Bugs in iOS maken aanval zonder tussenkomst van gebruiker mogelijk

Beveiligingsonderzoekers van Google hebben vijf bugs gevonden in iOS waarbij een aanvaller een iPhone kon infecteren zonder tussenkomst van de gebruiker. De bugs zijn inmiddels opgelost, maar sommige details worden nog geheim gehouden.

De bugs zitten in iMessage, zegt onderzoeker Natalie Silvanovic van Googles Project Zero, de afdeling die lekken in software opspoort. Google heeft details over de bugs online gezet, maar houdt die van één bug nog privé, omdat daarvoor nog geen volledige fix beschikbaar is. Silvanovich heeft een proof-of-concept gemaakt over de bugs, die voorkomen op de iPhone 5s en hoger, de iPad Air en hoger, en de iPod Touch 6 en hoger. In iOS 12.4 worden de bugs opgelost.

Het gaat om kwetsbaarheden waarbij een aanvaller een telefoon kan infecteren door een specifiek bericht naar iMessage te sturen. Op die manier kan de aanvaller bijvoorbeeld gebruikmaken van vrije ruimte in het werkgeheugen om dat uit te lezen, maar in sommige gevallen ook om van een afstand code op een toestel uit te voeren. De onderzoekers hebben de bugs gemeld aan Apple, dat binnen negentig dagen met een oplossing kwam. Op dit moment zijn nog niet alle details van de lekken bekend, maar Silvanovich geeft volgende week op de hackersconferentie BlackHat meer uitleg.

Het gaat om de volgende lekken:

CVE-2019-8647	Use-after-free-bug waarmee in zeldzame gevallen van een afstand code via het werkgeheugen kan worden uitgevoerd. Moeilijk uit te buiten volgens de onderzoekers.
CVE-2019-8662	Vergelijkbaar met CVE-2019-8647.
CVE-2019-8660	Kwetsbaarheid in het geheugen, specifiek in Core Data, waarmee aanvallers apps kunnen laten crashen en code kunnen uitvoeren.
CVE-23019-8646	Bug in NSData waarmee een aanvaller bestanden kan uitlezen, ook buiten de sandbox.
CVE-2019-8641	Details worden nog stilgehouden omdat er nog geen update is.

Reacties (79)

[Yzord]

De lekken zouden inmiddels opgelost zijn, maar hoe dan? In de laatste versie of door een eerdere versie? Dat kan ik namelijk niet uit het artikel halen. Iemand?

[marcjo]

“In iOS 12.4 worden de bugs opgelost.”
Had ook beter kunnen staan “In iOS 12.4 zijn de bugs opgelost.”
En wat “Javaantje_75” al aan geeft die update is al een week uit.

[aap]

Komt Google dan niet iets te snel met deze informatie? Ik zag dat mijn telefoon nog niet op deze versie zat (update installeert nu!), dus er zijn vats nog miljoenen gebruikers die kwetsbaar zijn.

[oef!]

Dat is discutabel, Google houdt standaard 90 dagen aan voordat ze disclosen. Van de ene kant is dat goed omdat je zo afdwingt dat er een fix komt (en 3 maanden lijkt me redelijk). Van de andere kant is het flauw of kan het verkeerd uitpakken, Microsoft had er een tijdje geleden nog wat issues mee.

Het niet patchen van systemen/telefoons is in ieder geval geen goede reden om iets stil te houden, het is simpelweg een feit dat er altijd ongepatchte systemen zullen zijn.

[marcjo]

Die van mij wel en die van mijn vrouw ook. Maar mijn IPad dus weer niet.
Er zit dus een verschil, geen idee waarom.

[Shark.Bait]

Ik denk in de 1 of andere update van IOS....

[Jack Flushell]

Ik denk in de 1 of andere update van IOS....

No shit, Sherlock!

[Ruw ER]

Hoe gaat onderzoek als dit in zijn werk, iemand ervaring mee? Is het maar wat proberen, of echt naar de code kijken en proberen zwakheden te ontdekken, of hoe doen ze dit.

5 bugs vinden, lijkt veel. Hoeveel meer zouden er in iOS zitten, of in Windows, of in Android..

