Apple heractiveert certificaat voor interne apps Google en Facebook

Apple heeft het certificaat voor het testen van interne apps door Google en Facebook weer geactiveerd. Beide bedrijven gebruikten het certificaat voor apps waarmee het marktonderzoek deed onder consumenten en dat is volgens Apple tegen de regels.

Facebook heeft iets meer dan een dag geen apps kunnen testen, terwijl het bij Google ging om een paar uur. Apple heeft de certificaten weer toegestaan, nadat het vermoedelijk had gesproken met beide bedrijven over het gebruik van het certificaat om marktonderzoek te doen. Met het certificaat lieten Facebook en Google iOS-gebruikers apps installeren om hun gebruik in de gaten te houden in ruil voor beloningen, bijvoorbeeld geld. Het certificaat is bedoeld voor interne apps van bedrijven en het testen van apps voor ze in de App Store verschijnen.

In een interne memo die Business Insider citeert zegt Facebook niet dat het de regels heeft overtreden. Wel bestrijdt het bedrijf dat het zou gaan om een 'spionage-app' en daarnaast zegt het sociale netwerk dat Apple de macht heeft over wat er gebeurt op iOS. "We hebben met Apple gewerkt om problemen te adresseren en nu zijn onze interne apps weer online. Onze relatie met Apple is heel belangrijk. Veel van ons gebruiken Apple-producten op het werk elke dag en we leunen op iOS voor veel van onze interne apps voor medewerkers, dus we zouden die relatie nooit bewust op het spel zetten", aldus het bedrijf. Google heeft geen verklaring gegeven.

Google hield via een vpn-app bij wat gebruikers allemaal op apparaten deden als onderdeel van zijn Opinion Rewards-programma. Dat is ongeveer hetzelfde dat Facebook deed, ook via een vpn-app. De tests hielpen beide bedrijven om met inzichten te komen over het gebruik van iOS-apparaten, data waartoe beide bedrijven standaard geen toegang hebben. Gebruikers moesten de apps bewust installeren en vertrouwen en kregen een vergoeding voor het in de gaten houden van hun smartphonegebruik. De vpn-apps zouden niet door Apples App Store-keuring komen, omdat ze smartphonegebruikers observeren en die data doorsturen. Bij een Enterprise Certificate is die keuring er niet.

Reacties (122)

[ATS]

Nou, nu weten Facebook en Google ook weer dat ze prima wegkomen met het negeren van de regels. Maarliefst één dag geen certificaat na jarenlang misbruik.

Tot zover ook de consumentenbescherming op privacygebied van Apple. Die nemen ze kennelijk niet heel serieus.

[OkselFris]

Eh hoe kom je daar bij? Google heeft het bewuste app terug getrokken en daarna het certificaat weer terug gekeken. Een stukje wat in dit bericht ontbreekt. Bij Facebook zal ongetwijfeld hetzelfde zijn gebeurd.

Statement van Google:

“The Screenwise Meter iOS app should not have operated under Apple's developer enterprise program. This was a mistake, and we apologize.

We have disabled this app on iOS devices. This app is completely voluntary and always has been. We've been upfront with users about the way that we use their data in this app, we have no access to encrypted data in apps and on devices, and users can opt out of the program at any time.”

[z1rconium]

lol Google had een "foutje" gemaakt ? De slimste developers op deze planeet maken dit soort "foutjes" niet. Ze zijn zeer zich bewust waar ze mee bezig zijn, het excuus statement is bijna hetzelfde als die van facebook. Bijzonder gluiperig.

[OkselFris]

Tuurlijk, maar in dit geval voor Apple niet relevant. App is terug getrokken dus men moet dan wel weer een certificaat verstrekken.

[HSL]

Als je dit als kleine developer geflikt had zouden al je developer rechten ingetrokken worden en zou je geen nieuw certificaat meer krijgen. Wat mij betreft trouwens helemaal terecht, dit soort dingen zijn geen foutjes, dit wordt heel bewust gedaan.

[Anoniem: 420148]

Ja, maar als je de standaard zoekmachine van het OS bent en je bedrijfswaarde zoveel nullen heeft, heb je wat meer rechten. Dat is hoe de wereld werkt.

[Annihlator]

Je krijgt wat meer gedaan, maar ik zou dat niet willen verwoorden als het krijgen van meer rechten

[Anoniem: 420148]

Ik durf best te stellen dat na een x aantal nullen je boven de wet kan staan, helemaal in bepaalde landen.

[Annihlator]

Ik denk dat je mijn poging tot semantiek mist tussen rechten hebben en iets gedaan krijgen zonder duidelijke weerstand

Ondanks dat het zo gaat in sommige delen van de wereld; is dat iets om op zichzelf goed te keuren?

[ATS]

Nee. Dat had niet gehoeven. In elk geval niet direct. Ze hadden ook kunnen zeggen dat ze het certificaat pas over 6 maanden terug krijgen, of over een jaar.

Google en Facebook weten donders goed waar ze mee bezig zijn. Die hebben ook een juridische afdeling die weet wat er in de contracten staat, en anders hebben ze zat slimme engineers die weten dat een interne app niet extern ingezet mag worden. Na jaren van misbruik even "oops, sorry" zeggen is kennelijk voor Apple genoeg.

[OkselFris]

Ja hadden ze kunnen zeggen.....maar vindt je dat realistisch?
De bewuste apps zijn terug getrokken, dus op welke basis wil je dan het verbieden om een certificaat te verstrekken voor al die anders apps waar niks mis mee is?
Je hebt het over contracten.....zou er in staan “ als je een overtreding maakt met een App dan trekken we je certificaat in, ook voor al die andere apps en krijg je die een jaar niet terug”? ...nou ik denk het niet.

[Jasper Janssen]

Nee, maar er staat gegarandeerd wel in dat je voor overtredingen volledig afgesloten kan worden. Ze hebben dus met hun hand over het hart gestreken.

[Lcanrinus]

Is het ook niet dat veel Iphone-gebruikers Facebook veel gebruiken en Google ongetwijfeld ook?

