Vortrag über undokumtierte iOS-Hintergrunddienste zur Datenextraktion

[fox78]

Hallo,

betrifft zwar (bisher) "nur" iOS, passt aber m.E. besser in diese Kategorie.

Ich bin nicht vom Fach, habe nur rudimentär mit Programmierung zu tun und bin mir auch bewußt, dass Apple als amerikanisches Unternehmen sich dem Willen von NSA und Co. beugen muss bzw. laut Snowden auch aktiv unterstützt, aber diese Beschreibung über das Ausmaß und die Möglichkeiten, z.B. dass verschlüsselte Backups einfach so umgangen werden können und ständig ein Keylogger mitläuft, erstaunt mich schon.

Tragen wir nun mit Gewissheit freiwillig die schönsten Wanzen mit uns herum?

Identifying Backdoors, Attack Points, and Surveillance Mechanisms in iOS Devices

Die Fragenliste aus den Folien ist eine guten Zusammenfassung, um was es geht:



fox78

 

[OpDraht]

Dürfte vielen die rosa Brille nehmen...

 

[falkgottschalk]

Die rosarote Brille der meisten Leute, die eine ebensolche aufsetzen, filtert (leider?) solche Fragen raus...

 

[spaceman88]

Das hätte ich gerne alles von meinem iPhone und zwar zackig.

 

[devrandom]

Was sind denn die Alternativen?

Geh mal davon aus, dass es bei Android und Windows Phone genauso aussieht. .gov kommt da immer drauf. Und an dein mit FileVault2 verschlüsseltes Notebook kommen die auch ran.

Ob die jetzt an deine Mails direkt über Google Mail oder sich sie erst vom Smartphone runterladen müssen, ist doch inzwischen grad egal.

Bleibt dann eigentlich nur noch die Frage, was an sonstigem Gesocks an deine Daten rankommt. Und da ist (meiner Ansicht nach) Apple noch relativ weit vorn. Wenn ich mir da das Berechtigungsmodell von Android bei den Apps anschaue, kommt mir das kalte Grausen. Der nächste Schritt bei deren Entwicklung dürfte dann wohl sein, dass man die Berechtigungen wieder komplett ausbaut.

 

[bluju]

Hier ein Bericht der FAZ über das Thema.

http://www.faz.net/aktuell/feuilleton/600-millionen-wanzen-wie-apple-die-nsa-einlaedt-13058998.html

 

[Harry3]

Bleibt dann eigentlich nur noch die Frage, was an sonstigem Gesocks an deine Daten rankommt. Und da ist (meiner Ansicht nach) Apple noch relativ weit vorn. Wenn ich mir da das Berechtigungsmodell von Android bei den Apps anschaue, kommt mir das kalte Grausen. Der nächste Schritt bei deren Entwicklung dürfte dann wohl sein, dass man die Berechtigungen wieder komplett ausbaut.

Wow! Einen Thread in dem es um unfassbare Vermutungen zu iOS und Apple gibt, schimpfst du darüber dass die anderen auch nicht besser sind?! Sollte es stimmen, werde ich ernsthaft überlegen unsere Apple-Sammlung durch andere Geräte zu ersetzen.

 

[devrandom]

Wow! Einen Thread in dem es um unfassbare Vermutungen zu iOS und Apple gibt, schimpfst du darüber dass die anderen auch nicht besser sind?! Sollte es stimmen, werde ich ernsthaft überlegen unsere Apple-Sammlung durch andere Geräte zu ersetzen.

Wobei wir dann wieder bei meiner Vermutung wären, dass es bei den anderen Herstellern auch nicht besser aussieht Es müsste doch inzwischen klar sein, wie der Hase da läuft.

Die Hersteller müssen Hintertüren einbauen und dir auch noch offen ins Gesicht lügen, dass sie gar nicht überhaupt niemals nie mit den Behörden zusammenarbeiten .

Apple sitzt in den USA, Google sitzt in den USA, Microsoft sitzt in den USA.

Nur, weil du bei anderen Herstellern nichts davon gehört hast, heißt das nicht, dass es dort nicht genauso ist.

Von daher seh ich nicht, was für einen Sinn es machen sollte, jetzt in Panik das iPhone auszuschalten und in Alufolie einzuwickeln, nur um dann ein Android-Gerät zu kaufen

 

[Harry3]

Aber es geht doch hier um Apple und niemanden sonst. Apple-Geräte kosten mehr als alle anderen und ich bin im Prinzip auch bereit einen höheren Preis zu zahlen wenn ein Mehrwert besteht. Sollte sich das aber bewahrheiten was z.B. auch in der FAZ steht, dann werde ich ernsthaft überlegen bevor ich ein weiteres Apple-Gerät hole. Und ich habe seit sehr vielen Jahren meinen Arbeitsablauf auf Apple-Geräte abgestimmt.

Sollte es sich also bewahrheiten, würde ich mir erhoffen, dass Apple das massiv spürt.

 

[maba_de]

...
Von daher seh ich nicht, was für einen Sinn es machen sollte, jetzt in Panik das iPhone auszuschalten und in Alufolie einzuwickeln, nur um dann ein Android-Gerät zu kaufen

der Unterschied ist, das man bei einem Android die Möglichkeit hat zu prüfen, was das Gerät macht, sendet, welche App wo zugreift etc..
Klar, nicht Tante Emma, aber man kann die Geräte oob kaufen:
Beispiel: http://www.telekom.com/medien/loesungen-fuer-unternehmen/200140

Ich habe es schon mal in einem anderen Thread geschrieben, wir lassen für unsere Firma Geräte vorkonfigurieren.
Die Security-Analyse hat ca. 20.000€ gekostet, die Konfiguration der Smartphones ca. 20€ / Gerät.

