Hackers maken tooltje om gegevens van gejailbreakte iPhones te stelen - update

Een beveiligingsbedrijf heeft een tooltje gevonden die gebruik maakt van de ssh-hack op gejailbreakte iPhones. Het nieuwe tooltje geeft geen indicatie dat hij contact heeft met een iPhone, in tegenstelling tot drie eerdere exploits.

Het is onbekend of het tooltje, dat deze week werd ontdekt, al slachtoffers heeft gemaakt. De software maakt gebruik van het ssh-lek in de iPhone, waar de afgelopen twee weken al drie keer eerder gebruik van werd gemaakt. Twee Nederlandse hackers lieten iPhone-gebruikers weten dat hun toestel onveilig was. Afgelopen week dook er software op die de bureaubladachtergrond veranderde in een plaatje van zanger Rick Astley.

Deze tool draait op desktops of laptops en scant netwerken, waarop het is aangesloten, op de aanwezigheid van kwetsbare iPhones. Vervolgens kunnen kwaadwillenden allerhande privacy-gevoelige data van de iPhone achterhalen. De iPhone-gebruiker zou niet merken dat zijn data wordt gestolen.

Het aantal potentiële slachtoffers van deze software in Nederland is klein. Tot voor kort waren er naar schatting enkele honderden mensen die hun iPhone hadden opengesteld voor deze hack. Door de actie van de twee Nederlandse hackers en de publiciteit zullen waarschijnlijk veel mensen de achterdeur voor deze hack hebben dichtgezet.

De hack kan zich voordoen bij gejailbreakte iPhones waarop een ssh-applicatie is geïnstalleerd waarvan het standaardwachtwoord niet is veranderd. Apple gebruikt voor de root-toegang van alle iPhones hetzelfde password, maar dat kan met een eenvoudige actie worden aangepast. Ssh-servers voor de iPhone hebben in installatieaanwijzingen veelal staan dat het veiliger is om het standaardwachtwoord aan te passen.

Update 16:16: Het tooltje is geen worm, zoals eerder werd gemeld, maar is een tooltje dat op desktops of laptops kan draaien.

Reacties (99)

[Verwijderd]

You just got Rick Roll'd..

Marreh, als Apple al weet dat er een lek is. Waarom is die nog niet weggewerkt?

[maceddy2004]

Omdat het geen Apple lek is maar een jailbreak 'lek'.
Standaard staat SSH dicht bij Apple, maar bij een jailbroken iPhone kan SSH aanstaan. Met het standaard wachtwoord.

Zolang je niet jailbreakt is er niets aan de hand.
Jailbreaken wordt niet door Apple ondersteund dus waarom zouden zij dat 'lek' moeten dichten?

[Umbrah]

Als ze het rootwachtwoord nou eens niet 'standaard' hadden laten staan, dit is, bereikbaar of niet, toch een stukje slordig ontwerp. Iets simpels als het rootwachtwoord aan de PIN-code gelijk zetten of een hash daarvan was al veiliger geweest! Als ik een auto bouw, en die uitrust met 20kg zware springstof, en de 'boem' knop wegstop helemaal in de moterkap, en de 'moterkap openmaak' knop weglaat, en er vervolgens een douanier met blikopener toch op die knop drukt, ben ik toch ook schuldig dat ik mijn explosieven kant en klaar met ontsteking ergens heb laten slingeren, moterkap op slot of niet?

[ppl]

Je vergelijkingen zijn van de pot gerukt om het maar even recht door zee te stellen. Dat is zo omdat je niet goed snapt waar het hier om gaat en hoe het in elkaar steekt. Dat root wachtwoord zegt niets. Je hebt nu een standaard wachtwoord die je kunt proberen maar er zijn diverse lijsten op internet te vinden (omdat bijv. een of ander site het nalaat om een security bug in haar blog software te patchen waardoor wachtwoorden van users te achterhalen zijn) met daarop heel wat wachtwoorden. Je kunt dus wel een wachtwoord instellen voor dat root account maar dan is de volgende stap de geprobeerd wordt het raden van dat wachtwoorden en dat gebeurd o.a. met eerder genoemde lijsten. Op die wijze heb je netjes een ander wachtwoord ingesteld en kun je toch nog gehackt worden. Als je het root wachtwoord aan de pincode gelijk stelt ben je een randdebiel, dan heb je echt geen enkel flauw benul wat security inhoudt. Een pincode is maar 4 cijfers van 0 t/m 9. Als er iets is wat dodelijk eenvoudig te raden is dan zijn het wachtwoorden van 4 cijfers. Dan kun je je maar beter de moeite van het wijzigen van het wachtwoord besparen want veiliger zal het er echt niet op worden. Zo'n hash heeft ook geen nut, zoiets noem je gewoon een sterk wachtwoord bestaand uit cijfers, letters en tekens die je ook zelf kunt bedenken (zo niet dan hebben we daar ook wel tools als pwgen voor)

