Virus oder Trojaner installierbar, wenn man USB Stift einsteckt?

[JeanLuc7]

Noch sicher...

Wenn ich es recht verstanden habe, ist der Jailbreak beim iOS u.a. deswegen so einfach, weil man auf gewisse Standards setzen kann. So haben beispielsweise alle iPhones das gleiche (bekannte) root-Passwort - das ist bei Mac OS X nicht der Fall. Dennoch musste für unterschiedliche Versionen des iOS unterschiedlicher Code geschrieben werden.

Mac OS X wurde schneller gehackt als Windows, weil eine bekannte Lücke in Safari ausgenutzt wurde. Wer sich davor schützen will, benutzt Firefox mit den Erweiterungen NoScript und AdBlock Plus - nach meiner Kenntnis das derzeit sicherste System, weil hier im Zweifelsfalle Löcher schneller behoben werden als in jedem anderen Browser.

Die Adobe-Lücken betreffen Mac OS X ebenfalls weniger - man kann die Standard-Vorschau benutzen und ist so für den Adobe-PDF-Lücken einigermaßen sicher. Bleibt noch JAVA - da hinkt der Mac tatsächlich immer hinterher. Allerdings benutze ich so gut wie nie JAVA-Programme.

Ich würde heute kein Windows-System mehr aufsetzen ohne Virenschutz - beim Mac fühle ich mich derzeit aber mit den oben genannten Voraussetzungen noch sicher.

 

[wegus]

meines Wissens gehört das BSI zu den wenigen Behörden die wirklich extrem fachkundig sind und schon recht genau wissen was sie sagen ( oder auch nicht sagen ).

OS X hat mit iOS eine Verbreitung gefunden die es Sicherheitsrelevant macht. Vorher im Nischenmarkt der einstelligen Prozentzahl von Macusern war das egal. Wenn man jetzt aber einen hohen zweistelligen Anteil bei den Smartphones hat, dann sieht das eben anders aus wenn man via Browser ein Telefon hacken kann oder via PDF ein Rootkit einschleusen. Das hat plötzlich eine ganz andere Relevanz und dürfte den Druck auf Apple auf Fehler zu reagieren deutlich vergrößern.
Man kann bei MS den Weg von Win 2000 über XP,Vista hin zu 7 sehen. Der Druck hat eine Menge bewirkt und mit 7 ein hervorragendes OS hervorgebracht. Mir scheint, der gleiche Druck wird Apple auch nicht schaden. er wird iOS und die nächsten OS X deutlich sicherer machen, auch wenn einige immer noch glauben das sicherste OS der Welt jetzt schon zu besitzen.
Und es wird iOS X hoffentlich auch deutlich freier machen. Die Tatsache das es Sicherheitsmaßnahmen auf gejailbreakten Phones schon gibt und das Jailbreaking quasi amerikanisches Recht ist, das sich FTC und andere mit Apples Gebahren beschäftigen zeigen doch ziemlich deutlich wohin der Weg gehen wird. Offenere Systeme sind nicht unbedingt ein Sicherheitsrisiko, nicht umsonst heißt es vier Augen sehen mehr als zwei.

Ich denke daher das die momentane Aufmerksamkeit und das Erwachen aus dem Dornröschenschlaf dem OS und den Usern gut tun wird, vielleicht gerade weil Apple der Weg nicht gefallen wird den sie gehen werden müssen.

 

[maba_de]

meines Wissens gehört das BSI zu den wenigen Behörden die wirklich extrem fachkundig sind und schon recht genau wissen was sie sagen ( oder auch nicht sagen ).
....

das kann ich aus persöhnlichen Erfahrungen heraus bestätigen.
Und wenn jemand meine Aussagen über IT Sicherheit für paranoid hält, hat er noch NIE mit denen zu tun gehabt .

 

[astrophys]

Durch die restritiktive App-Politik des iPhones seitens Apple und das deutlich geschlossenere System gegenüber OS X sollte die Sicherheit beim iPhone wesentlich größer sein als bei OS X.

