Push-Nachrichten von MacTechNews.de
Würden Sie gerne aktuelle Nachrichten aus der Apple-Welt direkt über Push-Nachrichten erhalten?

Sicherheitsmechanismen von iOS könnten durch iOS Profile umgangen werden

iOS gilt als besonders sicheres mobiles Betriebssystem, insbesondere im Vergleich zum Konkurrenten Android, auf den laut einer Studie im Jahr 2012 79% der Angriffe abzielten. Der oft kritisierte restriktive Umgang Apples mit Entwicklern von iOS-Software mit dezidierten Vorgaben und dem App Sandbox-System, durch das eine App nur auf kleine Teile der Nutzerdaten und Systemressourcen zugreifen kann, leisten einen Beitrag dazu.
Adi Sharabina von Skycure Security - einer Firma, die gerade eine mobile Firewall entwickelt - stellt in seinem Blog dar, dass auch unter iOS Passwörter und Daten einer sicheren Verbindung (https) ausgelesen werden könnten. Als Mittel dazu könnten die iOS Profile dienen; das sind kleine Dateien, die heruntergeladen werden und dann Einstellungen des iPhone so ändern, wie es für einen bestimmten Dienst notwendig ist. An und für sich wird das von Anbietern sinnvoll verwendet und von Apple auch so gebilligt. Allerdings konnte Sharabina durch ein eigenes iOS Profil zeigen, dass er einem Nutzer, der dieses lädt, dessen Aktivitäten im Internet nachvollziehen und Root-Zertifikate installieren kann. Letzteres ermöglicht die Entschlüsselung von SSL/TLS-Verbindungen und damit auch das Auslesen von Passwörtern und Daten, die besonders gesichert sein sollten.
Im Gegensatz zu klassischen Sicherheitslücken ist hier allerdings keine Einschleusung von Malware im Hintergrund möglich. iOS Profile müssen vom Nutzer aktiv heruntergeladen werden; daher sollte jeder bei solches Profilen sicher sein, dass der Anbieter seriös und der Download sicher ist. Weiterhin sei noch einmal darauf hingewiesen, dass es keine Berichte über tatsächliche Angriffe durch iOS Profile gibt, sondern lediglich die Möglichkeit eines Angriffs aufgezeigt wurde.

Weiterführende Links:

Kommentare

dom_beta12.03.13 13:44
Alles ist erst einmal angreifbar, selbst Wladimir und Vitali Klitschko.
Aber ob man gegen die zwei Erfolg hat, ist eine ganz andere Frage
...
0
iGod12.03.13 13:46
dom_beta
Alles ist erst einmal angreifbar, selbst Wladimir und Vitali Klitschko.
Aber ob man gegen die zwei Erfolg hat, ist eine ganz andere Frage

Mit der richtigen Waffe sicherlich.
0
madrini
madrini12.03.13 13:59
Wie aktiv herunter Laden? Bekomm ich da eine Meldung oder wie läuft das?
Hier könnte Ihre Werbung stehen
0
Benutzername12312.03.13 14:03
madrini
Wie aktiv herunter Laden? Bekomm ich da eine Meldung oder wie läuft das?

http://frank-grunicke.de/netfaq/ios-wlan-1-install.png

Da muss man schon aktiv ein Profil öffnen und dann auch noch selbst auf installieren drücken.
0
dom_beta12.03.13 14:10
iGod
Mit der richtigen Waffe sicherlich.

ach was?!

aber von Waffen sprach ich nicht...
...
0
berkyl12.03.13 15:54
Ist in etwa gleich viel aussagend wie: Fremde können Dinge in Autos einschleusen wenn man im Innenraum das Fenster herunterkurbelt...

Schade das solche "Werbebotschaften" eine News wert sind...
0
alpeco
alpeco12.03.13 16:07
berkyl: So in etwa habe ich es mir auch gedacht: Wenn du Fremden deinen Haustürschlüssel gibst, kann es passieren, dass sie dir was klauen.
0
adf12.03.13 16:56
@alpeco So gesehen schon richtig, aber der unbedarfte Benutzer muss zuerst wissen, dass ein Profil so etwas wie ein Haustürschlüssel sein könnte.
0
maliker12.03.13 17:39
iGod
dom_beta
Alles ist erst einmal angreifbar, selbst Wladimir und Vitali Klitschko.
Aber ob man gegen die zwei Erfolg hat, ist eine ganz andere Frage

Mit der richtigen Waffe sicherlich.