[ATS]

Vast wel, maar die worden niet getroffen. Het ging om certificaten die interne apps mogelijk maakten, buiten de app store om.

[Lcanrinus]

Dank voor de aanvullende info!

[WhatsappHack]

Dat had niet gehoeven. Google en Facebook hadden de voorwaarden zwaar overtreden. Apple had ze ook simpelweg geen nieuwe certificaten kunnen geven of pas later. Het ging niet zozeer om de app, maar het misbruiken van die speciale certificaten. Dát is waarom het is ingetrokken.

Waarschijnlijk is er een pittig gesprek geweest en krijgen beide bedrijven nog een kans. Flikken ze het weer dan krijgen ze denk ik niet nog eens binnen een dag nieuwe certificaten.

[Caayn]

Inderdaad. Iedere keer wanneer Google betrapt wordt komt het standaard cliché antwoord "Het was een foutje"(1) of "ter verbetering van de gebruikerservaring deden we het toch" (2, 3). Om maar een paar voorbeelden te noemen.

Google is net zo smerig als Facebook, alleen hebben ze een stuk beter marketing team.

[Anoniem: 420148]

En betere producten.

[sjhgvr]

De slimste developers op deze planeet maken dit soort "foutjes" niet.

Ik had de kwaliteit van Google's software ook hoog zitten.
Dat wordt me nu helaas meerdere malen per dag tegengespeeld;
Google Home; "Ok, ik stel de helderheid van 5 lampen in op 50 procent procent"

[Reactie gewijzigd door sjhgvr op 23 juli 2024 00:03]

[Zpottr]

Je hebt er echt helemaal niets van begrepen.

"should not have operated" betekent hier "we hadden dit niet mogen doen", niet "dit had niet mogen werken". Dat laatste kan ook helemaal niet.

[Vexxon]

Als je de hele quote leest kan je anders interpreteren.

The Screenwise Meter iOS app should not have operated under Apple's developer enterprise program. This was a mistake, and we apologize.

"De app functioneerde anders dan de bedoeling (oftwel bug). Foutje bedankt"

[PPie]

Dit is geen bug in Apple's software, maar een bewust misbruiken van het enterprise programma.
Dat is er voor zodat bedrijven bedrijfsinterne applicaties kunnen maken, die dus niet door Apple hoeven (kunnen) bekeken worden. Dat kan belangrijk zijn voor bedrijven om zoiets als een geheim algoritme in een verkoopapp niet naar buiten te hoeven brengen.

[Vexxon]

Ik bedoelde inderdaad Google i.p.v. Apple

[WhatsappHack]

Dat zei Google al vóór het certificaat was ingetrokken tegen TechCrunch.

[Zoijar]

Het wordt inderdaad tijd dat die bedrijven eens boetes van een paar procent van een jaaromzet krijgen. Het is het ene na het andere privacy schandaal, blijkbaar wordt er niet geleerd en doen ze volstrekt waar ze zelf zin in hebben. We moeten wel met alle mach thepiratebay blokkeren: misschien eens grappig tot ze aantoonbaar de zaken op orde hebben, dus bewijslast bij google/facebook, die domeinen op zwart in de eu?

[Reactie gewijzigd door Zoijar op 23 juli 2024 00:03]

[Lagonas]

In dit geval ben ik het daar niet persee mee eens. De app van Facebook heb ik geen idee van, maar die van Google vond ik redelijk duidelijk wat je inleverde als je hem installeerde. Ja, het is een vreselijke schending van de privacy, maar dit moet de persoon wel handmatig accepteren/activeren.

[ArmEagle]

Als er een beloning tegenover staat is privacy al snel in het geding. Ik vergelijk het met een korting op je zorgverzekering als je privacy inlevert (hoeveel beweeg je, en daarbij automatisch waar ben je).

Mensen met weinig geld hebben simpelweg de luxe niet om dan voor privacy te kiezen. Daarom moeten dit soort dingen verboden zijn.

[RebelwaClue]

Dus alle medische onderzoeken waar proefpersonen geld krijgen afschaffen?
Of cadeau's afschaffen voor bloed donoren?
Bonus/kortingskaarten afschaffen (deze houden ook bij wat je koopt en uitgeeft)?
Misschien prostitutie maar weer illegaal maken, want het dwingt arme mensen hun lijf te verkopen?


Natuurlijk moet je opletten met privacy en waar trek je de grens, maar om gelijk maar weer te verbieden als mensen een keus hebben (ja ook armere mensen hebben die keus). Nederland is al betuttelend genoeg.

[Reactie gewijzigd door RebelwaClue op 23 juli 2024 00:03]

[Jasper Janssen]

"Cadeaus" voor bloed en orgaan donoren zijn al verboden.
Voor medisch onderzoek dito, je krijgt alleen onkostenvergoeding.

Let wel op dat zowel google als facebook deze programma's ook aanboden voor kinderen vanaf 13 jaar -- iets dat dus echt volledig uit den boze is aangezien die niet eens *kunnen* akkoord gaan.

De techniek an sich is niet verboden, maar Apple laat het niet toe om dit via hun apparaten te doen.

[Reactie gewijzigd door Jasper Janssen op 23 juli 2024 00:03]

[RebelwaClue]

Onkosten vergoeding is onzin, ze bieden echt wel meer aan

Cadeaus bij bloed donoren wordt ook nog gedaan.

En als je gelezen had, moeten kinderen boven de 13 (bij Google later 18) al goedkeuring vragen via de ouders. Maar je hebt zeker gelijk, dit is veels te lage leeftijd.

En het is ook zeker slordig dat ze Apple's regels voorbij gingen

[Reactie gewijzigd door RebelwaClue op 23 juli 2024 00:03]

[Jasper Janssen]

Hoe is dat meer dan een onkostenvergoeding? Het hoogste bedrag dat ik zie is nog onder de 3k. Daarvoor moet je ongeveer 4-5 weken aan vakantie van je werk opnemen, dus dat komt dan precies uit.

