Smartphones, Phablets, Watches, kompakte Mobilgeräte 5.626 Themen, 31.602 Beiträge

News: Smartphones, Phablets, Watches, kompakte Mobilgeräte

Masque Attack mischt iOS auf - wenn der User kräftig mitspielt

Olaf19 / 9 Antworten / Baumansicht Nickles

Normalerweise lassen sich auf iPhones nur von Apple zertifizierte, als sicher eingestufte Apps installieren. Zwar ist auch Apple nicht gerade unfehlbar, aber im Großen und Ganzen funktioniert das ganz gut.

Nun gibt es aber noch einen Nebenweg, um auch ohne das berüchtigte Jailbreak eine App zu installieren, die nicht aus dem offiziellen Apple-Store kommt: wer selbst Apps entwickelt, muss ja eine Möglichkeit haben, die zu testen, bevor sie von Apple auf den Rest der Menschheit losgelassen werden.

Wer ein solches Entwickler-Zertifikat sein eigen nennt und dieses dazu missbraucht, eine müllige App namens Masque Attack zu laden, der bekommt ernste Probleme mit seinem iPhone... alles weitere im Artikel.

Quelle: www.chip.de

Olaf19 meint:

Mal wieder viel Rauch um wenig Gefahr. Man muss also zuerst eine "bösartige App" von außerhalb(!) des App-Stores installieren und benötigt dazu obendrein noch ein "Firmen-Zertifikat" für App-Entwickler, weil eine solche Installation ohne Jailbreak normalerweise nicht möglich wäre.

Ich nehme also ein Messer in die rechte Hand, schlinge den rechten Arm um meinen Hals und steche damit zielsicher ins linke Auge. Die Brille schützt mich dummerweise nicht, weil ich vorher das linke Brillenglas entfernt habe...

Oder einfacher: Das ist etwa so, als wenn einer einen Föhn mit in die Badewanne nimmt, und am nächsten Tag schrei(b)t die Boulevardpresse, Föhns sind extrem gefährlich.

Trotzdem ist das Ganze mehr als unschön.

Hinweis: Vielen Dank an Olaf19 für das Verfassen der News. Diese News stammt von einem Nickles.de-Teilnehmer. Die Nickles.de Redaktion übernimmt keine Verantwortung für den Inhalt und die Richtigkeit dieser News.

Bei Nickles.de kann übrigens jeder mitmachen und News schreiben. Dazu wird einfach in einem Forum ein neues Thema begonnen und im Editor die Option "News" gewählt.

Die Welt ist ein Jammertal ohne Musik. Doch zum Glueck gab es Bach, Beethoven, Haendel und Goethe (Helge Schneider)
bei Antwort benachrichtigen
Kabelschrat Olaf19 „Masque Attack mischt iOS auf - wenn der User kräftig mitspielt“
Optionen

Hallo Olaf,

für die Zertifikate berechnet Apple 300$ oder mehr? Außerdem kann die nicht jeder erwerben!

http://www.iphone-ticker.de/luecke-geschlossen-apple-deaktiviert-firmen-zertifikate-50671/

Gruß

Manchmal frag ich mich, ob die Welt von klugen Köpfen regiert wird, die uns zum Narren halten oder von Schwachköpfen die es ernst meinen. M. Twain
bei Antwort benachrichtigen
Oliver55 Olaf19 „Masque Attack mischt iOS auf - wenn der User kräftig mitspielt“
Optionen

Moin Olaf,

ich habe die Story etwas anders verstanden. Tatsächlich muss man unter Umständen wohl nur eine App außerhalb des Apple Stores installieren und schon beginnt der Spaß, deswegen ja auch "Masque Attack". Und wie Chip ja schon beschreibt, sehen wir nur die typische Frage, ob wir diese App installieren wollen. Einmal installiert, beginnt diese "modifizierte" App ihr Unwesen. Die Entwickler dieser App müssen dafür allerdings einen gewissen Aufwand fahren. Wie wir aber alle auch wissen, ist es nicht so einfach Apps von außerhalb des Stores zu installieren. Meistenteils wird dafür ein Jailbreak benötigt. Ich Empfinde die Warnung als durchaus realistisch, weil es inzwischen unter vielen iPhone Besitzern ja fast schon zum guten Ton zu gehören scheint, einen Jailbreak installiert zu haben. Der Sinn dabei erschließt sich zumindest mir nicht, weil man damit eines der Features von einem iPhone korrumpiert, nämlich die Sicherheit.