Je voorbeeld is om een andere reden ook fout, dat wat het weergeeft komt niet overeen met wat er hier gaande is qua jailbreak, ssh server en default wachtwoorden. Om in de auto analogie te blijven moet je als voorbeeld een Audi A2 nemen waarbij je door een haarscheurtje in een cilinderkop het ding in 2 stukken kunt breken als je er met een hamertje op tikt. Om dit te doen zul je eerst de motor uit de A2 moeten slopen (das nogal lastig want dat ding heeft geen motorkap, is helemaal dicht), vervolgens moet je de motor open slopen om bij de cilinderkop te komen, daarna moet je dan de cilinderkop eruit halen en er een tik met je hamer op geven. De rode draad in dit voorbeeld zijn de omwegen die je moet maken om bij de fout te komen, het is dus niet iets wat zomaar even eenvoudig te doen is en wat al helemaal niet wordt aangeraden door de fabrikant. De fabrikant raadt in geval van de Audi A2 aan dat je bij problemen (kapot voorlicht bijvoorbeeld) maar naar de garage moet om die het te laten oplossen. Dit even helemaal afgezien van het feit dat een auto analogie sowieso nooit goed zal vastleggen wat er hier exact gaande is.

[Verwijderd]

Enneh, hoe is een niet default password precies bruikbaar?
Ik weet niet HOE de iPhone precies werkt, maar ik kan me voorstellen dat gebruikers niet standaard als root op het apparaat werken. (Als dat wel het geval zou zijn, dan zijn ze daar bij Apple prutsers) Om het root wachtwoord te kunnen veranderen, moet je dus weten wat het is.

[Reactie gewijzigd door Verwijderd op 25 juli 2024 10:00]

[cmegens]

Dit is dus precies waarom de titel van het stuk zo slecht gekozen is.

Een standaard iPhone met een Apple Firmeware staat gewoon dicht. Daar kun je niet naar toe SSH-en.

Wanneer men echter jailbreakt en SSH openzet dan kan dat wel. Als je dan het root wachtwoord niet veranderd dan kan iedereen dat. Dus niet Apple prutsers, maar de gebruiker is op dat moment de prutser.

Je kunt er overigens niets aan doen dat je dat niet begreep. Tweakers schrijft het stuk opzettelijk alsof het over alle iPhones gaat, want dan trekken ze veel meer bezoekers. Goed bezig voor een techno nieuwssite...

[MadEgg]

@Rune

Dat hoeft helemaal niet. Ubuntu stelt standaard het root-wachtwoord ook in op niets. Je kunt vervolgens dit wachtwoord veranderen door

sudo passwd

te doen. Hierdoor kun je de toegangscode veranderen zonder dat je de huidige code weet; je hebt alleen je gebruikerswachtwoord nodig, als die al ingesteld is.

En in dit geval was het inderdaad wel zo netjes geweest van Apple om een niet-standaard wachtwoord in te stellen.

[Het.Draakje]

Het feit dat er een user-id/password is is niet verbazingwekkend bij een OS. Bij unix/bsd/windows heb je user-acounts en een administrator danwel root account. En die staan gewoon dicht bij iPhoneOSX. Wellicht hebben ze zo'n standaard wachtwoord nodig bij reparatie.

Het feit dat er springstof in een auto zit is wel verbazingwekkend. Dat is *niet* normaal en dat heb je ook niet nodig voor gebruik in welke vorm dan ook. Daar gaat jouw vergelijking dan ook mank.

Verder is het niet Apple die iets misdoet, de gebruiker (chauffeur bij een auto voorbeeld) moet de kofferbak openbreken (jailbreak), een bom installeren (ssh server) en vervolgens ondanks dat zijn maatje hem waarschuwt (schermmelding) "vergeten" de kofferbak *dicht* te doen (niet eens het slot vergeten, maar zelfs de klep niet naar beneden). Zoiets kan je de fabrikant niet kwalijk nemen.

[.oisyn]

Iets simpels als het rootwachtwoord aan de PIN-code gelijk zetten of een hash daarvan was al veiliger geweest!

Naast dat het zoals ppl ook al aangaf ontzettend dom is om dat te doen, is het niet eens mogelijk omdat je telefoon de pincode helemaal niet weet. Die staat namelijk opgeslagen op de SIM en kun je niet opvragen. Het enige wat je kunt doen is aan de SIMkaart vragen: "hey, mag ik inloggen met pincode <x>", waarop de SIM ja danwel nee antwoordt.

