"Für iOS hat das Unternehmen aus Cupertino bereits am Freitag ein Sicherheitsupdate veröffentlicht."

Nur für ein paar wenige OS Geräte, auch nicht für alle. Alle die lieber iOS 6.xx haben werden vernachlässigt.

Wieso? Es gibt doch ein 6.1.6 Update dass den SSL Bug beheben soll.

Bis bei M$ ein Update für solche Probleme raus kam, sind teilweise Monate und Jahre vergangen.

Also halt mal die Füße still

Immer dann, wenn man bei Apple Fehler macht, verlieren die Firma und deren Produkte ihren einzigartigen Leumund und werden mit jenen Firmen und Produkten verglichen, die ansonsten gern als "billig" oder "unwürdig" bezeichnet werden. Insofern ist das Argument eigentlich eines kontra Apple: Wenn in den Produkten die selben Schwachstellen und Probleme enthalten sind, wie in allen anderen, entpuppt der stets zu rechtfertigende, höhere Preis doch umso mehr als unangemessen. Ich weiß, dass ich etwas polemisiere, aber ich kaufe und benutze meine iToys durchaus auch, weil ich ein gewisses Gefühl der Sicherheit hinein projiziere. Wenn Apple nun aber, trotz Einschränkungen und höheren Preises, dieselben Fehler macht, wie Google, dann ist ein wichtiges Alleinstellungsmerkmal plötzlich dahin. Insofern beinhaltet dein Kommentar: Kauf kein Apple!

Dieser Fehler macht Mac OS offen wie eine Scheunentor, da dürfen keine Monate vergehen bis das gefixt wird.

Das kann man so nicht pauschalisieren und verkürzen.

Der sogenannte SSL-Bug von Apple-Produkten verunsichert seit Freitag viele Anwender – nun sind neue Details zum Ausmaß der Sicherheitslücke bekannt geworden. Demnach ist nicht nur Apples Browser Safari betroffen, sondern sämtliche Programme, die Daten über das SSL/TLS-Protokoll versenden bzw. empfangen – darunter FaceTime, iMessage, Twitter, Calendar, Keynote, Mail, iBooks, Software Update und einige mehr.

SektionEins: Apple OSX Mavericks 10.9.x SSL Key Exchange Verification Vulnerability (CVE-2014-1266) (Verwendung auf eigene Gefahr, schreibt SektionEins selber).

Warum kann SektionEins bereits übers Wochenende einen Patch anbieten, und Apple hingegen lässt sich da noch Zeit?

Dieser "bug" sieht so dermaßen nach "absichtlich implementiert" aus (durch Druck seitens NSA & Co.), dass es wirklich sehr schwer fällt, das als "Flüchtigkeitsfehler eines einzelnen Programmierers" durchgehen zu lassen.

Weil sich Apple für die Millionen Geräte die da draußen sind kein "Verwendung auf eigene Gefahr" leisten kann?!

Dieser "bug" sieht so dermaßen nach "absichtlich implementiert" aus (durch Druck seitens NSA & Co.), dass es wirklich sehr schwer fällt, das als "Flüchtigkeitsfehler eines einzelnen Programmierers" durchgehen zu lassen (zumal diese Art von Fehlern mit den heutigen technischen Mitteln bei einem Code Review sofort auffallen würden).

Wenn so etwas schon in den Open Source Bereichen von OS X schlummert, möchte man sich gar nicht ausmalen, wie es im Closed Source Bereich aussieht

Bis bei M$ ein Update für solche Probleme raus kam, sind teilweise Monate und Jahre vergangen.

Der sogenannte SSL-Bug von Apple-Produkten verunsichert seit Freitag viele Anwender – nun sind neue Details zum Ausmaß der Sicherheitslücke bekannt geworden. Demnach ist nicht nur Apples Browser Safari betroffen, sondern sämtliche Programme, die Daten über das SSL/TLS-Protokoll versenden bzw. empfangen – darunter FaceTime, iMessage, Twitter, Calendar, Keynote, Mail, iBooks, Software Update und einige mehr.

Oder man nennt es einfach offen wie ein Scheunentor.

Dieser "bug" sieht so dermaßen nach "absichtlich implementiert" aus (durch Druck seitens NSA & Co.), dass es wirklich sehr schwer fällt, das als "Flüchtigkeitsfehler eines einzelnen Programmierers" durchgehen zu lassen (zumal diese Art von Fehlern mit den heutigen technischen Mitteln bei einem Code Review sofort auffallen würden).