Re: Bloed: Ik heb even zitten kijken op https://www.sanquin.nl/voor-donors/waardering, maar ik zie daar helemaal niets dat enigerlei significante geldelijke waarde vertegenwoordigt. Allemaal categorie "relatiegeschenkje".

[Reactie gewijzigd door Jasper Janssen op 23 juli 2024 00:03]

[ArmEagle]

Dankjewel voor je reactie. Mijn "moeten verbieden" is inderdaad nogal gechargeerd. En je plaatst een aantal goede opmerkingen/vragen. Daar moet ik even over nadenken (als ik daar aan toekom).

[RebelwaClue]

Ik snap jouw insteek ook echt wel. Je privacy opgeven is nu eenmaal makkelijker dan je lijf of je bloed. De meeste mensen geven er sowieso weinig om. En als maatschappij moeten de sterken nu eenmaal de zwakkeren beschermen.

[Anoniem: 120539]

Mensen met weinig geld hebben simpelweg de luxe niet om dan voor privacy te kiezen. Daarom moeten dit soort dingen verboden zijn.

Ik heb doelbewust gekozen voor het plaatsen van een tracking device in mijn auto die mijn rijgedrag analyseert in ruil voor korting op mijn (auto-)verzekering. Ik verdien voldoende om dat niet te doen, maar vind het oprecht geen probleem om deze gegevens te delen met mijn verzekeraar, waarbij het dus wel van belang is dat ik er op vertrouw dat deze mijn gegevens (zoals we af hebben gesproken in de overeenkomst) dan ook vertrouwelijk behandelt.

Een verbod zou ik dan ook niet willen. Ik zou (financieel gezien) prima zonder kunnen, maar de op deze manier bespaarde euro's kan ik gewoon weer lekker anders aan uitgeven.

[cranebird]

Maar zoals ArmEagle al zegt: mensen met weinig geld hebben deze luxe om te kiezen niet. Zij zullen altijd voor de korting moeten gaan. En dus: oneerlijk, niet doen.

[Anoniem: 120539]

(leuk dat jullie allebei vogels zijn, maar dat geheel terzijde.)

Mijn auto is wit, omdat dat de goedkoopste kleur was. Zwart was 500, en paars 800 euro duurder.
Ik koos voor de goedkoopste, dat was een witte. Het was een keuze. (Dit is overigens niet fictief.)
Ook verbieden?
Of sowieso dure auto's verbieden, want oneerlijk?
Schooluniformen weer invoeren, zodat we geen onderscheid meer zien tussen arme en rijke schoolkinderen?

Ik zou het begrijpen als dit gemind wordt, want het klinkt allemaal niet leuk natuurlijk, maar:
ook mensen met minder financiële middelen maken gewoon keuzes in het leven. Als ze (een deel van hun) privacy op willen geven om daardoor geld over te houden voor iets anders dan is dat een keuze die (als deze aangeboden wordt) niet moet worden verboden, omdat 'arme' mensen die keuze niet zouden kunnen maken.
Ik vind het eerlijk gezegd zelfs een beetje een elitaire uitspraak; alsof iemand die het financieel minder goed heeft die keuze niet zou kunnen maken of de consequenties van de keuze niet zou kunnen overzien. Zie het als een kans, niet als een beperking.

[Anoniem: 567346]

Het probleem is dat je een situatie aan het creëren bent waarin op een gegeven moment het financiële verschil dusdanig groot wordt dat het geen echte keuze meer is. Je maakt het acceptabel maakt om die gegevens te delen.

[mac1987]

Het is alleen nogal een verschil of je je favoriete kleur auto niet kunt rijden of dat je je zorgverzekering zou moeten gaan betalen met je privacy.
Dat rijkere mensen mooiere auto's kunnen rijden is niet vreemd. Dat alleen rijkere mensen van hun privacy zouden kunnen genieten is wel vreemd.

[Jasper Janssen]

Privacy is, net als een woonplaats, scholing, voedsel, etc. een grondrecht, en niet een nice-to-have extraatje. Is een andere categorie dingen dan de kleur van je auto.

[Yzord]

En de personen waar de persoon, die de voorwaarden heeft geaccepteerd, mee communiceert dan? Telefoonnummers, emailaddressen, foto’s/filmpjes, berichten etc etc? Hebben die ook nog wat te zeggen erover? Want die hebben totaal geen weet ervan dat Google/FB in hun persoonlijke data rondstruint die ze vertrouwelijk met iemand hebben gedeeld.

Dit is allemaal zeer tegen de nieuwe wetgeving die verleden jaar van kracht is gegaan en een hele flinke boete is hier wel op zijn plaats. Ook voor de gebruiker die de voorwaarden heeft geaccepteerd, vind ik. Die verdienen er geld mee (wat wellicht ook nog niet eens gemeld wordt bij de Belastingdienst).

[Reactie gewijzigd door Yzord op 23 juli 2024 00:03]

[RebelwaClue]

En de personen waar de persoon, die de voorwaarden heeft geaccepteerd, mee communiceert dan? Telefoonnummers, emailaddressen, foto’s/filmpjes, berichten etc etc? Hebben die ook nog wat te zeggen erover? Want die hebben totaal geen weet ervan dat Google/FB in hun persoonlijke data rondstruint die ze vertrouwelijk met iemand hebben gedeeld.

Die hebben er ook nog wat over te zeggen, als je een persoon niet vertrouwt met jouw privacy, gewoon niet mee communiceren. Je weet namelijk nu ook niet wat de ander met jouw informatie doet. Misschien stuurt deze wel jouw prive kliekjes door naar vrienden of vertelt prive verhalen door aan zijn groepje mensen. Natuurlijk is er een nuance verschil, maar ik weet zeker dat mijn vrienden zich niet zouden aanmelden voor dit soort acties van Google/Facebook.

En geld verdienen is natuurlijk zwaar overdreven, 20 dollar of gift cards. Het is nog maar de vraag of je deze moet opgeven. Een voorwaarde is namelijk: maak je winst en was dat ook het doel van de inspanning. Zo mag je prima een lamp verkopen op marktplaats zonder dit op te geven. Maar koop je er 100 in om deze te verkopen op marktplaats, moet je dit weer wel opgeven.