[johnkeates]

Het is gewoon een account. Dat mensen er mee gaan rommelen is hun eigen probleem.
Er staat een standaardwachtwoord op, om dat je er toch niet in kan komen, en dat is de beveiliging. Bovendien, om er in te komen met je de telefoon in je bezit hebben, en op dat moment maakt het al niet meer uit welk wachtwoord er op staat, want dan kan diegene hem lekker wissen.

Als mensen een SSH-server met standaard wachtwoord online zetten, dan kan je daar niemand op aankijken, behalve de gebruiker die dat deed. Punt.

[multipasser]

Enkel gehackte telefoon. Dus apples doesnt care!

[t-h]

Enkel gehackte telefoon. Dus apples doesnt care!

Apple heeft een fix al voor de bug bekend was:
standaard firm-/software installeren.

[Verwijderd]

En terecht vind ik, eigen schuld dikke .... juist.


Offtopic: Een goede vriend van mij heeft een Iphone 3G, en het ging mis met jailbreaken op een of ander manier heeft hij upgrade gedaan naar 3.1 software, en daardoor is zijn iphone totaal onbruikbaar geworden. Na een bezoekje bij Apple store, werd hem geadviseerd naar iphoneclub.nl te surfen voor "oplossing". Dus over service kan ik niet klagen .

[Biinjo]

Off-offtopic:

Toen ik laatst een keer in een macshop was, stond daar ook een iPhone showmodel met Cydia er op! Hihi

[Reactie gewijzigd door Biinjo op 25 juli 2024 10:00]

[SinergyX]

Omdat dit al buiten de 'wat mag' valt, jailbreak + ssh zijn je eigelijk verantwoordelijkheid, waarom zou Apple iets fixen als zij het standaard niet eens beschikbaar stellen?

[T-men]

Omdat het toch de Apple IPhone naam is die te grabbel wordt gegooit in de media.

@hieronder:
'tuurlijk is het onterecht ! Maar toch is het voor een naam van een bedrijf/product niet goed om genoemd te worden i.c.m. (beveiligings)problemen. Die combi blijft kleven in de hoofden van mensen. Vooral als ze de de klok wel hebben horen luiden...

[Reactie gewijzigd door T-men op 25 juli 2024 10:00]

[Jester-NL]

Ik lees toch in ieder bericht over deze lek en de uitwerking daarvan dat het om gejailbreakte iPhones gaat.
Noem mij kortzichtig, maar (zeker met de uitleg over wat jailbreaken is, en dat SSH niet default aanstaat, zoals in de meeste media ook nog gegeven wordt) is het Jan Publiek ondertussen redelijk aan het dagen dat zijn ongemodde iPhone niet kwetsbaar is.

En Apple kan hier uiteindelijk alleen maar om grinnken... als "dat krijg je nou van jailbreaken"

[Verwijderd]

Sterker nog, Apple KAN dit niet eens fixen, omdat er niets kapot is.
Er zijn gewoon een stel prutsers die een default password niet veranderd hebben.

[cmegens]

En daarom zou een blog als Tweakers dus ook juist een andere titel moeten kiezen.

"Eerste kwaadaardige ssh-worm voor iPhone duikt op" is vrij misleidend, aangezien een standaard iPhone niet vatbaar is voor deze worm...

Beter zou zijn:
"Eerste kwaadaardige ssh-worm voor Jailbreak/openSSH duikt op"

Komop tweakers, je bent een techno blog, voor geavanceerde tweakers. Ik vindt dat we dit soort details wel juist hier goed mogen verwachten. Ga je je naam eer aan doen, of ga je titels verzinnen die niet kloppen maar zo lekker veel mensen trekken door ze op het verkeerde been te zetten?

[johnkeates]

Wat een onzin, als jij je computer sloopt is microsoft toch ook niet verantwoordelijk? Dat windows zonder het nog meer te verneuken dan het al is zo lek is als een mandje staat daar los van.

Het is alsof je de sloten uit je auto sloopt en dan je automerk aanklaagt om dat iemand anders er ook in kan.

[Verwijderd]

verantwoordelijk niet neen, maar hoeveel mensen heb je niet die Sweex / tybotech / whatever hardware kopen en achteraf klagen dat hun pc instabiel is en dat het de fout van MS is want dat windows slecht is? Meer dan genoeg... Juist bij de iPhone gaat dat hetzelfde zijn; dat de fout bij de gebruiker ligt zal snel vergeten worden, en het zal op het imago van de iPhone gaan afstralen.

[donnie1992]

Omdat die lek wordt gecreerd door een third party app.
Niet door apple zelf.

[freaq]

omdat de lek niet werkt als je de iphone niet gejailbraikt is.
dit is iets waar apple dus niks aan gaat doen

met opzet gaat doen, want ze kunnen het mischien wel,
maar dan helpen ze de jailbraikers en dat gaan ze echt niet doen.

