëlisch bedrijf gekregen om de iPhone van de man die in San Bernardino een aanslag pleegde, te unlocken, maar van zogenoemde 'gray hat'-hackers. Die zouden tegen een eenmalige betaling een zero-day-lek hebben verstrekt.

Het zou gaan om 'minstens één zero-day-lek', schrijft The Washington Post op basis van bronnen die bekend zijn met het onderzoek. De kwetsbaarheden stelden de FBI in staat software te schrijven om de beveiliging te omzeilen. Eind maart schreef een Israëlische krant dat beveiligingsbedrijf Cellebrite de methode aanleverde, maar volgens The Washington Post klopt dit dus niet.

Er zijn wereldwijd een aantal bedrijven die handelen in zero-day-exploits. Een bekend bedrijf is bijvoorbeeld het Franse Vupen. Met de handel in nog niet gedichte kwetsbaarheden valt veel geld te verdienen. Andere namen zijn Netragard, ReVuln, Auriemma en EndGame. Vermoed wordt dat ook staten regelmatig bij hen aankloppen om kwetsbaarheden in te zetten bij het bouwen van spionagetools.

Vorige week liet een topman van de FBI nog weten dat de dienst twijfelt of de kwetsbaarheid vrijgegeven moet worden aan Apple, zodat het bedrijf deze kan dichten. De methode zou niet bij iPhone-modellen nieuwer dan de 5C werken.

Reacties (88)

Grappig toen ik dit dan las: http://www.nu.nl/mobiel/4...dan-70-telefoons-fbi.html

Het ging dus uiteindelijk helemaal nergens over en Apple's marketingstunt is nu veranderd in een PR nachtmerrie.

Mja, dit klinkt genuanceerder (geen idee of het juist is, kan ik heel moeilijk inschatten maar is wel geloofwaardig): http://techcrunch.com/201...ones-for-law-enforcement/

Wat ik me wel afvraag:
- Apple heeft toch genoeg geld om (anoniem) in opdracht iemand bij die bedrijven ook de lekken te laten kopen en de gaten dicht te rijden.
- Boeiend dat het verkopen van beveiligingslekken gewoon legaal lijkt te kunnen...

Of dat legaal is zal nog moeten blijken. Probleem is: in deze case zal dat niet door de rechter getoetst gaan worden, omdat de verdachte al dood is.

Zie de aankoop van die gelekte bankgegevens door belastingdiensten. Daar is ook nog wel het e.e.a. om te doen geweest (en volgens mij loopt er nog altijd een zaak over). Dat een overheid iets doet, wil niet zeggen dat het legaal is.

De verdachte mag dan dood zijn. Dat betekent niet dat de nabestaanden geen recht meer hebben op bv de telefoon. En geloof hier in nederland en vermoed ook in de vs. Dat je bv de fbi gewoon voor de rechter kan slepen als blijkt dat het niet volgens de regels gaat

In dit specifieke geval was de telefoon geen eigendom van de verdachte, maar van zijn werkgever. Deze heeft de FBI toestemming gegeven om er mee te doen en laten wat ze weillen.

Oke. ja dan zullen er weinig mensen mee zitten. hooguit de andere terroristen die ze hier misschien mee kunnen pakken. maar die kans acht ik klein.

Natuurlijk kan Apple dat, maar zulke bedrijven verkopen eerder aan overheidsdiensten en je voordoen als politie/FBI is weer illegaal.

Wauw. Wat een sensatie bericht weer.

Het verschil zit em er echter in dat er toen een aantal toestellen met gerechterlijk bevel gekraakt zijn door Apple zelf. 1-op-1. Wat de FBI wilde was een sleutel om alle iPhone 5C's te kunnen openen en het liefst alle iPhone weredwijd verkocht. Daar zit een groot verschil in.

Wat de FBI wilde was een sleutel om alle iPhone 5C's te kunnen openen en het liefst alle iPhone weredwijd verkocht. Daar zit een groot verschil in

Alleen is wat je zegt gewoon niet waar.
De FBI vroeg aan Apple assistentie bij het kraken van de telefoon en dat had van alles mogen zijn. Concreet heeft een rechter in een bevel nog aangegeven dat het voldoende zou zijn als Apple een IOS versie zou verstrekken die niet na tien inlogpogingen de telefoon zou blokkeren. Apple is tegen dat bevel in beroep gegaan.
Maar de FBI had ook wel geaccepteerd als de Apple zelf te telefoon geunlocked had in Cupertino en de data aan de FBI verstrekt had.
Apple heeft namelijk al jaren een programma voor opsporingsdiensten waaronder de FBI die iphones met een usb opslag gewoon naar Cupertino kunnen opsturen waarbij Apple de telefoons unlocked en de data op de USB opslag zet en weer terugstuurt.