Für OS X lässt das schlimmes erahnen und die Annahme, dass OS X deswegen nicht gehackt wird, weil die Marktdurchdringung so gering ist, scheint sich zu bewahrheiten.

(Wie war das nochmal mit dem Auslesen eines komplett verschlüsselten iPhones allein durch anschließen per USB an ein Linux/Windows-System? )

 

[below]

Man kann bei MS den Weg von Win 2000 über XP,Vista hin zu 7 sehen. Der Druck hat eine Menge bewirkt und mit 7 ein hervorragendes OS hervorgebracht. Mir scheint, der gleiche Druck wird Apple auch nicht schaden
...
Ich denke daher das die momentane Aufmerksamkeit und das Erwachen aus dem Dornröschenschlaf dem OS und den Usern gut tun wird, vielleicht gerade weil Apple der Weg nicht gefallen wird den sie gehen werden müssen.

Leider glaube ich, dass einige immer noch schlaftrunken sind, weil der Exploit einen "wünschenswerten" Nebeneffekt, den Jailbreak hat.

Es schockiert mich, dass iOS so unsicher ist.

Alex

 

[nysosym]

Ich gestehe ich freue mich immer wenn below geantwortet hat, da ich ihm viel Kompetenz im Umgang mit Apple/OSX/iOS zuspreche. Deshalb frage ich mich welche Konsequenzen du aus diesem Debakel ziehst?

 

[below]

Ich gestehe ich freue mich immer wenn below geantwortet hat, da ich ihm viel Kompetenz im Umgang mit Apple/OSX/iOS zuspreche. Deshalb frage ich mich welche Konsequenzen du aus diesem Debakel ziehst?

Danke

Also, ich habe mir einen Browser installiert, der PDF Blocken kann (zum Beispiel iCab oder Atomic). Sonst bin ich noch vorsichtiger als sonst, was das Web angeht und werde versuchen -- wenn die Lücke geschlossen ist -- im Sourcecode nachzusehen, was das Problem war (1)

Und ich hoffe, dass sich jetzt endlich mal was bei Apple ändert.

Alex

1) Und da heisst es immer OpenSource wäre sicherer, weil Sicherheitslücken leichter gefunden werden könnten... SCNR

 

[nysosym]

Wenn ich die Reaktion von Apple betrachte, denke ich nicht das sie viel daraus gelernt haben. Der Patch wurde gefixt, sie warten mit dem Release aber auf iOS 4.1 . Scheinbar findet Apple Jailbreaks (massive Lücken) gar nicht so schlecht...

 

[below]

Wenn ich die Reaktion von Apple betrachte, denke ich nicht das sie viel daraus gelernt haben. Der Patch wurde gefixt, sie warten mit dem Release aber auf iOS 4.1 . Scheinbar findet Apple Jailbreaks (massive Lücken) gar nicht so schlecht...

Oh, ich hatte nur gelesen, dass ein Releasetermin noch nicht feststeht. 4.1 wäre fahrlässig!

Ich weiss, dass ein Release auch für einen Hotfix nicht innerhalb von Stunden gemacht ist (muss ja durch die QA), aber dass hier ist für mich der Super-GAU. Da muss Apple schnellstens reagieren.

Alex

 

[wegus]

Wenn ich die Reaktion von Apple betrachte, denke ich nicht das sie viel daraus gelernt haben. Der Patch wurde gefixt, sie warten mit dem Release aber auf iOS 4.1 . Scheinbar findet Apple Jailbreaks (massive Lücken) gar nicht so schlecht...

ich denke es wird einen Unterschied zwischen der kurzfristigen und der langfristigen Reaktion geben. Gerade für letztere sind mehrere überlagerde Ereignisse nötig und man kann wohl sicher sein das da noch mehr kommen werden.