Gruß Olli

bei Antwort benachrichtigen
Olaf19 Oliver55 „Moin Olaf, ich habe die Story etwas anders verstanden. ...“
Optionen
Tatsächlich muss man unter Umständen wohl nur eine App außerhalb des Apple Stores installieren und schon beginnt der Spaß, deswegen ja auch "Masque Attack". [...]Meistenteils wird dafür ein Jailbreak benötigt.

Moin Oliver, nicht "meistenteils", sondern "immer" :-)

Einzige Ausnahme, wie erwähnt, ist dieses "Firmen-Zertifikat" - und wer von uns hat das schon.

weil es inzwischen unter vielen iPhone Besitzern ja fast schon zum guten Ton zu gehören scheint, einen Jailbreak installiert zu haben. Der Sinn dabei erschließt sich zumindest mir nicht, weil man damit eines der Features von einem iPhone korrumpiert, nämlich die Sicherheit.

Jein... selbst dann, wenn ich ein Jailbreak gemacht habe, zwingt mich ja noch lange niemand, Software aus unseriösen Quellen bzw. außerhalb des Apple-Stores zu installieren.

Ehrlich gesagt: vor gut 1 Jahr habe ich einmal kurz mit dem Gedanken gespielt. iOS 7 war im September erschienen und gefiel mir spontan gar nicht. Die gewöhnungsbedürftige Optik war noch das geringere Übel - ein paar Apps liefen plötzlich nicht mehr.

Damals hatte ich irrtümlich angenommen, wenn ich ein Backup von meinem iPhone mache, kann ich das ja jederzeit wieder herstellen. Tja, schön wär's - das Backup sichert nur meine persönlichen Daten, nicht aber die iOS-Version.

Man kann zwar bei Apple noch eine iOS 6-Version offiziell herunterladen, jedoch lässt sie sich nur auf Geräten installieren, die noch kein iOS 7 haben. Mein iPhone weigert sich standhaft: wenn einmal ein neueres OS installiert war, gibt es kein Zurück mehr zu einem älteren. Bei Computern ist das logischerweise anders - da kann ich jederzeit die Platte formatieren.

Damals habe ich ernsthaft überlegt, ob ich nicht "mit Gewalt" zu iOS 6 zurückkehren soll, habe es dann aber doch gelassen. Die paar Apps kann ich locker verschmerzen. Mit einem aktuellen OS unterwegs zu sein, welches auch weiterhin unterstützt und mit Updates gepflegt wird, ist mir wichtiger.

CU
Olaf

Die Welt ist ein Jammertal ohne Musik. Doch zum Glueck gab es Bach, Beethoven, Haendel und Goethe (Helge Schneider)
bei Antwort benachrichtigen
Oliver55 Olaf19 „Moin Oliver, nicht meistenteils , sondern immer :- Einzige ...“
Optionen

Hallo Olaf,

ja ich habe Deinen Beitrag damals gelesen Lachend. Fand ihn übrigens sehr aufschlussreich.

Was den Chip Beitrag angeht, so finde ich diesen nicht wirklich aufschlussreich, weil er mir zu vage bleibt. Prinzipiell wird bei dieser Malware wohl auf Kunden von Unternehmen abgestellt, die ein Zertifikat für eine Wartung über einen Mac Server installiert haben. Würden diese nun diese besagte App installieren, bekämen sie Probleme. Allerdings beißt sich der Hund da in den Schwanz, weil eben besagtes Zertifikat genau das ausschließen soll, damit die Updates und App Installationen nur noch durch den heimischen Server ausgeführt werden können. Wer hier als etwas anderes versucht, würde scheitern. Das wäre die eine Variante. Die andere wäre, dass diese App dieses Zertifikat beinhalten würde, und somit als Trojaner daher kommen würde. Dafür brauch man allerdings keinen Jailbreak, weil eben genau dieses Zertifikat dafür sorgen würde, dass die App trotzdem installiert werden kann. Den Mechanismus müsste man wohl mal genauer studieren.

