Cookies op Tweakers

Tweakers maakt gebruik van cookies, onder andere om de website te analyseren, het gebruiksgemak te vergroten en advertenties te tonen. Door gebruik te maken van deze website, of door op 'Ga verder' te klikken, geef je toestemming voor het gebruik van cookies. Wil je meer informatie over cookies en hoe ze worden gebruikt, bekijk dan ons cookiebeleid.

Meer informatie

Door , , 32 reacties

Apple erkent dat er in iOS 7 een bug aanwezig is waardoor bijlages van e-mails die verstuurd zijn vanaf een iPhone niet zijn versleuteld. De fabrikant zegt te werken aan een fix om de bijlages alsnog van encryptie te voorzien.

Apple logoOndanks dat Apple op zijn website stelt dat de mail-applicatie in iOS 7 versleuteld opslaat, kwam de Duitse beveiligingsonderzoeker Andreas Kurtz er onlangs achter dat dit op zijn iPhone 4 niet het geval is. Na het aanmaken van een testaccount was hij in staat om bijlages van e-mails als platte tekst in te lezen. De bug is aanwezig in iOS 7.0.4, 7.1 en de meest recente 7.1.1-release.

Apple heeft inmiddels de bug publiekelijk erkend, meldt ZDnet. Ook geeft het bedrijf aan te werken aan een bugfix. Deze moet in een toekomstige iOS 7-update beschikbaar komen. Onduidelijk is nog wanneer Apple de fix denkt uit te gaan brengen.

Ondanks de bug in de mail-app is het gevonden beveiligingsgat niet zeer riskant. Zo moet een aanvaller eerst fysiek toegang hebben tot een iPhone en ook de pincode of het wachtwoord kraken. Ook doet het probleem zich niet voor op een iPhone 4s en recentere modellen die minimaal op iOS 7.1 draaien.

Moderatie-faq Wijzig weergave

Reacties (32)

Het is dus alleen een probleem op de iPhone4 begrijp ik?

Er is ook een andere reden waarom dit niet echt een riskant beveiligingsgat is: bij een gemiddelde gebruiker zal de iPhone waarschijnlijk veruit z'n best beveiligde apparaat zijn, want het is een volledig gesloten systeem waarop ook nog eens storage-encryptie aanstaat (minus die bijlages dan). Elk ander apparaat wat die persoon gebruikt zal waarschijnlijk minder goed beveiligd zijn, en is dus voor hackers een praktischer doelwit.

Daarnaast gebruiken veel mensen nog unencrypted POP3/IMAP, en in zo'n geval is een veel simpeler uit te voeren man in the middle attack handiger.

Hoe dan ook is het uiteraard wel prettig als Apple het probleem oplost :)
...want het is een volledig gesloten systeem waarop ook nog eens storage-encryptie aanstaat (minus die bijlages dan)
Ook de attachments zullen nog steeds encrypted zijn. Sinds de iPhone 3G heeft ieder iDevice 256 bits AES encryptie op het file system niveau. Dat wordt gedaan middels een hardware module zodat het geen negatieve impact heeft op performance. Ook de attachments zullen dus op FS niveau nog steeds encrypt zijn, daarom heeft de onderzoeker ook eerst de key nodig voor dat hij toegang heeft tot deze attachments.

Waar dit volgens mij om gaat is dat IMAP folders standaard nog eens encrypted zouden moeten zijn, bovenop de FS encryptie dus. De emails zijn nog steeds encrypted maar door een bug zijn de attachments niet meer encrypted.

Ik vermoed dat deze bug voornamelijk vervelend is voor enterprise gebruikers. Voor gewone gebruikers is email sowieso nooit veilig en moet je ieder emailtje beschouwen als openbaar. Gelukkig is de laatste jaren steeds meer email verkeer tussen client en server met TLS versleuteld en is er sinds het NSA schandaal ook aandacht om het verkeer tussen mailservers over TLS te laten lopen. Desondanks blijven de emails zelf vrijwel altijd niet encrypted. Simpelweg omdat (tenzij iemand complexe dingen doet met GPG of S/MIME) de ontvanger het emailtje ook moet kunnen lezen. Voor enterprise gebruikers, die soms wel de hele structuur van begin tot eind in eigen handen hebben, is email encryptie iets makkelijker te verwezenlijken. Voor hen is dit wel potentieel vervelend.
Nee, dat staat hier een beetje ongelukkig maar het vorige nieuwsbericht meldt:
Kurtz laat ook nog weten dat hoewel hij zijn originele tests gedaan heeft met een iPhone 4, hij hetzelfde resultaat kreeg na een aantal tests met een iPhone 5s en iPad 2 die op iOS 7.0.4 draaiden.
Meer info:
http://www.imore.com/appl...ttachment-bug-working-fix
Kurtz claims he successfully duplicated the tests on an iPhone 5s and an iPad 2 running iOS 7.0.4, though he makes no claim of testing them successfully or unsuccessfully on iOS 7.1.1. Given the requirements, anyone running an iPhone 4s or later (Apple A5* chipset or later) and iOS 7.1.x or later should not be vulnerable to this bug.
Iedereen die nog niet iOS 7.1 draait en iedereen met een iPhone 4 of ouder toestel is kwetsbaar voor deze bug. De kwetsbaarheid maakt het mogelijk om op een iphone die gestolen en daarna gehackt wordt, attachments te lezen die encrypted verstuurd waren.

