Apple brengt iOS 13.5.1 uit die Unc0ver-jailbreak onmogelijk maakt

Apple heeft iOS 13.5.1 uitgebracht. In de nieuwe versie van het OS worden niet alleen veiligheidsupdates geïnstalleerd, ook de mogelijkheid tot jailbreaken wordt ermee ongedaan gemaakt. De Unc0ver-jailbreak is onder die iOS en iPadOS-versie niet meer te gebruiken.

De nieuwste versie van iOS dicht volgens Apple een kwetsbaarheid in het werkgeheugen van de kernel van iPhones en iPads. CVE-2020-9859 is een zeroday waarmee een aanvaller ook vanaf een afstand code kan uitvoeren op een telefoon of tablet. iOS 13.5.1 en iPadOS 13.5.1 dichten dat lek.

De kwetsbaarheid werd niet alleen misbruikt voor mogelijke aanvallen, maar ook voor een jailbreak. Vorige maand werd de Unc0ver-jailbreak uitgebracht, die werkte op recente iPhones en iPads. Het is zeldzaam dat er jailbreaks uitkomen voor iOS-versies die nog zo nieuw zijn, al gebeurt dat de laatste tijd wel vaker.

Reacties (58)

[Nindustries]

"maar ook de mogelijkheid tot jailbreaken ongedaan gemaakt." Dat is niet echt waar, de unc0ver vulnerability is gewoon fixed. Er kan wel een volgende gevonden worden.

[Marctraider]

Apparaten met een hardware based exploit kunnen gewoon gejailbreakt blijven worden :-)

[Nindustries]

Wat niet van toepassing is op unc0ver, maar op checkm8?

[goodfella]

Vroegah vond ik het wel fijn om keuze-vrijheid te hebben.

Maar hedendaags met bankieren apps zou ik er niet aan moeten denken om het te jailbreaken.

[ASP]

Toch zijn er een aantal bank apps die niet testen op een jailbreak of het niet erg vinden. Bunq bijvoorbeeld. Kennelijk is een jailbreak geen probleem als je je beveiliging als bank op orde hebt.

Ik neem aan dat onder deze bijdrage hieronder een hele discussie gaat ontstaan hierover

[Byte]

ING lijkt het ook geen probleem te vinden, ik kan het alleen maar toejuichen

[CR2032]

Zegt ING dat ook als je je geld na een diefstal terug wilt claimen?

Jailbreaks zijn tegenwoordig niet slim meer om te gebruiken. Smartphones zijn essentieel geworden, dat weten criminelen ook.

Jailbreaks brengen voor mij teveel risico's mee die niet opwegen tegen wat leuke gimmicks.

[Gladiator5]

Het is niet alleen om wat gimmicks

Jailbreakers hadden eerder een patch voor de getroffen mail exploit (elke iphone voor 13.5 is hier kwetsbaar voor)(effe een voorbeeldje)

Ik zeg niet dat het voor iedereen wat is, maar als je een klein beetje verdiept in hoe het allemaal werkt kan je prima veilig inloggen op een bank app.

[CR2032]

Met een jailbreaked telefoon loop je veel extra risico. Want de hacking groups werken beide kanten uit.
Dat is voor veel mensen lang niet duidelijk, tot het mis is. Men zoekt de gaten in de beveiliging op.

Dat is met de laatste 13.5 niet anders. Lees vooral het laatste stukje:
https://www.theverge.com/...ailbreak-iphones-ios-13-5

[Reactie gewijzigd door CR2032 op 23 juli 2024 19:05]

[Gladiator5]

Ja een exploit die word gebruikt om in het het systeem te komen, kan ook voor andere doeleinden worden gebruikt.

Daar is niets nieuws aan.

[Myaimistrue]

De bank vindt dat zeker een probleem, maar hij vindt dat het jouw probleem is...

[EwickeD]

Iemand die jailbreakt, zal een bank altijd van zeggen dat dat een hele bewuste actie is, dat gebeurt niet zomaar en de risico's daarvan kan de bank dus ook echt bij de klant leggen.

[Glashelder]

Ze wentelen het risico gewoon op de eindgebruiker af in de algemene voorwaarden.

Dag centjes

[ASP]

Ik zou wel eens van iemand willen horen of ie z'n geld niet terug kreeg nadat er geld van z'n rekening was verdwenen (desnoods door phishing) omdat z'n mobiel was gejailbreakt (IOS) of geroot (Android). Tot nu toe lees en hoor altijd ik alleen maar aanames. Iemand (met bronvermelding)?

