Apple wil rechtszaak tegen spywaremaker NSO terugtrekken

Apple wil een rechtszaak die het tegen spywaremaker NSO Group heeft aangespannen terugtrekken. De smartphonemaker vindt dat het werk van NSO veel minder effectief is geworden, maar dat er ook veel informatie over iOS openbaar wordt door de zaak.

Het gaat om een rechtszaak die Apple in 2021 aanspande tegen NSO Group. Dat Israëlische beveiligingsbedrijf maakt Pegasus, een beruchte spyware voor onder andere iOS. Apple wilde met de rechtszaak afdwingen dat NSO geen hard- of software van Apple meer mocht gebruiken of de spyware mocht maken.

Nu vraagt Apple aan de rechter om de zaak te laten seponeren. De reden daarvan is dat het bedrijf geen informatie meer wil delen met andere bedrijven. "Toen we deze rechtszaak drie jaar geleden begonnen, wisten we dat dat zou betekenen dat we informatie moesten delen met derde partijen", zegt Apple. Tegelijk wijst het bedrijf erop dat er sindsdien veel is veranderd in het landschap rondom spyware. Er zijn bijvoorbeeld veel nieuwe bedrijven opgekomen die ook zulke software maken. "Als Apple deze zaak doorzet, is er een risico dat belangrijke beveiligingsinformatie op straat komt te liggen", zegt het bedrijf.

Apple merkt verder op dat het werk van spywaremakers veel moeilijker is geworden in de afgelopen jaren. Dat komt onder andere omdat Apple iOS veel veiliger heeft gemaakt, in veel gevallen specifiek met spyware in het achterhoofd. Ook andere bedrijven en overheden helpen daarin mee.

Reacties (39)

[Ruw ER]

Is het werk van spywaremakers daadwerkelijk moeilijker geworden? Zou daar graag bewijs van zien.

[joostiphone]

Ik denk dat het moeilijker is geworden om kwetsbaarheden in de software te vinden. Kijk maar naar hoeveel jailbreak-tools er nog zijn op de meest recentere iOS versies; in principe 0. Dat komt volgens mij omdat de hoeveelheid tijd en effort die je moet stoppen in het vinden van kwetsbaarheden (of het nu in de kernel is of daarbuiten) enorm groot is. Alleen partijen zoals NSO, die vaak worden betaald door overheden of instantie die daar aan geallieerd zijn, veel geld ervoor kunnen vragen.

NSO heeft ongetwijfeld zijn eigen jailbreak tool voor de huidige iOS versies, alleen maar mogelijk gemaakt door 30 verschillende en enorm complexe exploits (vroeg of laat CVE's) te ontwikkelen door erg dure programmeurs. Ook al ben je binnen de kernel, dan moet je ook nog op slinkse wijze omgaan met alle andere zaken die Apple heeft ingebouwd buiten iOS, namelijk server-side. Code signing van iOS, zodat aanpassingen aan iOS gedetecteerd worden en hij dan in veilige modus opstart. Zie als voorbeeld hier een presentatie over een iOS 16 jailbreak, die al best wel complex was; laat staan hoe dat nu is:

https://github.com/opa334...0Jailbreak%20iOS%2016.pdf

Gedetailleerde informatie over de iOS software kan neem ik aan gebruikt worden door hackers en dus zoals partijen zoals NSO om kwetsbaarheden uit te buiten.

[Reactie gewijzigd door joostiphone op 16 september 2024 21:03]

[SillieWous]

Denk dat het ook mee speelt dat nog maar weinig mensen geinterreseerd zijn in het jailbreaken van hun telefoon. Bij de eerste versie van de ipod touch heb ik dit ooit gedaan, omdat het kon. Maar dat heb ik ook vrij snel weer ongedaan gemaakt.

Het enige wat “handig” was, was het gratis installeren van betaalde apps. Die bestaan tegenwoordig amper meer. Dus daar heb je niet zoveel aan. Voor de rest is het alleen maar onnodig risico.

