Verbesserungen angekündigt
Privatsphäre-Patzer: Apple überträgt Protokolle zur App-Nutzung unverschlüsselt
In Verbindung mit Apples Server-Problemen letzte Woche ist aufgefallen, dass mit macOS Big Sur ausgestattete Rechner permanent nach Hause telefonieren. Eine Überlastung der zuständigen Apple-Server hatte dazu geführt, dass Mac-Nutzer ihre Rechner vorübergehend nur mit massiven Einschränkungen verwenden konnten. Der Sicherheitsforscher Jeffrey Paul hat den Sachverhalt in seinem Blog-Eintrag „Your Computer Isn't Yours“ thematisiert.
Paul kritisiert, dass man als Mac-Nutzer nicht mehr in der Lage ist, seinen Computer anzuschalten und einen Texteditor oder E-Book-Reader zu benutzen, ohne dass ein Protokoll dieser Aktivitäten an Apple übertragen und dort gespeichert wird. Der Vorgang findet im Hintergrund statt und wird im Normalfall von Nutzer nicht bemerkt, für eine Ausnahme sorgten allerdings die Server-Probleme in der vergangenen Woche, in deren Folge einige Rechner mehr oder weniger lahmgelegt wuden.
Die von Apple übertragenen Statusprotokolle enthalten neben Software, Datum und Uhrzeit auch Informationen zum genutzten Computer und lassen aufgrund der mit übermittelten IP-Adresse auch Rückschlüsse auf den Standort sowie den genutzten Internetanbieter zu. Ganz im Gegensatz zu Apples sonstigen Beteuerungen in Sachen Datenschutz wird all dies unverschlüsselt übertragen, so dass die Informationen für jeden zu sehen sind, der Zugriff auf die im Netzwerk übertragenen Daten hat. Dazu zählt auch der jeweilige Internet-Anbieter oder beispielsweise ein zwischengeschalteter Überwachungsdienst.
Apple lenkt ein und gelobt Besserung
Mit seiner Kritik hat Paul bei Apple offenbar die Alarmglocken läuten lassen. Ungewohnt schnell hat der Mac-Hersteller reagiert und sein Hilfe-Dokument „Sicher Apps auf dem Mac öffnen“ (zunächst nur in der englischen Version) um ein Kapitel diesbezüglich ergänzt. Darin kündigt Apple neben Sofortmaßnahmen weitere Korrekturen im Laufe des nächsten Jahres an.
So erfasse man fortan keine IP-Adressen mehr und werde bereits gespeicherte IP-Adressen aus den Log-Dateien entfernen. Weiter soll die Übertragung der Informationen künftig verschlüsselt stattfinden und man wolle die Server besser gegen Ausfälle wie dies vergangene Woche der Fall war schützen. Zu guter Letzt sollen Mac-Nutzer künftig die Möglichkeit erhalten, selbst zu entscheiden, ob sie dieser Art der Sicherheitsüberprüfung zustimmen.
Apple betont auch, dass derartige Abfragen ausschließlich zur Sicherheit des Kunden seien und man auf diese Weise eine Online-Prüfung auf Malware realisiere. Man habe diese Informationen zu keiner Zeit für andere Zwecke benutzt.
Kommt ja passend zur „Sicherheitswerbung“ von Apple
https://youtu.be/I2ahglZk5Z8
Privacy by Update.
Als Begründung, warum es bis jetzt unverschlüsselt war:
„macOS’ process of using OCSP is a very important security measure to prevent malicious software from running on Macs. It checks to see if a Developer ID certificate used by an app has been revoked due to software being compromised or events like a dev certificate being used to sign malicious software.
Online certificate status protocol (OCSP) is used industry-wide and the reason why it works over unencrypted HTTP connections is that it is used to check more than just software certificates, like web connection encryption certificates. If HTTPS were used, it would create an endless loop. Jannone explained it succinctly: “If you used HTTPS for checking a certificate with OCSP then you would need to also check the certificate for the HTTPS connection using OCSP. That would imply opening another HTTPS connection and so on.“
Das heißt wenn ich eine Seite per https aufrufe muss eine weitere https Verbindung aufgebaut werden um zu prüfen ob das Zertifikat richtig ist und die Prüfung muss eine weitere Verbindung über https aufbauen um zu prüfen ob die Verbindung richtig ist und die Prüfung…… ne so funktioniert das nicht.
Das ist technisch auf jeden Fall richtig und nachvollziehbar, allerdings überträgt Apple eindeutig zu viele Infos auf diesem Weg. Wozu braucht man denn den ISP oder die Stadt des Users, um eine Cert Revocation zu checken?
@Archetim: Es gibt keine Abfrage ohne Übermittlung deiner IP. Der Rest leitet sich aus dieser Tatsache ab.
