nicht angemeldet
Apple weigert sich, eine Backdoor einzubauen
0 
Gunnar Bittersmann
1 1 0
0 0 
Auge
0 0 Auge
1
0 0 Gunnar Bittersmann
0 0
Apple weigert sich, eine Backdoor einzubauen
Hallo alle,
da sich hier auch Privacy-Verfechter tummeln interessiert es vielleicht den ein oder anderen: Apple wurde von einem Richter angewiesen, eine Backdoor in iOS einzubauen, mit der die Sicherheitsmaßnahmen umgangen werden können. Zur Zeit weigern sie sich:
- A Message to Our Customers
- der Techdirt-Artikel zu dem Thema, inklusive einer Einordnung und der Original-Anordnung des Gerichts
- Heise dazu
- Der Hackernews-Thread dazu
LG,
CK
-
@@Christian Kruse
da sich hier auch Privacy-Verfechter tummeln interessiert es vielleicht den ein oder anderen: Apple wurde von einem Richter angewiesen, eine Backdoor in iOS einzubauen, mit der die Sicherheitsmaßnahmen umgangen werden können. Zur Zeit weigern sie sich:
Und eine wichtige Frage dazu: „Mich würde interessieren, was Google dazu sagt. Ich schätze, dass das FBI für Android dasselbe fordert.“ (Marc Hinse)
Es hat schon seine Gründe, warum ich kein Android mehr haben will.
LLAP 🖖
--
„Wir haben deinen numidischen Schreiber aufgegriffen, o Syndicus.“
„Hat auf dem Forum herumgelungert …“
(Wachen in Asterix 36: Der Papyrus des Cäsar)-
Hallo Gunnar,
Und eine wichtige Frage dazu: „Mich würde interessieren, was Google dazu sagt. Ich schätze, dass das FBI für Android dasselbe fordert.“ (Marc Hinse)
Nein, Google ist uninteressant, die Nexus-Geräte haben einen marginalen Marktanteil und Android ist Quelloffen. Interessant ist, was Samsung dazu sagt, als grösster Android-Anbieter.
LG,
CK -
Tach,
Und eine wichtige Frage dazu: „Mich würde interessieren, was Google dazu sagt. Ich schätze, dass das FBI für Android dasselbe fordert.“ (Marc Hinse)
die hier gefordete „Backdoor“ (definitiv das falsche Wort) ist bei Android nicht möglich, da dort dm-crypt genutzt wird (leider nicht ganz so, wie ich mir das wünschen würde, aber zumindest besser als Apples Schema).
„If your crypto scheme is 1 court order away from breaking previously encrypted data, it isn't "secure"“ - https://twitter.com/scriptjunkie1/status/699977126565408768
mfg
Woodfighter -
Tach,
Und eine wichtige Frage dazu: „Mich würde interessieren, was Google dazu sagt. Ich schätze, dass das FBI für Android dasselbe fordert.“ (Marc Hinse)
die Reaktion des CEO von Google auf Twitter:
„Important post by @tim_cook. Forcing companies to enable hacking could compromise users’ privacy
We know that law enforcement and intelligence agencies face significant challenges in protecting the public against crime and terrorism
We build secure products to keep your information safe and we give law enforcement access to data based on valid legal orders
But that’s wholly different than requiring companies to enable hacking of customer devices & data. Could be a troubling precedent
Looking forward to a thoughtful and open discussion on this important issue“ - https://twitter.com/sundarpichai/status/700104298600886272 ff.Es hat schon seine Gründe, warum ich kein Android mehr haben will.
Es hat schon seine Gründe, warum Closed-Source-Software niemals als sicher betrachtet werden kann.
mfg
Woodfighter-
Hallo woodfighter,
Es hat schon seine Gründe, warum ich kein Android mehr haben will.
Es hat schon seine Gründe, warum Closed-Source-Software niemals als sicher betrachtet werden kann.
Da stimme ich dir zu, aber zu glauben Android sei Quelloffen ist auch naiv. Das, was du von Google auf den Nexus-Geräten bekommst oder von Samsung auf deren Geräten ist idR auch modifiziert, und was genau dort modifiziert wurde weiss keine Sau.
Die FLOSS-Landschaft auf Telefonen sieht traurig aus...
LG,
CK-
Tach,
Es hat schon seine Gründe, warum Closed-Source-Software niemals als sicher betrachtet werden kann.
