Sondersendung? iOS Malware XcodeGhost

[restfulsilence]

Hallo Jörn,

wäre das nicht ein Thema für eine Sondersendung? Oder falls nicht groß genug, für die nächste Sendung?

http://www.macrumors.com/2015/09/20/...e-malware-faq/

Thank you for your consideration.

[Eidgenosse]

Schon heftig dass man WeChat immer noch laden kann im AppStore und das Zeugs im Review-Prozess nicht entlarvt wurde. Aber wie dämlich kann man als Entwickler sein, XCode nicht von Apple direkt herunter zu laden? Naja. Man darf vermuten, dass diese Apps längst nicht die einzigen sind. Bin ja gespannt wie und vor allem wie schnell das Apple in den Griff kriegt.
Der Stoff reicht höchstens für ein Zwischenthema. Die Fakten (oder doch nur ein Hoax?) liegen ja da. Was will man noch mehr dazu sagen.

[QWallyTy]

Moin.

Ja, das mit Xcode verstehe ich auch nicht wirklich. Da muss man schon ordentlich verstrahlt sein um das von einer nicht Apple Quelle zu laden.

Fatale an dem ganzen ich als Käufer erkenne ja nicht wie blöd der Entwickler War und das Bergwerk wie es scheint auch nicht

[restfulsilence]

Zitat von Eidgenosse

Der Stoff reicht höchstens für ein Zwischenthema. Die Fakten (oder doch nur ein Hoax?) liegen ja da. Was will man noch mehr dazu sagen.

Also ich weiß ja nicht ob wir das selbe Mac-TV meinen, aber den Jörn, den ich kenne, der kann, wenn er in der Stimmung ist, aus JEDEM Thema locker 45-60 Min. rausschlagen.

[mighty_Maxwell]

In diesem Fall, so wie man es momentan in den Medien lesen kann, ist es eine Entscheidung der Entwickler gewesen Xcode von einem anderen Ort zu laden. Somit trifft auch sie erst mal die Schuld.
Was wäre aber wenn ein Entwickler es nicht mitbekommt, dass der Download kompromittiert ist? Selbst wenn er denkt, er würde es von einem offiziellen Apple-Server laden, könnte dieses der Fall sein.
Daher ist Apple, mangels Überprüfung der eingesetzten Software bzw. der endgültigen App schon mitschuldig.

[Juke]

Mein erster Gedanke war, wie doof muss der Typ sein.
Aber, anscheinend ist dies keine Seltenheit im Asiatischen Bereich. Dies hat wohl was mit staatlichen Restriktionen zu tun

http://www.heise.de/security/meldung...ty.beitrag.rdf

[Pablo Nop]

Zitat von mighty_Maxwell

In diesem Fall, so wie man es momentan in den Medien lesen kann, ist es eine Entscheidung der Entwickler gewesen Xcode von einem anderen Ort zu laden. Somit trifft auch sie erst mal die Schuld.

Ja, die betroffenen Entwickler sind da schon verantwortlich, aber ganz so leicht darf man es sich nicht machen. Apple hat da auch Versäumnisse, wenn sie die Xcode Betas immer noch als unsignierte Software ausliefern.

Wenn ich mir als Entwickler von deren eigenem Server eine Xcode 7.0 GM lade (die braucht man, um eine App rechtzeitig zum iOS 9-Start im Store zu haben) und öffne erscheint zuerst mal der Gatekeeper und meckert, es könne sich um eine Software aus einer unsicheren Quelle handeln. Auch Signaturen zum Checken der Downloads gibt es bei Apple für das Developer-Zeugs nicht. Die Folge: ich kann als Entwickler eigentlich gar nicht entscheiden, ob ein Xcode manipuliert ist oder nicht. Sowas geht im Jahre 2015 nicht mehr.

Edit: mein verkürztes Zitat von mighty_Maxwell ist etwas sinnentstellend. Wir sind im Prinzip der gleichen Meinung.

[illu]

Zitat von Pablo Nop

Apple hat da auch Versäumnisse, wenn sie die Xcode Betas immer noch als unsignierte Software ausliefern.

Das ist aber sehr dezent ausgedrückt !!

Ich als Verbraucher/Nutzer/Käufer der Software gehe doch mal davon aus das gerade diese Software entsprechend geschützt und verifiziert werden muss.

Aber scheinbar ist das nicht so und das nach 7 Jahren App-Store, ich fass es nicht

Was für Deppen arbeiten da ?!?

Das zum Thema "goldener Käfig" und alles ist sicher


Aber Apple reagiert SOFORT, super, sie entfernen die Apps aus dem App-Store und nun, welche sind es ?!?

Die kleine Liste mit 30-40 Apps die irgendwo kursiert, gibt es da etwas offizielles von Apple, welche Apps man tunlichst löschen sollte?!?

[zackwinter]

Bei Apple arbeiten keine Deppen. Ich möchte das auch manchmal zu gerne glauben, aber viel mehr wird es das "Falsch-Setzen" von Prioritäten sein. Dieses "Falsch-Setzen" von Prioritäten von Vorgesetzten erleben wir alle tagtäglich auf Arbeit.

Ich vermute stark, dass Apple selbst gar nicht auf die Idee gekommen ist, dass in Xcode Schadcode eingeschleust werden könnte ("Welcher prof. Entwickler lädt Xcode nicht von Apple, sondern von irgendeiner obskuren Website?"). Vielleicht ist einem dieser Schwachpunkt aufgefallen, aber das Risiko als zu gering eingeschätzt … somit stand dieser Punkt in Apples interner Sicherheits- Prio-Liste sicherlich weiter unten.

[Eidgenosse]

Also doch Deppen.