Es wäre ja durchaus denkbar, dass Apple wiederrufene Developer IDs auf die macs pusht (MTR und XProtect werden schließlich auch permanent aktualisiert) und dann der Check lokal passiert. Warum sollte das nicht gehen? Und diese Variante wäre deutlich Datensparsamer, da dann auch keine IP mehr übermittelt wird.
Gut, der Fehler ist, dass nicht verschlüsselt passiert.
Ansonsten sind das aber keinen Daten, die nicht sowieso jeder Browser übertragen würde, bei jeder Website die man aufruft.
Dass eine Übertragung stattfindet dürfte nur bei AppStore Apps oder Nutzung gewisser OS Komponenten relevant sein (Achtung: Vermutung meinerseits!).
Wie jetzt, mein Browser überträgt die Daten, dass ich meinen Texteditor oder Ebookreader benutze?
Nein, da hast du mich falsch verstanden.
Beispiel Texteditor, der ein Zertifikat bzw. von einem zertifizierten Entwickler kommt: es muss natürlich geprüft werden, ob dieses Zertifikat noch gültig ist. Das ist ein Sicherheitsfeature! Es gab in der Vergangenheit schon Fälle, in denen Schindluder getrieben wurde von Software, wo das Zertifikat eigentlich schon abgelaufen war. Das wird so verhindert. Dass eine IP, die OS Version und eine Rechnermodellkennung übertragen wird ist zumindest nicht ungewöhnlich.(wie gesagt, dass macht der Browser beim Aufruf von Webseiten auch). Dass sich aus einer IP ein Standort (ungefähr) ermitteln lässt liegt in der Natur der Sache und ist kein Hexenwerk, kann sogar von jedermann innerhalb von Sekunden getan werden.
Es wird offenbar ein Hash des Developer-Zertifikats übertragen, nicht der App. Apple kann also z.B. sehen, dass man Software von Microsoft startet, aber nicht, ob es PowerPoint oder Word war. Der Sinn dahinter ist wohl, auf evtl. zurückgezogene Developer-Zertifikate zu prüfen (Stichwort Malware) und den Programmstart ggfs. zu verhindern.
Insofern also eigentlich eine sinnvolle Sache. Dass die Ausführung verbesserungswürdig ist, darüber brauchen wir nicht zu diskutieren. Mehr Transparenz (Warum Timestamps? Wie lange werden die Informationen gespeichert bzw. warum überhaupt?) ist natürlich auch dringend nötig.
Der Hash enthält Teile des Dev.Certs, aber auch sehr genaue Informationen der App (Name, ID, Version, Build). Das ist auch nötig um bspw. eine gesperrte App eines Developers zu sperren, während andere des gleichen Developers weiterhin genutzt werden können.
Trotzdem flunkert Apple hier natürlich! Das wurde nicht umsonnst so implementiert. Damit lässt sich ein sehr genaues Nutzungsprofil des Users erstellen, sogar der Arbeits- und Tagesablauf abbilden. Ich bin mir sicher das das auch gemacht wird, diese extrem präzisen Informationen von millionen Usern sind einfach zu lecker, und Apple kennt seit ca. 2 Jahren keine Grenzen mehr was das erfassen und analysieren von Userdaten angeht. Dagegen sehen Google und Facebook regelrecht lächerlich aus. Ein Grund dafür ist natürlich der geringe Widerspruch der User und die Bereitschaft alles (für Apple lesbar) in die iCloud zu übertragen.
Die neuen Prozessoren sind der Dolchstoß ins Herz der letzten verbleibenden Sicherheitsmaßnahmen (RIP Little Snitch, VPN usw.).
Ich wünsche euch eine gute Woche.
Quellen und Belege zu deiner Behauptung würden die Glaubwürdigkeit gut tun.
Apple oh Apple! Und sonst immer verklickern, dass ihr in Sachen Privacy die Besseren seid. Und dann- nicht mal die Programme lassen sich nutzen ohne euer Wissen und das auf einen teuer bezahlten Rechner der eigentlich MIR gehört, das bedarf keiner weiteren Worte.
Das ist so nicht ganz richtig: Du hast die Hardware gekauft. Die gehört bestenfalls Dir. Die Nutzung der Software wurde lizensiert, und gehört Dir nicht. Insofern wäre Apple sogar im Recht, zu prüfen, ob die Lizenzierung ihres Nutzungsmodells eingehalten wird, oder nicht. Die Lizenzierungen von Software sind übrigens schon Jahrzehnte so gültig, mit unterschiedlichen Ausprägungen – das ist vielen nicht wirklich bewusst.
Les doch mal den Kommentar von Dirk und denk nochmal über deine Aussage nach. Nicht immer gleich reflexhaft in die Tastatur hauen.