Dann nimm einen Hammer und schlag aufs iPhone. Dann kommst auch rein
0
Andi Schenk
Andi Schenk12.03.13 18:25
Da wird mal wieder viel Wind gemacht.
Config Profiles gibt es schon lange, und klar, damit lassen sich Certificates installieren und in die Trust Chain hängen. Sonst würde auch praktisch keine MDM Lösung funktionieren.
Wenn man ein Profil installiert, sind immer sogar zwei User-Aktionen notwendig (Ausnahme Apple Configurator im Supervised Mode und schon in MDMs enrollte Geräte):
- Download des Profils selbst
- Installation des Profils. Dabei bekommt der User das Profil zu sehen, kann sich auch den Inhalt anschauen (wenn er will). Er hat aber bei einem neuen Profil immer in ROT ein "unverified" mit dranstehen. Da muss man schon schön blöd sein, dass direkt zu installieren.

Und selbst wenn das installiert ist, ist erst noch eine Runde DNS-Spoofing nötig um den User umzulenken und dort muss der Bösewicht dann einen Server am laufen haben, der die App-Daten abfängt.

Das gleiche würde unter Mac OS X genauso funktionieren... Im Prinzip seit Jahren, war aber nie ein Problem.

Meiner Meinung nach will sich da wieder ein Experte wichtigmachen.
Es gibt schlimmeres.

Ach ja, es ist btw kein umgehen der iOS Sicherheitsmechanismen, sondern es werden Einstellungen so verändert, dass man jemand anderem vertraut. Und wenn das ein Bösewicht ist ...
0
Peter Longhorn12.03.13 20:25
Ich möchte hier mal kurz was in den Raum werfen (mit dem ihr richtigerweise gegen diese "Lücke" argumentiert):
* Es ist notwendig, dass der User selbst entscheidet, dass er möglicherweise etwas haben will (Aufruf der Seite in Safari)
* Es ist notwendig, dass der User selbst sagt: Ja installieren! (ohne Info was das Zertifikat genau macht)

Ok, jetzt nehmen wir mal Android und die angeblichen Lücken her. Wie sieht es denn hier aus?
* Es ist notwendig, dass der User selbst entscheidet, dass er möglicherweise etwas haben will (PlayStore)
* Es ist notwendig, dass der User selbst sagt: Ja installieren! (mit genauer Info was die App genau machen darf)
Wenn man auch noch unbekannte Quellen für die Installation nutzen möchte kommt noch ein weiterer Punkt für das Aktivieren dieser Funktion dazu.

Inwiefern ist also in dieser Argumentation Android auch nur in irgendeiner Form unsicherer als iOS? Wenn ich bei iOS dem User die Wahl lasse ist es genau so unsicher wie Android. Würde ich bei Android dem User die Wahl nehmen.... rest könnt ihr euch denken.

Mit großer Macht kommt große Verantwortung / Für DAUs ist jedes System, das ihm Auswahlmöglichkeiten bietet unsicher.
0
Benutzername12313.03.13 09:00
Peter Longhorn
Ich möchte hier mal kurz was in den Raum werfen (mit dem ihr richtigerweise gegen diese "Lücke" argumentiert):
* Es ist notwendig, dass der User selbst entscheidet, dass er möglicherweise etwas haben will (Aufruf der Seite in Safari)
* Es ist notwendig, dass der User selbst sagt: Ja installieren! (ohne Info was das Zertifikat genau macht)

Ok, jetzt nehmen wir mal Android und die angeblichen Lücken her. Wie sieht es denn hier aus?
* Es ist notwendig, dass der User selbst entscheidet, dass er möglicherweise etwas haben will (PlayStore)
* Es ist notwendig, dass der User selbst sagt: Ja installieren! (mit genauer Info was die App genau machen darf)
Wenn man auch noch unbekannte Quellen für die Installation nutzen möchte kommt noch ein weiterer Punkt für das Aktivieren dieser Funktion dazu.

Inwiefern ist also in dieser Argumentation Android auch nur in irgendeiner Form unsicherer als iOS? Wenn ich bei iOS dem User die Wahl lasse ist es genau so unsicher wie Android. Würde ich bei Android dem User die Wahl nehmen.... rest könnt ihr euch denken.

Mit großer Macht kommt große Verantwortung / Für DAUs ist jedes System, das ihm Auswahlmöglichkeiten bietet unsicher.

Der Unterschied ist, dass viel Malware im Play Store ist und der Nutzer da nicht zusätzliche gewarnt wird. Ein weiterer ist der, dass Daus sicher Apps installieren wollen aber wohl kaum Interesse an irgendwelchen Netzwerkkonfigurationsprofilen haben.
0

Kommentieren

Sie müssen sich einloggen, um die News kommentieren zu können.