[Anoniem: 513953]

Als je aan de AVG (GDPR) denkt dan gaat dit niet werken. Zolang je Google en Facebook toestemming geeft data te verzamelen mogen ze dat doen. Pas als ze dingen met de data doen die niet tevoren aangekondigd zijn komt er een boete in zicht.

[Yzord]

Dat mag helemaal niet, want degene die toestemming geeft verzameld ook gegevens van een ander die daar geen toestemming voor heeft gegeven. Voorbeeld:

Ik leer Piet kennen op vakantie en we raken bevriend. Piet heeft zo’n app draaien op zijn telefoon, maar maakt daar natuurlijk geen melding van aan mij. Wel vraagt Piet om mijn naam/achternaam om deze te kunnen koppelen aan mijn 06 nummer om eens wat af te spreken in Holland.

Eenmaal thuis vind ik wat fotos en filmpjes van ons van tijdens de vakantie en deze stuur ik door naar hem. Ik in mijn boxershort, mijn vrouw in een bikini en mijn kinderen half naakt spelend op het strand met een glas champagne erbij (de kinderen niet natuurlijk). Ik heb mijn locatiebepaling niet aan staan dus mijn exif info is minimaal. Maar Piet heeft op dezelfde dag ook fotos gemaakt met locatiebepaling aan en zijn exif informatie is een stuk uitgebreider. Feit blijft dat beide datums in de fotos er wel in staan.

Dan zal ik je nu vertellen wat Piet deelt met Google/FB over mij zonder dat ik er toestemming voor heb gegeven:

- naam en achternaam
- telefoonnummer
- mijn gezicht en dat van mijn gezin
- al mijn tatoeages die volop te zien zijn
- de locatie waar ik me op dat moment begaf met mij gezin
- de datum van de locatie waar ik mij begaf met mijn gezin
- en vast nog veel meer........

Allemaal gegevens waarmee FB/Google ineens een profiel over mij kan aanmaken terwijl ik niet eens een account bij ze heb.

Volledig onacceptabel en ronduit schunnig, want met gezichtsherkenning en door mijn tatoeages is er ineens een nieuw profiel ontstaan die ze opslaan en gebruiken in toekomstige AI tools.

Sterker nog, Piet verdient hier geld mee dus moet hij mij een optie geven om inzage te krijgen in wat hij van mij bewaard en deelt. Tevens moet hij een verwerkingsverklaring door derden hebben. Maar Piet staat niet ingeschreven bij de KvK en dus legt Google/FB heel sneaky de AVG voorwaarden bij de gebruiker neer en kunnen ze zo alsnog profileren zonder direct aan de AVG te voldoen.

Bah, zumm kotzen

[Reactie gewijzigd door Yzord op 23 juli 2024 00:03]

[raro007]

Jah maar het werkt ook andersom als een iPhone gebruikers mijn gegevens opslaat dan weet Apple het ook. Dan kots jij ervan ook zeker?

[Yzord]

Heb jij een bron dat Apple aan profilering doet van derden? Of roep je maar weer wat omdat ik Google/FB aanval om hun sneaky praktijken waarmee ze de AVG voorwaarden bij de gebruiker neerleggen?

Denk het laatste

[raro007]

Jij leest ook alleen wat jij wilt of niet?
Ik zeg als jij een nummer adres foto opslaat en backuped van een Android gebruiker dan staat die echt bij Apple hence zo werkt dat eenmaal.

[Heedless]

Dat die data (encrypted) wordt opgeslagen is compleet iets anders dan actief gebruiken voor profilering...

[RebelwaClue]

- naam en achternaam
- telefoonnummer
- mijn gezicht en dat van mijn gezin
- al mijn tatoeages die volop te zien zijn
- de locatie waar ik me op dat moment begaf met mij gezin
- de datum van de locatie waar ik mij begaf met mijn gezin
- en vast nog veel meer........

Bij Google ging het om een VPN die niet uitleest wat er op je telefoon staat maar wat er over de lijn gaat. Dus tenzij je een onbeveiligd chat programma gebruikt, weten ze dit soort informatie niet. Ja naam/achternaam (mits je zo in de contacten staat) en telefoonnummer wel, maar FB wist dat al als je Whatsapp gebruikt. De rest van de informatie is niet bekend

[PatrickHuizinga]

Behalve dat Facebook een Root Certificate op je iPhone installeerde en op die manier wel alles kon zien. Op die manier wisten ze bijvoorbeeld hoe vaak WhatsApp exact werd gebruikt en hoe veel het daarom waard was.

[RebelwaClue]

Klopt, dat is wel informatie die doorgespeeld werd. Maar dat is ook informatie waar de gebruiker in toestemde. Nog steeds was de inhoud van whatsapp wel veilig. Dus nee, ze konden zelfs met rootcert nog steeds niet ALLES zien.

[Anoniem: 513953]

Dan is het nog maar de vraag of Google en Facebook de boete gaan krijgen of dat die naar Piet gaat. Dat zal aan de voorwaarden van die app liggen. Als Google en Facebook een beetje slim zijn staat daar ergens iets als "voorzover u gegevens van anderen met ons deelt heeft toestemming van die anderen gekregen en vastgelegd".

[DigitalExorcist]

Misbruik? Je installeert een app die die data doorstuurt doelbewust.... Het is niet alsof je dat per ongeluk doet.

[xoniq]

Misbruik van het enterprise certificaat.

[DigitalExorcist]

Oh zo.. duidelijk

Feit blijft, Apple neemt het een stuk serieuzer dan de andere techreuzen. Microsoft houdt zich nog van de domme, die hebben volgens mij ook niet zo'n dergelijke invasieve app, maar ook daar is genoeg te doen rondom de 'diagnostische gegevens' die je doorstuurt, alles wat je via Cortana opzoekt, alle privacybezwaren rond Windows 10 in het algemeen en ga zo maar door. Nu is dat puur voor Windows zélf maar ook daar valt nog genoeg op af te dingen.

