Apple en Corellium schikken rechtszaak over virtualiseren van iOS-apparaten

Apple en securitybedrijf Corellium hebben de lopende rechtszaak beëindigd met een schikking, schrijft The Washington Post. Apple was niet blij met de iOS-emulatie die Corellium aanbiedt aan beveiligingsonderzoekers en begon twee jaar geleden een rechtszaak.

Volgens The Washington Post zou er maandag weer een zitting zijn geweest, maar ging die niet door omdat de federale rechtszaak is geschikt. De krant schrijft dat op basis van rechtbankdocumenten. De voorwaarden waaronder de schikking is overeengekomen, zijn geheimgehouden. De krant schrijft dat het salesteam van Corellium heeft bevestigd dat het bedrijf nog altijd zijn virtuele iOS-apparaten verkoopt. Corelliums medeoprichter Christopher Wade wilde geen commentaar geven en dat gold ook voor Apple.

Apple klaagde Corellium in augustus 2019 aan om een einde te maken aan de gevirtualiseerde iPhones. Die geven onderzoekers de mogelijkheid om iPhone-software op computers te testen, in plaats van op daadwerkelijke iPhones. Corellium biedt een iOS-omgeving aan in de browser, met speciale pentestingsoftware. Het idee is dat onderzoekers dan beter in staat zijn om te zoeken naar kwetsbaarheden, bijvoorbeeld omdat ze hiermee eenvoudiger van iOS-versie kunnen wisselen.

Het bedrijf uit Cupertino hield vol dat hiermee inbreuk werd gemaakt op zijn auteursrecht. Ook vond Apple dat het gevaarlijk kon zijn als de tools van Corellium in de verkeerde handen zouden vallen en dat het securitybedrijf zonder een keuringsproces zijn software verstrekte aan klanten. Uiteindelijk werd een deel van de aanklacht van Apple afgewezen, maar op het punt van de DMCA-claim ten aanzien van de inbreuk op het auteursrecht kreeg Apple gelijk.

De zaak was daarmee nog niet geheel ten einde. The Washington Post schrijft dat Corellium te maken zou krijgen met het vooruitzicht nog jarenlang te moeten blijven procederen. Volgens velen in de securityonderzoeksgemeenschap werd dat gezien als iets dat een negatief effect zou hebben op onafhankelijk onderzoek.

Corellium kwam in 2015 al in het nieuws toen een van de medeoprichters, David Wang, de FBI hielp om een iPhone te ontgrendelen die in het bezit was van een van de schutters die in verband werden gebracht met de dodelijke San Bernardino-schietpartij. Begin dit jaar kwam Corellium in het nieuws toen het succesvol Linux wist te porten naar een Mac met M1-soc.

Reacties (29)

[GekkePrutser]

Interesant wel eigenlijk. Ik zou wel graag gebruik maken van virtuele iOS apparaten voor tests. Ik heb een testbank (met OpenSTF) voor Android devices maar iOS werkt daar niet mee. De opvolger (device farmer) is daar wel aan bezig maar het is er nog niet en de ontwikkeling lijkt een beetje gestokt. Ze hebben niet eens de moeite gedaan een homepage te maken.

Ik vind de klachten van Apple ook niet helemaal terecht. Voor Android is virtualisatie gewoon zo out of the box aanwezig en daar heeft het niet geleid tot security problemen. Bovendien kan het hooguit problemen naar boven brengen die toch al aanwezig waren. Dat is uiteindelijk alleen maar goed want daar wordt het platform veiliger van.

Overigens gebruik ik het niet voor security onderzoek maar meer voor testen van bedrijfsapplicaties en beheertools.

[Reactie gewijzigd door GekkePrutser op 23 juli 2024 15:44]

[Kenhas]

Ik vind de klachten van Apple ook niet helemaal terecht

Tja, Apple vindt dat hun software enkel op hun toestellen mag draaien of via software van Apple (bijvoorbeeld XCode). Als dat zo in hun voorwaarden staat, zijn de klachten natuurlijk wel terecht.