[joostiphone]

Een jailbreak-tool wordt door overheden op een hele andere manier gebruikt dan een individu die een gratis appje wilt (dat is sowieso een rare opmerking, want dat is waar de meeste mensen hun telefoon dus NIET voor jailbreakten; dat was om thema's te installeren, een van de eersten zijn die turn-by-turn navigatie installeerden toen er nog geen AppStore was, snelkoppeling menus wat Apple blind heeft gejat van de jailbreak community, bluetooth open zetten, en zo kan ik nog een lijst met 100 dingen bedenken waardoor iOS nu is zoals hij is). Ik denk dat ik in mijn jailbreak tijd nog meer geld aan betaalde jailbreak tweaks (volkomen legaal) heb uitgegeven dan aan apps in de AppStore, omdat het super veel waarde bood.

Daarnaast is het helemaal niet een "onnodig risico" als je zelf al weet dat het een risico is, je weet dan namelijk waar je op moet letten. Sterker nog, in veel gevallen was de jailbreakcommunity nog eerder met een patch (die je post-jailbreak kon installeren) dan Apple zelf; en was je dus veiliger dan de gemiddelde iOS gebruiker.

Een jailbreak-tool met de bijhorende kwetsbaarheden wordt door overheden gebruikt om informatie te krijgen die je niet krijgt zonder dit. Dit kunnen best wel lang 0-day exploits zijn, die soms nooit of veel later publiekelijk worden, waardoor het zo interessant voor deze instanties is. Of dit nu een MOSAD is, een FBI, Israel of N-Korea; dat is waar het geld zit. Een jailbreakontwikkelaar (zoals Geohot) verdiende circa "een miljoentje" met een jailbreak-tool uitbrengen door puur en enkel donaties. Een bedrijf die nu een iOS kwetsbaarheid vindt, verdient miljoenen per kwetsbaarheid en een totale jailbreak (dus met meerdere zeer complexe exploits) levert nog veel meer op.

[Reactie gewijzigd door joostiphone op 18 september 2024 09:44]

[field33P]

Dit soort spyware-tools is bedoeld voor gerichte aanvallen, en de isolatiemodus is een voorbeeld van een manier waarop hun werk bemoeilijkt wordt. Want mensen die weten dat ze een doelwit zijn zetten die modus aan, waardoor er veel minder attack surface overblijft.

[ro8in]

Of op Tweakers het erover hebben met veel mensen die hier wellicht verstand van hebben?

[joker1977]

Schijnbaar is de policy van Apple dat er vertrouwen is in het dogma "security through obscurity" - immers:

veel informatie over iOS openbaar wordt door de zaak.

Ik hoef op Tweakers niet uit te leggen dat dit zeker geen goed nieuws is voor de gebruikers. Je "veiligheid" baseren op obscurity, daarin zover gaan dat je een eerdere rechtzaak laat seponeren, is veelzeggend in mijn ogen.

[freaq]

Ja leuk maar als je hele architectuur op straat ligt is het toch wel een stuk makkelijker om mogelijke zwakke punten te identificeren.

Iig kan je dan proben en zien of wat je verwacht gebeurt, en dan daarvanuit werken ipv volledig in het donker te zitten werken.

Men zal 1000x zeggen dat het slecht is, maar niemand gaat je de exacte plattegrond van fort knox geven of het pentagon etc. Voor dezelfde reden.

Waarom makkelijker maken dan nodig.
En het is niet open source dus waarom zou je het niet gebruiken als een tool voor veiligheid.

[djwice]

Of ze zien dat andere spyware makers bepaalde dingen niet gebruiken die NSO wel gebruikt.
Als publiek wordt hoe NSO dat doet, is de kans dat de andere partijen die methodieken wellicht ook 'ontdekken' en gaan gebruiken.

Soms als je voorop loopt weet je dingen die voor jou triviaal te vinden zijn, maar anderen gewoon langs lopen, ze niet herkennen. Dat is geen obscurity, gewoon nog niet ontdekt, niet bedacht dat het zou kunnen, dus niet gezien.

Als het dan uitgekauwd wordt heb je kans dat de anderen het wél zien, omdat je dan een soort handleiding krijgen.

