Helaas!Onderzoekers zijn er in geslaagd om door middel van een malafide app data van een iPhone te stelen, waaronder mailtjes en sms-berichten. De applicatie vervangt een authentieke app die via de App Store is geïnstalleerd. Apple heeft nog geen oplossing vrijgegeven voor het lek van iOS 7 en 8.
Lees meer
:strip_exif()/i/2000544428.png?f=thumbmedium)
:strip_exif()/i/2000544431.png?f=thumbmedium)
Reacties (22)
Ik vind dat we zolangzamerhand wel iets minder van de fabrikanten en iets meer van de gebruikers kunnen vragen als het over veiligheid gaat. Als je je mobieltje voor allerlei privacy gevoelige en financieel belangrijke zaken gaat gebruiken kunnen er dan misschien dertig seconden af voor een korte cursus 'Veilig omgaan met je mobieltje"???
Voor Apple is 15 seconden genoeg:
1) geef nooit je pincodes of wachtwoorden af
2) installeer alleen programma's uit de Apple's Appstore en je eigen bedrijf.
Als je je aan deze regels houdt kan zelfs de grootste digibeet per ongeluk maar weinig schade aanrichten.
Uiteraard mag van mij ieder tweaker uit chinese winkeltjes sideloaden, Gmail app-linkjes volgen, z'n mobieltje jailbreaken en programma's installeren waardoor de iPhone 6 in de magnetron draadloos geladen kan worden. Vrijheid blijheid. Maar verdiep je dan even in de consequenties en verwacht niet dat Apple alles wel veilig dichtgemetseld heeft.
Al maken ze hun systeem nog zo idiot-proof, de gebruikersgroep weet altijd wel een nog betere idiot te produceren.
Voor Apple is 15 seconden genoeg:
1) geef nooit je pincodes of wachtwoorden af
2) installeer alleen programma's uit de Apple's Appstore en je eigen bedrijf.
Als je je aan deze regels houdt kan zelfs de grootste digibeet per ongeluk maar weinig schade aanrichten.
Uiteraard mag van mij ieder tweaker uit chinese winkeltjes sideloaden, Gmail app-linkjes volgen, z'n mobieltje jailbreaken en programma's installeren waardoor de iPhone 6 in de magnetron draadloos geladen kan worden. Vrijheid blijheid. Maar verdiep je dan even in de consequenties en verwacht niet dat Apple alles wel veilig dichtgemetseld heeft.
Al maken ze hun systeem nog zo idiot-proof, de gebruikersgroep weet altijd wel een nog betere idiot te produceren.
/u/59804/GoTlogo.JPG?f=community){kind=small}
Op security.nl lees ik dat deze attack ook op een niet gejailbreakte IOS werkt!
Echter begrijp ik niet helemaal hoe een app uit de sandbox komt als het niet gejailbreaked is.
Ik hoop dat er snel een patch komt om dit te fixen!
Echter begrijp ik niet helemaal hoe een app uit de sandbox komt als het niet gejailbreaked is.
Ik hoop dat er snel een patch komt om dit te fixen!
[Reactie gewijzigd door Madcat op 26 juli 2024 14:28]
:strip_icc():strip_exif()/u/179889/crop55a50175a6ce3.jpeg?f=community){kind=small}
Dank je voor de link. Dat artikel geeft nog even wat meer informatie. Wederom betreft het hier een aanval via een Enterprise provisiioning certificaat. Dat er een nieuwe app geïnstalleerd wordt is al erg genoeg maar dat een app gewoon vervangen kan worden via deze techniek is best eng.
In iOS zitten veel mogelijkheden die een normale app niet kan benutten, zoals het monitoren van inkomende gegevens, het benaderen van data van andere apps of het injecteren van code, en apps die via de app store worden geïnstalleerd kunnen hooguit een oude versie van zichzelf vervangen maar nooit een andere app.
Apps die via enterprise certificaten worden geïnstalleerd ontlopen de controle die Apple uitvoert voor apps in de app store komen. Het is dus waarschijnlijk mogelijk om op die manier apps te verspreiden die die mogelijkheden misbruikt.
Dit is eigenlijk hetzelfde probleem als wat door WireLurker werd misbruikt.
Apps die via enterprise certificaten worden geïnstalleerd ontlopen de controle die Apple uitvoert voor apps in de app store komen. Het is dus waarschijnlijk mogelijk om op die manier apps te verspreiden die die mogelijkheden misbruikt.
Dit is eigenlijk hetzelfde probleem als wat door WireLurker werd misbruikt.
/u/298172/crop58bfeacf102ae_cropped.png?f=community){kind=small}
Apple is wel vaak de pineut de laatste tijd.
Of het komt vaker naar buiten... Hoe het ook zij, als een bedrijf beweert dat hun OS veilig is, dan komen aanvallers daar als vliegen op stroop op af.
Misschien zit ik er ERG naast, Maar het lijkt dat Apple die app harmonie niet goed heeft geimplementeerd heeft.
Het maakt niets uit welk OS je pakt. Alles heeft in mijn ogen een zekere schijnveiligheid. De zwakste schakel is vaak nog steeds de gebruiker.
:strip_exif()/u/28986/javaone6666.gif?f=community){kind=small}
Ook hier weer het geval dat je buiten de store om iets moet installeren op een manier die zeer ongewoon is.
Maar dan nog, hopelijk wordt dit snel gefixed.
Maar dan nog, hopelijk wordt dit snel gefixed.
/u/262310/ava.png?f=community){kind=small}
Zeer ongewoon? Dat is gewoon phising eigenlijk en hoe dan ook zou malafide software niet zomaar dit moeten kunnen. Zelfs al is je telefoon geroot, of installeer je een app; het basis principe blijft intact dat dit niet zou moeten kunnen.