Wenn so etwas schon in den Open Source Bereichen von OS X schlummert, möchte man sich gar nicht ausmalen, wie es im Closed Source Bereich aussieht, ich sag nur "Keychain Access" ...

Bis bei M$ ein Update für solche Probleme raus kam, sind teilweise Monate und Jahre vergangen.

Also halt mal die Füße still

Dieser Fehler macht Mac OS offen wie eine Scheunentor, da dürfen keine Monate vergehen bis das gefixt wird.

Warum kann SektionEins bereits übers Wochenende einen Patch anbieten, und Apple hingegen lässt sich da noch Zeit? Warum bekomme ich diesen Patch nicht schon längst von Apple offiziell über die Softwareaktualisierung angeboten als gerade unbedingten Notfall-Patch?

Stimmt doch nicht, Microsoft Patch seit Jahren "Kritische" Sicherheitslücken sehr schnell.

Mac & i: Sie haben selbst einen Patch für OS X geschrieben, während Apple noch an diesem arbeitet. Warum braucht Apple so lange?

Esser: Dieser Fehler kann auf Seiten von Apple behoben werden, indem eine Zeile Code entfernt und das Programm neu kompiliert wird. Dies hört sich erst einmal nicht nach viel Arbeit an und ist viel weniger Aufwand als die Entwicklung des Binärpatches.

Aber eine Firma wie Apple kann es sich nicht leisten, die Zeile zu entfernen, neu zu kompilieren und dann ein Update zu pushen. Sie müssen sowohl den einzeiligen Patch als auch die komplette Auslieferungmethode bei jedem Release auf verschiedener Hardware testen, um sicherzustellen, dass sie keine Produktivsysteme kaputt machen. Das hört sich zwar für einen Außenstehenden für eine Zeile Code überzogen an, aber letztendlich war es auch nur eine Zeile Code, die zu diesem Sicherheitsdesaster geführt hat.

Interessant ist hier nur, warum Apple nicht iOS und OS X gleichzeitig gepatcht hat. Wäre es meine Entscheidung gewesen, dann hätte ich nur gleichzeitig gepatcht, da es mittlerweile ein Sport ist, binäre Sicherheitspatches zu analysieren und die Verwundbarkeiten daraus zu extrahieren. Und dabei rede ich nur von denen, die das wirklich als Sport betrachten und nicht denen, die dafür bezahlt werden, weil Exploits ihr Geschäft sind.
[..]
Mac & i: Der Code für das entsprechende Framework liegt quelloffen vor. Hätte man ihn so nicht vergleichsweise leicht entdecken können?

Esser: Ich habe gerade nochmals nachgeschaut. Der Quelltext von OS X Mavericks wurde am 24. Oktober 2013 veröffentlicht. Das heißt: Bis heute sind gerade einmal vier Monate vergangen. Der CVE-Eintrag für die SSL-Verwundbarkeit wurde laut Berichten schon am 8. Januar von Apple reserviert. Also scheint Apple knapp 2,5 Monate nach der Veröffentlichung der Quellen von der Verwundbarkeit erfahren zu haben. Sie haben diesmal niemandem für diese Lücke gedankt. Das kann heißen, dass derjenige entweder nicht genannt werden möchte, oder aber dass die Lücke intern gefunden wurde. Bisher gab es glaube ich noch keine Aussage dazu.

Mac & i: Wie bewerten Sie Apples Reaktionsgeschwindigkeit?

Esser: Neutral formuliert kann man sagen, dass Apple unter Sicherheitsforschern nicht als Musterbeispiel für Reaktionsgeschwindigkeit gilt.

Da lob ich doch gleich mal mein 10.6.8

MegaSeppl:

Ja und Nein. Esser sagt auf eine entsprechende Frage:

Und am Schluss des Interviews sagt Esser:
Nein, es macht keinen Sinn hier Apple in Schutz zu nehmen.
Allerdings glaube ich nicht dass Apple bereits im Januar gewusst/verstanden hat welche Auswirkungen der Fehler hat. Ansonsten wäre der Fix schon längst in den Beta-Versionen von 10.9.2 implementiert worden (bzw. schon längst als Sicherheitsupdate herausgekommen). Das Datum eines Eintrags in einem internen Bugtrackers bedeutet nicht viel. Dort steht erstmal nur drin dass es ein Problem gibt - welches sich auch sehr explizit und unwichtig/selten auftretend anhören kann. Die Priorität wurde vermutlich als niedrig eingestuft.
Erst wenn man der Ursache des Problems auf den Grund geht offenbart sich in diesem Fall wie weit das Problem reicht.