Als je dergelijke software wil testen, kan je waarschijnlijk wel terecht bij Apple voor een (zeer duur) dev toestel.

[bbob]

Als dat zo in hun voorwaarden staat, zijn de klachten natuurlijk wel terecht.

Je kan van alles in de voorwaarden zetten, of ze daarmee ook wettelijk afdwingbaar zijn is een andere vraag.

Doorverkoop van software mocht ook nooit todtat EU rechters bepaald hebben dat het gewoon mag en kan.

[Kenhas]

Doorverkoop van aangekochte licenties mag inderdaad. Maar voor zover ik weet (maar kan verkeerd zijn) koop je geen licentie op besturingssystemen van Apple. Je koopt het toestel en je "krijgt" de software erbij.
Ik heb in ieder geval nog nooit een Apple OS te koop aangeboden gezien

[Amorac]

Maar je gaat zover ik weet wel akkoord met de licentie voorwaarden.

https://www.apple.com/legal/sla/

Voor IOS zie bijv https://www.apple.com/legal/sla/docs/iOS14_iPadOS14.pdf

[Kenhas]

Je hebt toch de post gelezen van @bbob waar ik op reageerde? Hij heeft een terecht punt door te zeggen

Je kan van alles in de voorwaarden zetten, of ze daarmee ook wettelijk afdwingbaar zijn is een andere vraag

De vraag is dus of de voorwaarden correct zijn. Ik vermoed van wel anders zouden er wel licenties van Apple OS'en aangebode worden

[bbob]

Ik reageerde op jou opmerking

Tja, Apple vindt dat hun software enkel op hun toestellen mag draaien of via software van Apple (bijvoorbeeld XCode). Als dat zo in hun voorwaarden staat, zijn de klachten natuurlijk wel terecht.

De vraag is als het in de voorwaarde staat dat je hun software alleen maar op hun toestellen hardware mag draaien of die voorwaarden überhaupt wel gesteld kunnen worden ?

Volgens het artikel is een claim wel toegewezen maar andere niet. duidelijk is het dus niet. Daarnaast kan Amerikaanse en Europese wetgeving daarover ook weer anders zijn.

[Amorac]

Ik reageer op.

Maar voor zover ik weet (maar kan verkeerd zijn) koop je geen licentie op besturingssystemen van Apple. Je koopt het toestel en je "krijgt" de software erbij.

Dat klinkt alsof je aangeeft dat IOS geen licentie heeft.

En ik zeg dus dat die er wel degelijk is. Maar je koopt het toestel inclusief OS licentie en of je dat nu ziet dat je die "gratis" krijgt of inbegrepen is in de prijs v/h toestel sja.. Lood om oud ijzer.

Google geeft duidelijk aan dat hun Android licentie gratis is en je altijd kan updaten naar nieuwere versies zolang de HW ondersteund wordt. Je mag wel zelf Android aanpassen om het op niet ondersteunde HW werkend te krijgen als je weet hoe.

Apple geeft updates van het OS gratis weg maar je kan bij Apple geen (modern) OS los kopen om het op niet ondersteunde (Apple) hardware te installeren. Geen idee hoe ze momenteel denken over Legacy software zoals System 7

[To_Tall]

Microsoft doet ook wat Apple doet. De licentie verbinden aan het apparaat. Je mag OEM licentie niet zomaar overzetten op andere hardware. De licentie is gebonden aan je hardware.

[Annihlator]

Saillant detail: ms biedt die licentie echter niet énkel onder een koppelverkoop van het device in kwestie, Apple wél.

[To_Tall]

Apple is een hardware boer. Microsoft software boer.

Zo lus ik er nog een paar.

Het gaat hier om de OEM verkopen. Die koppels MS aan de hardware net als Apple zijn OS ook aan de hardware koppelt. Daarbij ook de keuze maakt om OSX niet los te verkopen. Waar MS daar wel voor kiest.