[Reactie gewijzigd door DigitalExorcist op 23 juli 2024 00:03]

[Anoniem: 708439]

Microsoft rewards is gewoon aanwezig alleen niet zo groot in NL, maar in Amerika gaat 100% van je Edge/Bing geschiedenis naar MS voor een paar knaken.

[TheMak]

Bij microsoft (windows) is het makkelijker om een programma te installeren dat het verkeer via een vpn omleidt. Daar heb je geen certificaat (toestemming) van Apple voor nodig.

[maskedmous]

Je installeert het ook doelbewust. Je word er mee geconfronteerd of het ok is om die data door te sturen. Als je er dan alsnog mee akkoord gaat ja dan ben je toch zelf degene die je eigen data doorstuurt

[Edwin]

En wat als jij die app hebt geïnstalleerd en ik jou (onwetend daarvan) wat stuur.
Mijn bericht gaat dan ook door die VPN en dat lezen ze ook mee.
Dit terwijl ik die app heel bewust nooit zou installeren.

Mijn bericht wordt dan dus gedeeld zonder mijn weten en tegen mijn wens.

[RebelwaClue]

Ligt er aan welke app je gebruikt. WhatsApp, Signal, Telegram, alles met end-to-end encryptie kunnen ze niet lezen. Maar weet jij wie jouw foto's of berichten niet doorstuurt? Dat kunnen ze nu ook al doen.

Van mijn echte vrienden weet ik dat ze a) nooit prive shit doorsturen b) dat ze nooit zouden meedoen aan dit soort ongein.

[iworx]

Je vertrouwt de root certificaten van Google op dat moment - zij kunnen gerust man-in-the-middle wise al je SSL/TLS decrypten en weer doorsturen... Er is een reden waarom je geen externe certificaten/vpn/... moet toelaten.

[RebelwaClue]

Een root-certificaat kan NIET de certificaten van andere encrypties overrulen, zeker niet zonder de sleutel. Een root-certificaat kan alleen certificaten die onder de root vallen goedkeuren. Voor de decryptie heb je nog steeds de sleutel nodig die prive is bij end-to-end.

Stel dit zou wel kunnen, dan was dit allang naar buiten gekomen dat FB en Google illegaal (dit is namelijk tegen de wet) encryptie van derden aantastte

[Reactie gewijzigd door RebelwaClue op 23 juli 2024 00:03]

[iworx]

Een root certificaat kan sub-certificaten leveren en zodoende alles decrypten. Dit is hoe bepaalde proxy-services binnen bedrijven werken, dit is hoe Superfish werkte.

https://en.wikipedia.org/wiki/Superfish

[RebelwaClue]

"including interception of passwords and sensitive data being transmitted through browsers"

Een app met eigen certificaat is geen browser he. En browsers werken met Server-to-server encryptie, oftewel de sleutel wordt per sessie gegenereerd, daardoor kan de root-cert dit afvangen. Signal, Telegram etc die hun eigen certificaat gebruike hebben encryptie op basis van een private key.

[iworx]

Als je een root trust kan die root een certificaat genereren voor om het even welke website dus ook voor om het even welke app/... ze decrypten aan de ene kant, encrypten aan de andere en geven de variabelen gewoon door. Voor de eindgebruiker lijkt het transparant alsof er niets aan de hand is.

https://security.stackexc...e-attacks-by-proxy-server

Als ik jou kan overtuigen om mijn CA te trusten is niks meer veilig op om het even welk van jouw systemen.

[RebelwaClue]

Wederom gaat het hier om secure browser data NIET om data die een application genereert met ZIJN EIGEN certificaat. En jouw CA kan data die al encrypted is met een private key NIET ontsleutelen.

Tijdens een verbinding opzetten met een HTTPS website, wordt het website's certificaat geverifieerd tegen een CA. Dit kan gefopt worden met een eigen CA die het nep certificaat goed keurt. Dit nep certifcaat valt dus onder die eigen CA. Bestaande certificaties vallen dus onder de originele CA. Dit geldt dus NIET voor apps die hun data al encrypted hebben met een prive sleutel.

VB: De client (browser of app) wil verbinding maken met site A via https. Maar door deze VPN app gaat het verkeer langs site B (en dan pas site A). Site B zegt ik ben site A hoor en die root CA zegt ja dat is echt site A. De client (browser/app) gaat akkoord en maakt de beveiligde verbinding met site B, denkend het is site A.

Alleen in geval van een app met end-to-end encryptie (zoals Signal), is het lokale bestand encrypted met een certificaat van een originele CA en hebben alleen de 2 end punten de prive sleutel. Hier kan een geinstalleerde root CA dus echt niet bij.

Heb je dus een app die wel encryptie gebruikt maar puur voor client/server verbinding, dan zou deze nep CA het wel kunnen onderscheppen.

Als het zo simpel is om encryptie te kraken door een eigen CA erop te zetten, denk je niet dat ze dit zouden doen met alle computers van verdachten?

[Reactie gewijzigd door RebelwaClue op 23 juli 2024 00:03]

[ATS]

Dat doen ze dus (ten dele?) wel, omdat ze met behulp van dat root-certificaat man-in-the-middle kunnen spelen.

[RebelwaClue]

Dat kunnen ze dus niet. Denk je niet dat het groot in het nieuws zou staan als zou blijken dat Google en Facebook de encryptie van andere apps zou breken?

[ATS]

Dat stond ook gewoon in het nieuws! Niet opgelet wellicht?

Uit de voorwaarden van die FB app dan maar:

You are also letting our client collect information about your internet browsing activity (including the websites you visit and data that is exchanged between your device and those websites) and your use of other online services. There are some instances when our client will collect this information even where the app uses encryption, or from within secure browser sessions.

