iPhone via SMS hackbar

[zwischensinn]

@Hausbesetzer
Soweit mir bekannt erforderten die bisher vorgelegten Exploits immer, dass der Angreifer direkt vor dem Rechner sitzt und für so einen Fall brauche ich keinen Patch rausbringen, da der Angreifer in einer solche Konstellation immer an alle Daten herankommt.

Also kann sich Apple nach der Präsentation eines solchen Exploits auch Jahre Zeit lassen.

 

[Altona]

@below: Warum es meiner Meinung nach sinnvoll ist, eine Frist zu setzen, habe ich doch in meinem Post geschrieben. Worauf bezieht sich also Deine erste Frage? Aber ich sage es gerne nochmal in einem Satz: Die "Bösen" kommen in jedem Fall früher oder später drauf, auch wenn man es Ihnen nicht sagt - und teilen dann sicher dem Hersteller nicht mit, dass sie nun demnächst soweit wären.

Ob 6 Wochen eine angemessene Frist sind, darüber könnte man sich sicherlich unterhalten. Ich habe dazu explizit keine Meinung, halte es aber für denkbar. Eins ist jedoch klar (um auf einen anderen Poster hier einzugehen): wer sechs Wochen Zeit hat, muss dafür nicht "alle 2 Tage irgendwelche Minipatches veröffentlichen".

 

[Hausbesetzer]

Ich will keinesfalls sagen, das alles toll ist was Apple macht. Wir können jedoch nicht schliessen, dass Apple schlampig arbeitet, da die lange Reaktionszeit ja bisher zu keinen erfolgreichen Angriffen geführt hat.

Natürlich hat schon mindestens ein erfolgreicher Angriff stattgefunden - die Entdecker der Lücke haben zumindest mehrmal diese Lücke benutzt.
Und mal anders gefragt - warum sollte jemand mit bösen Absichten der diese Lücke ebenfalls kennt (und das tun viele) - seine erfolgreichen Angriffe publizieren?

Im Jahr 2009 - sorry das muss mal gesagt werden - geht es nicht mehr ohne Notfall-Security Team dass so kritische Sachen fix durchdrückt.

 

[below]

Es würde mich mal interessieren, wie viele Entwickler hier schreiben, die einen Einblick haben, welcher Aufwand mit dem beheben einer Sicherheitslücke verbunden ist.

Besonders bei "Mini-Patches" muss man sehr aufpassen, dass man nicht den Teufel mit dem Beelzebub austreibt.

Für mich ist die Full Disclosure weiterhin eine erpresserische Taktik, die ich nicht in jedem Fall für angemessen halte

Alex

 

[below]

Im Jahr 2009 - sorry das muss mal gesagt werden - geht es nicht mehr ohne Notfall-Security Team dass so kritische Sachen fix durchdrückt.

Wie sieht dieser Prozess aus? Haben die auch eine Notfall QA?

EDIT: Ernstgemeinte Frage. Ich war noch in keinem Unternehmen, dass ein "Notfall-Security Team" hat, das "so kritische Sachen fix durchdrückt." Bei uns waren das immer die selben Entwickler, und die selbe QA.

Alex

 

[Frankieboy-HH]

Wie kann man denn das Empfangen von SMS abstellen? Ohne SMS Empfang gibt es ja kein Problem.

 

[zwischensinn]

Im Jahr 2009 - sorry das muss mal gesagt werden - geht es nicht mehr ohne Notfall-Security Team dass so kritische Sachen fix durchdrückt.

Da Apple bekanntlich sehr bereitwillig über Firmeninterna berichtet, wissen wir auch genau, dass es eine solche Abteilung nicht gibt oder was willst du uns damit sagen?

 

[trinec]

Das ist Quatsch! Bei T-Mobile Deutschland gehen die mobilen Geräte, iPhones wie auch UMTS-Sticks über zentrale Gateways/Proxys ins Netz. Nach Deiner Vorstellung/Ansicht kommt man auf keinen Fall direkt an die Endgeräte.

Teilweise! Ein APN vergibt eigene IPs, der andere wird genatted. Leider kann ich dir gerade nicht sagen, welcher von den beiden es ist. Ebenso gibt es noch weitere Provider, wie E+ & Co., die eigene IPs verteilen.

In den Niederlanden ist das lt. einer kürzlich erschienenen Meldung leider möglich, hier in Deutschland aber wie gesagt geht das nicht.

Nicht nur Niederlande...

 

[TheFallenAngel]

Teilweise! Ein APN vergibt eigene IPs, der andere wird genatted. Leider kann ich dir gerade nicht sagen, welcher von den beiden es ist. Ebenso gibt es noch weitere Provider, wie E+ & Co., die eigene IPs verteilen.