[CivLord]

Het is vooral weten hoe bepaalde zaken werken en wat voor zaken problemen opleveren wanneer die niet afgevangen worden.
Wanneer je dan hoort dat iets een probleem oplevert bij applicatie X op OS A, kun je kijken of het ook bij applicatie Y of OS B problemen oplevert. Of dat een variant problemen oplevert. Of het kan inspiratie opleveren om te kijken of een dergelijk probleem in een soortgelijke procedure in een andere applicatie ook speelt.

In veel gevallen is het kijken naar hoe een programma reageert op onverwachte input. Probeert het alles, inclusief onzin, uit te voeren en kan het uitvoeren van onzin onverwachte resultaten opleveren? Wordt de invoer gefilterd, maar kun je dat filter voor de gek houden? Etc., etc.

[blorf]

Een closed source OS is een probleem. Zo kan je niet de risico's in kaart brengen. iMessage heeft blijkbaar de permissie om buiten eigen process-space te handelen, of het bevat een zeer ernstige fout die dat mogelijk maakt. (1 waarbij je geen 90 dagen over een fix gaat doen) Ik vermoed het eerste, i.t.t. dat het aan bugs zou liggen, dat zou ik ook zeggen. De infrastructuur van het geheel is qua beveiliging ontverantwoord ontworpen waarbij de integriteit van afzonderlijke systeemcomponenten is aangetast.

Met WinXP was dat al begonnen, met o.a. die standaard kale MSN-messenger die ongemerkt en om onduidelijke redenen actief in het systeem moest zitten. Dat was vragen om problemen en die hebben ze dus ook gehad.

[Reactie gewijzigd door blorf op 23 juli 2024 10:50]

[PolarBear]

Een closed source OS is een probleem. Zo kan je niet de risico's in kaart brengen.

Hoewel in de theorie volledig valide is het in de praktijk een beetje een red herring. Het aantal mensen wat source code kan lezen en begrijpen is beperkt ten opzichte van het totaal aantal gebruikers, het aantal mensen wat source code kan lezen, begrijpen en bugs kan opsporen is maar heel klein (relatief gezien). Ook in open source projecten komen ernstige bugs voor (zie bijvoorbeeld OpenSSL bugs van 3 jaar geleden en dat wordt nog veel gebruikt ook). En je kan er niet vanuit gaan dat omdat het open source het veilig is.

Het wel of niet open source zijn van een product is slechts een facet de veiligheid van software.

[blorf]

Risico's in kaart brengen is iets anders dan bugs opsporen in code. En zonder de interne werking van een proces te kennen, waaronder de communcatie met de rest van het systeem, gaat dat niet. Closed source kan ook misbruikt worden als 'strategie' om inconsistentie in de basis te verbergen...

En mijn eigen mening: het risico van gesloten software vergeleken met publieke open software is enorm / niet te overzien. Een ontwikkelteam van een enkel bedrijf kan nooit op tegen een wereldwijde community waarbinnen informatie vrij wordt gedeeld. Nog steeds niet als het team uit 10000 man bestaat. Closed source software voor internationaal massa-gebruik gevaarlijk noemen vind ik niet absurd. Het verwacht blind vertrouwen in een commerciele organisatie...

[Reactie gewijzigd door blorf op 23 juli 2024 10:50]

[swhnld]

Naar code kijken kan alleen als je toegang er toe hebt, heb je dat niet dan kun je wel andere aanvallen er op loslaten, bijvoorbeeld stel iemand vind een lek in een andere applicatie zoals bijvoorbeeld Hangouts, is dat lek er dan ook in iMessage, zo ja, dan rapporteer je dat bij Apple opdat ze dit op kunnen lossen. Het is een kwestie van proberen, al dan niet geautomatiseerd.

[lepel]

Dan kun je beter eens googlen naar hoe een jailbreak in elkaar gezet wordt, precies dezelfde methode

Je hebt hier al kennis nodig van hoe software op zulke apparaten werkt. Waar misschien een overflow zou kunnen plaatsvinden, of waar misschien een kink in de beveiliging kan zitten, etc.

[Ford Prefect]

Heel erg kort door de bocht: Heel veel tijd en reverse engineering tools zoals IDA Pro en Ghidra of welke taal dan ook je binary in is geschreven. Het is een enorme versimpeling van het het in zijn werk gaat maar basically gebruikten ze die tools om te kijken of ze foutjes zien.