[Verwijderd]

Lees het artikel aub, de hack werkt enkel op gejailbreakte Iphones waarop een ssh-client is geinstalleerd. Dus een gewone niet gemodificeerde Iphone heeft hier geen last van... Apple heeft hier dus geen zak mee te maken aangezien ze de applicatie niet ondersteunen en het jailbreaken al helemaal niet.

[blouweKip]

Omdat het geen lek is

[mgizmo]

Het lijkt wel alsof er een competitie is wie het snelste op jouw vraag kan antwoorden.

[BlackOwl]

Lek? welk lek?

Er zijn mensen die een default password gebruiken in plaats van er zelf een te verzinnen,dat is geen lek waar Apple iets aan moet doen.

[ocdaan]

Heeft T-mobile nu de boel al dicht gezet? Ik dacht laatste te lezen dat ze dat snel gingen doen namelijk.

[t-h]

Heeft T-mobile nu de boel al dicht gezet? Ik dacht laatste te lezen dat ze dat snel gingen doen namelijk.

T-Mobile hoeft niets te doen. Apple ook niet. Het betreft alleen mensen die - in strijd met de gebruiksvoorwaarden (waar je je aan dient te houden om zeker te zijn van functionaliteit en garantie, dat is doodnormaal) - hun iPhone gejailbreakt hebben én een SSH client hebben geïnstalleerd. Dat zijn er niet zoveel. En doordat die aan de de standaard veilige iPhone hebben gesleuteld vragen ze er eigenlijk ook wel een beetje om.

[ppl]

Even mierenneuken: het gaat hier niet om een ssh client want daar is helemaal niets mis mee, het gaat hier louter alleen om een ssh server die je gejailbreakte iPhone open zet voor de rest van de wereld. Ook iets wat in het artikel omgewisseld wordt zo te zien.

[Umbrah]

Mwoah, Apple hoeft niets te doen? Het is een standaard wachtwoord wat onafhankelijk van de SSH server toch op het toestel ingesteld staat. Dat een gebruiker er standaard niet bij kan moet niet een excuus zijn voor slecht ontwerp, iets simpels als het root wachtwoord gelijk zetten aan de pincode van de gebruiker of een hash daar van had al heel wat leed gescheeld. Dat mensen het ding jailbreaken kan ik begrijpen, hoewel de opzet van de iPhone veel wegheeft van een console, is de rest van de smartphone markt meer 'PCs' is, wil er dus voor zorgen dat men een Twilight hack toepast op hun iPhone om toch ook homebrew te gaan gebruiken, omdat men misschien stiekem de gedachte had een 'PC' te kopen in plaats van een console (over slecht uitgewerkte analogie gesproken).

[vgroenewold]

Apple zou dit kunnen hebben doen, wat dan voornamelijk netjes was binnen de programmeurs van Apple zelf, maar verder zie ik veel liever dat ze hun energie steken in een goede beveiliging buiten het zowiezo stupide gedoe van jailbreaken om (koop dan Android oid) en het verbeteren van hun interface e.d.

[Verwijderd]

SSH is niet de enige manier waarop iemand toegang tot de iPhone zou kunnen krijgen. In principe zou dat ook via een bugs in de Apple software kunnen. En dat kun je alleen afgrendelen door het root wachtwoord altijd door de user te laten veranderen.

Het is exact hetzelfde argument als dat je bij gewone computers niet wilt users met admin rechten draaien.

[newinca]

In 99% van de gevallen waarbij je root access kan krijgen, heb je gewoonweg geen paswoord nodig.

[Little Penguin]

Het is een standaard wachtwoord wat onafhankelijk van de SSH server toch op het toestel ingesteld staat

Standaard is er gen SSH-server aanwezig, als je die wel installeerd heb je de iPhone al gejailbreakt en ben je dus zelf verantwoordelijk.

Je moet dan dus zelf een uniek wachtwoord kiezen.

[magnifor]

Maar het is goed mogelijk dat in de toekomst een lek wordt gevonden in de iPhone OS of in een app waardoor je misschien wel toegang kan krijgen van buitenaf en het standaard wachtwoord kan misbruiken.

[vgroenewold]

Het feit dat dat kan via de officiele weg is dan wel Apple aan te schrijven en dan zou de hele discussie volkomen duidelijk zijn. Ik verwacht dan ook een geweldig snelle reactie dmv een update, want men heeft anders meteen een flink slechte pr te pakken. Nu niet, wellicht patched men dit wel maar prioriteit zal het niet hebben.

[Remcoder]

Waarom moet Apple dit patchen?

Zolang de iPhone van de fabriek uit veilig genoeg is, hoeft Apple niets te doen.

Dat zou hetzelfde zijn als wanneer ik de gordels in mijn auto eruit sloop, en daarna bij de fabrikant ga klagen dat dit kan en ik daardoor zwaar gewond ben geraakt bij een ongeluk...