Was das Thema Jailbreaks angeht: Die Lücken gehören eben gestopft! Dieses leben mit dem Wissen um gezielt nutzbare Fehler kann man sich nur in einer Nische erlauben, aber nicht mehr im Rampenlicht.
Den Usern reichen die derzeitigen Rechte nicht, ein Anwachsen der Android-Märkte kann man ja daher schon verzeichnen. Es wird also ein in das System integriertes ordentliches Sicherheitskonzept nötig sein, dass dem User alle Freiheiten läßt ohne das OS oder das Telefon zu gefähren. Ein solcher Mechanismus sollte sich über sudo-Rechte integrieren lassen und er wird nötig sein. Ein Jailbreak als tolerierter Tabubruch wird nicht mehr reichen in einer Gesellschaft die so etwas auch zum Schaden Dritter einsetzt. Es wird also mehr Rechte geben müssen, diese aber besser kontrolliert und es muß ein effizientes QA her das zügig auf Sicherheitsprobleme reagiert. Es gibt da viel zu lernen...

 

[Magicq99]

OS X hat mit iOS eine Verbreitung gefunden die es Sicherheitsrelevant macht. Vorher im Nischenmarkt der einstelligen Prozentzahl von Macusern war das egal.

Für OS X lässt das schlimmes erahnen und die Annahme, dass OS X deswegen nicht gehackt wird, weil die Marktdurchdringung so gering ist, scheint sich zu bewahrheiten.

Also diese Argumente finde ich nicht logisch. Besonders in sicherheitsrelevanten Systemen würde sich ein Angreifer doch auf auf ein solches Nischensystem stürzen wenn es tatsächlich einfacher anzugreifen wäre und dort auch noch die Sicherheit vernachlässigt wird. Und das beispielsweise das amerikanische Verteidigungsministerium ein großer Kunde von Apple ist, ist ja durchaus auch bekannt. Daher kann man doch nicht einfach sagen OS X war durch den geringen Marktanteil bisher nicht sicherheitsrelevant und nur dadurch das jetzt jeder Hinz und Kunz mit einem iPhone herumläuft wird es das.

Der große Marktanteil von Windows macht es doch am Ende nur für Botnetze interessant, die im wesentlichen aus ungepatchten Systemen in Privathaushalten bestehen. Aber das hat doch nichts mit sicherheitsrelevanten Netzwerken zu tun, sondern ist eher ein Problem der fehlenden technischen Versiertheit eines Großteils der Bevölkerung. Will ein Hacker tatsächlich in ein heterogenes Netzwerk eindringen, z.B. im Falle von Industriespionage, wird er sich doch die Stelle aussuchen an der er am einfachsten eindringen kann und nicht die Stelle die am häufigsten anzutreffen ist. Es sei denn diese Stelle ist auch gleichzeitig die am einfachsten zu durchdringende...

 

[berbel01]

Also diese Argumente finde ich nicht logisch. Besonders in sicherheitsrelevanten Systemen würde sich ein Angreifer doch auf auf ein solches Nischensystem stürzen wenn es tatsächlich einfacher anzugreifen wäre und dort auch noch die Sicherheit vernachlässigt wird.
... Es sei denn diese Stelle ist auch gleichzeitig die am einfachsten zu durchdringende...

Nun ja, die Kirsche für die unsicherste Film emh* Software hat wohl Apple abgefasst.
Das sensible Daten auf Rechnern gespeichert werden, die kein Internetanschluss haben wird von eh und je gemacht.
in meinen Augen ist immer noch der große Vorteil vom MacOS, das der überwiegende Teil sich im Privathaushalten befindet, das sich ein Router zwischen Rechner und Internet befindet (der 99% der Hobbiehacker abblockt).
Das gute alte Win hat das Problem, das jeder, der ein wenig Programmieren kann und die Kriminelle Energie besitzt einen Virus schreiben kann bzw. schreibt. Die Masse macht es.
Datenbanken, die das Ziel von Wirtschafthackern sind, sind eh meist eine auf Linux beruhende Programmiersprache. Hat also eh nicht viel mit Win oder MacOS zu tun.