Dat is een keuze van de fabrikant.

[Annihlator]

Ik zie dat echt anders;
Apple profileert haarzelf als hardwareboer, en in het voorbeeld van de macs kán daar nog een ander OS op draaien, zogauw je echter de iPads en iPhones erbij betrekt verandert die situatie naar dat Apple óók zondermeer de softwareboer is geworden, mede omdat ze via alle mogelijke wegen een alternatief belemmert. Daar-náást/-bovenop doet ze dat met een koppelverkoop-situatie, maar het verandert niets aan de nogal feitelijke situatie dat zij dé partij zijn die de software voor die hardware faciliteert en dus óók softwareboer is; dat het OS niet los verkocht wordt verandert daar niets aan.

[To_Tall]

Dat is natuurlijk helemaal de omgekeerde wereld zoals jij het nu schets. Apple is altijd een hardware leverancier geweest.

Dat ze een eigen OS faciliteren doet daar niet aan af. MS is altijd een software leverancier geweest. Die zich richte op de generiekere markt gebaseerd op IBM compatibel PC.

Dat zij later ook eigen hardware zijn gaan maken is net als Apple een keuze.

Het zelfde voor auto’s. Honda kiest voor een Honda motor. Zonder nodige sloop en breek werk kan je er geen Volkswagen motor in hangen. Al vind je de motoren van VW beter maar Honda auto’s weer mooier. Dat is een keuze die de fabrikant maakt.

Dat jij vind dat je gewoon OSX op een andere apparaat moet kunnen draaien dat kan. Zonder Apple hardware te gebruiken, ben je momenteel iligaal de software aan het gebruiken.

Waarom zou een bedrijf niet zelf mogen kiezen waar zij wel of niet hun hardware of software op willen laten draaien.

Stel Apple zwicht en zegt oké. Jij mag OS X overal op laten draaien. Maar het kost je wel 500 of 1000 euro voor een licentie. Ga je het dan wel aanschaffen?

[To_Tall]

Tot 2010 kon je osX kopen in de winkel. Voor 99 euro. Voorwaarde was wel dat je moest beschikken over een Mac.

[To_Tall]

Dat is natuurlijk niet waar. Je gaat akkoord met de licentie voorwaarde van Apple. Waarin staat dat de licentie gebonden is aan je device.

[Krulliebol]

https://www.apple.com/nl/...77ZM/A/os-x-mountain-lion

[RRRobert]

[...]


Tja, Apple vindt dat hun software enkel op hun toestellen mag draaien of via software van Apple (bijvoorbeeld XCode). Als dat zo in hun voorwaarden staat, zijn de klachten natuurlijk wel terecht.

Als je dergelijke software wil testen, kan je waarschijnlijk wel terecht bij Apple voor een (zeer duur) dev toestel.

Ergens zijn de beweegredenen van Apple zeker te begrijpen. Maar als je iets in een virtuele omgeving wil testen, en Apple biedt niet die mogelijkheden (n.b.: ik ben niet op de hoogte of Apple die mogelijkheden überhaupt kan of wil aanbieden), dan moet een software ontwikkelaar daar m.i. wel de ruimte voor bieden óf accepteren dat andere partijen die marktvraag.

Het lijkt mij dat Apple er beter aan had gedaan eens te kijken of wat deze partij heeft ontwikkeld, over te nemen. Zou m.i. ook nog een keer stukken goedkoper zijn geweest.

[Kenhas]

Als het voor een software ontwikkelaar is, kan je altijd gebruik maken van Xcode waar je een device mee kunt virtualiseren. Je kan ook ontwikkelen met Visual Studio en Xamarin maar dan heb je toch op zijn minst 1 Apple device nodig. Of dat zou veranderd moeten zijn. Een jaar of twee geleden had je toch op zijn minst een Apple device nodig

Ben je beveiligsonderzoeker, dan kan je je kandidaat stellen voor een dev toestel. Hoe dat juist in mekaar zit, weet ik niet behalve dat het een dure aangelegenheid is. Je moet goedgekeurd geraken door Apple en de toestellen worden nogal strikt opgevolgd

[michaelkamen]

Xcode bevat alleen een iPhone SIMulator, het is geen EMulator. O.a. de appstore is niet beschikbaar, je kunt niet heel veel in de instellingen. Het is puur bedoelt om je zelf gebouwde app te draaien.