[magnifor]

Als er nu een lek wordt gevonden en een exploit wordt geschreven voor het iPhone OS dan zijn ook de "legale" iPhone gebruikers kwetsbaar.

Voorkomen is beter dan genezen. Ik hoop dat Apple geen standaard root wachtwoorden gebruikt in de toekomst.

[Remcoder]

Ja, DAN moeten ze het patchen en waarschijnlijk zijn ze ook al op hun gemakje aan het kijken wat de mogelijkheden zijn maar zolang er geen exploit voor legale iPhones is, hoeft Apple in principe niets te doen.

[magnifor]

Dat Apple geen geen lekken kan vinden wil nog niet zeggen dat er daadwerkelijk geen lekken zijn.

Het kan zo op de een op de andere minuut gebeuren dat iemand die wel een lek heeft gevonden zijn kwaadaardige software loslaat in het wild en dan is het kwaad al geschied.

En wat dan als Apple die lek niet kan vinden en de vinder van die lek het niet publiceert? Enige manier is dan het root password aanpassen. Dat kunnen ze wat mij betreft in de eerst volgende update toepassen.

[Reactie gewijzigd door magnifor op 25 juli 2024 10:00]

[ppl]

Daar hebben ze dus ook al wel maatregelen voor waarbij de sandboxes die ze gebruiken ook een rol spelen. Hoofdzaak is om te zorgen dat zo'n exploit zo min mogelijk schade kan toebrengen en dus niet zo makkelijk bij systeemonderdelen kan komen. De vraag die je eigenlijk zou moeten stellen is of de maatregelen die ze hebben genomen wel afdoende zullen zijn. Je kunt een root wachtwoord wel wijzigen naar iets wat je zelf weet te onthouden maar veel mensen gebruiken daar een veel te simpel wachtwoord voor. Die wachtwoorden kunnen weer eenvoudig te achterhalen zijn met o.a. brute force attacks. Sja, wat ben je dan aan het dichten?

[PPie]

Een niet standaard wachtwoord helpt niet als je een expoit in de code vindt. Dit wachtwoord heb je niet nodig als je een buffer overflow oid hebt. Je hebt deze alleen nodig als je wil inloggen op de console of via ssh. Dan kan normaal niet...
Als je dat via een exploit opeens wel kan, waarom zou je de exploit dan een loginprompt laten geven...?

[Barbapapa720]

Hoe veilig is een telefoon die met klik klik druk te jailbreaken is? Volgens mij begint daar het probleem al. Als Apple groot genoeg wordt (en dat doet de iPhone) dan is er veel interesse om er virussen/trojans/malware en andere ongure programma's voor te schrijven.

En ik weet zeker dat (en dan doe ik niks af aan de knappe koppen van Apple) dat het gezamelijke intellect van alle virusschrijvers groter is dat het intellect van Apple derhalve zal de communitie zie het zaakje wil hacken het zaakje hacken!

[newinca]

Om de iPhone te jailbreaken met je hem fysiek in handen hebben en met een USB kabel aan je computer hangen. Dat is al zo sinds de introductie van OS 1.2 (toen het sandboxen werd ingevoerd.)

Normaal gezien kan je root worden via een bug door een overflow of een bug in een of andere system call, waardoor je in een hogere permission ring geraakt. Heb jij ooit al een gewone system call gezien waarbij je een root paswoord moet ingeven?

Ik ook niet.

De hele root paswoord historie is een red herring, naast de kwestie en een non-issue.

Apple moet ervoor zorgen dat er geen bugs zijn in de system calls vanuit de standaard sandbox. Op dit moment zijn er nog niet zo'n bugs gevonden. Laat ons hopen dat dit zo blijft.

[Reactie gewijzigd door newinca op 25 juli 2024 10:00]

[vgroenewold]

Nee precies, jailbreaken is 1 ding, ssh gebruiken weer een ander. Ik heb m'n iPhone voor de interesse weleens gejailbreaked (waarvan ik totaal geen voordelen ondervond in mijn manier van gebruik), maar ssh gebruikte ik zowiezo al niet. Dus zelfs dan had ik er nog geen last van gehad, kans dat dit gaat om om en nabij 1% van de iPhone gebruikers lijkt mij vrij groot... wellicht zelfs minder.

[gnimmeL_kraD]

Het is een beetje onzin overigens dat T-mobile poorten gaat dichtgooien omdat een bepaalde gekraakte mobiel daar problemen mee heeft. Wellicht dat de SSH poort door zakelijke gebruikers wel gebruikt wordt.

[.oisyn]

Wellicht dat de SSH poort door zakelijke gebruikers wel gebruikt wordt.

Waarom zou een zakelijke klant de binnenkomende SSH poort gebruiken om in te loggen op z'n telefoon terwijl dat niet eens kan op een niet-gejailbreakte telefoon?