[supersnathan94]

Volgens mij zijn er een hele hoop bank apps die onder android voor root checken omdat je anders display overlays kunt maken die transparant zijn maar wel keystrokes registreren. Makkelijk code afkijken dan.

Tegenwoordig met FaceId en TouchId unlock is dat op een iPhone sowieso al geen probleem. Overlays kon toch al niet volgens mij.

[BuZZem]

Inderdaad, als ze dat willen.

https://www.nvb.nl/themas...-fraude/veilig-bankieren/
De banken zijn zich ervan bewust dat de gemiddelde consument zich niet 100 procent tegen internetcriminelen kan beveiligen. Daar houden de banken rekening mee in hun beoordeling of klanten recht hebben op vergoeding van de schade. Als de consument zich gedeeltelijk niet aan de veiligheidsregels heeft gehouden, wil dat dus niet zeggen dat de bank de schade niet zal vergoeden [maar ook het omgekeerde niet]. De bank zal in dit geval, op grond van de specifieke omstandigheden [een jailbraik die gemiddeld als veiligheidsverlagend wordt gezien], beoordelen of de schade het gevolg is van grove nalatigheid van de consument. Deze beoordeling zal plaatsvinden naar redelijkheid en billijkheid. Op basis hiervan zal de bank al dan niet tot vergoeding overgaan. Dit alles staat los van het feit dat elke bank een eigen coulancebeleid ['coulance' is maar zelden coulance, en de indruk wordt gewekt alsof ze dan niks verschuldigd zouden zijn - dat is vaak niet zo - hier wat ingewikkeld] hanteert, waarin zij per geval bepaalt, ook al blijkt een klant grof nalatig te hebben gehandeld, om de schade alsnog geheel of gedeeltelijk te vergoeden.
Kijk voor informatie over de veiligheidsregels op Betaalvereniging.nl.

meer detail:
https://www.betaalverenig...sregels-particulieren.pdf

knip/plak relevant
Zorg voor een goede beveiliging van de apparatuur die u gebruikt voor uw bankzaken.
Denk hierbij aan het volgende:
 Zorg dat de geïnstalleerde software op de apparatuur, zoals computer, tablet en/of smartphone,
die u voor het regelen van uw bankzaken gebruikt, is voorzien van actuele (beveiligings)updates.
Geïnstalleerde software is bijvoorbeeld het besturingssysteem en beveiligingsprogramma’s,
zoals virusscanner en firewall;
 Installeer geen illegale software;
 Beveilig de toegang tot de apparatuur die u gebruikt voor het regelen van uw bankzaken met een
toegangscode.
 Zorg er daarnaast voor dat door de bank verstrekte toepassingen op de apparatuur die u gebruikt
voor het regelen van uw bankzaken niet door onbevoegden kunnen worden gebruikt;
 Log altijd uit als u klaar bent met het regelen van uw bankzaken.

Als de bank vind dat jouw jailbraik - niet toegestaan door de fabrikant, arguably veiligheidsverlagend - een factor is geweest in de diefstal hebben ze het recht om je je centen niet terug te geven. Dat is een regel die er netjes doorheen is gepolderd. Onenigheid uitvechten via Kifid - maar die zullen niet meteen op de hand van een jailbrekende consument zijn.

Dat banken dat nu niet doen, is gewoon een economische afweging. Maar de regels liggen er al en heeft iedereen uniform opgelegd gekregen.

Wat banken willen is dat jij gewoon windows draait, met een standaardbeveiligingsproduct.
Gebruik je een hardened read only linux distro met minimale kernel die je alleen gebruikt voor internetbankieren voor 30 minuten per maand (arguably veel veiliger) - dan zou dat nog wel eens lastig uit te leggen kunnen zijn.

my 2 cnts
(met bronvermelding )

[Reactie gewijzigd door BuZZem op 23 juli 2024 19:05]

[JeroenED]

Ik ga ervan uit dat ze denken als je een jailbreak blokeert, je ook elke normale pc moet blokkeren. Op elke pc installeer je uiteindelijk wat je zelf wilt, dus waarom smartphones limieteren. Plus, je geraakt er toch omheen. Why bother?