 

[ProjectBuilder]

der Unterschied ist, das man bei einem Android die Möglichkeit hat zu prüfen, was das Gerät macht, sendet, welche App wo zugreift etc..

Wenn die entsprechenden Prozesse nicht über ein Rootkit o.ä. versteckt werden. Samsung baut seine eigenen Prozessoren, da ist theoretisch alles möglich. Notabene, ich sage nicht, dass das so ist. Aber nur weil Android Open Source ist heisst das nicht, dass das System auf Closed Source Hardware völlig transparent ist.

Diese falsche Sicherheit kann mitunter gefährlicher sein als ein geschlossenes System wie iOS.

Was auch die Frage aufwirft, weshalb Apple diese Prozesse nicht versteckt, wenn sie denn so bösartig sind.

 

[magheinz]

Von daher seh ich nicht, was für einen Sinn es machen sollte, jetzt in Panik das iPhone auszuschalten und in Alufolie einzuwickeln, nur um dann ein Android-Gerät zu kaufen

Wer spricht denn hier von Panik? Ich habe damals ein nokia n900 gekauft und nutze jetzt ein jolla mit sailfish als OS. Sowohl das nokia als auch das jolla kommen aus einem EU-Land. Ok, werden in der EU entwickelt und vertrieben, gebaut wurden wie wohl beide in China, Taiwan oder so. Aber in den USA waren sie nie!

 

[devrandom]

Aber in den USA waren sie nie!

Auch damit wär ich vorsichtig. Denk da mal nur an die Rechenzentren amerikanischer Unternehmen in der EU. Deren Daten sind ebenfalls vollumfänglich aus den USA zugänglich.

Und ProjectBuilder spricht dann eh den nächsten Punkt an: Sitzt da irgendwo ein Chip von einem amerikanischen Zulieferer im Gerät, besteht da potentiell das nächste Einfallstor.

 

[maba_de]

Wenn die entsprechenden Prozesse nicht über ein Rootkit o.ä. versteckt werden. Samsung baut seine eigenen Prozessoren, da ist theoretisch alles möglich. Notabene, ich sage nicht, dass das so ist. Aber nur weil Android Open Source ist heisst das nicht, dass das System auf Closed Source Hardware völlig transparent ist.

Diese falsche Sicherheit kann mitunter gefährlicher sein als ein geschlossenes System wie iOS.

Was auch die Frage aufwirft, weshalb Apple diese Prozesse nicht versteckt, wenn sie denn so bösartig sind.

klar, auf Hardware Ebene habe ich keinen Einfluss, wenn spezielle oder modifizierte Chips Daten senden.

Aber auf Software Ebene geht es nicht darum, mitzusniffen sondern darum, die wichtigen (Firmen-) Daten entsprechend abzuschotten
und zu verhindern, das Daten von Apps ausgelesen und ins Internet gesendet werden.
Und hier habe ich bei iOS keine Chance sondern muss mich auf Apple verlassen. Und offensichtlich ist der "Schutz" der Daten nicht gut.

 

[bimbam]

Das hätte ich gerne alles von meinem iPhone und zwar zackig.

Geht mit einem angepassten Profil über den Apple Configurator rel. einfach...
http://www.imore.com/how-prevent-unauthorized-pairing-your-iphone-or-ipad-using-apple-configurator

 

[magheinz]

Auch damit wär ich vorsichtig. Denk da mal nur an die Rechenzentren amerikanischer Unternehmen in der EU. Deren Daten sind ebenfalls vollumfänglich aus den USA zugänglich.

Und ProjectBuilder spricht dann eh den nächsten Punkt an: Sitzt da irgendwo ein Chip von einem amerikanischen Zulieferer im Gerät, besteht da potentiell das nächste Einfallstor.

Ein Restrisiko bleibt sicherlich. Soweit ich weiss ist da nichts von einem amerikanischen Zulieferer drin.

Bei apple, Microsoft etc gibt es Gewissheit. Da sind die Hintertüren nunmal zwangsweise vorhanden.

 

[ProjectBuilder]

Ich würde mir bei China jetzt nicht unbedingt weniger Sorgen machen als bei Amerika....

 

[devrandom]

Ich würde mir bei China jetzt nicht unbedingt weniger Sorgen machen als bei Amerika....

Jaja, auf China hacken sie alle rum. Aber ganz ehrlich: Wenn die schnüffeln ist mir das fast schon lieber als bei den Amis.

 

[ProjectBuilder]

Ich habe damals ein nokia n900 gekauft und nutze jetzt ein jolla mit sailfish als OS. Sowohl das nokia als auch das jolla kommen aus einem EU-Land. Ok, werden in der EU entwickelt und vertrieben, gebaut wurden wie wohl beide in China, Taiwan oder so. Aber in den USA waren sie nie!

Ein Restrisiko bleibt sicherlich. Soweit ich weiss ist da nichts von einem amerikanischen Zulieferer drin.

http://jolla.com/#full-specs

Qualcomm Dual Core 1.4GHz

http://de.wikipedia.org/wiki/Snapdragon_(Prozessor)

http://de.wikipedia.org/wiki/Qualcomm

Qualcomm Incorporated ist ein Forschungs- und Entwicklungsunternehmen für Mobilfunkkommunikation mit Sitz in San Diego, Kalifornien.

Das war dann wohl nix...

 

[magheinz]

ups, dachte Qualcomm ist ein Asiate...

Bleibt mir nur übrig das es unwahrscheinlich ist das da zusätliche Daten durch die Luft wandern.
Sync der Daten läuft gegen meinen Server.

Ich würde sagen ich habe gemacht was geht um meine Daten nicht auf dem Präsentierteller anzubieten.
Der nächste Schritt ist dann ein piphone http://www.raspberrypi.org/tag/mobile-phone/