Neemt niet weg dat ik het idd ook onzin vind als ze dat zouden doen. Ik vind dit typisch iets waarvoor de gebruiker zelf verantwoordelijk is. Het is niet zo dat iPhones standaard onveilig zijn, zoals je soms wel met ADSL en kabelmodems ziet. Je moet 'm feitelijk zelf onveilig maken door 'm te jailbreaken én de SSH daemon erop te installeren.

.edit: @hieronder: good point, het gaat natuurlijk niet alleen om iPhones.

[Reactie gewijzigd door .oisyn op 25 juli 2024 10:00]

[gnimmeL_kraD]

Zoals Rune al zegt, mobiele internet diensten voor andere apparaten dan iPhones zoals Laptops. Ik zeg niet dat het gebruikt wordt, maar ik kan me voorstellen DAT het gebruikt wordt.

[TJVB]

Heel toevallig wordt het wel eens zo gebruikt.
Op sommige locaties is het niet mogelijk om internet te krijgen via een lijntje, als daar dan een systeem moet hangen dat af en toe bereikbaar moet zijn is ssh nogal handig.

[CSB]

* CSB spuit even zijn mening
Volgens mij hoeft T-Mobile geheel geen verantwoording af te leggen en poorten dicht te gaan zetten tegenover mensen met een gejailbreakte iPhone. De provider levert de telefoon as-is en dat men zelf via een illegale omweg het systeem openzet, sjah.

[Jaco69]

En welk IP adres wordt dan gebruikt?

[Verwijderd]

Waar je er even vanuit gaat dat iedereen een iPhone heeft en niet bijvoorbeeld een t-mobile stick oid.

[T-men]

Tja, dat is de afweging tussen een veilige IPhone en klanten die in de problemen raken omdat hun wachtwoord plots (ongevraagd) gewijzigd is.

En dan kun je brieven sturen en meldingen op je IPhone tonen wat je wil, een hoop klanten zullen hun wachtwoord niet onthouden. En T-mobile krijgt (onterecht, maar toch) de schuld.

Als ik T-mobile was, dan zou ik mijn handen daar niet aan branden. Beveiliging is vooral ook een taak van de gebruiker zelf.
En wanneer je zoe iets specifieks als een SSH-client op je mobiel installeert, dan mag je aannemen dat die gebruiker weet wat het is en wat de gevolgen van een slechte beveiliging kunnen zijn. Zeker gezien alle publiciteit rond dit onderwerp de laatste dagen.

[Verwijderd]

Je kunt de inkomende ssh poort zo goed als zeker kunnen blokkeren. Wie zou er via ssh naar zijn telefoon willen inloggen?

Uitgaand kan ik me inderdaad wel voorstellen, dat mensen dit gebruiken.

[himlims_]

Ik heb een iphone abbo, in een g1, ssh inkomend/uitgaand gaat nog gewoon als van ouds. Zouden ze eens moeten flikken ineens dicht gooien... heb ik nie om gevraagd

[Reactie gewijzigd door himlims_ op 25 juli 2024 10:00]

[Malantur]

nieuws: T-Mobile gaat ssh-hack iPhones onmogelijk maken

"Nu is het overnemen van iPhones via ons netwerk nog mogelijk, maar op korte termijn moet dat niet meer kunnen." Op welke termijn dat gaat gebeuren is nog niet duidelijk, maar dat zal 'eerder een kwestie van weken dan van maanden' zijn, aldus Tomasoa.

Kan dus nog wel een weekje of 2 duren..

[cmegens]

Tjonge jonge Tweakers, makkelijk hoor, van dit soort populistische berichten.

Sorry, maar echt hacken kun je dit toch niet noemen? Mensen die na hun jailbreak openSSH installeren en vervolgens het standaard wachtwoord niet vervangen worden niet gehackt, maar die vragen er gewoon om. Sorry maar als je je voordeur open laat staan en er komen mensen in je huis binnen die er niet hadden mogen zijn dan is dat toch zeker je eigen schuld. Moet je je deur maar op slot doen.

Als Gmail een standaard wachtwoord zou hebben, bijvoorbeeld 1234, en iemand gaat alle gmailadressen proberen met dat wachtwoord dan kun je er donder op zeggen dat je wat Gmail accounts in kunt... Is dat dan hacken? mwah, ik vind nog niet echt eigenlijk..

[Verwijderd]

T-mobile moet gewoon een brief naar z'n klanten versturen hierover.

[Verwijderd]

Waarom zou T-mobile de boel moeten dichttimmeren? Als je je iPhone jailbreakt dan hef je ook alle support op. Problemen met wormen? Los het zelf op!

[dispie]

Dat is het nadeel van populere producten natuurlijk, er gaan meer mensen mee rommelen en komen dus meer virussen en hacks kijk maar naar windows

Dit zegt natuurlijk meer over de beveiligings mogelijkheden van het iphone OS en de door hun toegelaten software dan over het SSH protocol.