 

[wegus]

Und das beispielsweise das amerikanische Verteidigungsministerium ein großer Kunde von Apple ist, ist ja durchaus auch bekannt. Daher kann man doch nicht einfach sagen OS X war durch den geringen Marktanteil bisher nicht sicherheitsrelevant und nur dadurch das jetzt jeder Hinz und Kunz mit einem iPhone herumläuft wird es das.

Die Mähr mit dem Verteidigungsministerium muss immer dafür herhalten wenn jemand darauf hinweist das auch OS X Lücken hat! Natürlich setzen die auch OS X ein, mehrere Behörden tun das. In Amerika ist die NSA für das zuständig was hier das BSI macht und dort gibt es ein Dokument, das hier schon öfter verlinkt war. Es hat ca. 140 Seiten und dokumentiert wie man ein OS X, so weit möglich, sicher einstellt. Von Haus aus sicher ist es nicht!

Das wäre ja auch verwunderlich, denn OS X nutzt OpenSource Standards wie CUPS,Samba, Apache httpd und auch MySQL. Für all diese Elemente gibt es immer Exploits und deswegen ja auch neuere Versionen.
Nun wäre es schön, wenn Apple deswegen eher selten Updates dieser Segmente herausbringt, weil man im Hauseigenen System erstmal die Lücken dieser Komponenten stopft bevor man es verteilt.
Dem ist aber offenbar eben nicht so. Sprich ein Apple-Samba ist ein ganz normaler Samba und wenn es da schon zig Updates hinterm Komma gegeben hat ( jeder mit einer langen Liste an Bugfixes und Security-fixes) und bei Apple hat es die nicht gegeben, dann sind da Lücken offen.
Das klingt zum Glück meist dramatischer als es ist und für die meisten Lücken braucht man einen Shell-Zugang. wer aber noch immer in Dornröschens Schloß schläft und meint OS X sei sicher weil es das Milität genauso nutzt wie er zu Haus, der schläft eben bei offener Tür!

Der große Marktanteil von Windows macht es doch am Ende nur für Botnetze interessant, die im wesentlichen aus ungepatchten Systemen in Privathaushalten bestehen.

Eher letzteres ist der Grund. Man hat den Leuten erklärt mit PCs umgehen kann jeder und muß auch jeder und da der Techniker der einen DSL-Anschluß früher gelegt hat auch zu teuer ist hat man den Leuten gesagt und DSL anschliessen kann auch jeder selbst heute. Die Wahrheit dahinter ist: Das können die Wenigsten. Die meisten DSL-Asnschlüsse muß eben doch ein "Bekannter" machen und der hat wenig Interesse daran daraus eine Hauptbeschäftigung zu machen. Der Standarduser weiß nicht wie ein Netz funktioniert und er weiß nichts von Sicherheitslücken. Er hat nur gelernt das nach jedem Update die Gefahr besteht das irgendwelche Funktionen die er täglich braucht nicht mehr laufen ( und das nicht nur bei Windows!). Darum läßt er die Finger von Updates. Dadurch ist der Privatanwender das Hauptrisiko Nummer eins was Botnetze angeht. Das hat wiederum wenig mit dem OS zu tun. Denn sowohl ein Windows als auch ein OS X sind aus der Ferne nur schwer zu hacken. Vor dem Rechner aber einen "Doofen" zu finden der zustimmt vermeintliche Pornos ansehen zu wollen oder ein Spiel geschenkt zu bekommen und dem Programm somit Sonderrechte gewährt das gelingt immer und das knackt jedes System!

 

[muschel]

Mal von "Exploits" etc. abgesehen. Jeder einigermaßen versierte Programmierer wird doch in der Lage sein, irgendwelche Schadsoftware in seine Programme zu integrieren. Woher weiß man denn, dass dies nicht auch bei mehr oder weniger seriösen Anbietern der Fall ist? Wer testet das und wie kann man überhaupt herausfinden, ob eine Software Schaden anrichtet, wenn der schädliche Code noch gar nicht aktiv war?