Apple beweerde nu echter dat ze zelf de data op de telefoon niet konden unlocken en dat ze niet een iOS versie aan de FBI wilden geven waarmee het unlocken wel mogelijk was omdat de FBI daarme elke iphone had kunnen unlocken.
Evident is echter dat Apple wel zelf intern zo'n iOS versie had kunnen maken en dus ook intern wel de telefoon had kunnen unlocken zoals ze dat al jaren doen met iphones voor alle opsporingsdiensten.

[Reactie gewijzigd door TWyk op 13 april 2016 09:58]

Apple HAD zulke software, nu Apple begonnen is om de encryptiesleutels beveiligt op de telefoon op te slaan kan Apple bijna niets meer doen.
Apple weigert echter een iOS versie te maken die alle beveiliging te niet doet, de FBI wilde namelijk zulke iOS software bij hen op kantoor hebben.
Dat gaat veel te ver en zorgt voor een gigantische juryprudentie waardoor alle telefoons van Apple op deze gehele planeet kraakbaar zouden zijn omdat andere overheden dit ook zouden krijgen.
Apple heeft namelijk volledige medewerking verleent, maar ergens moet je wel een grens trekken.

Apple weigert echter een iOS versie te maken die alle beveiliging te niet doet, de FBI wilde namelijk zulke iOS software bij hen op kantoor hebben.

Dat zou de FBI best willen maar was niet de originele vraag van de FBI.
Die vroegen om de data op de telefoon te unlocken en dat had Apple dus ook kunnen doen intern in Cupertino zoals ze al jaren doen voor de FBI.

Juist en wat doet de FBI met zulke software? Andere telefoons unlocken.
Je moet zulke software niet eens willen maken en dat wilden de dev's van Apple ook niet.. er is zelfs met ontslag gedreigd.
Probeer zonder personeel met kennis van je encryptie maar een telefoon te unlocken.

Juist en wat doet de FBI met zulke software? Andere telefoons unlocken.

Apple kon de telefoons ook prima unlocken zonder de FBI die software te geven.
Verder is het prima als de FBI ook andere telefoons van criminelen wil (laten) unlocken als ze er maar en gerechtelijk bevel voor hebben.

Juist en jij weet dondersgoed dat de FBI vaak gelijk en hun zin krijgen bij de rechters?
Daarbij komt dat andere landen dan ook toegang tot die software gaan eisen zoals Nederland, Frankrijk, Korea, China etc.
Dat is levensgevaarlijk.

Juist en jij weet dondersgoed dat de FBI vaak gelijk en hun zin krijgen bij de rechters?

De FBI is gewoon een federale politiedienst en heeft volgens mij geen bevoorrechte positie bij rechtbanken.
Verder zie ik ook niet waarom smartphones een andere positie zouden moeten hebben dan elke ander vorm van persoonlijk communicatiemiddel of dat nou personal computers of brieven of dagboeken zijn die ook met een gerechtelijk bevel doorzocht mogen worden als dat voor de opsporing relevant is.

Wanneer is een opsporing relevant?
Welke ONAFHANKELIJKE instantie die de FBI kan beboeten met boetes van minstens 100 miljard dollar houd dat in de gaten?
Wist jij bijvoorbeeld dat Nederland riant veel aftapt en dat vaak zelfs zonder toestemming van de rechters?
Wist jij dat agenten in Nederland geen bewijzen nodig hebben im jouw te laten beboeten?

Wanneer is een opsporing relevant?

Als er zake is van een misdrijf

Welke ONAFHANKELIJKE instantie die de FBI kan beboeten met boetes van minstens 100 miljard dollar houd dat in de gaten?

De FBI valt onder de controle het ministerie van homeland security en als zodanig ook onder de controle van het amerikaanse parlement, de senaat en het huis va afgevaardigden.
Deze partijnen gaan ook over alle budgetten van de FBI.