Gruß Olli

bei Antwort benachrichtigen
Olaf19 Oliver55 „Hallo Olaf, ja ich habe Deinen Beitrag damals gelesen . Fand ...“
Optionen

Moin Olli,

Ich verstehe den Artikel so, dass es hier nicht um Wartungsarbeiten oder Server geht, sondern darum, den "Apple-App-Store-Zwang" dadurch auszuhebeln, dass man sich als Entwickler zertifizieren lässt - kostet zwar, aber für größere Unternehmen lohnt sich das wohl. Ein Entwickler muss die Chance haben, Apps am offiziellen Store vorbei zu installieren, sonst könnte er ja nichts testen. Anders gesagt, durch das Zertifikat wird ein Jailbreak überflüssig.

Die andere wäre, dass diese App dieses Zertifikat beinhalten würde, und somit als Trojaner daher kommen würde. Dafür brauch man allerdings keinen Jailbreak, weil eben genau dieses Zertifikat dafür sorgen würde, dass die App trotzdem installiert werden kann.

Da beißt sich die Katze jetzt aber mächtig in den eigenen Schwanz :-)

Um die App überhaupt laden und installieren zu können, müsste diese ja entweder über den offiziellen Apple-Store vertrieben werden, oder man müsste ein Jailbreak machen. Dass die App ein gefälschtes Zertifikat beinhaltet, nützt ihr überhaupt nichts - das würde ja erst wirksam werden, nachdem(!) man sie geladen und installiert hat.

CU
Olaf

Die Welt ist ein Jammertal ohne Musik. Doch zum Glueck gab es Bach, Beethoven, Haendel und Goethe (Helge Schneider)
bei Antwort benachrichtigen
Kabelschrat Oliver55 „Moin Olaf, ich habe die Story etwas anders verstanden. ...“
Optionen

Hallo Oliver,

Firmen- / Enterprise- Zertifikate wurden unter anderem, von der Telekom, für Beta- Tests genutzt.

http://www.iphone-ticker.de/am-app-store-vorbei-installiert-gameboy-und-banking-apps-ignorieren-apples-kaufhaus-50303/

Für 300 $ verkauft Apple auch Enterprise- Zertifikate. In den zertifizierten Apps kann die Schadsoftware integriert sein! 1. Möglichkeit: der Hersteller schläft, hat sich Schadsoftware eingefangen und integriert den Schädling unbemerkt in die Apps. / 2. Der Hersteller baut absichtlich Schadsoftware ein./ 3. Ein Mitarbeiter baut die Schadsoftware, wissent- (kleiner Nebenverdienst) oder unwissentlich ( per USB im Firmennetz gespielt) ein.

Wenn ich alles http://www.computerwoche.de/a/anwendung-ohne-app-store-und-jailbreak-installieren,1873768  richtig kapiert habe benötigt, der Nutzer / User weder einen Jailbreak, noch eine Lizenz/ Erlaubnis, für den Download von Apps mit Enterprise- und oder Firmen- Zertifikat, von Apple.

Regt sich Uncle Sam über http://www.apfelpage.de/2014/11/14/trotz-masque-attack-erschreckende-bereitschaft-zum-dritt-download/  Peanuts auf?

Außerdem ist Apple nicht ganz schuldlos, wenn Apps direkt von zertifizierten Entwicklern geladen und  installiert werden. Ein Beispiel ist das blocken von Telefonnummern. Inzwischen wurde diese Funktion integriert oder sie wird im Apple Store angeboten.

Gruß

Manchmal frag ich mich, ob die Welt von klugen Köpfen regiert wird, die uns zum Narren halten oder von Schwachköpfen die es ernst meinen. M. Twain
bei Antwort benachrichtigen
Olaf19 Kabelschrat „Hallo Oliver, Firmen- / Enterprise- Zertifikate wurden unter ...“
Optionen
richtig kapiert habe benötigt, der Nutzer / User weder einen Jailbreak, noch eine Lizenz/ Erlaubnis, für den Download von Apps mit Enterprise- und oder Firmen- Zertifikat, von Apple.

