Mac OS X: "geringeres Risiko, aber letztlich unsicherer"

[Cathul]

Keine Laborbedingungen, die Systeme sind den Wettbewerbsbedingungen voll gepatcht.

Die Praxis der Exploits schaut dann so aus:

- Angreifer präpariert Website (Website vorher gehackt)
- argloser Besucher geht mit Safari auf die Website
- Sicherheitslücke in Safari ermöglicht Angreifer den Start eines Terminals mit systemweiten Rechten.

Dies ist der heutzutage wohl am häufigsten anzutreffende Angriffsvektor für den Angriff auf an das Internet angeschlossene Client-Systeme und weitgehend unbeeinflusst von weiteren Sicherheitsmaßnamen wie Firewalls etc.. Denn in diesen Firewalls wird die Kommunikation des Browsers wohl i.d.R. freigegeben sein.

 

[ste^2]

Lese zwar immer, dass es anders rum besser wäre, aber mir ist das offen gesagt an zu vielen Stellen gefummel.... Danke !!

Wieso?
Einmal kurz das Passwort eingeben ist zuviel gefummel?
Brauchst du ständig Admin-Rechte? Ich nicht!
Ab und an mal und da ist es kein Problem kurz ein Passwort einzugeben.

 

[avalon]

Keine Laborbedingungen, die Systeme sind den Wettbewerbsbedingungen voll gepatcht.

Die Praxis der Exploits schaut dann so aus:

- Angreifer präpariert Website (Website vorher gehackt)
- argloser Besucher geht mit Safari auf die Website
- Sicherheitslücke in Safari ermöglicht Angreifer den Start eines Terminals mit systemweiten Rechten.

Wie die Reihenfolge aussieht ist mir schon klar.

Es müsste also zuerst eine Webseite präpariert werden und ins Netzt gestellt werden.
Die müsste ich dann durch Zufall entdecken oder weil ich blöd genug bin, auf Grund einer Spam Mail aufsuchen.
Dann setzt sich ein Script oder ähnliches in Marsch und erkundet meinen Rechner.

Solange ich auf der Webseite bin oder wird ein Programm eingeschleust, mit dem der Angreifer meinen Rechner ständig manipulieren kann.

Es gibt also noch genug Punkte die über die Meldung es ist möglich hinausgehen und zunächst unbeantwortet bleiben

Mir genügt keine Antwort die da heißt:
In bestimmten Regionen in Deutschland kann ich deinen wagen eines bestimmten Typs, falls du gerade dort bist aufmachen.
Kann er dann auch wegfahren?

Die ganzen Meldungen haben für eben noch diesen Haken.

ich bestreite ja nicht das es gelungen ist einen Mac zu hacken, mich interessiert einzig und alleine was es für Auswirkungen haben kann, bis die Lücke wieder dicht ist

 

[Deep4]

Es müsste also zuerst eine Webseite präpariert werden und ins Netzt gestellt werden.
Die müsste ich dann durch Zufall entdecken oder weil ich blöd genug bin, auf Grund einer Spam Mail aufsuchen.

Falsch. Im Prinzip kann jeder hingehen und z.B. MacUser.de hacken und anschliessend entsprechend präparieren.

Thema erledigt.

Selbst wenn der Hack nur eine Stunde lang unentdeckt bliebe würde das reichen um hunderte oder tausende Rechner zu erreichen.

Und im Falle von macuser.de würde Mr. Miller quasi 100% Trefferquote auf den Systemen erzielen, da ein Großteil mit Macs und Safari unterwegs ist.

Es hat schon seinen Grund, weshalb die ausgenutzten Lücken beim pwn2own erst öffentlich gemacht werden, wenn Apple die Lecks beseitigt hat.

Aber wenn es mal kein White-Hacker ist, sondern einer der bösen Buben, die eine derartige Lücke finden und ausnutzen, dann gute Nacht.

 

[avalon]

@Deep4

Also eine Website hacken ist also ganz easy, so wie sich das anhört könnte das fast jeder...