Je doet heel hysterisch alsof de FBI een losgeslagen organisatie zou zijn die willekeurig maar de privacy schendt van mensen maar het is voornamelijk gewoon een federale politie organisatie die misdrijven opspoort of probeert te voorkomen. Ongetwijfeld maakt de FBI ook fouten en gaan er wel eens dingen mis maar over het algemeen die ik geen enkel probleem met het feit dat de FBI misdrijven onderzoekt en daarvoor veelvuldig ook gerechtelijke bevelen aanvraagt om doorzoekingen te doen van de bezittingen/communicatiemiddelen/huizen van verdachten.

Wist jij bijvoorbeeld dat Nederland riant veel aftapt en dat vaak zelfs zonder toestemming van de rechters?

Er zijn door onze volksvertegenwoordigers democratsich opgestelde regels voor taps en ik heb geen informatie dat de politie die regels stelselmatig zou schenden. Je kunt beargumenteren dat die regels te soepel zijn maar stem dan op een partij die die regels wil aanscherpen.
De enige partijen die echt in het nieuws komen omdat zij problemen hebben met de taps zijn advocaten omdat veelvuldig hun telefoontjes met criminelen (die worden getapt) worden opgenomen.

Tasjesroof is ook een misdrijf, schelden in feite ook.
Daarnaast geef jij al aan dat NIEMAND de FBI controleert die onafhankelijk is.
Hierdoor moet je waakzaam zijn met wat de FBI denkt te willen doen.

Tasjesroof is ook een misdrijf, schelden in feite ook.

Ook daarvoor zal opsporing plaatsvinden. Niet door de FBI want dat zijn geen federale misdrijven maar wel door de lokale politie.

Verder is een gekozen parlement wel degelijk onafhankelijk.

Overigens wordt de FBI ook gecontroleerd door niet officiele instanties zoals de pers of belangenvertegenwoordigers van mensenrechtenorganisaties. En dat gaat veel verder dan in Europa of de rest van de wereld omdat in de VS veel meer informatie van de overheid openbaar gemaakt moet worden.

[Reactie gewijzigd door TWyk op 13 april 2016 13:25]

Weet jij wel hoe het systeem in de VS werkt?
Daar is niets onafhankelijks aan... hoezo denk jij anders dan dat de belasting daar zo is ingesteld dat hoe rijker je bent, hoe LAGER de belasting is?
Om welke reden denk jij dat iedere vorm van strengere controle op het verkoop van wapens afgeschoten wordt in de VS?
Wist jij dat je opleiding, je afkomst en je huidskleur bepalen of jij serieus wordt genomen door instanties als de FBI?

Ik hoef geen waardeoordeel te vellen over het systeem in de VS.
Dat mogen de burgers daar zelf doen.

m.a.w. de FBI wordt NIET gecontroleerd, dus kan je de FBI NIET vertrouwen.

m.a.w. de FBI wordt NIET gecontroleerd, dus kan je de FBI NIET vertrouwen.

Ik heb net duidelijk uitgelegd dat de FBI wel degelijk wordt gecontroleerd maar je wilt dat niet accepteren.

[Reactie gewijzigd door TWyk op 13 april 2016 16:46]

Ow.. dus door parlementsleden die worden betaald door de voedselindustrie die ervoor zorgen dat je chloorkippen eet in de VS, brandwerend vloeistof in je mountain dew krijgt in de VS, dat iedere malloot een machine geweer kan kopen in de VS.. door die mensen?
Dus door de bedrijven zelf bedoel je?

Amerika kent gewoon een progressief belasting stelsel hoor, net als in Nederland....

http://www.dagelijksestan...aanse-miljonairs-nu-echt/

[Reactie gewijzigd door Anoniem: 304028 op 13 april 2016 22:56]

offtopic: https://nl.wikipedia.org/wiki/Jurisprudentie

ontopic:
Wat TWyk bedoelt is dat Apple die software uiteraard NIET aan de FBI hoefde over te dragen , slechts de data die op die iPhone stond.

Waar het naar mijn bescheiden mening om gaat, is dat Apple encryptie op de iPhone heeft geïntroduceerd en net zoals zoveel bedrijven doen er een verhaal bij vertelt dat Apple dus onmogelijk toegang heeft tot iemand's iPhone. Zouden ze nu voor de FBI een unlocktool gebouwd hebben en de data aan de FBI overgeleverd hebben, dan zou dat statement dus teniet worden gedaan en zouden ze gezichtsverlies lijden.

Achteraf gezien is het makkelijk praten, maar hadden ze beter stilletjes die iPhone kunnen unlocken en de FBI die data geven voordat de FBI hiermee naar de rechter ging en het een publiek verhaal werd. Maar goed, op een gegeven moment konden ze niet meer terug.