[InjecTioN]

Toch zijn er een aantal bank apps die niet testen op een jailbreak of het niet erg vinden. Bunq bijvoorbeeld. Kennelijk is een jailbreak geen probleem als je je beveiliging als bank op orde hebt.

"Beveiliging op orde" is natuurlijk relatief. Er zijn voldoende onvoorziene situaties die je gewoon niet kàn bedenken. Het meerendeel van de supposedly veilige applicaties zijn slechts middels een pen-test gecontroleerd op voornamelijk common vulnerabilities. Het is compleet afhankelijk van o.a. het bedrag dat besteed wordt aan een pen-test, de moeite die een pen-tester erin kan steken, de kennis/ervaring die het bedrijf heeft dat de pen-test uitvoert, de tools die het bedrijf gebruikt, de gebruikte tools, etc.

Daarnaast zijn er nog een hoop script-kiddies die op het "dark web" op diverse hacker fora actief zijn om un-authorized pen-test's te tonen, exploits hiervoor te schrijven en die door te verkopen. Die vertellen natuurlijk niet zo snel aan derden waar de vulnerabilities zitten. Ze vragen op de zwarte markt een hoop geld aan kwaadwillenden om vervolgens de non-public vulnerabilities prijs te geven, zodat zij deze kunnen exploiteren.

Als bovenstaande niet van toepassing zou zijn, dan zou het inderdaad "op orde" zijn. Gezien dat niet het geval is, zijn er gewoon genoeg vulnerabilities, ready to be found. Security is zo sterk als z'n zwakste schakel.

Ik neem aan dat onder deze bijdrage hieronder een hele discussie gaat ontstaan hierover

Klopt


Wat betreft het patchen van die Unc0ver jailbreak methode; Er zijn meerdere wegen naar Rome. Bovenstaande beschrijft dat ook wel.

[Reactie gewijzigd door InjecTioN op 23 juli 2024 19:05]

[Greatsword]

Bankier hier al jaren i.c.m. een Jailbreak zonder problemen.

[YangWenli]

Als je keuze wil koop je een Android. De filosofie van Apple is controle, dat was het onder Jobs en dat is het nog steeds.

[Replic]

Jailbreaken is er helemaal niet voor gemaakt om als een android te lijken.

Sommige dingen zijn gewoon beter op de ene besturingssysteem dan de ander, lekker mensen de keuze zelf geven ipv android fanboy gaan spelen

Want Rooten is bvb geen ding op Android huh?

[_Pussycat_]

Zeker heeft elk OS zijn voordelen. Wat hij zeggen wil is: als je alternatieve appstores wilt gebruiken is Android veel makkelijker dan IOS + Jailbreak.
Als je een systeem wilt waar onmogelijk per ongeluk rotzooi op te installeren is, is IOS beter.

Zodoende ben ik met Android blijer. Maar adviseer sommige mensen liever een iPhone.

[ASP]

Voor de Jailbreakers:

In Unc0ver zit in de instellingen een optie om Automatische Updates uit te zetten. Vind je dat nog niet voldoende dan kun je de OTA Daemon uitzetten via iCleaner Pro. Dan weet je zeker dat je geen update meer krijgt. Meer info:

https://www.reddit.com/r/...off_disable_auto_updates/

[Bensimpel]

Maar waarom zou je dat willen? Je wilt toch je telefoon veilig houden?

[ASP]

Er zijn IOS gebruikers met voldoende verantwoordelijkheidsgevoel dan wel met een tweede telefoon die een jailbreak wensen.

Zo is het als app ontwikkelaar erg prettig "overal bij te kunnen" op een "makkelijke manier" in een operating system. Dat is voor mij de belangrijkste reden. Daarnaast kun je nog wat cosmetische wijzigingen aanbrengen die normaal niet mogelijk zijn. Wees eerlijk: heb je jezelf nooit afgevraagd in IOS: "kan dit nu niet anders?". Het antwoord is: "Ja, met tweak als je gejailbreakt bent".

De discussie dat er illegale software mee kan worden geinstalleerd vind ik een non-discussie. Ik ben zelf app ontwikkelaar en betaal gewoon voor software die andere hebben ontwikkeld, ook al is er overal wel een crack/hack/key of illegale versie te vinden. Kwestie van moraal.

[itsme]

Ik ben echt heel benieuwd wat als app ontwikkelaar handig is om overal bij te kunnen.
Testen doe je toch zeker liever tegen de zelfde beperkingen als je eindgebruiker?
Xcode bevat echt bijzonder veel debugging tooling, ik kan me er werkelijk weinig bij voorstellen, tenzij je als security researcher aan de slag bent.