Warum macht es bisher keiner?

Die Antwort sind mir alle "Experten" noch schuldig.

 

[Deep4]

@Deep4

Also eine Website hacken ist also ganz easy, so wie sich das anhört könnte das fast jeder...

Warum macht es bisher keiner?

Die Antwort sind mir alle "Experten" noch schuldig.

Sorry, aber Websites werden alle Nase lang gehackt. Und ja, es gibt viele Leute, die sowas können.

Beispiele :

- Schäuble Website Februar 2009
- "Gumblar-Angriffe" im letzten Jahr
- gehackte Symantec-Website Nov 2009
- im Februar diesen Jahres die "Wacken" Homepage
- NPD.de im Januar 2009
- Deutsche Kinderhilfe im Mai 2009
- die "Schalke" Website im Sept 2009
- tralala

Gerade Systeme wie Typo3, Joomla oder Wordpress sind dahingehend sehr anfällig, weil die installierte Basis sehr gross ist...

 

[ste^2]

Gerade Systeme wie Typo3, Joomla oder Wordpress sind dahingehend sehr anfällig, weil die installierte Basis sehr gross ist...

Es gibt auch entsprechende Seiten, auf denen sich gleich passende Infos und Exploits finden

 

[avalon]

Sorry, aber Websites werden alle Nase lang gehackt. Und ja, es gibt viele Leute, die sowas können.

Ist mir wieder zu generell.

Sind das Seiten, die nicht gesichert sind?
Sind das Seiten wie z.B. MacUser oder andere Communities die sicher wissen wie man sich schützt?

Du stellst das som dar als wenn es ein Kinderspiel sei...

Und wenn es das wäre, hätten sich schon hunderte von "bösen Buben" daran gemacht.

Nochmal ich bestreite nicht das es möglich ist, die Besteigung vom Mount Everest war auch möglich, aber geschafft haben es nur wenige.

 

[Deep4]

Ist mir wieder zu generell.

Sind das Seiten, die nicht gesichert sind?
Sind das Seiten wie z.B. MacUser oder andere Communities die sicher wissen wie man sich schützt?

Du stellst das som dar als wenn es ein Kinderspiel sei...

Und wenn es das wäre, hätten sich schon hunderte von "bösen Buben" daran gemacht.

Nochmal ich bestreite nicht das es möglich ist, die Besteigung vom Mount Everest war auch möglich, aber geschafft haben es nur wenige.

Du biegst es Dir auch zurecht, wie es gerade passt, oder ?

Sorry, aber auf dem Niveau macht Diskutieren echt keinen Spaß.

Wir reden hier von Websites wie Wacken oder Schalke - meinst Du, da setzen sich irgendwelche Superhirne hin und hacken das ?

Jedes Skriptkiddie kann eine Website hacken wenn die Lücken noch existieren, die im runtergeladenen Exploit genutzt werden.

Nicht jeder aktualisiert sein Wordpress regelmäßig. Die wenigsten Leute wissen, wie man Websites bzw. Server dicht bekommt.

Aber sehr viele Leute wissen, wie man die Lücken nutzt.

 

[ste^2]

Du stellst das som dar als wenn es ein Kinderspiel sei...

Ist es letztlich auch...

Jedes Skriptkiddie kann eine Website hacken wenn die Lücken noch existieren, die im runtergeladenen Exploit genutzt werden.

Nicht jeder aktualisiert sein Wordpress regelmäßig. Die wenigsten Leute wissen, wie man Websites bzw. Server dicht bekommt.

Aber sehr viele Leute wissen, wie man die Lücken nutzt.

Eben!
Daher ist es allgemein auch so wichtig, dass Sicherheitslücken zeitnah geschlossen werden.

 

[xentric]

ist das nicht mittlerweile n thread für die bar?

Und respekt an ste^2 und deep4. Mir wär da meine zeit echt zu kostbar, ..

 

[avalon]

Du biegst es Dir auch zurecht, wie es gerade passt, oder ?