Nu heeft Apple een andere taak: namelijk dat lek zien te dichten.
Als ik Apple was zou ik ook gewoon die hacks kopen van die bedrijven. Als die het werk voor je doen dan kun je die lui daar toch gewoon voor betalen? Van de andere kant wil je ook geen precedent scheppen, als je één keer betaalt dan denken ze allemaal "hier kunnen we vet geld aan verdienen" en worden er steeds meer hacks gevonden. En als je niet betaalt dan zetten ze de hacks online...

[Reactie gewijzigd door FlowDesign op 13 april 2016 11:23]

Zulke mensen/bedrijven verkopen vaak enkel aan overheden hun gevonden exploits.
Daarnaast werkt deze zere day niet op de nieuwere toestellen.

Zulke mensen/bedrijven verkopen vaak enkel aan overheden hun gevonden exploits.

Dat zeg jij, maar ik heb geen idee of dat echt zo is.
Als het ze om het geld gaat dan verkopen ze het gewoon aan een ieder die er genoeg voor betaalt lijkt me.

Daarnaast werkt deze zero day niet op de nieuwere toestellen.

Details. Er zijn vast wel weer nieuwere hacks gevonden die wij nog niet kennen.

Apple beweerde nu echter dat ze zelf de data op de telefoon niet konden unlocken en dat ze niet een iOS versie aan de FBI wilden geven waarmee het unlocken wel mogelijk was omdat de FBI daarme elke iphone had kunnen unlocken.

Als ik me het goed herinner had de FBI de iPhone willen unlocken door een password reset oid, maar dat werkte niet, waardoor ze niet meer er in konden. Dus de FBI had het voor zichzelf verpest.

Evident is echter dat Apple wel zelf intern zo'n iOS versie had kunnen maken en dus ook intern wel de telefoon had kunnen unlocken zoals ze dat al jaren doen met iphones voor alle opsporingsdiensten.

Dat is ook zo, en Apple heeft dat nooit ontkend. Maar in-house willen ze er ook niet aan, omdat je daarmee een doos van Pandora creeert. Zo'n versie zal nl goud geld waard zijn ivm die honderden miljoenen iDevices op de markt en geheid dat die iOS of een deel van de broncode ervan uitlekt. Dat risico willen ze ook niet lopen.

Ach apple werkt gewoonal jaren braaf mee. Nu voor de show wilden ze laten zien niet mee te willen werken onder het mom van je data is veilig op een iphone en wij werken niet mee.

Het is een slechte shgow, een schijnvertoning.
De FBI heeft nu 1 exploit gekocht, ook geen sensatie en er zullen nog wel meer exploits zijn en komen.

Conclusie is heel eenvoudig als het er op aankomt is je data helemaal niet veilig ook niet op een iphone. Zit je dus in de criminele hoek waan je niet veilig met een iphone, of welk andere telefoon.

Show? Welke show?
Apple heeft gewoon de iCloud gegevens gegeven zoals dat hoort bij een gerechterlijk bevel, wat Apple NIET deed is een speciale iOS versie maken die de gehele beveiliging kapot maakt.

Je moet de iPhone zien als een kluis.
Jij stelt een code in en dus heb jij de sleutel van de kluis, in die kluis zit een backup sleutel.. maar daar kan je alleen bijkomen als jij eerst de code invoert.

Snap dus niet waar jij die onzin vandaan haalt.

Apple wilde later ook niet meewerken aan het individueel unlocken en ging daartegen in beroep terwijl ze in eerder gevallen dus gewoon meewerkten, Show dus.

Fout.. de FBI wilde een unlock tool om die telefoon bij hun op kantoor.. dus buiten Curpertino te kunnen unlocken.
Dus die gehele beveiliging moest er in feite eraf worden gesloopt.
Apple heeft gewoon meegewerkt tot waar het kon.
Als de gemeente in spe niet het wachtwoord had gewijzigd, dan kon Apple zelfs de backup op een andere telefoon zetten.

Klopt eerst wilde men unlock zelf bij fbi dat ging natuurlijk niet, toen wel door apple maar die wilde toen niet meewerken terwijl ze dat in het verleden in tig gevallen wel gedaan hebben en nu in beroep gingen.

In het verleden was het ook appeltje eitje.. geen encryptie was er toen ingevoerd.
Nu wel.
Laatst was btw in 2008.
Reken eens uit: 2014 - 2008 maakt: 6 jaar verschil.