Iedereen met Wimdows heeft CoPilot tot zijn beschikking. Toch kom ik dagelijks mensen tegen die uren aan iets werken dat ik in CoPilot met een paar zinnen typen doe.
Ook al laat ik het zien, doe ik het voor. Het lukt ze niet een eigen zin te maken met vergelijkbare resultaten. Dat betekent niet dat het verborgen is. Ze weten nog niet hoe ze het moeten uitnutten, laat staan iets totaal anders uit te krijgen.

[sdziscool]

Ik kan je vertellen dat op zelfs het hoogste niveau er een hoop obscurity aan te pas komt in security, dit niet omdat bedrijven lui zijn of nalatig, maar omdat er een punt is waar extra security toevoegen op normale manieren niets meer toevoegd.
Bijvoorbeeld: side channel attacks op embedded systemen lezen via electromagnetische veranderingen uit wat er ongeveer gebeurt op een chip en met genoeg effort en tijd kun je gewoon alles reverse engineeren. Hier komt obscurity naar voren als oplossing: hoe meer obscured je operaties en dergelijke zijn hoe meer effort en tijd het neemt om te achterhalen wat er nu gebeurt.

Perfect security bestaat in realiteit niet als de aanvaller dedicated genoeg is, en daarom is ook obscurity belangrijk in security om zoveel mogelijk vormen van aanvallen unfeasible te maken.

[Boxman]

Als jij het beste slot ter wereld maakt, maak je hem toch ook van gehard staal en ondoorzichtig? Of zou je de blauwdruk meegeven en uitleggen hoe hij werkt?

[joker1977]

Er zit een verschil tussen security through obscurity in de design- of uitvoer-fase, uiteraard.

Maar belangrijker: Je zou nooit enkel op security through obscurity moeten vertrouwen. Wat ik lees in dit nieuwsbericht is dat Apple een rechtzaak heeft aangespannen maar die later zelf seponeert, omdat daarmee hun "security through obscurity" layer of defense wegvalt. Ofwel, schijnbaar is dat een (hele) belangrijke layer in hun defense en vinden ze die noodzakelijk. Dat vind ik, op zijn zachtst gezegd, zorgelijk.

Misschien heeft Apple de brut goed voorelkaar, top ! Maar als je vasthoudt aan dit dogma dat je zelfs eerder door jezelf aangespannen rechtzaken gaat seponeren, dan heb ik mijn twijfels...

[Boxman]

Ongeacht de security van het binnenwerk, blijft die defense layer belangrijk. Waarom er zo snel gesprongen wordt naar "die laag is voor hun heel belangrijk, dan zal het binnenwerk wel ontzettend zwak zijn!" gesprongen wordt, is mij een raadsel. Dat is totaal ongefundeerde onderbuikspeculatie.

Elke verdedigingslinie is belangrijk. Ook als je cavalerie van topklasse is, ga je toch niet moedwillig je eigen infanterie om zeep helpen?

[joker1977]

Schijnbaar is deze laag van defense wel belangrijk als je een zelf aangespannen rechtzaak erom laat seponeren. Aan dat punt ga je (moedwillig?) voorbij?

[Boxman]

Praten we langs elkaar? Wat jij zegt is woord voor woord kernonderdeel van mijn punt

Ja, die laag is belangrijk, ongeacht van de kwaliteit van het binnenwerk.

[Reactie gewijzigd door Boxman op 17 september 2024 15:05]

[joker1977]

Dat laatste ben ik het niet mee eens

[Boxman]

Ok, dus 2FA acht jij ook niet nodig als je wachtwoord maar sterk en uniek genoeg is?

Jij zegt basically: "die persoon vindt 2FA dusdanig belangrijk, dat zijn wachtwoord wel zwak zal zijn!"

En daar is natuurlijk geen enkele grond voor.

[Reactie gewijzigd door Boxman op 17 september 2024 15:40]

[morphje]

Je analogie klopt niet, want een slot kan je namelijk prima uit elkaar halen en kijken hoe deze functioneert. Reverse engineering is best eenvoudig zelf.