[Pep7777]

Of dit https://en.wikipedia.org/wiki/Fuzzing.
Kijken of een programma begint te crashen en dan kijken wat je daar verder kan lospeuteren met meer gericht onderzoek

[robbvdb]

Eigenlijk best vreemd, de titel stelt: "Bugs in iOS maken aanval zonder tussenkomst van gebruiker mogelijk".

Dat gaat over IOS en bugs. Wie het artikel goed leest ziet prima wat er staat. Er is niets onduidelijk aan het artikel. Het werd prima geschreven.

Vervolgens wordt er aardig gestemd ( negatief gemodereerd ), vooral waar iemand kritisch is t.a.v. Apple. Er worden dan ook gewoon zwakheden ontkend of gebagatelliseerd.

Tot slot wordt Android er natuurlijk weer eens bij gehaald, zonder enige onderbouwing als 'het nog veel onveiliger OS'.

Schiet mij maar lek . Daar ging het artikel niet over toch? Tenzij je onderbouwd misschien een hele goede vergelijking op gaat zetten totaal niet relevant.

Als je de mening, ook een kritische maar goed onderbouwde, een andere mening dan de jouwe, je niet aan staat, ga dan op basis van argumenten en liefst feiten in discussie.

Apple heeft gewoon net als andere OS'en af en toe last van zwakheden. Apple is er meestal best wel fijn op tijd weer bij, om die foutjes op te lossen. Niets heel ergs aan me dunkt.

Alle groten kunnen zich niet permitteren bij dit soort fouten, om de boel niet vlot op te lossen. Of het nu Apple, Google of Microsoft is. Bij de meeste zwakheden geldt bovendien dat ze nooit uitgebuit werden. Op zowel IOS als op Android zie ik graag de voorbeelden inclusief bron.

Wie kent er iemand, die wél serieus slachtoffer werd van één van die jarenlang gevonden zwaktes? En dan bedoel ik niet zoals jaren geleden dat je een Iphone 'even over de zeik kon laten gaan' door een bericht te sturen met bepaalde inhoud. Want een reboot verder en het was over zonder enige blijvende schade, of het moest dat tijdelijke deukje zijn, in het vertrouwen in IOS.

[DJSnels]

Ik heb als iOS gebruiker de Telugu character bug meegemaakt: https://serhack.me/articles/crash-iphone-telugu-character-en
Voor mij gaf deze behalve een gecrasht springboard geen issues, maar de groepsapp had wat leden die hun iPhone in DFU mode moesten zetten en hebben moeten restoren van de laatste backup. Als ze notificaties kregen van het ontvangen bericht (whatsapp of welk ander medium dan ook) was het springboard het daar niet mee eens, en kwam men met geen mogelijkheid uit die springboard reset loop (ook niet in flight-mode).

Ik kan je zeggen, voor sommige gebruikers zonder dagelijkse iCloud backups heeft dat zeker wel (veel) impact.

[Javaantje_75]

“In iOS 12.4 worden de bugs opgelost.”
IOS 12.4 is al een weekje uit;-)

[Hackus]

@TijsZonderH "In iOS 12.4 worden de bugs opgelost." 12.4 is er al, dus zijn de 'bugs' al verholpen.

[LOTG]

Ligt het aan mij of zijn er opvallend vaak problemen met iOS en berichten die er heen gestuurd worden. Of het hele apparaat is praktisch gebricked door een bootloop, of je kunt van alles omzeilen. En anders kan het wel via Siri.

Nu is het natuurlijk makkelijker om iets op iOS te gooien om dat iMessage er onderdeel van is en het bij Android vaak een third party app is maar toch.

Voor een bedrijf wat nog wel met een oprecht gezicht privacy kan roepen is de QA van security wat ondergeschikt lijkt het.

Edit:
Ik zeg niet vaak problemen, alleen dat het vaak specifieke problemen zijn.
Zoals ik zeg het bootloopen van een iOS apparaat met een bericht is meer dan eens voor gekomen, sterker nog ik las het begin deze maand op een tweakblog van @ShellGhost.

[Reactie gewijzigd door LOTG op 23 juli 2024 10:50]

[KirovAir]

Voor een bedrijf wat nog wel met een oprecht gezicht privacy kan roepen is de QA van security wat ondergeschikt lijkt het.