"Maar de FBI had ook wel geaccepteerd als de Apple zelf te telefoon geunlocked had in Cupertino en de data aan de FBI verstrekt had. "

Neen! Dat heeft Apple aangeboden, maar de FBI moest en zou perse de sleutels hebben om zélf alle telefoons te unlocken. Dat is nu juist wat deze zaak zo belangrijk maakte.

Neen! Dat heeft Apple aangeboden,

Volgens mij is dat gewoon niet waar. Ik wil daar dus wel een bron van zien.

Wat de FBI wilde was een sleutel om alle iPhone 5C's te kunnen openen en het liefst alle iPhone weredwijd verkocht. Daar zit een groot verschil in.

Eerst wel inderdaad, later ging eht nog enkel om die specifieke iPhone en ook dat bleef Apple weigeren. Nu komt de aap uit de mouw en blijkt dat ze dat laatste enkel bleven weigeren omdat ze nu in de spotlights stonden. Waar ze blijkbaar wel helpen als ze niet in de spotlights staan.

Nee, je mist het hele punt. Apple weigerde om alle iPhones kraakbaar te maken. Apple heeft nooit geweigerd een iPhone te kraken onder een gerechtelijk bevel. En dit was al bekend voordat je ging haten op de zogenaamde publiciteitsstunt die het zou zijn.

Dat is hetzelfde als een slotenmaker helpt een huis open te krijgen vanwege een huiszoeking met gerechtelijk bevel vs een slotenmaker die daarna weigert de loper af te geven die alle huizen deuren kan openen. Want de FBI wilde preventief toegang hebben tot alle iPhones. Dat laatste lijkt mij een slechte zaak.

Volgens mij kwam Apple juist in de spotlights omdat ze het weigerde en niet andersom, want ik heb al berichten langs zien komen over het unlocken van iPhones voordat dit in het nieuws kwam. Maar correct me if i'm wrong. Daarbij is het niet eens zo'n hele populaire beslissing. Genoeg mensen zijn van mening dat het inleveren van privacy best acceptabel is om [insert buzzword] te voorkomen.

[Reactie gewijzigd door Thekilldevilhil op 13 april 2016 09:56]

Je mist zelf het punt, dat het eerst om alle iPhone/iOS ging is duidelijk uit mijn post te lezen. Echter de FBI zag ook dat dat kansloos was en hebben daarna enkel gevraagd die specifieke telefoon te kraken, en dat punt lijk jij juist te missen

Alleen toen stond Apple al in de spotlight en konden ze niet toegeven zoals ze daarvoor wel degelijk deden...

Daarnaast heeft het geen zin om op de man te spelen, dat maakt jezelf natuurlijk ook verre van objectief

[Reactie gewijzigd door watercoolertje op 13 april 2016 09:59]

Ze hebben zich alleen maar terug getrokken omdat als ze de zaak zouden verliezen ze een precedent zouden creëren die zwaar in hun nadeel was. Niet omdat het moreel de goede beslissing is. Dus dat "later ging eht nog enkel om die specifieke iPhone en ook dat bleef Apple weigeren." had een hele andere reden dat jij nu doet geloven.

Ze hebben zich alleen maar terug getrokken omdat als ze de zaak zouden verliezen ze een precedent zouden creëren die zwaar in hun nadeel was.

Wat wil je nu zeggen? Dat weten we toch al lang, en staat ook in mijn post ("Echter de FBI zag ook dat dat kansloos was")...

Dus dat "later ging eht nog enkel om die specifieke iPhone en ook dat bleef Apple weigeren." had een hele andere reden dat jij nu doet geloven.

Uhm nee, je herhaald gewoon in andere woorden wat ik zeg

chter de FBI zag ook dat dat kansloos was en hebben daarna enkel gevraagd die specifieke telefoon te kraken, en dat punt lijk jij juist te missen

Nee, het punt dat jij mist is dat de telefoon volgens Apple niet te kraken was zonder alle andere telefoons ook onveilig te maken. Dat dat niet het doel van de FBI was is niet relevant, maar die bijkomstigheid is voor Apple wel essentieel.

Echter de FBI zag ook dat dat kansloos was en hebben daarna enkel gevraagd die specifieke telefoon te kraken, en dat punt lijk jij juist te missen

Nee, ze vroegen software te ontwikkelen om elke iPhone te kraken, maar mochten die eventueel beperken voor enkel die ene iPhone. Dat laatste is uiteraard eebn godspe, wanr de dag erna staat men voor 100+ andere ook op de stoep.