Sorry, aber auf dem Niveau macht Diskutieren echt keinen Spaß.

Sorry, wenn ich an dein Niveau nicht heranreiche....

Blöde Antworten kann ich mir auch alleine geben.

Bisher hat es noch keiner fertiggebracht bei Mac Benutzern erheblichen Schaden anzurichten, sonst hätten wir etwas in den Medien darüber gelesen.
Und solange das so ist, könnt ihr mir ständig erzählen dass es möglich wäre.
Für mich ist es erst dann Wirklichkeit, wenn tatsächlich etwas in größerem Ausmaß passiert.
Ich meine nicht die die sich einen Trojaner auf einer Pornoseite geholt haben.

 

[lundehundt]

Daher ist es allgemein auch so wichtig, dass Sicherheitslücken zeitnah geschlossen werden (und das ist bei Apple eben häufig nicht der Fall).

Bisher offensichtlich zeitig genug. Ich kann nicht beurteilen in welcher Geschwindigkeit welcher Hersteller was patched und was er - aus welchen Gruenden auch immer - nicht patched oder spaeter als andere. Bisher gibt der Erfolg der "Patch Politik" von Apple recht.

Hier wird aber so getan, als ob Apple straeflich, vorsaetzlich und leichtfertig mit der Sicherheit von OS X und damit mit der Sicherheit der Daten seiner Benutzer umgehen wuerde. Ich kann diese Vorwuerfe nicht verstehen, zumindest solange es keinen Schaedling in der freien Wildbahn gibt, der genau das belegen wuerde.

 

[ste^2]

Und respekt an ste^2 und deep4. Mir wär da meine zeit echt zu kostbar, ..

Ja hast Recht.

 

[in2itiv]

Sorry, aber Websites werden alle Nase lang gehackt. Und ja, es gibt viele Leute, die sowas können.

Gerade Systeme wie Typo3, Joomla oder Wordpress sind dahingehend sehr anfällig, weil die installierte Basis sehr gross ist...

...was hat das mit dem Thema hier zutun?

...ich kann nur sagen, das ich seit 6 Jahren einen Mac OS X server per ftp und webserver offen am Netz habe. Anhand der logs lassen sich jeden Tag eine vielzahl von Angriffen erkennen. Bisher ist es aber dabei keinem gelungen in das system einzudringen.

...sicherlich ist OSX kein 100% sicheres system, dazu sind systeme heute zu komplex und müssen zu viele schnittstellen haben, damit Programme auf ihnen laufen. Auch ist richtig, dass Apple ab und an ein bisschen länger braucht um das eine oder andere zu fixen (Stichwort: Java in 2009).

...trotzdem muss ich sagen, das OSX für mich immer noch der beste Kompromiss aus "sicherem System" und "Aufwand an Zeit/Geld um das System zu administrieren" ist. Alle Alternativen kosten mehr, bzw. bieten nicht die nötige Basis um darauf zu arbeiten.

 

[Deep4]

...was hat das mit dem Thema hier zutun?

Siehe oben / pwn2own.

Du solltest vielleicht nicht quer lesen.

 

[in2itiv]

Siehe oben / pwn2own.

Du solltest vielleicht nicht quer lesen.

...wie ich lese, überlässt du bitte schön noch mir, ja!

...ich sehe trotzdem nicht die Relevanz zum Thema hier, da es sich um gezielte Einzelfälle handelt, Lücken, die jedes System hat. Wenn sich jemand die Mühe macht, so einen Angriff zu starten, kommt er in jedes system rein. das ist doch nichts neues.

...die Frage ist: Was kann er dann dort ausrichten? Und da wird es dann interessant.

 

[Deep4]

...ich sehe trotzdem nicht die Relevanz zum Thema hier, da es sich um gezielte Einzelfälle handelt, Lücken, die jedes System hat. Wenn sich jemand die Mühe macht, so einen Angriff zu starten, kommt er in jedes system rein. das ist doch nichts neues.