Hoge bomen vangen veel wind. Apple deelt relatief hoge beloningen uit voor het vinden van dit soort bugs. Google doet dit overigens ook alleen vind ik dat daar minder verslag over wordt uitgebracht.
Daarnaast is bij alle bovenstaande bugs slechts in beperkte mate de sandbox omzeild. Root toegang waarbij de hele telefoon compromised is gebeurt nog zeer zelden. Daarom is de jailbreak community tegenwoordig slechts een schim van vroeger.

Op Android heb je vele soortgelijke bugs. (Waarbij je niet 100% zekerheid hebt dat dit gefixt wordt bij door de hardware/software combinatie. Bijv oudere toestellen)
Ik kies geen kamp hoor, slechts een nuance op de opmerking.

[Reactie gewijzigd door KirovAir op 23 juli 2024 10:50]

[HyperioN]

Apple deelt relatief hoge beloningen uit voor het vinden van dit soort bugs.

In theorie, ja.

In de praktijk is het bug bounty program van Apple invite-only; lastig te vinden en moeilijk binnen te komen:
Zie (bijv.): https://appleinsider.com/...s-us-all-less-safe-online

Zit je niet in het program, dan wordt je in eerste instantie gewoon genegeerd:
nieuws: Apple negeerde melding van vrouw die Facetime-bug als eerste rapporte...
Pas toen bovenstaand verhaal in de media verscheen, kwam Apple over de brug met een vergoeding:
https://www.cultofmac.com...-discovered-facetime-bug/

Het wordt nog leuker. Zit je wél in het bug bounty program, dan worden je vergoedingen om onduidelijke redenen zelden uitbetaald.
Zie bijvoorbeeld deze onderzoeker die Apple oproept de 2.5 miljoen (!) aan bounties die hij zou krijgen maar over te maken aan Amnesty: https://twitter.com/i41nbeer/status/1027339893335154688
En deze quote:

quote: https://www.vice.com/en_u...phone-bug-bounty-payments

Another researcher, who asked to remain anonymous because they are worried about souring their relationship with Apple, said that they have submitted a few bugs and been awarded bounties, but has yet to be paid.

Google doet dit overigens ook alleen vind ik dat daar minder verslag over wordt uitgebracht.

Google is daar juist veel opener over naar mijn mening.

Ik kies geen kamp hoor, slechts een nuance op de opmerking.

Ik ook niet, ben fervent Apple-gebruiker, maar in deze casus lijkt mij dat Apple een keer juist niet het goede voorbeeld geeft.

[Reactie gewijzigd door HyperioN op 23 juli 2024 10:50]

[Blizz]

Apple deelt relatief hoge beloningen uit voor het vinden van dit soort bugs.

Dit is juist niet zo.

Root toegang waarbij de hele telefoon compromised is gebeurt nog zeer zelden. Daarom is de jailbreak community tegenwoordig slechts een schim van vroeger.

Dit is simpelweg fout. Rootless jailbreaks zijn niet zo populair en de jailbreaks die je bij naam kent zijn niet rootless. Jailbreaks worden geregeld uitgebracht voor de laatste of een iets oudere versie, met extra aandacht voor eindversies van iDevices (denk aan de laatste iOS 12-versie voor A7-A8X apparaten). Vaak worden exploits van het Google Zero team gebruikt (want de echt goede/zero day exploits gaan meestal naar de zwarte markt voor miljoenen).

De werkelijke oorzaak dat de jailbreak community zoveel kleiner is, is dat er vrijwel geen drive-by exploits opduiken die een makkelijke jailbreakme kunnen faciliteren (gemak). Dat gepaard met het nog belangrijkere feit dat Apple elk jaar de functionaliteit van tientallen jailbreak tweaks inbouwt (noodzaak) maakt dat veel mensen een jailbreak niet nodig vinden en de 'moeite' om zich even in te lezen niet waard vinden. iOS 13 komt nu bijvoorbeeld met een dark mode. Hier jailbreaken gebruikers al tien jaar voor. Een Wi-Fi of Bluetooth netwerk kiezen vanuit je CC is ook al jaren mogelijk via jailbreak tweaks. Et cetera.

[KirovAir]

[...]

Dit is juist niet zo.

[...]

Dit is simpelweg fout. Rootless jailbreaks zijn niet zo populair en de jailbreaks die je bij naam kent zijn niet rootless. Jailbreaks worden geregeld uitgebracht voor de laatste of een iets oudere versie, met extra aandacht voor eindversies van iDevices (denk aan de laatste iOS 12-versie voor A7-A8X apparaten). Vaak worden exploits van het Google Zero team gebruikt (want de echt goede/zero day exploits gaan meestal naar de zwarte markt voor miljoenen).