[WhatsappHack]

Wees eerlijk: heb je jezelf nooit afgevraagd in IOS: "kan dit nu niet anders?". Het antwoord is: "Ja, met tweak als je gejailbreakt bent".

En vervolgens moet je natuurlijk verder vragen: "En is die tweak het forse beveiligingsrisico waard, voor die minimale wijziging, of kan ik er prima mee leven en heb ik liever een veilig toestel?" Ben tot dusver altijd tot de conclusie gekomen dat voor m'n daily driver het 't absoluut niet waard is om te jailbreaken en ik liever voor de betere beveiliging ga. Zal voor iedereen anders zijn hoor, maar je moet wel het hele verhaal vertellen natuurlijk.

[Chinco]

Zakelijk: JA. Privé: ja. Tweede, oudere iPad Air: mwah, misschien nee, misschien ga ik daar de jailbreak wel op testen.

Beetje tweaken moet toch, tweakers???

[Vertex]

Naar mijn mening als voormalige Android gebruiker met geroot toestel moet ik zeggen dat alles wat ik sinds mijn overstap naar de iPhone XR zoek logisch ondergebracht en goed geïmplementeerd is. Bijvoorbeeld het toelaten om gebeld te worden door iedereen of een specifieke lijst contacten wanneer ik 'Do Not Disturb' aan heb staan zonder te zoeken naar instellingen onder de contacten app (als simpel voorbeeld). De UI is stukken vloeiender en sinds ik dit toestel heb (3-4 maanden nu), heb ik geen enkele brakke app gezien die half ontwikkeld is of je toestel compleet leeg zuigt in de achtergrond.

Het rooten en het gebruik van custom ROMs is ideaal op Android, maar de grootste drijfveer hiervoor (voor mij) was de laksheid van fabrikanten om software updates te blijven uitbrengen.

Maar kun je vertellen wat jij als vervelend of gebrek ervaren hebt?
Of moet ik je profielnaam serieus nemen?

[lulkoekje]

Ja duidelijk een impopulaire mening welke ik dus klaarblijkelijk ook gelijk moet verdedigen.

Ik sprak bovenstaand niet uit als fanboy van Android. Maar een paar kleine voorbeelden: het natuurlijke en logische navigeren, wat ikzelf niet als natuurlijk of logisch ervaar, toets combinaties of alleen al het touchpad op een macbook met hun eigen "logica".
Het is in mijn opinie een "betuttelend" os. Waarin je vrijheid tot tweaken/configureren naar eigen gemak en inzicht in een hele nauwe bandtbreedte zit.

*update:
Mijn haat voor touchpads is overigens generiek en niet gelimiteerd tot Apples implementatie alleen. Zij hebben het alleen net wat erger gemaakt door Apple 'logica' toe te passen.

[Reactie gewijzigd door lulkoekje op 23 juli 2024 19:05]

[bartosss]

Ze willen liever dat hun jailbreak nog even blijft werken..

[bonzen]

Maar waarom zou je dat willen? Je wilt toch je telefoon veilig houden?

Blijkbaar was de telefoon niet veilig, anders was de patch niet nodig geweest. Het enige verschil tussen gister en vandaag is dat men door de Jailbreak op de hoogte is van deze lek. Het is theoretisch mogelijk dat er veel grotere lekken zijn die misbruikt worden maar waar we nog niks van af weten. Omdat we het niet weten is het default gevoel dat het veilig is.

[page404]

Nou, licht die maar eens toe, dan krijg je misschien geen -1. Ik ben echt benieuwd wat je argumentatie is.

[KeRsTmAnNeKe]

Liever Apple dan Google en Samsung of de Chinese overheid

[la cucaracha]

Het blijft een kat en muis spel tussen apple en jailbreak dev's
Al zolang ik me kan herinneren.

[s0kkie]

Maar ondertussen nemen ze wel graag de functies over dat jailbreakers verzinnen

[WhatsappHack]

Mooi toch, luisteren naar de community? Dan kan iedereen er veilig gebruik van maken.

[Reactie gewijzigd door WhatsappHack op 23 juli 2024 19:05]

[Mr Pingu]

Zit Swipeselection tegenwoordig ook al in iOS?

Samen met flux, SBSettings, Zephyr & Barrel was dat eigenlijk enige dat ik miste.