Het punt is dat Apple niet verplicht wilde worden de eigen security te breken.

>Want de FBI wilde preventief toegang hebben tot alle iPhones. Dat laatste lijkt mij een slechte zaak.

Dit is en blijft onzin. FBI kan enkel zoiets doen NA een gerechtelijk bevel, er veranderd dus niks. Het enige wat WEL zou veranderen is dat moest apple of FBI zo'n software hebben NADAT een rechter dit toestemde het vlotter zou gaan.

>Volgens mij kwam Apple juist in de spotlights omdat ze het weigerde

Dat is juist het punt, apple moest enkel meewerken om deze telefoon te unlocken, niet omp alle telefoons altijd te unlocken .

Nee, maar het gaf de macht aan de FBI om ze allemaal te kraken. En als de FBI het heeft dan hebben andere instanties die boven de wet staan het ook.

Apple heeft aangeboden het toestel te kraken, maar weigerde de software daarvoor aan de FBI te geven; en dat is maar goed ook.

Het "het was enkel dit toestel!" verhaaltje is pure onzin. Besides... Alsof ze zich altijd zo netjes aan de regels houden bij die instanties.
Nee het is een prima zet dat Apple geen zin had om die firmware te geven.

>Nee, maar het gaf de macht aan de FBI om ze allemaal te kraken. En als de FBI het heeft dan hebben andere instanties die boven de wet staan het ook.

In beide gevallen is dat niet juist. Nee FBI kan nog steeds enkel kraken nadat een rechter dat goedkeurt. Je mag ervan geloven wat het wil de FBI doet niet zomaar wat het wil.

En welke andere instanties?

>Apple heeft aangeboden het toestel te kraken, maar weigerde de software daarvoor aan de FBI te geven; en dat is maar goed ook.

Nee want apple beweerde dat ze dit enkel kon door ook toegang tot alle andere te geven. Ik kan me vegrissen maar ik he apple nergens horen zeggen dat ze dit enkel voro dit toestel wel wilde doen . Bron misschien?

Volgens mij is de methode om je iPhone volledig te encrypten en iCloud nieuwer dan 2008.

Nee, dat is niet hetzelfde. Apple had ook al in deze zaak assistentie geboden. Dat doen ze altijd, en dat zullen ze ook blijven doen. Lijkt me ook niet meer dan logisch. Maar ze trekken een lijn bij het fabriceren van tooling om in feite alle Apple telefoons te kunnen kraken, en dat snap ik ook. Als de FBI niet zo stom geweest was om het iCloud wachtwoord te laten resetten hadden ze die telefoon gewoon een backup kunnen laten maken en die kunnen uitlezen...

Doordat de FBI nu zo slim geweest is door het iCloud wachtwoord te laten resetten, kunnen ze nu veel meer en dat veel gemakkelijker toepassen dan wanneer ze per device het via de iCloud (met geluk) moesten proberen.

Ik denk niet dat het een gevalletje van OEPSIE was, maar een gevalletje van: als we slim zijn resetten we het iCloud wachtwoord waardoor de opties veel uitgebreider en beter zullen uitpakken.

Als de FBI niet zo stom geweest was om het iCloud wachtwoord te laten resetten hadden ze die telefoon gewoon een backup kunnen laten maken en die kunnen uitlezen...

De iphone was door de gemeentelijke overheid verstrekt aan de dader die bij hun in dienst was. Dat wachtwoord gaf ook toegang tot de cloud van de gemeente met gemeentelijke informatie en dus ook mogelijk nieuwe doelwitten. De gemeente heeft het wachtwoord laten resetten, mede op advies van de FBI, omdat er effectief sprake was van een potenttieel data lek richting mogelijke terreurverdachten. Ik denk niet dat op dat moment het unlocken van de data op de telefoon al een rol speelde.

Zoals supersnathan ook al zegt, hoop sensatie in dat bericht.
De 70 telefoons die al gekraakt waren, zullen niet de beveiliging hebben gehad die deze telefoon wel had. Ze waren dus niet encrypted, en als er dan een gerechtelijk bevel is, zal Apple hier aan moeten voldoen. Wat Apple dus gedaan heeft, is de beveiliging van de telefoon opschroeven (met encryptie) zodat zij zelf dus ook niet meer in staat zijn om aan het gerechtelijk bevel te voldoen.