Die Frage ist hier nur: woher nehmen und nicht stehlen? Ja, ich könnte mir dieses abstruse Zeug herunterladen, auch ohne einen Jailbreak zu machen - nur, von wo? Da müsste ich jetzt erst einmal anfangen zu recherchieren.

Wenn ich überhaupt einmal neue Apps installiere, was inzwischen äußerst selten vorkommt - fast 2 Jahre bin ich iPhone-User, ich habe längst alles was ich brauche! - dann ausschließlich aus dem offiziellen Appstore von Apple. Und bis vor wenigen Tagen bin ich auch davon ausgegangen, dass ich woanders gar nicht erst zu gucken brauche, da ich eben kein Jailbreak gemacht habe.

Gut, es geht also auch ohne Jailbreak, sofern die Apps entsprechend zertifiziert sind. Aber dann wäre es ja meine eigene Dummheit, wenn ich irgendwelche obskuren Quellen außerhalb der offiziellen Vertriebswege nutze. Insofern ist hier nach wie vor die Leichtsinnigkeit des Endanwenders das Hauptproblem.

Jedoch... es geht ja noch weiter:

Außerdem ist Apple nicht ganz schuldlos, wenn Apps direkt von zertifizierten Entwicklern geladen und  installiert werden. Ein Beispiel ist das blocken von Telefonnummern. Inzwischen wurde diese Funktion integriert oder sie wird im Apple Store angeboten.

Das ist das einzige, was mich inzwischen massiv stört. In deinem Beispiel liest sich das noch relativ harmlos: da bietet jemand eine App an, die völlig nutzlos ist, weil sie einen Eingriff in iOS anbietet, der von externen Apps gar nicht geleistet werden kann, aber trotzdem für $auer verdiente$ Geld verkauft wird. Das ist ärgerlich, betrügerisch, aber bis hierher noch nicht bedrohlich. Anscheinend hat Apple bei diesen Apps schlichtweg "gepennt".

Der nächste Schritt wäre nun aber möglicherweise, dass auch solche Apps durch die sonst strengen Kontrollen durchflutschen, die auf dem iPad oder iPhone selbst vielleicht noch keinen Schaden anrichten, die aber möglicherweise einen Trojaner, z.B. für Windows mit an Bord haben.

Mir fehlt jetzt die Sachkenntnis in Detailtiefe, um beurteilen zu können, wie gefährlich das in der Praxis wirklich ist. Beim Anschließen eines iPhones an einen Windowsrechner erkennt dieser, dass ein Apple iPhone angeschlossen worden ist, und fragt, wie weiter vorzugehen ist - ob z.B. Bilder heruntergeladen werden sollen oder eben nicht. Parallel dazu fragt das iPhone, ob diesem Windowsrechner "vertraut" werden soll.

Natürlich kann man zweimal mit dem Kopf schütteln und beide Anfragen verneinen. Nur - ob ein auf dem iPhone in einer App versteckten Trojaner sich um solche Useranfragen wirklich kümmert bzw. ob man ihn mit zweifachem Nein-Sagen in die Schranken weisen kann?

Abschließend beurteilen kann ich diese Fragen nicht, nehme nur so viel mit - auch iOS ist keine Insel der Seligen, die Softwareangebote für diese Plattform sind keine hermetisch abgeriegelte "heile Welt". Dafür ist iOS inzwischen viel zu populär und weit verbreitet, als dass man sich da absolut(!) sicher fühlen könnte.

Noch bewahrt einen vielleicht der gesunde Menschenverstand vor Schaden - nur, wie lange noch. Auch für dieses OS dürfte die Entwicklung von Schadsoftware immer subtiler werden, nicht zuletzt auch mit Blick auf die Sorglosigkeit vieler Anwender, die meinen, Apple werde es schon richten, solange man nur aus dem offiziellen Appstore herunterlädt.