Beispiel: Die ganzen Systemtools etc. Bisher vertraute ich ja darauf, dass die Anbieter seriös sind, weil ja auch viele andere Macuser diese Software benutzen und bestimmt Alarm geschlagen hätten, wenn da etwas faul wäre. Aber wird die ganze Software denn auch irgendwie überprüft?

Könnte ein Antivirenprogramm solche schädlichen Codestellen überprüfen? Oder wie läuft das?

 

[berbel01]

Könnte ein Antivirenprogramm solche schädlichen Codestellen überprüfen? Oder wie läuft das?

Nein, können sie nicht. Und was du da beschreibst, ist in der Tat das Problem. Dieses permanente nach Hause telefoniere und Daten gesende ist in meinen Augen nicht besser, aber auch nicht schlimmer wie ein Trojaner.

 

[JeanLuc7]

Ich hab auf dem iOS4 den jailbreak durchgeführt und als erstes eine Firewall aus dem Cydia-Store installiert (und danach den PDF-Warner). Diese Firewall fragt jetzt bei ausgehenden Verbindungen, ob sie verbinden darf. Es ist spannend, wie viel da nach draußen telefoniert wird und wohin. Google betriebt da bspw. eine Seite namens 1e100.net, die praktisch von jeder Webseite angesteuert wird. Es sind auch viele reine IP-Adressen ohne Namensauflösung dabei und dann natürlich die üblichen Werbeverdächtigen.
Überrascht war ich, dass selbst Spiele wie "Angry Birds" regelmäßig nach Hause oder sonstwohin telefonieren wollen. Auch iBooks prüft wohl jedesmal, ob ich ein Buch wirklich lesen darf. Das bekommt man auf dem iPhone normalerweise gar nicht mit.

 

[ProUser]

Angefangene Dinge sollte man auch zu Ende bringen..

Nur mal als Klarstellung, iOS ist nicht Mac OS X - warum müssen einige immer alles durcheinander bringen?

Und zu Sicherheitslücken im iOS: Klar kann so etwas vorkommen und muss schnellstmöglich geschlossen werden! Und es ist auch gut, dass Verbraucher informiert werden. Aber solange solche Schwachstellen rechtzeitig geschlossen werden, kommt Schadsoftware, die es ausnützt, erst gar nicht in den Umlauf.

Dann erklär mir doch mal bitte die Unterschiede von iOS und OS X, mit besonderer Berücksichtigung der aktuellen Lücke.

Alex

Frag doch einfach beim BSI warum sie diesbezüglich explizit nur eine Warnung für iOS (iPhone, iPad und iPod Touch) ausgegeben haben und nicht auch für das Mac OS X - die werden es Dir sicher erklären können, zudem wirst Du denen mehr glauben.

genau das werde ich heute tun, wir arbeiten sehr eng mit dem BSI zusammen.

Liegen schon Ergebnisse Vor?

Was hat das denn mit Glauben zu tun? Ich glaube Dir auch, mich interessiert aber, was in diesem Fall der Unterschied ist. Denn iOS und OS X sind in weiten Teilen identisch.

Es ist leicht vorstellbar, dass die PDF Renderengine auf iOS und OS X gleich ist. Der Kern ist ohnehin extrem ähnlich (ist ja opensource, kann man nachsehen)

Es liegt mir fern, das BSI zu kritisieren, aber wissen die denn, was die Lücke genau ist? (Wenn ja, findet man das irgendwo im Netz?) Und haben sie sichergestellt, das dieses Problem auf OS X nicht existiert? Vorstellbar ist es leicht.