Vertrouwen op security by obscurity is je slot dicht lassen en dat veiligheid noemen omdat iemand nog niet ontdekt hebt waar de lasnaad zit. Toen lockpicking eenvoudig was, werden speciale pins toegevoegd die picking moeilijk maakte. De werking was bekend, de extra feature werd gepromoot en de hoe en waarom was de reclame. Ondoorzichtig is een feature waarmee picking moeilijk wordt gemaakt, maar wat er achter zit is op geen enkele wijze een geheim.

Dit is juist security without obscurity. Je product daadwerkelijk verbeteren en laten zien waarom het zo is. Daarmee werden nieuwe picking technieken ontwikkelt, etc etc. Het eindresultaat is een superieur product. Maar zonder die openheid, zonder die nieuwsgierigheid, hadden we nu een veel zwakker slot gehad.

[Boxman]

Het beste slot ter wereld kan je natuurlijk niet uit elkaar halen. Lijkt me juist een heel belangrijk onderdeel van de analogie. Als je het reverse engineeren al zo moeilijk mogelijk maakt, heb je een extra laag veiligheid voordat mensen uberhaupt kunnen beginnen aan het zoeken naar ontwerpfouten in het binnenwerk. Dat zorgt er objectief voor dat je slot veiliger is. Immers wordt veiligheid gemeten in hoe lang het duurt om binnen te dringen.

Een slot dat 3 minuten kost om open te krijgen zonder sleutel, is veiliger dan een slot waarvoor je maar 10 seconden nodig hebt.

[Reactie gewijzigd door Boxman op 17 september 2024 13:28]

[morphje]

Er bestaat niet eens zoiets als "het beste slot", want dan gaan we het namelijk ook hebben over de doelmatigheid van het slot.

Een kluisslot is vele malen complexer dan een hangslot. Een kluisslot is ook vele malen veiliger dan een hangslot en toch hangen we de laatste om een fiets ondanks alle veiligheid van de eerste. Tegelijktijd kan je je ook afvragen of 3 minuten voor een kluisslot niet te weinig is voor de definitie "veiligste". Terwijl een hangslot meer dan prima van kwaliteit is als je er 2 minuten over doet (tenzij je een knipschaar hebt).

Je kan niet zondermeer het een met het ander vergelijken zonder context. En een slot open maken is kinderlijk eenvoudig. Ja ze kunnen de boel dichtlassen, bij het reverse engineren gaat gewoon de slijper erin hoor. Totdat ze een manier gevonden hebben om het slot open te maken zonder impact op de werking. Het gaat ook maar weer om hoeveel moeite je wilt steken in het object.

Wederom, een kluisslot krijgt veel meer aandacht en zit veel dichter. Het hangslot doen ze geen moeite voor om dichter te maken. Het is simpelweg een balans.

[Boxman]

Een analogie is veelal een hypothetisch dingetje om een abstract punt te vertalen in herkenbare concepten om zo een vergelijking te slaan die wat makkelijker te begrijpen is. Het punt dat je ermee maakt blijft abstract. De analogie zelf doorslijpen met een slijptol gaat dan ook totaal het punt voorbij.

Het punt is dat elke laag beveiliging belangrijk is en los van elkaar een eigen doel dienen. De noodzaak van de ene laag valt niet bij de relatieve sterkte van de andere laag.

Wat betreft je sloten - gaat echt totaal voorbij aan de discussie. Het spijt me als je mijn analogie niet begrijpt.

[JeroenED]

Dit gaat niet over security through obscurity, dit gaat over je zwakke plekken niet vrij te geven. Ook gekend als "know your enemy". Als je de volledige topologie van hoe alles in elkaar steekt vrijgeeft en daaruit blijkt dat module x rechtsreeks met de kernel spreekt op root niveau, is dat prachtige informatie voor malwaremakers.

[CivLord]

Het zal niet enkel over beveiliging gaan. In dit soort rechtszaken wordt ook veel bedrijfseconomische informatie openbaar en dat zal Apple ook liever onder de pet houden om de concurrentie niet te informeren.

[dasiro]

dé moment voor NSO om te counter-claimen, waardoor de zaak quasi niet geseponeerd kan worden en alsnog een hoop info los kan krijgen (al dan niet achter gesloten deuren)

[morphje]

HET moment om te ontdekken wat de kracht is van twee westerse bondgenoten met enorme digitale belangen. Moest jij eens kijken hoe snel het labeltje staatsgeheim erop geplakt wordt.