Da stimme ich dir zu, aber zu glauben Android sei Quelloffen ist auch naiv. Das, was du von Google auf den Nexus-Geräten bekommst oder von Samsung auf deren Geräten ist idR auch modifiziert, und was genau dort modifiziert wurde weiss keine Sau.
I concur, aber zumindest besteht bei Android die Möglichkeit ein FOSS-OS zu installieren (Treiber und Firmware bleiben dann immer noch problematisch), aber zumindest besteht die Hoffnung, dass Replicant vielleicht mal sinnvoll nutzbar wird; vermutlich werden wir aber auf Open Hardware warten müssen.
mfg
Woodfighter
-
-
@@woodfighter
Und eine wichtige Frage dazu: „Mich würde interessieren, was Google dazu sagt. Ich schätze, dass das FBI für Android dasselbe fordert.“ (Marc Hinse)
die Reaktion des CEO von Google auf Twitter:
Google Wants You to Think It’s Supporting Apple in Its Fight Against the FBI. It Isn’t.
LLAP 🖖
--
„Wir haben deinen numidischen Schreiber aufgegriffen, o Syndicus.“
„Hat auf dem Forum herumgelungert …“
(Wachen in Asterix 36: Der Papyrus des Cäsar)
-
-
-
also gut. vielleicht könnt ihr ja das mal stehn lassen was in unserem Land Datnschutz wert ist
-
Hallo
da sich hier auch Privacy-Verfechter tummeln interessiert es vielleicht den ein oder anderen: Apple wurde von einem Richter angewiesen, eine Backdoor in iOS einzubauen, mit der die Sicherheitsmaßnahmen umgangen werden können.
Zur Zeit weigern sie sich:
Ich frage mich, wozu diese Hintertür auf einem mittlerweile nicht mehr genutzten Gerät gut sein soll. Die Dateien sind verschlüsselt und im Zweifelsfall gibt es hinterher (nachdem die Hintertür programmiert wurde) die Hintertür zum entschlüsseln aber keine für den Fall verwertbaren Daten auf dem Gerät.
Im Sinne der Kundschaft halte ich die Weigerung die Hintertür zu programmieren, für vorbildlich. Tim Cooks Argumentation, dass die Backdoor für einen Fall zur Backdoor für jeden (Nicht-)Fall würde, empfinde ich als schlüssig. Ich frage mich nur, wie lange sie sich gerichtlichen Anordnungen verweigern können (von evtl. anderslautenden Entscheidungen höherer Instanzen abgesehen).
Tschö, Auge
--
Wir hören immer wieder, dass Regierungscomputer gehackt wurden. Ich denke, man sollte die Sicherheit seiner Daten nicht Regierungen anvertrauen.
Jan Koum, Mitgründer von WhatsApp, im Heise.de-Interview-
Hallo Auge,
Ich frage mich, wozu diese Hintertür auf einem mittlerweile nicht mehr genutzten Gerät gut sein soll. Die Dateien sind verschlüsselt und im Zweifelsfall gibt es hinterher (nachdem die Hintertür programmiert wurde) die Hintertür zum entschlüsseln aber keine für den Fall verwertbaren Daten auf dem Gerät.
Ein Zwangsupdate, dass von aussen auf das Gerät gepusht wird, könnte z.B. den Key freigeben. Ausserdem geht es hier ganz konkret ja um das entfernen der „nach 10x falsch eingeben wird das Gerät gelöscht“-Funktion, dem hinzufügen einer Funktion um automatisiert Passwörter einzugeben und dem entfernen jeglichen Delays nach einem falschen Passwort. Das sind die Voraussetzungen, die man für einen Brute-Force-Angriff braucht.
Im Sinne der Kundschaft halte ich die Weigerung die Hintertür zu programmieren, für vorbildlich. Tim Cooks Argumentation, dass die Backdoor für einen Fall zur Backdoor für jeden (Nicht-)Fall würde, empfinde ich als schlüssig.
Nicht nur das, es schafft auch einen gefährlichen Präzedensfall für alle anderen Anbieter.
Ich frage mich nur, wie lange sie sich gerichtlichen Anordnungen verweigern können (von evtl. anderslautenden Entscheidungen höherer Instanzen abgesehen).