Alex

Das iOS auf Mac OS X beruht, man könnte vllt. auch sagen ein Ableger davon ist, muss nicht zwangsweise bedeuten, dass eventuelle Sicherheitslücken in iOS automatisch auch in Mac OS X vorhanden sein müssen. Denn es dürfte klar sein, dass iOS auch Code enthält, den es in Mac OS X gar nicht gibt, und umgekehrt, woraus folgt, dass eventuelle Sicherheitslücken in einem OS nicht automatisch auch im anderen OS sein müssen. Mac OS X kann völlig unbetroffen sein, was sich in diesem Fall soweit auch bestätigt.

meines Wissens gehört das BSI zu den wenigen Behörden die wirklich extrem fachkundig sind und schon recht genau wissen was sie sagen ( oder auch nicht sagen ).

das kann ich aus persöhnlichen Erfahrungen heraus bestätigen.
Und wenn jemand meine Aussagen über IT Sicherheit für paranoid hält, hat er noch NIE mit denen zu tun gehabt .

Damit wäre wohl die Glaubwürdigkeit bzw. die Fachkundigkeit vom BSI geklärt! Wenn das BSI bezüglich dieser.. aktuell noch bestehender Sicherheitslücken eine Warnung für iOS ausgibt, aber keine für Mac OS X, dann betrifft es wohl auch nur iOS und nicht Mac OS X - oder gibt es noch berechtigte Zweifel?

Ich wäre also dankbar, wenn man hier nicht versucht möglichst Alles in einen Topf zu werfen, sondern mit mehr Unterscheidungsvermögen an die Sache herangeht.

 

[maba_de]

... Wenn das BSI bezüglich dieser.. aktuell noch bestehender Sicherheitslücken eine Warnung für iOS ausgibt, aber keine für Mac OS X, dann betrifft es wohl auch nur iOS und nicht Mac OS X - oder gibt es noch berechtigte Zweifel?

Ich wäre also dankbar, wenn man hier nicht versucht möglichst Alles in einen Topf zu werfen, sondern mit mehr Unterscheidungsvermögen an die Sache herangeht.

es gibt keine Warnung, das diese Lücke auch Mac OS X betrifft. Das BSI hat uns Informationen zukommen lassen, in denen Mac OS X nicht erwähnt wird.

 

[below]

Das iOS auf Mac OS X beruht, man könnte vllt. auch sagen ein Ableger davon ist, muss nicht zwangsweise bedeuten, dass eventuelle Sicherheitslücken in iOS automatisch auch in Mac OS X vorhanden sein müssen.

Aber es ist hinreichend ähnlich, dass man es auch nicht einfach ausschliessen kann.

Alex

 

[ProUser]

Kann man allein dadurch auf dem Mac einen Trojaner installieren, indem man einen USB Stick bei einem angemeldeten Benutzer ohne Administrationsrechte einsteckt?

Also nur einstecken und dann Neustarten, ohne ein Passwort oder so zu kennen?

Du meinst einfach nur einstecken und sonst nichts tun? So kann nichts installiert werden. Und Viren oder Würmer sind für Mac OS X bis heute keine bekannt.. ein Trojaner kann installiert werden, muss sogar, denn anders kann ein Trojaner nicht auf das System kommen! Dazu reicht es aber nicht einfach einen USB-Stick in den Mac einzustecken, denn die ausführbare Datei die den Schädling enthält, muss vom Anwender gezielt (Doppelklick) ausgeführt werden und i.d.R. noch das Systempasswort eingegeben werden, kommt auf den Trojaner an und ob der Benutzer Adminrechte hat oder nicht - dann hat man sich einen Trojaner installiert.

Ich würde meinen Mac niemanden, dem ich nicht vertrauen kann, zur Nutzung überlassen. Und wenn ich es jemandem geben würde, dann NUR unter Verwendung eines extra dafür angelegten Benutzers, natürlich OHNE Adminrechte - kann man ja in Systemeinstellungen unter Benutzer ganz schnell einrichten.

Und wenn Du meinst, dass Dir jemand (in der Schule, Uni, Arbeit sonst wo) ungefragt einen USB-Stick in den Mac gesteckt hat, für solche Fälle gibt es den Bildschirmschoner mit Passwortschutz, das verhindert, dass jemand etwas Ausführen kann. Bei Diebstahl hilft das wenig, aber dann kann Dir auch egal sein, was man dann noch auf dem Mac installiert oder nicht..