Maar zelfs dat zijn geen 'volldige' jailbreaks zoals vroeger. Bij een reboot is de jailbreak weg. Enhet 'harde' updatebeleid zonder downgrade mogelijkheid maakt het verdomt lastig om jailbreakbare toestellen in het wild te vinden.

[Blizz]

Dat klopt, het zijn semi-untethered jailbreaks. Persoonlijk vind ik daar meer voordelen aan, je moet echt schade toebrengen om in een bootloop te raken, respringloops zijn niet zo problematisch om uit te komen (als je lui bent kun je rebooten en dan jailbreaken zonder tweaks te laden).

Enhet 'harde' updatebeleid zonder downgrade mogelijkheid maakt het verdomt lastig om jailbreakbare toestellen in het wild te vinden.

Dat is wel waar ja, al moet je wel weten waar en waarnaar je moet zoeken, want ze zijn er wel (zelfs nieuw, bv. een nieuwe iPhone X van een bedrijf zoals belsimpel). Een vriend wilde eerder dit jaar graag een X kopen én jailbreaken nadat alleen 12.2 signed was kreeg hij via zo'n bedrijf een iPhone X op 12.0.x.

Een apparaat op 12.2 is jailbreakbaar, een apparaat op 12.3 zal dat vermoedelijk over niet al te lang zijn (er waren al enkele exploits beschikbaar vóór vandaag). 12.4 kun je nog via iTunes downgraden naar 12.3 en mits je blobs hebt en lager dan 12.2 zit, dan kun je met futurerestore naar 12.2 springen (de SEP van 12.3.x is compatible met die van 12.2+ zonder dat de fortnight bug zich voordoet zoals dat wel gebeurde met de 12.1.3+ SEP op 12.0 - 12.1.2).

[lDDQD]

Je opmerking over de jailbreak community klopt totaal niet. Alle iOS versies hiervoor zijn al een keer gekraakt ('jailbreakable') en kan je tot iOS 12.1.2 makkelijk volledige root krijgen. De community is daarnaast flink gegroeid (zie Reddit).

Oh, en er is al een prive jailbreak uit voor iOS 13 (die nu nog in beta is).

[robbinwehl]

Een schim tegenover vroeger?
Jailbraken is inderdaad niet meer zoals het vroeger was, dit word nu op een andere manier gedaan .. het is namelijk mogelijk alle mogelijke apps te installeren zonder een gejailbrakte iphone te hebben.
iets met cydiaimpactor en zelfs gewoon via browser zijn 'onofficiele' apps te installeren, ook die je systeem instellingen aan kunnen passen wat de peer dus niet wil...

Dus nee ben het niet helemaal met je eens, definitieve jailbreak klopt.. maar wat er nu is is wel voortgekomen uit jailbraken.

[ZpAz]

Een snelle google search verteld mij dat ze beiden up to $200.000,- doen.

[bigbadbull]

volgens mij slaat zijn vergelijking niet over het bedrag, in tegendeel "google doet dat ook" kan dus incl hoge beloning zijn, maar hij vind dat Google minder transparant naar rapportage toe.

[KingFox]

Direct weer aankomen met "vaak problemen met iOS". Bugs komen overal wel voor hoor, in elk OS. Er zijn in het verleden wel vaker bugs geweest met Messages, maar niet altijd persé met security impact. De huidig gevonden bugs komen ook in zeldzame gevallen voor.

Bijvoorbeeld, via een zeldzaam geval kan er aan bestanden buiten de sandbox. De kans is groot dat dit niet zo omvangrijk gekend en misbruikt is. Als je dat vergelijk met Android (nieuws: Onderzoekers manipuleren WhatsApp-mediabestanden via externe Android-... tsja, daar is gewoon de opzet van het systeem zo gemaakt dat je zomaar aan vanalles en nogwat kan. Dan vind ik zaken zoals het omzeilen van een permissiesysteem (nieuws: Onderzoekers vinden 1300 apps die permissiesysteem van Android kunnen...) en de manier waarop het is opgezet (developers moeten de permissie vaak manueel vooraf vragen, bijv. bij app-startup, en niet op het moment waarop de permissie zal worden gebruikt zoals bij iOS) een veel grotere impact hebben dan dit.