Daarom zit er ook een beveiliging in OSX die vooraf een duidelijke waarschuwing geeft.
Kortom het installeert zich niet zonder medeweten van de gebruiker.
Kortom het installeert zich niet zonder medeweten van de gebruiker.
Wat wil je nu verdedigen? Er komt een melding dat spel/app X geïnstalleerd gaat worden, er komt geen melding van "all your base are belong to us"... Eigenlijk het zelfde als je een PDF zou openen, die vervolgens heel je systeem overneemt.
Een gebruiker klikt op een link dat hij spel X kan downloaden, de popup zegt dat ook en zo geschiede het. Dat kun je een gebruiker niet kwalijk nemen. Niet iedereen is een ITer of een Tweaker (al valt het niveau hier soms ook tegen).
Een gebruiker klikt op een link dat hij spel X kan downloaden, de popup zegt dat ook en zo geschiede het. Dat kun je een gebruiker niet kwalijk nemen. Niet iedereen is een ITer of een Tweaker (al valt het niveau hier soms ook tegen).
Mee eens, maar het probleem dat hierachter schuil gaat is dat Apple enterprise certificaten uitgeeft waarmee bewust apps buiten de app store kunnen worden geïnstalleerd. Handig voor bedrijven maar blijkbaar ook handig voor aanvallers. Het leuke van deze methode is echter wel dat Apple snel kan ingrijpen door het certificaat wat misbruikt word in te trekken waardoor de app niet meer geïnstalleerd kan worden.
Een betere aanpak zou zijn om het installeren van apps met enterprise certificaten standaard uit te schakelen, zodat bedrijven die optie bewust moeten inschakelen voor het installeren van zulke apps.
Een betere aanpak zou zijn om het installeren van apps met enterprise certificaten standaard uit te schakelen, zodat bedrijven die optie bewust moeten inschakelen voor het installeren van zulke apps.
/u/546284/adrielhernandez-tux-nokia60.png?f=community){kind=small}
Weetje wat ik dan denk. Je kan vast ook wel een app installeren door alle bestandjes op de juiste de plek te zetten, dan vermijd je de hele installer 
Je kan op een iOS device niet zomaar iets in een mapje zetten, daarvoor heeft een normale app geen bevoegdheden: een app draait in een sandbox waar ie onder normale omstandigheden niet uit kan. Een app kan dus niet bij het file system (behalve een eigen mapje waar andere apps weer niet bij kunnen) en een app kan geen app opstarten die niet officieel geïnstalleerd is (dus ook niet door de lokale bestandsnaam op te geven).
Het is maar een "gevalletje". De meeste exploits halen het nieuws niet, maar als je wat wil lezen wat er allemaal mis is in iOS, zal je merken dat Apple niet zo heilig dat ze foutloze software afleveren zoals mensen denken en die weigeren hun oogkleppen af te zetten.
http://www.cvedetails.com...5556/Apple-Iphone-Os.html
http://www.cvedetails.com...5556/Apple-Iphone-Os.html
iOS is geen verkeerd OS en nog altijd beter beveiligd dan de meeste alternatieven. Dat neemt niet weg dat het maken van software mensenwerk blijft, en mensen maken fouten...
:strip_icc():strip_exif()/u/396244/crop5dc52c9c3638b.jpeg?f=community){kind=small}
Ben ik de enige die het raar vind dat hij 21,786 ongelezen mail heeft? 
Wil je je beledigingen even voor je houden? Niet elke Apple gebruiker is een elitaire blindeling! Elke software is kwetsbaar omdat er mensenwerk aan te pas komt.
"Net zo kwetsbaar als de rest" valt nog behoorlijk mee! Op Android kan een custom app distributie systeem (app store) worden geïnstalleerd, en die kunnen op hun beurt naar hartenlust malware aanbieden. Op een iOS apparaat zonder jailbreak is dat onmogelijk: apps die andere apps (of malware) willen installeren worden standaard geweerd door Apple, en apps worden tegen het licht gehouden om te kijken wat ze doen. Ook niet waterdicht, maar al een hele verbetering t.o.v. de aanpak van Google en er is niet vaak malware door de controle heen gekomen.
Voor malware op Android is weinig media aandacht en het is ook oud nieuws. Het is al langer bekend dat de meeste mobiele malware voor Android word ontwikkeld. Als er dan een keer een kwetsbaarheid in iOS word gevonden, dan is dat natuurlijk "groot nieuws" en weten veel Android fans blijkbaar niet hoe hard ze moeten juichen
"Net zo kwetsbaar als de rest" valt nog behoorlijk mee! Op Android kan een custom app distributie systeem (app store) worden geïnstalleerd, en die kunnen op hun beurt naar hartenlust malware aanbieden. Op een iOS apparaat zonder jailbreak is dat onmogelijk: apps die andere apps (of malware) willen installeren worden standaard geweerd door Apple, en apps worden tegen het licht gehouden om te kijken wat ze doen. Ook niet waterdicht, maar al een hele verbetering t.o.v. de aanpak van Google en er is niet vaak malware door de controle heen gekomen.
Voor malware op Android is weinig media aandacht en het is ook oud nieuws. Het is al langer bekend dat de meeste mobiele malware voor Android word ontwikkeld. Als er dan een keer een kwetsbaarheid in iOS word gevonden, dan is dat natuurlijk "groot nieuws" en weten veel Android fans blijkbaar niet hoe hard ze moeten juichen
[Reactie gewijzigd door biteMark op 26 juli 2024 14:28]
Op dit item kan niet meer gereageerd worden.