Het probleem is dat Apple zelf toegeeft dat ze hun software zo kunnen aanpassen dat ze wel aan het bevel zouden kunnen voldoen.

Dat staat hier los van. Uiteraard staan bedrijven niet boven de wet, gelukkig maar! Als de FBI netjes met een gerechtelijk bevel komt gekregen op basis van voldoende bewijs dat de eigenaar van een device strafbare feiten heeft gepleegd dan zal een bedrijf gewoon meewerken, gelukkig maar.

Waar de afgelopen kwestie tussen de FBI en Apple over ging was iets anders. Apple heeft de nieuwere versies van iOS zo ingericht dat ze op sommige punten geen samenwerking meer kúnnen verlenen omdat ze zelf ook geen toegang hebben. Dat verlaagt de druk op Apple zonder dat ze juridisch in de problemen hoeven te komen. De kunst was dat de FBI een hulp wilde die er voor gezorgd had dat ze daarna álle iOS apparaten van iedereen hadden kunnen uitlezen, ook zonder medewerking van Apple, ook zonder gerechtelijk bevel, en dat ging Apple te ver.

Dat nieuws is al van februari: http://www.thedailybeast....feds-70-times-before.html Ging in ieder geval in een geval om iOS 7 en 'certain categories of unencrypted data from a passcode locked iOS device'. Dus de vraag is of die gevallen vergelijkbaar zijn met de iPhone waar het hier om gaat.

zero-day exploits verkopen is een "gray hat" ? Het word echt niet blacker dan dat.

Het lijkt me dat er toch wel een verschil is tussen of je exploits verkoopt aan criminelen die er strafbare feiten mee willen plegen of alleen aan officiële opsporingsinstanties die er strafbare feiten mee onderzoeken of oplossen.

De normaal is dat je samen met de fabrikant een oplossing gaat zoeken. Mocht deze geen oplossing kunnen geven met de huidige software dan is het klaar. Als je dan bij een 3rd party zero days gaat kopen vind ik dit bijna gelijk aan een crimineel die een zero day koopt. Dit omdat ze er niet bij kunnen via de officiele manier. Erg jammer dat dit op deze manier loopt..

Precies doordat je aangeeft dat het BIJNA gelijk is, zal het dus in het grijze gebied vallen. Het is niet goed, het is niet fout, het schommelt ertussenin, zoiets wordt dan dus een grijs gebied genoemd lijkt mij?
Een hack verkopen aan een crimineel is per definitie fout
Een hack verkopen aan de FBI / overheid of hoe je het dan ook wilt noemen is voor de 1 fout, legaal is het niet fout, dus dan zit het er ergens tussenin = grijs.

En een hack verkopen aan de chinese of Russische overheid?
Die liggen tegen crimineel aan... is dat dan ook per definitie fout?

Daar ga ik toch niet over? Ik geef alleen aan dat bij vrijwel alles wel een grijs gebied bestaat, niet alles is zwart of wit gelukkig

Maar goed, stel jij zou een Rus zijn en jij probeert de Russische ''FBI'' te helpen dan zal dat niet fout zijn nee? Stel jij als Rus verkoopt de info niet aan de Russische ''FBI'' maar aan een Russische terrorist, dan ja... Voor mij is het vrij logisch allemaal hoor

Ik zie deze bonus ergens meer als de gouden tip, de ''hacker'' had de gouden tip om de FBI te helpen met hun onderzoek, daar heeft hij dus netjes een bonus voor gekregen. Met een beetje geluk, indien die nog geen mooi contract heeft ergens bij een bedrijf, heeft hij er ook nog een baantje aan overgehouden om dit bij andere telefoons toe te gaan passen.

[Reactie gewijzigd door LopendeVogel op 13 april 2016 12:34]

Dat moet je vanuit het perspectief van de persoon bekijken. Als de hack door een rus gevonden is, is hij in de ogen van Putin een White Hat, maar vanuit de rest van de wereld is het gewoon een verrader

apple weigerde mee te werken aan het oplossen van het probleem (lees soft/firmware te schrijven om de telefoon te unlocken), buiten het strafbare feit dat ze daarmee in de VS plegen is er daar geen wet die de overheid dwingt om gevonden lekken te openbaren

buiten het strafbare feit dat ze daarmee in de VS plegen

Ho, waarom zijn ze (apple) dan niet aangeklaagd? Er liep een zaak om Apple te dwingen, en die is ingetrokken.