Het grote voordeel van iOS is dan weer dat het binnenkort gefixt wordt en dat 80% van de devices die iOS 12.4 zullen krijgen (tot de iPhone 5S uit 2013) nog steeds de meest recente security patches zullen ontvangen. Er zijn zoveel (tot op heden onbekende) (security) bugs in omloop dat het voor mij minstens zo belangrijk is op welke manier ze aangepakt worden. Als je iets gelijkaardigs als dit op je Android uit 2013 aan de hand zou hebben, kan je het wel schudden met updates.

[LOTG]

Ik ben het er ook helemaal mee eens dat de isolation van Android apps waardeloos is en dat het WhatsApp issue al jaren geleden gefixed had moeten worden maar door keuzes niet gebeurd is (nee, extra ruimte nodig hebben is een slechte reden, je zou net zo goed de isolated storage kunnen expanden als het nodig is).

En dat er in het verleden vergelijkbare problemen met messages geweest zijn vind ik het oprecht raar dat vrijwel exact dezelfde issues opnieuw voor komen. Misschien door een andere oorzaak, maar het duid er op zijn minst op dat er eens gekeken moet worden naar hoe dit in het OS integreert als een app die eigenlijk alleen berichten moet afhandelen dusdanig grote impact kan hebben dat je telefoon gebrickt(ja te fixen) word of een remote exploit kan uitvoeren.

Ik denk dat iMessage te veel rechten heeft en dat men te veel nutteloze features toevoegd die in mijn ogen een veel te grote impact hebben voor wat ze daadwerkelijk opleveren.

[ShellGhost]

Het komt relatief vaak voor met vreemde karakters, al dan niet in combinatie met anderen, dat iOS over de zeik gaat.

[Shark.Bait]

Elk OS is zo lek als een mandje, en Apple is een relatief makkelijk doelwit natuurlijk. Ik vraag me af of Google hun eigen lekken zo makkelijk aan de klok hangt. Het mooie is dat Apple haar systemen langer blijft patchen dan de mensen die van Android gebruik maken (schuld van de fabrikanten, niet google) dus kan je ook stellen dat een willekeurig IOS device zeer waarschijnlijk beter beveiligd is dan een android apparaat. En als je weet hoe google met je privacy omgaat tov Apple, dan weet je ook dat dat naar alle waarschijnlijkheid beter geregeld is dan bij de concurrentie.

[Shark.Bait]

Apple is niet heilig.

Dat zijn ze zeker niet, dat zeg ik nergens.

Laatst kwam naar buiten dat Apple Siri-teksten laat beluisteren.

Nee, je verdraait de feiten; er kwam naar buiten volgens de Guardian dat een apple medewerker beweert dat apple siri teksten laat beluisteren zonder toestemming of medeweten van de gebruiker. Innocent until proven guilty--men onderzoekt deze zaak.

[LOTG]

Je quote wel selectief, misschien de hele zin nemen.

Ligt het aan mij of zijn er opvallend vaak problemen met iOS en berichten die er heen gestuurd worden.

[aval0ne]

Je begrijpt toch wat je zelf wil zeggen? Je zegt letterlijk "vaak problemen met iOS en berichten" dus vaak problemen met iOS en vaak problemen met berichten.

[Verwijderd]

Een cynische kijk is, in Android zitten ook gaten, maar doordat Google ook actief de os van andere platformen checked, kunnen ze hun eigen problemen netjes onder het tapijt houden en die van anderen aanhankelijk maken.

Zo lijkt het alsof Android beter is en de anderen slechter.

Minder cynisch, Google komt op voor de gebruiker ongeacht het platform.

Voor de goede orde, mijn voorkeur gaat uit naar Android.

[Chip5y]

Nee hoor, Google disclosed ook gewoon zero days in hun eigen producten.
Deze van maart van dit jaar nog bijvoorbeeld: 'Google reveals Chrome zero-day under active attacks.'

Het lijkt mij juist Apple dat niet snel eigen vulnerabilities zal publiceren en gewoon stil (onder de mat) patcht, hoe groot deze dan ook wel niet is. Als de ontdekkers er zelf niet met buiten komen zal Apple het ook niet doen. Dat is mijn indruk althans.