Bron: Techcrunch

[RebelwaClue]

Bij sommige encrypted verkeer met public keys en in gevallen dat het certificate onder het root certificaat valt, dan zouden ze bij het internet verkeer kunnen ja. Daarom staat er ook in SOME instances, niet in ALL instances. Maar denk je niet dat als het installeren van een root-certificaat zo simpel zou werken, dat ze bij kinderporno verdachten het encrypted bestand/disk gewoon kunnen open. Helaas werkt dat niet zo.

[ATS]

Natuurlijk werk dat niet zo, dat is een andere techniek dan communicatie tussen twee partijen die elkaar niet kennen. Daarbij spelen die certificaten juist een heel belangrijke rol.

[WhatsappHack]

Een MitM op de verbinding van Signal en WhatsApp zou dan enkel de laag op de verbinding weghalen. De berichten zelf zijn alsnog encrypted. Willen ze dát ook MitM aanvallen dan wordt dat behoorlijk complex. (Niet perse onmogelijk overigens met zulke vergaande permissies)

[PPie]

Jij weet niet wat voor gesprek Apple heeft gehad met Facebook en Google.
Het zou mij niets verbazen als het een 'this is your last and only warning' mededeling was.
Oftewel, als we je nogmaals pakken, gaan al je applicaties, inclusief die op de App Store, op slot.

[Jay47]

Ja of Apple een pak geld gekregen!

[DigitalExorcist]

Die hebben al geld zat. Van de rente kunnen ze Facebook gewoon opkopen

[Jay47]

Nou Google heeft Apple wel 9 miljard betaald om default search engine te blijven!

[DigitalExorcist]

Wat een bedragen he.. als je er over nadenkt. Gekkenwerk eigenlijk.

[Jay47]

Ja idd, maarja alles draait om geld he.
Mijn moeder zei altijd geld is de grootste hoer op deze wereld

[RebelwaClue]

Hoeveel rijke stinkerds ken jij die zouden zeggen, nog een miljoen? Nee laat maar, ik heb al genoeg

[DigitalExorcist]

Meh. Dat hoop ik toch niet. Hoewel ik zelf (n=1 dus) niet veel Google applicaties gebruik op iOS behalve Youtube ben ik wel gecharmeerd van m'n Gmail account .. (maar ook die mail haal ik met de native mailclient van iOS en macOS op..)

[oef!]

Ik zou er niet vanuit gaan, er bestaat een afhankelijkheid tussen de bedrijven. Was het niet in geld, dan is het wel qua platforms.

[ATS]

Die waarschuwing hadden ze al gehad toen de originele app uit de appstore geknikkerd werd. Maar inderdaad: ik zat niet bij het gesprek.

[Reactie gewijzigd door ATS op 23 juli 2024 00:03]

[Sluuz]

Wat een rare conclusie. Juist door de bescherming van Apple kunnen ze dit niet voor elkaar krijgen omdat dergelijke apps nooit worden toegestaan in de officiele store. Google en FB misbruiken een manier om eigen apps intern te testen en dan concludeer jij dat Apple de privacy van z'n gebruikers niet hoog zou hebben zitten. Chapeau.

[ATS]

Ja, ik concludeer dat Apple het niet belangrijk genoeg vindt om grootmachten als Facebook en Google tegen zich in het harnas te jagen door niet direct opnieuw certificaten af te geven. Er is geen consequentie voor deze bedrijven, ze zeggen alleen "oeps, sorry, hadden we niet moeten doen". En intussen zitten ze op terrabytes aan over de jaren op deze manier verzamelde data van Apple gebruikers. Apple had moeten eisen dat die data eerst zou worden vernietigd voordat er opnieuw certificaten uitgegeven zouden worden.

[Sluuz]

Hoe weet jij wat voor regelingen er zijn getroffen? Of welke er niet zijn getroffen?

[ATS]

Dat weet ik niet. Maar voor, als Apple gebruiker, lijkt het in elk geval dat ze mijn privacy niet echt serieus nemen op basis van de informatie die naar buiten komt. De certificaten een dag later weer activeren zonder duidelijk te maken welke "regelingen" er dan zijn getroffen ziet er voor mij, als gebruiker, uit als buigen naar FB en Google.

[OkselFris]

Welke regeling is getroffen? De bewuste Apps zijn terug getrokken. Daar heb jij je antwoord.
Je lijkt te vergeten dat het hier om interne test apps gaat welke gebruikers moesten sideloaden. Het zijn geen apps die via de App store worden aangeboden.

[ATS]

Zucht. Nee, dat vergeet ik juist helemaal niet.

Het zijn apps die in eerste instantie weldegelijk in de store stonden (bij FB in elk geval) en daar uit gekicked zijn en nu via een zijweggetje opnieuw gepushed zijn. En ja, daarvoor moest je door een paar hoepels springen om ze te krijgen. Het is niet voor niets dat Apple deze app gebanned had. Dat ze er vervolgens een certificaat bedoeld voor interne apps voor misbruiken is misselijkmakend.

[Jasper Janssen]

Deze apps hebben nooit in de store gestaan.

[ATS]

Van de Facebook app heeft wel een eerdere versie in de store gestaan, onder de naam Onavo Protect.

[pietprecies01]

Het is een bedrijf om winst te maken, niet om een of andere ethische waakhond te zijn. De enige reden waarom ze normaal zoveel om privacy geven is omdat ze daarmee een selling point hebben waarmee ze meer geld verdienen. Als de economen berekenen oojt tot de conclusie komen dat het verkopen van data meer gaat opleveren dan bekend staan om privacy zullen ze ook over gaan.

Verder heeft apple niet echt een machtspositie over Facebook en google. Facebook/google willen de gebruikers hebben en apple wil de apps hebben omdat dat iphone kopers aantrekt. (Wanneer facebook, youtube, instragram, whatsapp etc. Allemaal zouden wegvallen van ios zou dat een erg harde klap zijn voor apple)

[Reactie gewijzigd door pietprecies01 op 23 juli 2024 00:03]

[Anoniem: 1128097]

Je hebt helemaal gelijk.