Iedereen met een 4s of nieuwer die de laatste update heeft schijnt helemaal geen last van te hebben.
Nou dat artikel staat volgens mij vol tegenstrijdigheden.
Kurtz zegt dat deze bug zich voordoet op de iPhone 4 en dat hij hetzelfde kon reproduceren op de iPhone 5S en iPad 2 met IOS 7.04.
Maar hij heeft niet getest met IOS 7.1. en dan staat er vervolgens in de conclusies dat de iPhone 4S en later op IOS7.1 niet kwetsbaar zijn.

Ik mis iets in het artikel of het is gewoon extreem verwarrend geschreven
Je hebt gelijk, die conclusie is wellicht voorbarig. Van de andere kant is degene die de bug rapporteert ook in gebreke door te melden dat de bug in 7.1.1 voorkomt zonder te testen op 4s+ op die versie.

Er staat nu een vraag bij het originele artikel of de bug inderdaad geldt voor 4s en 7.1.
Iedereen die nog niet iOS 7.1 draait en iedereen met een iPhone 4 of ouder toestel is kwetsbaar voor deze bug.
Dat is dus niet waar want ik draai geen iOS 7.1 op een iPhone 4 maar toch geen last van die bug. Ik draai nog steeds met veel genoegen 6.1.3
Staat er toch prima?
Ook doet het probleem zich niet voor op een iPhone 4s en recentere modellen die minimaal op iOS 7.1 draaien.
Op een 4S+ op de laatste iOS is er dus niks aan de hand.
Dat is een ongegronde conclusie. De originele vinder heeft alleen getest op een iphone 4 (geen idee welke versie), iP5S (7.0.4) en ipad2 (7.0.4) over alle andere devices valt dan dus niets te zeggen. Dit wordt echter wel gedaan in het bovenstaande artikel. Of een iPhone 5 met 7.1 dan niet kwetsbaar is voor deze bug is puur "speculaas" zonder onderzoek daarnaar.
iPhone4 ... De bug is aanwezig in iOS 7.0.4, 7.1 en de meest recente 7.1.1-release.
Ook doet het probleem zich niet voor op een iPhone 4s en recentere modellen die minimaal op iOS 7.1 draaien.
Het ligt dus niet specifiek aan de iOS versie, want 7.1.1 op een iPhone 4 is kwetsbaar terwijl dit op een 4s niet zo is.

Een iPhone 5 met 7.1 zal dus waarschijnlijk niet kwetsbaar zijn als je de laatste regel mag geloven, al schijnt deze dus met 7.0.4 dus nog wel deze bug te hebben.

Het blijft een beetje apart allemaal :)
Klopt, daarom moeten ze het ook oplossen.

Wat ik maar wil zeggen is: voor de gemiddelde gebruiker is het risico heel klein, en ze lopen op allerlei andere manieren meer risico. Hoe je het ook went of keert, een iPhone zal maar in een ontzettend klein deel van de gevallen de zwakste plek zijn, zelfs als er een paar beveiligingslekken in zitten.
Dit is toch gewoon een bug? En bij alle 4s+ toestellen met de laatste versie (7.1) klopt het gewoon wat Apple zegt.

Wat betreft je claim over het onveilig zijn; lees/luister maar eens naar deze expert:
https://www.grc.com/sn/sn-446.htm
https://www.grc.com/sn/sn-447.htm
https://www.grc.com/sn/sn-448.htm
Part 3. So if anyone is listening to this and missed the last two podcasts, you need to go back. I'm not going to drag us all through where we've been. I'll just say that, from reading the latest version of Apple's iOS Security document, which was lengthy and full of really useful architectural details, I've developed a very, I think, complete and mature understanding of how focused Apple has been on the security of the iOS platform; that, without exception, they have shown a respect for, I mean, a technically enforced respect, with the architecture and the design, for the rights of the user. Nowhere are they receiving information that they don't need in order to deliver the services that they're offering. And this little phone that you hold in your hand is so easy to underappreciate because it is a little crypto miracle. I mean, it is, from the beginning of its boot, all the way through, it's employing absolutely state-of-the-art cryptography in a way that shows evolution.
Er zijn twee kritiekpunten:
De eerste is op iMessage. Omdat er geen echte authenticatie is, kan Apple theoretisch alle iMessages onderscheppen. Apple zegt dat ze dit niet doen, maar technisch is het mogelijk.
So I said what I wanted to say. I wanted to - the architecture is nice. The weakness is that we're trusting them with the authentication side. That's a benefit for ease of use. It's a complete collapse of iMessage as a secure messaging platform. To get that, you simply have to go out of Apple. You need to use Threema or TextSecure. And I'm still liking Threema better. It's, again, it's a little more obligation, but it's very clear, and it's now been subject to two independent security audits. I haven't talked about that yet, but I've got two security audits, and this thing just comes up five stars out of five across the board.
De tweede gaat over de keyChain. Die gebuikt een stuk encryptie die door een NSA-werknemer is gemaakt en daardoor door expert niet wordt vertrouwd:
But the Keychain is a concern in a pure RSA sort of worry mode. Everywhere that we have encountered, they have been using the right crypto. In every instance. And in fact, I re-read the paper, the entire thing, after I stumbled my toes over the use of the wrong elliptic curve for protecting the Keychain because it is the only place in Apple's entire architecture they use the wrong elliptic curve. And by "wrong," I mean one that came from the NSA, which no security expert now trusts.
Die gast lijkt me te schoppen om het schoppen. Als je zijn visie volgt is bijna niets (behalve de software die hij adverteerd) goed genoeg.