[pepijntb]

Android is ook objectief beter.
https://www.itsecdb.com/o...ogle-Android.html?class=5
7 vulnerabilities in Android OS
https://www.itsecdb.com/o...le-Iphone-Os.html?class=5
127 vulnerabilities in iPhone OS

[Thomas18GT]

Bronnen die nog gaan over IOS 2.2.1

Is dat nu bijna 12 jaar geleden?

[Reactie gewijzigd door Thomas18GT op 23 juli 2024 10:50]

[andreetje]

Waar komt het idee vandaan dat iOS beter zou zijn dan Android?

Terwijl bijna 90% van de markt Android is, horen wij nooit van grote veiligheidsproblemen bij Android. Wel horen we hoe weinig Android updates krijgt bij veel fabrikanten. Mijn conclusie is dat Android van zichzelf zeer veilig is.

Ook is de stabiliteit van Android zeer goed.

https://dazeinfo.com/2017...one-crash-failure-report/

[Thomas18GT]

Geen idee waarom je dit op mij reageert maar oke.

Ik denk dat beter en veiligheidsproblemen in de volksmond ver uit elkaar liggen en dat beter vooral gericht is op het subjectieve aspect van een OS. De werking van de UI en apps bijvoorbeeld.

Ik ken niemand in mijn buurt waarvan de telefoon is gehackt en heb nooit gelezen over het grootschalig hacken van telefoons, of dat nu Android of iOS is, dus ik denk dat er maar weinig bang zijn voor zo'n "aanval".

En je bron gaat over 2016.. Niet echt relevant. Ook is het nogal moeilijk vergelijken. Apps op een low-end Android toestel zullen vaker crashen dan op een high-end. Hetzelfde met een 5s tegenover een Xs.

[Annihlator]

"Beter zijn" is een objectieve verwoording "beter vinden" is subjectief; ik beroep mensen er gewoon op wanneer zij subjectiviteit als objectiviteit durven te verkopen door te benoemen dat zónder die veiligheidsafweging het nimmer te verantwoorden moge zijn óf een OS béter is.

Leuk dat jan-modaal vooral kijkt naar werking, maar dat is nou eenmaal het verschil tussen een amateursblik en niet; daar mogen we best bot en eerlijk over zijn... ik durf zelfs te argumenteren dat zolang jan-modaal er anders naar kijkt dat mogelijk verdomd belangrijk is om te benoemen

[Thomas18GT]

Veel woorden voor zo weinig betekenis. Wat is je punt?

[deviltje]

Helaas zie je bugs overal.
Ik dacht alleen dat Google de policy had om als ze een bug vinden, deze te rapporteren en dan binnen X-tijd naar buiten te brengen hoe en wat.
Bij Windows al een paar keer gebeurd dat ze bugs naar buiten brachten, zonder dat er een patch was..

[WhatsappHack]

Vendors krijgen meestal 90 dagen. Heel soms iets langer als het zeer complex is, lastig is of updates moeilijk te installeren zijn waardoor het even duurt voordat het merendeel het systeem/applicatie heeft bijgewerkt.

Deze bugs, op één na, zijn gefixt door Apple. De ene die nog niet gefixt is geeft Google nog geen details over.

[CivLord]

Hier is het Apple gelukt om de problemen op te lossen binnen de 90 dagen termijn die Google hanteert.
En wanneer je het heel vriendelijk vraagt en niet Microsoft bent, willen ze nog wel eens langer wachten.

[Vexxon]

Het valt mij altijd dat Project Zero alleen maar bugs lijkt te publiceren van andere concurrerende OS-en en niet van Android.
Zitten geen bugs in zeker?

[TijsZonderH]

Denk niet dat Android binnen hun scope valt en dat het Android security-team los opereert, maar ze hebben wel de Google Zero Prize voor iedereen die bugs vindt in Android.

[CivLord]

Ze zullen wel onder het budget van de markering afdeling vallen.

[Chip5y]

Er worden onder andere ook Chrome bugs enzo door Project Zero gepubliceert hoor. Er staat er zelfs nog een actieve in op dit moment.

[Verwijderd]

Apples IOS werkt prima hoor. Deze bugs zijn primair gericht op de imessage en facetime functionaliteit.

[marcjo]

De mensen die dat zo keihard riepen hebben geen verstand van zaken. Geen enkel os is waterdicht. Nu je ziet dat het laaghangend fruit (Microsoft en Android) beter beveiligd raken, worden er meer pijlen gericht op iOS. En dit kat en muis spel zal oneindig door gaan.