Omdat het niet meer nodig was. Probleem opgelost en misschien hebben ze Apple nog wel eens nodig in een zaak waar ze niet met een bevel van de rechter kunnen zwaaien of gaat Apple de bureaucratische toer op en duurt het maanden voor ze een verzoek inwilligen waar ze nu misschien veel sneller over gingen.

Pure speculatie van mijn kant natuurlijk.

Echter zijn de officiële opsporingsinstanties niet vreemd om zelf strafbare feiten te plegen .

Ook white hats hebben graag wat exploirs achter de hand om aan te kunnen tonen dat beveiliging beter kan als je hun inhuurt.

Het hangt af van het doel wat ze hebben. Ook die lui moeten eten, als ze voor 5k dit verkopen kunnen ze weer even door. Vragen ze er 50 miljoen voor is het voor de handel en black s het maar kan zijn.

Gray hat is een beetje vergelijkbaar met terroristen die de overheid gematigde rebellen noemen

Wat is nu precies het verschil tussen een Israelisch bedrijf wat de hack zou aanleveren of een grey-hat-hacker? Ik bedoel dat Israelische bedrijf zou toch ook hackers genoemd moeten worden als zij een manier kunnen aanleveren waarmee ze op een niet bedoelde manier toegang verkrijgen tot de iphone of zie ik dit nu verkeerd? Zelfs als dit waar zou zijn dan is het dus niet echt nieuws, want of ze nu bij hacker a zijn langs geweest of bij hacker b maakt natuurlijk weinig verschil.

Zou me niks verbazen als Apple stiekem zelf deze hack heeft geleverd om de rechtzaak te vermijden.

Als Apple echt de kaart wil trekken van zijn gebruikers, met hun berg kapitaal, dan zouden ze gewoon alle zero-day exploits moeten opkopen.

Dat zou pas een killing feature zijn: zekerheid dat er geen zero-day exploits zijn.

Probeer je maar eens voor te doen als een overheidsmannetje.. gaat niet werken zonder aanklachten.

Het lijkt me sterk dat deze hackers er een probleem mee zouden hebben de exploits te verkopen aan Apple zelf... Als er maar gewoon afgetikt wordt.

[Reactie gewijzigd door Steeliebob op 13 april 2016 13:16]

Omdat je diezelfde lekken dan niet dubbel kan verkopen.
Nu kunnen ze die lekken aan meerdere bedrijven/personen verkopen.

Tja, je hebt een goed punt. Ik denk echter dat als ik een exploit zou kopen, dat ik sowieso liever niet heb dat nog 10 andere partijen deze ook kunnen kopen.

De kans dat het lekt en uiteindelijk alsnog bij Apple terecht komt (en dus hopelijk ook afgedicht) groeit bij elke verkoop.

Maar dan heb je wel 10 keer bedrag x binnen die je kan laten verhogen wegens de vraag ernaar.

Mijn persoonlijke ervaring is dat zero-days amper worden dubbel verkocht.
Best eenmaal verkopen exclusief aan een partij en de prijs hoog genoeg zetten.

De know-how behoud je als hacker/bedrijf toch.

Dat zou pas een killing feature zijn: zekerheid dat er geen zero-day exploits zijn.

Zekerheid heb je nooit. Iemand die een zero day exploit heeft kan 'm ook gewoon niet te koop aanbieden!

Mij juist wel en geloof niet dat Apple hieraan meewerkt omdat dit altijd uitlekt en dan heb je bij je aandeel houders echt wat uit te leggen die dat dan weer lekken aan de media en dan heb je de poppen aan het dansen.
Je kan groot en rijk zijn.. maar 1 foute zet en je kan je deuren sluiten.

[Reactie gewijzigd door Anoniem: 732079 op 13 april 2016 10:19]

Zou dit ons een nieuwe jailbreak gekost hebben? Ik zit er met smart op te wachten...

De methode zou niet bij iPhone-modellen nieuwer dan de 5C werken.

Nee. Tenzij je nog een 5C of ouder hebt.

Het bedrijf Vupen is toch gestopt?

Vorige week liet een topman van de FBI nog weten dat de dienst twijfelt of de kwetsbaarheid vrijgegeven moet worden aan Apple, zodat het bedrijf deze kan dichten.

Schept wel nieuw precedent. Bedrijven die niet meewerken krijgen geen informatie meer.

Probleem met zero-days is dat het regelmatig voorkomt dat anderen dezelfde bugs vinden.

En als die slechtere intenties hebben.....