[thetakman]

Swipeselection zelf ken ik niet, maar je kan overal op het toetsenbord hard drukken om een selectie trackpad te gebruiken als het ware.

F.Lux zit ingebouwd tegenwoordig, het heet nu Night Shift en past de kleurtint aan. Dit samen met TrueTone is gewoon ingesteld en op tijd etc en hoef je nooit meer naar om te kijken.

SBSetting is niet meer nodig met de komt van de Control Center en hier kan je best veel mee standaard.

Zephyr zit er al in sinds iOS7.0 en hoger. Dit zijn ook allemaal tweaks uit het jaar kruk btw.

Ik was vroeger groot voorstanderd van Jailbreaks en bij android had ik iedere paar dagen wel een nieuwe Custom rom. Maar tegenwoordig zit ik gewoon op een niet jailbroken iPhone en ik zou niks anders meer willen eigenlijk. Wellicht een wat meer customizable homescreen maar als dat er niet komt zal ik er geen traan om laten.

[Mr Pingu]

Ja mijn laatste iphone was ook een 5 dus vandaar dar deze tweaks uit het jaar kruk zijn. Nightshift wist ik al en control center ook dus wat betreft zou swipeselection de enige reden zijn om te jailbreaken en als dit het enige zou zijn dan is het her gedoe niet meer waard. In dat opzicht ben ik het volkomen met je eens en mijn volgende telefoon zal weer een iPhone worden, Android heefr mij eigenlijk ook niet kunnen bekoren, behalve dat de prijs aantrekkelijker was...

[AlphaBlack_NL]

Snel gehandeld en iOs weer een stukje veiliger.

Kudos

[xoniq]

En Apple heeft ze bedankt voor het vinden van de bug in de changelog touché

[Verwijderd]

Opzich dan wel weer netjes.

[xoniq]

Dat zeker, maar toch opmerkelijk.

[Verwijderd]

Tenzij je geen wifi thuis hebt aangezien je je telefoon als hotspot gebruikt. Dan mag je niet updaten en blijf je kwetsbaar.

[Ruw ER]

Jammer voor de jailbreakers, al kunnen die nog wel even op 13.5 blijven. Ik snap natuurlijk volledig dat apple dit patched, blijft een security flaw. Leuk voor als je er iets leuks mee doet zoals jailbreaken, minder leuk als iemand ongewenst gebruikt maakt van de flaw.

[Greatsword]

Gelukkig is er voor bijna ieder apparaat met een A9 - A11 Chip (o.a. Iphone 6s t/m X ) nog Checkra!n.

In dit geval loont het dus om een nog iets oudere telefoon te hebben, aangezien de Checkra!n Jailbreak niet zozeer gerelateerd is aan de iOS versie maar aan de hardware van het apparaat.

Verder als je nog geen update hebt uitgevoerd, kan je natuurlijk nog steeds jailbreaken.
Apple signed ook nog steeds 13.5, dus zelfs herstellen i.p.v. updaten naar deze iOS versie is geen probleem.

[Reactie gewijzigd door Greatsword op 23 juli 2024 19:05]

[Balance]

Van r/jailbreak: [NEWS] Make sure to turn OFF “disable auto updates” if you are on unc0ver 5.0.0 and above and rejailbreak

[svenk91]

Ja, ze hebben die switch verkeerd om ingesteld, ook een lekker handige bug

[Beeldbuisje]

En vooral hun bugs die geïntroduceerd zijn in 13.5 Asap oplossen. Het internet staat er vol van dat apps ongewild op achtergrond blijven lopen sinds die iOS 13.5
Wat ze in Cupertino blijkbaar vergeten is dat het grootste publiek Apple apparaten koopt omwille van de stabiliteit van de software.
Zwaar ontgoocheld in deze kwestie. Straks ga ik nog spijt hebben dat ik Android land de rug heb gekeerd, daar was zulks geregeld aan de orde.

[adwdc]

Ik blijf bij me jailbreak altijd al gedaan van iPhone 2G. Tweak die ik het meest gebruik bijv. is CarBridge me dochters vinden het geweldig. Oa. Netflix, Disney, Videoland enz via infotainment systeem en schermen achter. Safari Plus en Springtomize 5 ook een must have.

[Blizz]

Beetje makkelijk artikel weer, geef dan gelijk aan dat checkra1n werkt en waarom dat zo is.