...die Frage ist: Was kann er dann dort ausrichten? Und da wird es dann interessant.

Im Falle der ausgenutzten Sicherheitslücke von MR. Miller im Rahmen des pwn2own-Wettbewerbs kannst Du ALLES mit dem System machen, weil Du dann root-Rechte hast.

Die Relevanz der gehackten Websites zum Thema hier ?

Der Exploit baut auf einer modifizierten Website auf - nur daß avalon anscheinend nicht wahrhaben will, wie viele gehackte Websites es gibt und daß man nicht nach pr0n suchen muss, um sich evtl. was Fieses einzufangen. Auch muss man keiner Spam-Mail folgen um an schädlichen Content zu gelangen.

Deine "Einzelfälle" reichen doch - hacke eine Site mit xtausend Besuchern pro Tag und Du musst Dir um den Rest keine Sorgen machen...

 

[Cathul]

...die Frage ist: Was kann er dann dort ausrichten? Und da wird es dann interessant.

"Shell mit systemweiten Rechten" beim aktuellen "Siegerexploit" für den Safari auf Mac OSX beim pwn2own-Wettbewerb 2010 ist doch eigentlich aussagefähig genug, oder nicht?

Falls dieser Exploit bekannt würde, ehe Apple einen Fix veröffentlicht hat, könnte dies übel werden.

Offiziell kennen aber nur Charlie Miller und jetzt, im Zuge des Wettbewerbs auch Apple, die Lücke und die Möglichkeit diese Lücke zu nutzen.
Ob sonst jemand diese Lücke kennt, keine Ahnung. Falls es eine Lücke ist, die Charlie Miller schon länger im Auge hatte, diverse Websites reden hier von "einer Sammlung von 0-day-Exploits aus dem Koffer von Charlie Miller", liegt die Vermutung nahe, dass die Lücke an sich schon länger existent ist.

Keiner verlangt, dass Apple Sicherheitslücken schliesst ehe diese bekannt werden. Regressionstests können schliesslich auch nicht zaubern, sondern nur die Lücken aufdecken, die durch die Tests tangiert werden, aber was man erwarten kann ist, dass eine Lücke, die tatsächlich eine Shell öffnet, mit der ich systemweite Berechtigungen erlange, schnellstens durch Apple gefixt wird.

Das selbe würde ich übrigens auch von jedem anderen Softwarehersteller verlangen.

Wenn man mal danach sucht, welche bekannten Websites in den letzten zwei Jahren gehackt wurden, ist das Risiko einem solchen Exploit zu begnen potentiell nicht so klein wie hier ab und an suggeriert wird. Ob eine gehackte Website dann allerdings einen Exploit für den Safari auf Mac OSX beherbergt, oder doch nur den x-ten Exploit aus dem 08/15-Exploitbaukasten für den Internet Explorer ist natürlich ein anderes Thema, bei dessen Diskussion mit Sicherheit wieder mit macmark argumentiert würde, woraufhin wir dann den Kreis wieder geschlossen hätten.

 

[in2itiv]

Im Falle der ausgenutzten Sicherheitslücke von MR. Miller im Rahmen des pwn2own-Wettbewerbs kannst Du ALLES mit dem System machen, weil Du dann root-Rechte hast.

Die Relevanz der gehackten Websites zum Thema hier ?

...ganz so einfach ist es dann eben doch nicht. Denn du kannst sicherlich einen Rechner von aussen von Hand steuern und manipulieren, du kannst es aber eben nicht standardisieren um so über eine website/exploit, massen an Mac zu manipulieren, geschweige denn zu übernehmen.

...die Wahrscheinlichkeit, das man auf eine manipulierte website trifft, hinter der sich jemand verbirgt, der darauf wartet, sich gerade deinem system anzunehmen, ist sehr sehr gering.

...wie schon geasgt, auf nen rechner zuzugreifen, ist nicht die Kunst. Ein funktionierendes Konzept mit Massen an Macs etwas "sinnvolles" zu machen, schon sehr viel mehr.