[HSL]

Helemaal eens, een kleine developer zou nooit meer een app mogen publiceren en had al zeker zijn certificaat niet meer “teruggekregen”.

Ik begrijp dat er zakelijk gezien wordt besloten het snel terug te draaien of minder streng te zijn, zonder FB en Google apps zouden er veel iOS users weggaan. Maar aangezien ze zich zo sterk maken voor beschermen van hun gebruikers vind ik het zo snel terugdraaien een beetje zwak.

* HSL is al 20 jaar een (kritische) Apple fanboy

[Reactie gewijzigd door HSL op 23 juli 2024 00:03]

[SpoekGTi]

Maar hebben ze nu exact hetzelfde certificaat weer geactiveerd of hebben ze een nieuw certificaat uitgerold waardoor het dus in ieder geval bij de 3de partijen niet meer werkt.

[z1rconium]

Zoals @Antrax zegt; revoked is revoked, inherent aan de techniek.

Early this morning, we received agreement from Apple to issue a new enterprise certificate; this has allowed us to produce new builds of our public and enterprise apps for use by employees and contractors. Because we have a few dozen apps to rebuild, we're initially focusing on the most critical ones, prioritized by usage and importance: Facebook, Messenger, Workplace, Work Chat, Instagram, and Mobile Home.

[Menesis]

Oh lol, dus ze hebben alle apps die onder dat certificaat vielen opnieuw moeten builden? En iedereen heeft ze vast ook opnieuw moeten installeren.

Kost ze nog aardig wat moeite hehe

[Reactie gewijzigd door Menesis op 23 juli 2024 00:03]

[pepsiblik]

Zoals @white modder zegt, kan je ook een certificate hold toepassen. Dat is slechts tijdelijk.

[ViveUtVivas]

Een certificaat kun je alleen "unrevoken" als deze bij de revoke een certificatehold comment state heeft gekregen.
Maar als ze inderdaad een revoke hebben gedaan, kan het natuurlijk met de intentie zijn geweest toch bepaalde zaken een halt toe te roepen.

4.5.3.1 Reasons for Revocation (bron Oracle)

An administrator can specify one of the following reasons when revoking a certificate:

affiliationChange: the certificate holder's relationship with the organization has been terminated

cACompromise: the private key of the certificate authority who signed the certificate has been compromised

certificateHold: the certificate has been placed on hold at this time (this amounts to a temporary revocation and it is the only reason code that allows the certificate to be assigned a different status subsequently, either to "unrevoke" the certificate for use or to revoke it with another reason code)

cessationOfOperation: the organization to whom the certificate was issued has ceased operations, and the CA's certificate is revoked using this code

keyCompromise: the private key of this certificate has been compromised

removeFromCRL: the certificate was placed on certificateHold, and is now being "unrevoked"

superseded: a new certificate has been issued in place of the existing one

unspecified: the certificate is revoked without a specific reason code; using this revocation reason is not recommended practice, however, since it makes it difficult to understand why a certificate was revoked

[Yoshi]

denk dat dat niet uitmaakt? Want die derde partijen zijn dezelfde als diegene die het oude gebruikte? :-). Denk dat er gewoon een woordje is gepraat en dat ze alles terug naar de oude situatie hebben gezet maar ff duidelijk hebben gemaakt dat het niet door de beugel kon/kan.

[z1rconium]

Zo werkt het niet. Certificaat word revoked en daarmee je apps onbruikbaar. Krijg je een nieuwe, dan zul je je apps opnieuw moeten compilen op basis van het nieuwe certificaat en apps moet je un/installen.

En reken er op dat Apple iets gaat verzinnen voor een volgende iOS versie dat dit niet meer kan gebeuren.

[Yoshi]

Het is/was me helemaal niet duidelijk of het effectief revoked is, het kan ook tijdelijk uitgeschakeld zijn aan de kant van Apple, waardoor die applicaties inderdaad niet meer werkten. Dus is dat even gemakkelijk terug geactiveerd

(certificate hold).

[z1rconium]

Maar dat is niet het geval.

we received agreement from Apple to issue a new enterprise certificate

[Antrax]

Het zijn officieuze certificaten, voor software, die revoked zijn. Ik schat dat ze een heruitgifte hebben gedaan. Als je eenmaal een certificaat ingetrokken hebt kun je die niet heractiveren.

[zarex]

Je zou het certificaat weer van de CRL kunnen halen. De vraag is alleen hoe de implementaties op de end-devices hiermee omgaan m.b.t. caching etc. Heruitgifte is de meest trefzekere manier om de boel weer operationeel te krijgen.

[xFeverr]

Even volledig los van hetgene wat Facebook en Google gedaan hebben:

Ik vind het best bizar dat je als bedrijf afhankelijk ben van een derde partij (Apple) om apps binnen je eigen organisatie uit te rollen. Het is niet zo dat het zonder Apple kan, maar Apple heeft in die zin wel de macht om in een keer alle bedrijfsapps onklaar te maken.

Ik neem aan dat je iOS uitsluit voor bedrijfskritische apps dan? (Serieuze vraag)

"Ja, maar dan moet je de regels niet overtreden"

Klopt, maar dat zijn natuurlijk Apple's regels, niet de wet of iets dergelijks.

[DigitalExorcist]

Hoezo? Als jij een harde afspraak hebt met de ontwikkelaar van een OS (hetzij Apple, hetzij elk ander OS) dat je een Enterprise-certificaat mag gebruiken voor *intern gebruik*, en je doet dat vervolgens niet, dan moet je daarop aangepakt kunnen worden.

Dat is nou juist het mooie aan het Apple ecosysteem, áls er iets gruwelijk misgaat kan er in no-time actie ondernomen worden. En dat gebeurd dan ook.

iOS moet je juist gebruiken voor bedrijfskritische informatie. Ik gebruik zakelijke diensten op m'n iPhone die ik ook privé gebruik (of liever gezegd is het m'n prive-telefoon waar ik ook zakelijk gebruik van maak) en via MDM kan mijn werkgever desgewenst alle bedrijfsgerelateerde apps en informatie met één druk op de knop wissen van m'n foon. Maar ook alleen *die* applicaties en data. Tuurlijk, dat geldt voor Android ook. Dat werkt in principe hetzelfde.

