Apple brengt software-update uit als oplossing voor FaceTime-bug in groepsbellen

Apple heeft iOS 12.1.4 uitgebracht waarmee de fabrikant een beveiligingsprobleem in groepsbellen via FaceTime verhelpt. Het bedrijf had vorige week al een oplossing klaar, maar gaf toen aan dat de fix pas een week later zou worden uitgebracht.

Apple beschrijft in een opsomming over de beveiligingsinhoud van iOS 12.1.4 dat deze nieuwe versie een oplossing bevat voor het FaceTime-probleem in groepsbellen. De oplossing is beschikbaar voor de iPhone 5s en latere modellen, de iPad Air en nieuwere modellen en de iPod touch van de zesde generatie. De functie voor groepsbellen in FaceTime zou nu weer beschikbaar moeten zijn. Apple heeft een vergelijkbare update voor macOS uitgebracht.

Een week geleden besloot Apple de optie voor groepsbellen in FaceTime uit te schakelen, nadat er een beveiligingsprobleem opdook. Kwaadwillenden konden via de bug groepsgesprekken op FaceTime afluisteren en de videobeelden bekijken. Dat was mogelijk door tijdens het laten overgaan van een privégesprek er een groepsgesprek van te maken door het eigen telefoonnummer toe te voegen.

Apple bood eerder al zijn excuses aan voor het probleem. Het bedrijf werd op de hoogte gesteld van het probleem door een Amerikaanse vrouw; haar 14-jarige zoon had de bug ontdekt. Ondanks dat ze via meerdere wegen direct bij Apple melding maakte van de bug, werd ze in eerste instantie grotendeels genegeerd. Zo gaf het bedrijf haar het advies eerst een ontwikkelaarsaccount aan te maken om vanuit daar een bugreport aan te melden.

Reacties (23)

Er is ook een update voor macOS uitgebracht, met dezelfde fixes

[Reactie gewijzigd door NanoSector op 7 februari 2019 21:12]

Inderdaad, dat voeg ik nog even toe

De functie voor groepsbellen is overigens niet meer werkzaam in oudere versies. Je dient verplicht te upgraden naar 12.1.4 om weer gebruik te maken van deze functie.

dus mijn oude ipad 2 kan dus geen facetime meer aan ofzo, terwijl het toestel dat hardware matig nog altijd in staat is om dat te doen.

Nee, je oude iPad 2 kan FaceTimen met 1 persoon. Dat kan ie nog steeds.
Group FaceTime kon hij al niet, en nu nog steeds niet.

Bedankt , ik wist dit niet

Dikke kans dat ze iets in het protocol aangepast hebben die de state machine aan de client en server kant doet veranderen waardoor je die logic error niet meer kan veroorzaken. In een one-way client zou je dat (zoals in een browser) puur aan de server kant kunnen regelen, maar hier blijkt dat niet te kunnen door de mate van integratie. Op zich niet gek, en ook prima dat de tijd genomen wordt voor een degelijke patch.

Ik denk dat ze ook een third-party of een team er streng naar hebben laten kijken, aangezien de release notes het hebben over "A thorough security audit of the FaceTime service". Dan lijkt het me nog niet zo gek dat het zo lang heeft geduurd.

Zou best wel eens kunnen ja. Achter de schermen komen de commerciele audits vaker voor dan we denken; ook in NL bedrijven vaak genoeg gezien waar je het misschien niet verwacht (en helaas ook het omgekeerde: geen audits waar je het wel verwacht )

Lijkt me typisch een ding voor sommige bedrijven als je een bug tegen komt die miljoenen instances betreft, vooral ook om dat je zou verwachten dat je juist door de grote aantallen dat soort dingen eerder tegen komt (om dat er gewoon meer edge cases zijn en daarmee ook meer mogelijke momenten waarop onverwachte zaken naar boven kunnen komen).

Audit hoeft helemaal niet te betekenen dat het een extern bureau is geweest, zeker niet bij een bedrijf als Apple. Ik heb in een eerder topic al aangegeven dat ik vermoed dat de groep die FaceTime heeft omgebouwd naar multi-client gewoon er voor gezorgd heeft dat ze eindelijk hun features konden verschepen, niet op een speciaal nalatige of onkundige manier maar simpelweg vanuit hun eigen gezichtspunt waarbij de feature belangrijker was dan het OS of security.

Wat had moeten gebeuren is dat er een speciale sandbox was gebouwd voor FaceTime door het OS of security team vanuit het OS en security perspectief. Want dit soort dingen komen eigenlijk niet voor bij third-party applicaties waarbij alles standaard goed dichtgespijkerd zit maar bij Apple applicaties wel, zoals lock screen bugs via de camera applicatie.

Daarom zeg ik dus ook "een third-party of een team"

Hoe zou een sandbox een bug als deze moeten verhelpen? Dit is puur een bug in de FaceTime logica, niet iets waarvan ik denk dat een sandbox een verschil had kunnen maken.

Als een applicatie de microfoon gebruikt dan zie je normaliter een indicator in je statusbalk. Deze indicator ontbrak doordat FaceTime niet de zelfde of een vergelijkbare sandbox gebruikt. Het OS of API team moet bedenken hoe ze het FaceTime team een sandbox kunnen geven die weliswaar iéts meer kan maar tegelijkertijd wel op alle andere punten nog steeds dichtgespijkerd is. Dan nóg kan het fout gaan maar lang niet zo snel. Het is erg lastig voor een gewone ontwikkelaar om dit soort bugs te fabriceren omdat de sandbox gewoon te goed is.

Ik gebruik FaceTime zelf amper maar ik kan me herinneren dat er wel zo'n groene balk boven in beeld staat als je FaceTime in de achtergrond zet, net zoals bij gewone gesprekken. Ik zal dit thuis straks eens uitproberen.

“Jailbreaks kosten Apple geld”... Ik denk niet dat dat om aanzienlijke hoeveelheden gaat. Doelbewust pesten patchen is veel duurder dan gedogen!

Echter, jailbreaks brengen wel fouten en beveiligingslekken aan het licht. Ik denk eerder dat Apple het veel interessanter vindt om díé er doelbewust uit te halen. Ze verkopen niet alleen de hardware maar ook een gevoel van veiligheid. Het zou hypocriet zijn als ze altijd maar zouden schreeuwen dat ze veiligheid zo hoog in het vaandel hebben en vervolgens zulke beveiligingslekken lekker zouden laten zitten...

MacOS 10.14.3 update is een dikke 900MB???
Lijkt me sterk dat dat alleen voor de Facetime bug is

Messages en Safari lijken ook te zijn ge-update.

Oh, dan installeer ik 'm misschien wel… Messages bevriest m'n hele systeem als ik het open. Door die lock-up crasht FaceTime ook nog eens.

"Apple bood zeerder al zijn excuses aan voor het probleem."
Moet natuurlijk zijn: Apple bood eerder al zijn excuses aan voor het probleem.

De auwteur heeft het inmiddels aangepast.

Mijk iPhone heeft geen werkende WiFi, via iTunes krijg ik de update niet binnen, zijn er nog mensen die met hetzelfde zitten?

knoop hem aan je pc/mac

Dat doe ik dan ook, maar via iTunes krijg ik telkens te zien dat er geen update is.

EDIT: nvm, ben al een ipsw bestandje aan het downloaden om zo te kunne updaten voor het slapengaan

[Reactie gewijzigd door killerbie op 7 februari 2019 22:33]