Dieses ganze Gerede von Apple über Datenschutz ist zu einem großen Teil eben nur Marketing. Apple hat seine eigenen Versprechen bzgl. Datenschutz schon mehrfach gebrochen und wenn sie mal wieder erwischt werden tun sie ganz entrüstet und geloben Besserung. Versuchen tun sie es aber dennoch immer wieder, was zeigt, dass sie nicht wirklich an Datenschutz interessiert sind. Aber wie das so ist, manche Menschen glauben an Trump und Fanboys an Apple.
Was geht es Irgendjemanden (egal wem) an, wann, wo, welche App gestartet wird? Kann man auf dem Planeten nicht mehr einen fahren lassen, ohne dass dies protokolliert werden muss??
Auch ohne IP ist das ein NOGO (gibt bestimmt genügend andere Werte, die alles eindeutig zuweisbar machen).
Apple enttäuscht (mich) auch hier …
Yep, sehe ich auch so.
Was passiert, wenn ich ein MacBook oder Desktop Mac offline nutze? Geht dann gar nichts mehr?
Natürlich geht dann noch alles. Es wird dann halt nichts übermittelt und geprüft.
Die Frage ist, wie lange das geht und ob man heutzutage überhaupt komplett offline sein will oder kann.
Eine zeitlang dürfte das meiste noch laufen.
Spätenstens, wenn die Zertifikate auslaufen, starten die Apps aus dem App-Store nicht mehr.
Ich sehne mich nach den alten Zeiten zurück, wo Internet nur dazu diente Informationen zu mir zu bringen und nicht meine Informationen zu anderen. :-(
„Ungewohnt schnell hat der Mac-Hersteller reagiert“ … „Darin kündigt Apple neben Sofortmaßnahmen weitere Korrekturen im Laufe des nächsten Jahres an.“ schneller gehts wahrscheinlich nicht. Das ganze ist immerhin ein DSGVO-Verstoß. Das dürfte auch der Grund sein, warum man ab sofort auf die Erfassung der IP verzichtet, solange sie aber noch übertragen wird, kann keiner prüfen, ob sie nicht vielleicht doch erfasst wird. Außerdem war auch schon unter Mojave so, dass der Rechner weitgehend unnutzbar war bzw. extrem langsam, wenn es keine Internetverbindung gab (wer es prüfen will und ein Pi-Hole hat: Einfach mal den Raspi ausschalten) … mit anderen Worten: Das Problem ist alles andere als neu, hätten wir jetzt eine durchsetzungsfähige EU, hätte die EU damit einen neuen Nettozahler, aber so wird das sicher wieder keine Folgen für Apple haben … Und @Formatierer: Auch eine Software-Lizenz berechtigt nicht zum DSGVO-Verstoß seitens des Lizenzanbieters. Das weiß ja offensichtlich auch Apple, sonst würde da ja jetzt nicht so „schnell“ reagiert.
Es ging in meiner Darstellung nicht um die Art und weise, sondern- um den Kreis zu schließen- das behauptet wurde dass es ein Unding ist, dass das Programm nach Hause telefoniert, um die Rechtmäßigkeit der Ausführung des Programms zu bestätigen. Was den Datenschutz hierbei angeht, habe ich in keiner Weise angesprochen.
Bedenklich ist auch, dass man mit Big Sur nicht mehr in der Lage ist, Apples Netzwerkverkehr z.B mit Little Snitch zu kontrollieren, da Apple schlicht an jeder Firewall vorbei telefoniert.
Das, und das Umgehen von VPNs ist eigentlich die viel „schlimmere“ Sache. Ein Unding eigentlich!
Ich empfehle die letzte Episode von Twit (This week in tech) https://podcasts.apple.com/de/podcast/this-week-in-tech-audio/id73329404#episodeGuid=https%3A%2F%2Fchtbl.com%2Ftrack%2FE91833%2Fcdn.twit.tv%2Faudio%2Ftwit%2Ftwit0797%2Ftwit0797.mp3
Da wurde das Thema ausführlich diskutiert.
Auch geil… Ein Klick auf den Link und unter Big Sur geht nichts auf ;-)
Der Blog dazu ist auch interessant: https://blog.jacopo.io/en/post/apple-ocsp/
Nicht Apple überträgt Daten unverschlüsselt, sondern die Software des OCSP-Servers. Das geht auch gar nicht anders und ist Teil des Standards.
Erstmal schlau machen, dann pseudoempörte Clickbaits produzieren.
Tim von Apple … du Fachidiot!
Das heists dann im Klartext bis nächstes Jahr ? bzw. bis man die Option bekommt es selbst zu genehmigen wird brave alles an Apple gesendet
Also ergo in einem Jahr Daten Haufen kann man ein Profile erstellen wan wo wie zu Hause usw !!
Wow Apple
Also kein big sure bis das alles geklärt ist !