Ten eerst is het blijkbaar te makkelijk om de iphone te gejailbreake en het feit dat je standaard wachtwoorden niet kan veranderen is natuurlijk altijd een slechte zaak.

SSH wat in principe 1 van de veiligste protocolen is waar je mee kan inloggen door de 256bit encryptie en dat je het zo kan instellen dat alleen mensen die jij jouw public key geeft acces kunnen krijgen en dus geen paswoorden worden uitgewisseld waardoor je de man in de middel attacks uitsluit.

edit
oeps beetje scheel gelezen ik had gelezen dat het wachtwoord niet veranderd kon worden, inplaats van dat het niet veranderd is door de gebruiker.

[Reactie gewijzigd door dispie op 25 juli 2024 10:00]

[vgroenewold]

Als je Windows kraakt, ok, maar daar zijn dus zowiezo op de legale wijze al duizenden virussen voor. Voor de iPhone is er nog niets wat gevaarlijk is, als je dus gewoon legaal bezig bent (althans, legaal in de zin van, gebruiken hoe het bedoelt is). Het feit dat er nog geen worm (en dit is overigens ook geen worm) of virus is voor een mobiel welke al zo populair is, zegt mij dat de beveiliging toch vrij goed in orde is.

[burne]

Ten eerst is het blijkbaar te makkelijk om de iphone te gejailbreake en het feit dat je standaard wachtwoorden niet kan veranderen is natuurlijk altijd een slechte zaak.

Twee details: na een jailbreak moet je ook nog ssh installeren en starten om hier last van te ondervinden.

Het veranderen van een wachtwoord is geen enkel probleem en wordt bij zowel de jailbreak als het installeren van ssh aangeraden.

Iemand moet dus drie dingen doen en een ding nalaten om kwetsbaar te zijn.

[Marcel]

Leuk, die uitleg van je maar je kunt het rootwachtwoord wel wijzigen. Dit lek is niet toe te schrijven aan Apple maar aan gebruikers die guides volgen zonder te weten wat ze doen.

[Thombias]

MacOS nog niet zo populair dus weinig tot geen virussen.

[donny007]

Waarom blijven ze het eigenlijk hacken noemen?

Dit noem ik eerder inloggen en wat software installeren, het wordt pas hacken als dit ook kan op een iPhone zonder SSH.

[wildhagen]

Waarom blijven ze het eigenlijk hacken noemen?

Omdat dit gewoon hacken is?

Je verschaft je immers toegang tot een machine, waar je het recht c.q. de toestemming van de eigenaar niet toe hebt.

En dat is één definitie van hacken.

[donny007]

Dit is meer een vorm van cracken, de vorige 3 iPhone SSH artikelen gingen over hacken.

Dit wordt vaak door elkaar gehaald, De meeste mensen zien crackers als mensen die beveiligingen van software cracken om het illegaal aan te bieden, en hackers die beveiligingen kraken om er misbruik van te maken.

De werkelijke definitie is:

Hacken: Testen van een beveiliging en daarna aanbevelingen doen aan de maker van de beveiliging, hackers richten dus geen schade aan, ze testen, verbeteren en rapporteren.

Cracken: Inbreken met kwaadaardige bedoelingen, zoals een worm plaatsen, crackers richten dus schade aan.

Hacken heeft nog veel meer betekenissen, het gaat hier over computerhacken.

Wikipedia over hacken: http://nl.wikipedia.org/wiki/Hacken
Wikipedia over hackers: http://nl.wikipedia.org/wiki/Hacker
Wikipedia over crackers: http://nl.wikipedia.org/wiki/Computerkraker

Alleen het cracken is strafbaar.

[Reactie gewijzigd door donny007 op 25 juli 2024 10:00]

[Het.Draakje]

Het nadeel van wikipedia is dat het geen enkele relatie *hoeft* te hebben met wat wel en niet waar is. Het is maar een visie van iemand die zichzelf expert noemt, terecht of niet.

Een hacker heeft niet altijd met beveiliging te maken en een hacker hoeft het ook niet altijd te rapporteren. Wat je ook in de door jou aangehaalde wikipedia pagina's kan lezen.

En over het niet strafbaar zijn van hacken, daar kijk ik toch liever bij een juridische website. http://www.iusmentis.com/...iteit/computervredebreuk/ : Een hacker is strafbaar!

Wettelijk is er geen verschil tussen hacken en cracker.

[Drexz]

ik vind ssh-lek nog steeds onzin, het is gewoon iets wat mensen zelf open zetten. Dan zou een website ook een http lek zijn

[Verwijderd]

"De hack kan zich voordoen bij gejailbreakte iPhones"
die mensen hebben pech vind niet dat providers wat er tegen moeten doen..