[ZpAz]

Het feit dat het een simulator is vs een emulator heeft weinig met de beschikbaarheid van de app store te maken. Met een emulator is er een "vertaalstap" vereist (waar software doet alsof het andere hardware is). Maar de software draait gewoon native binnen MacOS. (Nu helemaal natuurlijk nu ze allebei op ARM draaien).

[Wolfos]

Toch, als de software nog verkocht word dan lijkt het me aannemelijk dat er een compromis is gesloten.

[ELD]

[...]
Als dat zo in hun voorwaarden staat, zijn de klachten natuurlijk wel terecht.

Dit lijkt niet correct, als het bedrijf volledig zijn eigen code base heeft en alleen Apple device kan simuleren dan heeft Apple geen terechte klacht. Dan zou Nintendo ook alle emulatoren mogen bannen etc.

[Kenhas]

Als je enkel Apple devices kan simuleren, dan heb je daar toch niets aan qua testing en zo.

Mij lijkt dat ze virtuele machines maakten met de originele software van Apple er op. Zie anders echt het nut er niet van in.

Wat ben je met een gesimuleerde versie van IOS als je op zoekt gaat naar veiligheidslekken en zo?

[BytePhantomX]

Apple heeft daar een eigen programma voor: https://developer.apple.c...security-research-device/

Nadeel is dat je in aanmerking moet komen en o.a. moet voldoen aan deze kwalificatie:

Have a proven track record of success in finding security issues on Apple platforms, or other modern operating systems and platforms.

Daarmee ontmoedig je een hoop personen en krijg je een beetje een kip / ei verhaal.

[Reactie gewijzigd door BytePhantomX op 23 juli 2024 15:44]

[Shirenzo]

Ze willen ervaren mensen hebben die er naar kijken en niet iemand die net begint, dit is iets slechts want jongen mensen die net beginnen vinden vaak bijzondere dingen en hebben een bijzondere denk wijzen.

Maar het is geen kip en ei verhaal door "or other modern operating systems and platforms"

[r03n_d]

Het is bekend dat Corellium ook gebruikt wordt door de jailbreak-scene om naar exploits te zoeken. Dat zal waarschijnlijk een belangrijke drijfveer zijn voor Apple om deze zaak aan te spannen, zgn onder het mom van auteursrechten.

[GekkePrutser]

Mja ik vind jailbreaking ook niet iets slechts op zich. Je zal het toch altijd blijven houden, sommige mensen willen gewoon wel controle over hun eigen hardware.

Ik denk niet dat het zozeer te doen is om het installeren van gekraakte apps, de meeste apps zijn toch gratis of kosten zeer weinig. Dat zou voor mij nooit een reden zijn om te jailbreaken. Om iets met mijn toestel te kunnen doen dat Apple niet belangrijk genoeg vindt om aan te bieden echter wel.

[laptopleon]

Voor Android is virtualisatie gewoon zo out of the box aanwezig en daar heeft het niet geleid tot security problemen.

Hoe weet je dat? Hoe je het ook wendt of keert, dit maakt het makkelijker om een zwakke plek te vinden en dat kan ook misbruikt worden. Sterker nog dat is big business.

Of de rechter er ook in mee gaat om het te verbieden is weer een ander verhaal natuurlijk. Zelfs als dat gebeurt, gaat het toch wel achter de schermen aangeboden worden wss.

[mutley69]

Jammer toch dat Apple hier niet veroordeeld geworden is voor een tergend en roekeloos geding. Dat verdienden ze!