[Reactie gewijzigd door DigitalExorcist op 23 juli 2024 00:03]

[Anoniem: 1322]

Als jij een platform gebruikt zit je aan dat platform's regels. Er is geen platform dat niet het 'signeren' van apps gebruikt. Binnen Android, Windows, IOS is dit allemaal verplicht.. ieder platform heeft de mogelijkheid om per direct certificaten terug te trekken en bepaalde leveranciers of apps te blokkeren. Dit is een essentiël beveiligingssysteem wat ervoor zorgt dat de apps die geïnstalleerd zijn daadwerkelijk de apps van de leveranciers zijn en niet gemanipuleerd op een of andere manier.

Daarnaast, nu kun je dure distributie tools aan gaan schaffen of zelf ontwikkelen maar alle platformen bieden al een ingebouwd distributie systeem aan zoals de diverse appstores. Die werken ook voor bedrijfs applicaties. Je bent gek als je er geen gebruik van maakt.. simpelweg kosten besparing dus...

[pepsiblik]

Je hebt een punt. Bij Android is dat toch wat minder rigide. Daar heb je alternatieve stores en kun je eventueel via sideloads aan de slag. Maar dat is bij iOS onmogelijk zonder hack.

[Gladiator5]

Uhm nee, je kan gewoon apps sideloaden op een non-jailbreak iphone.

Cydia impacter, drop de ipa file in het programma, en gebruik een apple id om de app te signen naar jou account, kan je de app gratis 7 dagen testen.

Ja Als je hem dan alsnog wilt publiceren, zit je aan de regels van apple vast.
En wil je inderdaad de app blijven gebruiken zonder revoke, dan moet je inderdaad een jailbreak gebruiken, of de app laten goedkeuren door apple.

Maar het is niet onmogelijk om een app te testen.

[pepsiblik]

Wat jij beschrijft is dus niet bruikbaar in een productieomgeving. En daar ging het de OP om.

[Jasper Janssen]

Dat is geen "sideloaden". Dat is gewoon "gebruiken". Een non-dev Apple ID kan dev apps signen voor 7 dagen, een dev account voor 1 jaar. En Testflight wordt verkort gekeurd door Apple en is voor betas buiten je bedrijf.
Geen van die dingen werken natuurlijk als de certificaten van de betreffende apple ID ingetrokken zijn door Apple.

[Reactie gewijzigd door Jasper Janssen op 23 juli 2024 00:03]

[joezzt]

Wij hebben ook een ios enterprise licentie, is alleen bedoeld voor distributie naar eigen werknemers. Als je derden betaald voor gebruik van de app zijn het eigenlijk frelancers, wat ook zou mogen, vandaar weer geheractiveerd denk ik. Belangrijk voor apple is dat het niet misbruikt wordt voor individuele verkoop van apps en verspreiding van malware.

[Anoniem: 474132]

Dat filmpje van opinion rewards lijkt wel een parodie. Voorlichtingsmateriaal van een pro privacy organisatie om te waarschuwen voorzichtig om te gaan met je privacy gegevens.

Maar het is een filmpje van Google om mensen te overtuigen hun privacydata voor een klein beetje geld te overhandigen.

De focus ligt veel op Facebook de laatste tijd maar Google is minstens zo slecht bezig en het wordt alleen maar erger.

[page404]

Het “don’t be evil” statement is al een tijdje uit hun manifesto verdwenen. Dat spreekt boekdelen voor mij.

[DutchKevv]

Apple heeft sowieso het recht om te doen met hun eigen platform wat ze willen. Met regels die ze zelf willen. Maar ik denk dat Apple geen vrienden heeft gemaakt met deze actie. Al hebben Google en FB het keihard aan hun zelf te danken.

Het komt een beetje over alsof is het zonder vooraankondiging gedaan, wat voor de nodige paniek zorgde.

Nu vraag ik mij dus af: wat als Apple (of google) morgen hun voorwaarden wijzigen zonder vooraankondiging, waardoor 'belangrijke' infrastructuur software opeens de regels breken en dus opnieuw alles op zwart mag.

Het is nogmaals hun goed recht, maar je krijgt er een gigantisch vies spelletje van waarbij bedrijven elkaar keihard kunnen dwarsbomen. Lijkt mij ook niet echt goed uitpakken voor consumenten uiteindelijk.

Dus, zou er wellicht een wet moeten komen die bepaald dat apps na goedkeuring, niet zonder vooraankondiging van min 4 weken, uitgeschakeld mogen worden?

Stel dat je een kleine app bouwer bent en dit overkomt je, kan je je toekomst redelijk de prullenbak in gooien (al overschreden ze een bestaand / nieuwe regel).

[Reactie gewijzigd door DutchKevv op 23 juli 2024 00:03]

[n3z]

Ik begrijp dat Apple dit ook doet uit zakelijk oogpunt maar ik vindt het toch wel fijn als consument dat hier ingegrepen wordt.

[Anoniem: 1128097]

Moet je eens als klein bedrijfje de regels van apple overtreden. Het lijkt wel de Nederlandse wetgeving, de grote gaan vrij uit.

[stevens20]

Ik zal wel een doemdenker zijn mar dit is toch een seintje dat het Apple geen fluit uitmaakt.
Dit is een vrijbrief voor het volgende, beter verstopte, schandaal.

[mutley69]

Eigenlijk is het doodjammer dat Google en Facebook hun certificaat niet gewoon kwijt zijn gespeeld - dat zou verdiend en terecht geweest zijn. Nu verwacht ik dat het hierbij niet gaat stoppen - en dat weet Apple ook. De GDPR zal nu wellicht van stal worden gehaald - en hopelijk gaat dan duidelijk worden dat de strafmaat daarin bepaald te licht is. Staalharde maatregelen zijn de enige(n) die google en facebook lijken te verstaan. Het zij zo.