[Airdack]

Is dit nog nieuws? Het aantal mensen dat er nog door getroffen zal worden, want zoals in het nieuwsbericht al staat, je moet wel een hele specifieke situatie hebben wil je getroffen kunnen worden (en jailbreak, en ssh, en standaardwachtwoord).

Het lijkt er meer op dat dit nieuwsbericht inspeelt op het feit dat er nieuws over Apple is, en dat het dan altijd gelezen zal worden. Er komt toch ook geen nieuwsbericht op de frontpage als er een virus in addon zit voor een MMO waardoor misschien 100 mensen getroffen worden?

[johnkeates]

Het is verschrikkelijk irritant hoe in de reacties en de post zelf de fouten je om de oren vliegen..

Om e.e.a. recht te zetten:

Het is geen "lek", het is een gebruikersfout.
Het is ook geen ontwerpfout van Apple, om dat in het ontwerp dit allemaal niet mogelijk was.

Het is een SSH-Server en dus geen SSH-cliënt. Als je je er mee bemoeit, gebruik dan de juiste termen.

Dat het om een worm gaat die SSH-servers met standaardwachtwoorden misbruikt weten we allemaal wel, en we weten daar om ook dat mensen die een SSH-server installeren en het standaard wachtwoord gewoon laten voor wat het is hun eigen probleem zijn.

Als er gehackt wordt, en een andere hacker maakt misbruik van je hack, dan moet je niet komen huilen in de 'legale wereld'. Maak je zelf een probleem, dan is het ook je eigen verantwoordelijkheid.

Misschien dat het niet eens zo belangrijk is dat het om een iPhone of om een product van Apple gaat, dit heeft eerder te maken met onervaren gebruikers die alles zomaar doen zonder na te denken, en deze groep mensen heeft toevallig een iPhone waar op internet nou eenmaal veel over te vinden is, zoals makkelijke jailbreak tools. En dit probleem is als je het zo bekijkt bijna hetzelfde als het router-probleem waarbij mensen standaardwaarden gewoon lekker laten zitten. Het grote verschil is echter dat deze apparaten bedoeld zijn om toegang te verstrekken en het is dan ook de bedoeling dat mensen van de gegevens (ssid, wpa2-psk, ip, admin login, remote access) hun eigen versies invoeren. Bij de iPhone is dat niet zo, het is zelfs de bedoeling dat je daar nooit bij kan komen. Geen SSH-servers, geen root access en geen fs access. Dat is waarom het ding werkt. Ga je dat verneuken.. eigen schuld dikke bult

[Verwijderd]

Als er gehackt wordt, en een andere hacker maakt misbruik van je hack, dan moet je niet komen huilen in de 'legale wereld'. Maak je zelf een probleem, dan is het ook je eigen verantwoordelijkheid.

Idd, kijk bijvoorbeeld ook eens naar openrelay mailservers en open proxies.
Zijn veelal ook van mensen die te lam zijn om het spul een beetje te configgen.

[ppl]

Of het een ontwerpfout is van Apple of niet is iets wat discutabel is. Men zou kunnen redeneren dat de accounts een te zwak wachtwoord hebben en de vraag stellen waarom het root account nodig is, men kan het bijv. ook doen zoals Ubuntu e.d. het doen. Ik zou in ieder geval niet glashard gaan ontkennen dat dat geen ontwerpfout is van Apple. Wat er geen fout is van Apple (en derhalve ook geen ontwerp fout) zijn de gebruikers die jailbreaken, een ssh server installeren en de wachtwoorden niet wijzigen. Dat is gebrek aan kennis en gebrek aan leesvermogen van de gebruiker die het uitvoert.

[brsm]

Dus als ik het goed begrijp, kunnen alleen gejailbreakte iPhones worden geïnfecteerd.. Niets aan de hand dus.

[cyclopsq]

Toch nog maar een repost van een aantal dagen geleden:

In 9 stappen naar een nieuw root wachtwoord.

1. Log aan op je Iphone met "MobileTerminal". Heb je die niet, download dit dat uit Cydia of doe het direct over ssh;
2. Voor de terminal login heb je geen wachtwoord nodig;
3. Typ nu su - root;
4. Er wordt een wachtwoord gevraagd, neem het default wachtwoord, "alpine";
5. Je bent nu root;
6. Verander je wachtwoord door "passwd" in te typen;
7. Kies nu een vrij sterk wachtwoord met een combi van cijfers, letters en leestekens;
8. Voer 2 keer je nieuwe wachtwoord in;
9. Klaar ben je.

Hoop dat iemand er iets aan heeft.

PS. Beter is het overigen om met SBSettings je SSH, na het veranderen, helemaal uit te zetten!

[Reactie gewijzigd door cyclopsq op 25 juli 2024 10:00]