Notabene over het iMessage stuk: verdorie liep de DEA niet zo lang geleden nog steen en been te klagen dat ze dat niet konden kraken (uitgezonderd het kraken van de iphone van de drugdealer/verdachte in kwestie), omdat alleen de verzender en de ontvanger berichten kunnen decrypten.
Dat lijkt zo, maar hij bekijkt het vanuit een puur technisch/crytptografisch oogpunt. En daar heeft hij gelijk. In theorie is het voor Apple mogelijk om een man in the middle attack te doen. Dat ze die infrastructuur intern niet zo hebben opgezet wil niet zeggen dat het niet kan.

In grote lijnen is hij zeer te spreken over de stappen van Apple.
Bij een aantal zaken wel, bij andere niet. Gedrag is te observeren, via een jailbreak of door het netwerk verkeer te monitoren. Iemand die er echt induikt kan toch zeker iets zeggen over het waarheidsgehalte van datgene dat Apple beweert.

Het is ook daar waar het discutabel is (iMessage) waar ook opmerkingen worden geplaatst.
Het gedrag op een jail-gebroken iPhone kan natuurlijk anders zijn, Apple/NSA wetende dat het bij een dergelijke telefoon makkelijker is om voor de gebruiker te zien wat er in de achtergrond gebeurd. Maar dat zijn natuurlijk hypothesen. In de kwantum mechanica wordt ook gesteld dat een artikel dat geÔnspecteerd wordt zich anders gedraagt dan een waar dat niet gebeurd.
Dus jij denk dat het waarschijnlijk is dat Apple een schaduw-cloud en schaduw OS heeft gemaakt die gebruik maakt van andere security maatregelen en cryptografische methoden voor een iPhone die jailbroken is?

Dat lijkt me op z'n minst heel erg onwaarschijnlijk.
Nee men liegt er niet over, het zou ook zo moeten zijn, maar het is een bug sinds versie 7.04.
Nogal een aanname, ik neem aan dat het niet opzettelijk zo geprogrammeerd is. Een bug dus. Geen liegen, gewoon stomweg niet weten dat het zo is.
Iedereen die NSA nu nog aanhaalt is toch zo lam. Serieus..
Mensen kunnen niet meer tegen een grapje tegenwoordig :/
dat kunnen we wel, maar iedereen heeft al zoveel NSA grapjes gemaakt dat het al lang niet meer leuk is. Het is zoooo oud
Klopt, maar het gaat hier dus alleen om backwards-compatibility. Waarschijnlijk wordt het niet dusdanig ondersteund dat ze het ook nog testen op een telefoon van 4 jaar geleden..
Elk systeem is bugs, maar wat versta jij als "buggy als ik weet niet wat"
geld dat ook voor andere systemen, of steekt IOS7 er boven uit wat betreft buggyness? In in geval van dat laatste, heb je ook argumenten om jou opmerking te staven?

Ik kan ook wel zeggen dat WP of Andriod de meest brakke systemen ooit zijn. Maar zonder argumenten zal ik ook afgemaakt worden en gedownmod worden.

Als je zoiets claint is het wel handig als je met bewijzen komt, anders word je geheid gedownmod. Maar dat wist je blijkbaar al. Dus als je serieus genomen wilt worden, raad ik een andere taktiek aan. als je niet serieus genomen wilt worden, hou je dan stil, dat werkt ook.

Op dit item kan niet meer gereageerd worden.



Apple iOS 10 Google Pixel Apple iPhone 7 Sony PlayStation VR AMD Radeon RX 480 4GB Battlefield 1 Google Android Nougat Watch Dogs 2

© 1998 - 2016 de Persgroep Online Services B.V. Tweakers vormt samen met o.a. Autotrack en Carsom.nl de Persgroep Online Services B.V. Hosting door True