Denk je niet dat beide overheden en hun intelligence agencies ook niet enorme belangen hebben om dit soort informatie onder de pet te houden? Ik bedoel, de achterliggende motivatie is slecht, maar dat neemt niet weg dat er enorme belangen zijn op overheidsniveau.

[dasiro]

corporate secrets en state secrets zijn nog 2 compleet verschillende dingen, al kunnen ze wel met elkaar te maken hebben.

[Falastine]

Iedereen weet dondersgoed dat Israel bij de VS heeft zitten klagen en ze Apple gedwongen hebben de case te laten vallen net zoals ze Zuid Afrika nu pushen.

https://www.axios.com/2024/09/09/israel-gaza-icj-genocide-un

[rko4u]

Ik ben benieuwd wat hier achter zit. Dit kan niet goed zijn voor de klanten. Ik vermoed een vorm van dwang.

[JackBol]

Staat letterlijk in de text. Apple ziet de NSO spyware niet meer als een groot gevaar en hebben geen zin om tijdens de discovery van deze zaak informatie naar buiten te moeten brengen. Niet alles is een conspiracy.

[Yordi-]

Geen groot gevaar? Er staat letterlijk dat er naast NSO nog veel meer bedrijven dergelijke software maken. Oftewel; het is dweilen met de kraan open en we willen niet meer informatie delen om het nóg makkelijker te maken.

[JackBol]

En welk nut heeft het om de rechtszaak tegen NSO voort te zetten als het anderen zijn die het gevaar vormen?

[rko4u]

Het gaat er om dat ik die uitspraak niet geloof. Natuurlijk is spyware een groot gevaar, voor hun klanten weliswaar. Deze uitspraak zeggen ze dus eigenlijk dat ze hun klanten niet belangrijk vinden. Gaat er bij mij niet in. Er zijn andere belangen die hun dwingen van actie af te zien. Was Pegasus niet dat pakket dat door de Israëlische regering werd gesteund? Ze worden dus vermoedelijk onder druk gezet om van de zaak af te zien.

[M3m3nt0m0r1]

Kan je dat vermoeden uitleggen? Ben zeer benieuwd naar een vorm van onderbouwing.

[rko4u]

Zie boven!

[FrostyPeet]

Er wordt te veel informatie over IOS openbaar. Goed, die informatie is nu dus bekend bij Apple en een onbekend aantal andere partijen. NSO is wat minder "effectief", wat dus niets zegt over wat ze wel kunnen.

Misschien kan Apple dan wel RFID blocking bags verkopen?

[XSTA]

De reden is natuurlijk zwak, een bedrijf als Apple weet dondersgoed waar het aan begint voordat zij een rechtszaak starten. Ook dat er nu meer spywaremakers zouden zijn zou juist een motivatie moeten zijn voor Apple om dit door te zetten, zo kan er een voorbeeld gesteld worden. Ik denk dat we de echte redenen nooit zullen weten, maar je kunt je er wel iets bij voorstellen als je je inleest op NSO en welke banden deze groep heeft.

[Roel1966]

Niets tegen Apple verder maar ik weet niet wat ik hier van moet denken want je mag er toch vanuit gaan dat Appel al van te voren wist, of kon weten dat IOS dan openbaar zou kunnen worden.

Apple merkt verder op dat het werk van spywaremakers veel moeilijker is geworden in de afgelopen jaren. Dat komt onder andere omdat Apple iOS veel veiliger heeft gemaakt, in veel gevallen specifiek met spyware in het achterhoofd.

En hiermee spreken ze zichzelf dan toch ook tegen en blijkbaar IOS dan toch niet zo veilig is dat het openbaar kan worden.

[CivLord]

[alu-hoedjes mode]
NSO had de iPhones van een aantal bestuurders gehackt en deze bestuurders gevraagd wat hun vrouwen er van zouden vinden wanneer ze een bestandje zouden ontvangen met de chatgeschiedenis en naaktfoto's van hun maîtresses.
[/alu-hoedjes mode]