[Rhylian]

Helemaal mee eens. Daarnaast hoe populairder een OS hoe interessanter het wordt om er in te kunnen breken. Dus geen wonder dat de laatste jaren met de groeiende Marketshare dat er meer kwetsbaarheden gevonden worden.

[Lohi]

Roept Apple zelf dit niet vaak?

[marcjo]

Ik weet het niet of Apple dit zelf zo zegt.

[arjankoole]

Hmmm dacht altijd dat men riep dat Apple geen last had van virussen of hacks?

Ja, mensen die er geen verstand van hebben

Elk OS, hoe goed ook, is geschreven door mensen, en dus zitten er bugs in. Sommige bugs zijn vervelend, sommige bugs zijn een lek. Er is een formule voor, die stelt dat per x regels code, er y bugs zijn.

Ik draai al jaren en jaren virusscanners op Mac's. Al was het maar dat ik niet per ongeluk een mailtje doorstuur met een word macro-virus.

Daarom zijn goede researchers zo belangrijk, we worden er allemaal beter van.

[laptopleon]

Met het constant toevoegen van nieuwe functies en hardware aanpassen van bestaande, worden en steeds nieuwe bugs geïntroduceerd en nieuwe hacks mogelijk. Dus zelfs als je nu alle oude bugs er uit zou halen, heb je binnenkort weer nieuwe.

Andere factor is dat Apple producten in absolute aantallen gezien populairder zijn dan ooit, waardoor er niet alleen veel software en 3rd party hardware is maar ook meer gebruikers zijn dan ooit én die mensen doen ook meer dan ooit met hun iApparaat. Bankieren, persoonlijke post, overheidsbanen, aankopen doen is allemaal naar hun apparaat verschoven.

Alles bij elkaar zou het me niet verbazen dat er nu juist minder bugs zijn dan ooit, als je het per gebruiker, hoeveelheid beschikbare software, reikwijdte van de functionaliteit bekijkt (al is dat lastig in grootheden uit te drukken).

[arjankoole]

Daar heb je best wel een punt.

Ik denk ook dat het aantal bugs per regel minder is tegenwoordig, omdat we nu ook nieuwe technologieën / tools hebben die automatisch code scannen op jacht naar dat soort dingen. Ook dat is uiteraard niet feilloos, maar je haalt in elk geval al wat rommel weg.

[Ventieldopje]

Dan heb je het ook over een groep mensen die géén idee hebben waar ze het over hebben, iets met klok en klepel.

Dat een OS relatief beter bestand is tegen virussen of exploits, wil niet zeggen dat ze er niet zijn. Je moet natuurlijk wel netjes updates installeren en geen domme dingen doen. Heb je er iets meer kaas van gegeten dan kun je een hele hoop doen om de boel dicht te timmeren. Het ligt écht niet allemaal bij het OS zoals veel mensen makkelijk blèren.

Bij iOS is dit iets anders natuurlijk omdat het veel meer gesloten is Maar ook daar geldt, updates netjes doen, geen shady apps proberen te installeren etc.

[Reactie gewijzigd door Ventieldopje op 23 juli 2024 10:50]

[monojack]

Dat is omdat er amper virussen of hacks plaatsvinden. Een bug vinden is nog wat anders dan een actief virus of hack vinden.

[Rhylian]

Ik vind het altijd maf (persoonlijk) dat een vulnerability die er voor kan zorgen dat iemand in je telefoon kan als bug wordt genoemd

[monojack]

Noem het dan een vulnerability maar dat is nog geen virus of hack

[Rhylian]

Een hack gebeurd naar aanleiding van een vulnerability …

[monojack]

Inderdaad maar zoals ik al zei komt het zelden voor bij Apple dat een vulnerability ook effectief een hack of virus wordt

[Rhylian]

CVE-23019-8646
Bug in NSData waarmee een aanvaller bestanden kan uitlezen, ook buiten de sandbox.

really? o_O Staat er toch echt anders bij

[Shark.Bait]

Apple als bedrijf zijnde zal wel last ervan hebben, Ze vertellen het nooit.Zoals 99,9999% van de aangevallen en gehackte bedrijven dat niet zal doen


edit: ter verduidelijking voor de Minners.

[Reactie gewijzigd door Shark.Bait op 23 juli 2024 10:50]