Nicht nur Niederlande...

Stimmt nicht, EPlus und Vodafone benutzen auch NAT.

 

[Hausbesetzer]

Da Apple bekanntlich sehr bereitwillig über Firmeninterna berichtet, wissen wir auch genau, dass es eine solche Abteilung nicht gibt oder was willst du uns damit sagen?

^^ ne is klar - - Gabs nicht letztens irgendwo ne Abschrift aus ner Kommunikation wo jemand Apple auf eine Sicherheitslücke hinweisen wollte aber der Security-Fuzzi nichtmal das Problem verstanden hat?^^
Ne also 6 Monate auf nen Java Patch warten lassen und jetzt noch mindestens 6 Wochen auf nen SMS Patch (sorry den man in nem Tag schreiben kann - dann kommt nur noch die Testphase) - NEVER EVER hat Apple sowas geschweigedenn einen Sinn für Security.

Wie kann man denn das Empfangen von SMS abstellen? Ohne SMS Empfang gibt es ja kein Problem.

Geht leider nicht.

 

[zwischensinn]

Ne also 6 Monate auf nen Java Patch warten lassen

Dann sage uns doch mal, wo die existenzielle Bedrohung bei der Javalücke lag?

Wenn Apple uns 6 Monate auf den Patch hat warten lassen und in der Zeit kein geglückter Angriff über diese Lücke bekannt geworden ist, scheint sie ja nicht so kritisch gewesen zu sein.
Apples Security-Team hat hier also augenscheinlich gute Arbeit geleistet, da sie das Bedrohungspotential richtig eingeschätzt haben.

 

[ste^2]

Lies Dir das durch:
http://www.fscklog.com/2009/05/kritische-java-schwachstelle-in-mac-os-x.html

http://landonf.bikemonkey.org/code/macosx/CVE-2008-5353.20090519.html

 

[grossmann]

^^ ne is klar - - Gabs nicht letztens irgendwo ne Abschrift aus ner Kommunikation wo jemand Apple auf eine Sicherheitslücke hinweisen wollte aber der Security-Fuzzi nichtmal das Problem verstanden hat?^^
Ne also 6 Monate auf nen Java Patch warten lassen und jetzt noch mindestens 6 Wochen auf nen SMS Patch (sorry den man in nem Tag schreiben kann - dann kommt nur noch die Testphase) - NEVER EVER hat Apple sowas geschweigedenn einen Sinn für Security.

Wenn du das doch so drauf hast, warum gehst du dann nicht zu Apple in leitende Position bei der Programmierung. Wenn du wirklich so gut bist, zahlen die dir sicher ordentlich Geld

€dit: 3.01 kam gerade aus, ich nehme mal an, damit wird diese Sicherheitslücke behoben sein

 

[Hausbesetzer]

Wenn du das doch so drauf hast, warum gehst du dann nicht zu Apple in leitende Position bei der Programmierung. Wenn du wirklich so gut bist, zahlen die dir sicher ordentlich Geld

Mach ich locker - schick mir nen Kontakt und ich bin dabei.


Warum - herrgott warum - muss man Apple IMMER ZWINGEN Sicherheitspatches zu veröffentlichen?

Das ist so peinlich.

 

[wolf32]

 

[vitamin.b]

Was will man mehr ... das ist doch eine schnelle Reaktion

 

[ste^2]

Was will man mehr ... das ist doch eine schnelle Reaktion

Mehrere Wochen = schnelle Reaktionszeit?

Ich kann mich dem nur anschliessen: http://forums.appleinsider.com/showpost.php?p=1457682&postcount=14

 

[SirVikon]

Wieso mehrere Wochen. Die Lücke war niemandem (nur dem Entdecker) bekannt und der hat sie vor 2 Tagen veröffentlicht. 2 Tage später ein Update ... passt schon.

 

[Hausbesetzer]

Wieso mehrere Wochen. Die Lücke war niemandem (nur dem Entdecker) bekannt

Schon klar Kein anderer Mensch auf der Welt ist fähig Sicherheitslücken in Computersystemen zu finden - nur der. Mr. Security himself

 

[ste^2]

Wieso mehrere Wochen. Die Lücke war niemandem (nur dem Entdecker) bekannt und der hat sie vor 2 Tagen veröffentlicht. 2 Tage später ein Update ... passt schon.

Du liegst falsch. Der Entdecker hat schon vor mehreren Wochen Apple die Lücke detailliert mitgeteilt und trotzdem kommt Apple mit einem Patch erst auf dem letzten Drücker. Der Öffentlichkeit wurde die Lücke erst jetzt gezeigt.