CU
Olaf

Die Welt ist ein Jammertal ohne Musik. Doch zum Glueck gab es Bach, Beethoven, Haendel und Goethe (Helge Schneider)
bei Antwort benachrichtigen
Kabelschrat Olaf19 „Die Frage ist hier nur: woher nehmen und nicht stehlen? Ja, ...“
Optionen

Hallo Olaf,

Schadsoftware für Win gab es 2012 im Apple Store http://www.computerbase.de/2012-07/malware-fuer-windows-in-apples-app-store-gesichtet/ Schadsoftware die nur das macht, was der Nutzer zulässt, ist eine Fehlkonstruktion und der Programmierer wird wahrscheinlich fristlos „erschossen“.

Forscher knackten den Store!

http://magazin.woxikon.de/30217/sicherheitsluecke-im-app-store-malware-eingeschleust/

Linux und Apple haben gemeinsame Feinde! http://t3n.de/news/shellshock-bash-bug-sicherheit-linux-os-x-unix-568692/

Sogar bei Heise  http://www.heise.de/security/meldung/Schaedliche-Werbebanner-auf-Handelsblatt-de-und-Zeit-de-2-Update-921139.html kann man sich mit Windows auch die Finger verbrennen! Ich habe mir diesen Schädling beim Zeitung lesen eingefangen. Einen Schädling hat mir CHIP spendiert.

Alle Betriebssysteme kochen nur mit Strom!

Gruß

Manchmal frag ich mich, ob die Welt von klugen Köpfen regiert wird, die uns zum Narren halten oder von Schwachköpfen die es ernst meinen. M. Twain
bei Antwort benachrichtigen
Olaf19 Kabelschrat „Hallo Olaf, Schadsoftware für Win gab es 2012 im Apple ...“
Optionen
Schadsoftware die nur das macht, was der Nutzer zulässt, ist eine Fehlkonstruktion und der Programmierer wird wahrscheinlich fristlos „erschossen“.

Und vor allem standrechtlich...! - Nein, die Schadsoftware macht natürlich genau gar nichts, was der Nutzer will. Das ist auch nicht das Problem. Wenn ich mir sowas erst eingefangen habe, dann heißt es eh "gute Nacht, Freunde". Viel interessanter finde ich die Frage, wie es überhaupt erst so weit kommt - und da ist es doch fast immer so, dass entweder eine Verkettung denkbar unglücklicher Umtände eintreten muss und / oder der Benutzer durch gröbste Fahrlässigkeit das Einschleusen begünstigen muss.

Ansonsten kommen wir irgendwann an den Punkt, wo ich nicht mehr mein Fenster weit aufmachen, mich herausbeugen und ganz tief durchatmen kann - immerhin, es könnte ja zufällig gerade ein Milzbrand-Gekrümel durch die Luft fliegen, das sich anschließend in der Lunge festsetzt. Also bloß nie das Fenster aufmachen, denn neulich hat in Interindien jemand so etwas gewagt und ist an Milzbrand jämmerlich verreckt.

Sicherheitsthemen sind schon wichtig, keine Frage, aber es wird auf diesem Gebiet auch viel Panik gemacht und "FUD" (fear, uncertainty, doubt) verbreitet.

Klar, auch die strengen Sicherheitskontrollen von Apple können im Einzelfall umgangen werden, aber muss ich mir genau diese App nun unbedingt herunterladen? Immerhin, wenn ich nach einer App für einen bestimmten Zweck suche, werden mir zunächst die populärsten Apps mit den höchsten Zugriffszahlen und besten Bewertungen aufgelistet. Wenn da etwas Verseuchtes dabei wäre, wäre es also schon lange aufgefallen, und Apple hätte die App sofort aus dem Store herausgeschmissen.

Wenn ich natürlich lange genug im Store herumwühle und recherchiere, stoße ich mit viel kreativer Energie bestimmt irgendwann auch auf eine verseuchte App. Aber das müsste ich dann eben auch erst einmal tun. Viel bedrohlicher fände ich Schadsoftware, die quasi von allein eingeschleppt wird, praktisch ohne Zutun des Anwenders bzw. nur dadurch, dass er sein teuer bezahltes Gerät sachgemäß benutzt. Das ist aber äußerst selten.

CU
Olaf

Die Welt ist ein Jammertal ohne Musik. Doch zum Glueck gab es Bach, Beethoven, Haendel und Goethe (Helge Schneider)
bei Antwort benachrichtigen