Da bin ich auch gespannt…
LG,
CK-
Hallo
Ein Zwangsupdate, dass von aussen auf das Gerät gepusht wird, könnte z.B. den Key freigeben. Ausserdem geht es hier ganz konkret ja um das entfernen der „nach 10x falsch eingeben wird das Gerät gelöscht“-Funktion, dem hinzufügen einer Funktion um automatisiert Passwörter einzugeben und dem entfernen jeglichen Delays nach einem falschen Passwort. Das sind die Voraussetzungen, die man für einen Brute-Force-Angriff braucht.
Aha, das ging für mich nicht so klar aus dem Brief von Tim Cook und der Heise-Meldung hervor. Es geht also nicht direkt um die Entschlüsselung, sondern darum, einen konventionellen Angriff auf das Gerät zu erleichtern, das dem Zugriff auf das Gerät und damit der Entschlüsselung der Dateien dienen soll.
Im Sinne der Kundschaft halte ich die Weigerung die Hintertür zu programmieren, für vorbildlich. Tim Cooks Argumentation, dass die Backdoor für einen Fall zur Backdoor für jeden (Nicht-)Fall würde, empfinde ich als schlüssig.
Nicht nur das, es schafft auch einen gefährlichen Präzedensfall für alle anderen Anbieter.
Ja, von einem speziellen Fall zu „in jedem Fall“.
Tschö, Auge
--
Wir hören immer wieder, dass Regierungscomputer gehackt wurden. Ich denke, man sollte die Sicherheit seiner Daten nicht Regierungen anvertrauen.
Jan Koum, Mitgründer von WhatsApp, im Heise.de-Interview -
Tach,
für mich klingt das Apple-Statement etwas komisch; wäre die Verschlüsselung gut implementiert, wäre es nicht möglich durch ein Softwareupdate deren Integrität zu verletzen (solange das Gerät in „Feindeshand“ ist und bleibt). Wenn das möglich wäre, würde das Entschlüsseln auch einfacher werden, wenn ich die Daten vom Telefon auf ein anderes Gerät kopiere und dafür kann man auch direkt die Flash-Bausteine auslesen, falls es keinen anderen Weg gibt.
Ein Zwangsupdate, dass von aussen auf das Gerät gepusht wird, könnte z.B. den Key freigeben.
Der für die eigentliche Verschlüsselung genutzte Key sollte eigentlich mit Hilfe des Passworts des Users verschlüsselt sein; wenn hier noch keine Backdoor existiert, sollte die verwendete Software nichts daran ändern können.
Ausserdem geht es hier ganz konkret ja um das entfernen der „nach 10x falsch eingeben wird das Gerät gelöscht“-Funktion, dem hinzufügen einer Funktion um automatisiert Passwörter einzugeben und dem entfernen jeglichen Delays nach einem falschen Passwort. Das sind die Voraussetzungen, die man für einen Brute-Force-Angriff braucht.
Würden sie etwas wie PBKDF2, bcrypt, scrypt zum verschlüsseln des Keys nutzen, gäbe es keine Möglichkeit das Delay zu verringern (Spezialhardware außen vor und auch da kann man zumindest vorbeugen).
Für mich klingt das so, als würde die Datenträgerverschlüsselung nur sinnvoll wirken, solange das ganze in einer Apple-Softwareumgebung angegriffen wird und das ist für mich kein sinnvolles Konzept.
mfg
Woodfighter-
Tach,
Für mich klingt das so, als würde die Datenträgerverschlüsselung nur sinnvoll wirken, solange das ganze in einer Apple-Softwareumgebung angegriffen wird und das ist für mich kein sinnvolles Konzept.
gerade nachgelesen, Apple setzt hier tatsächlich eher auf security by obscurity, statt auf eine sichere Lösung.
mfg
Woodfighter
-
-
-
-
Hallo alle,
stellt sich raus: scheint nur PR zu sein. Apple hat wohl schon mehrfach Telefone aufgemacht.
LG,
CK-
Tach,
stellt sich raus: scheint nur PR zu sein. Apple hat wohl schon mehrfach Telefone aufgemacht.
wenn Zynismus nicht mehr ausreichend ist…
mfg
Woodfighter -
Tach,
stellt sich raus: scheint nur PR zu sein. Apple hat wohl schon mehrfach Telefone aufgemacht.
und hätte das wohl auch diesmal gemacht, wenn das FBI die Aktion nicht öffentlich gemacht hätte:
„Apple had asked the F.B.I. to issue its application for the tool under seal. But the government made it public, prompting Mr. Cook to go into bunker mode to draft a response, according to people privy to the discussions, who spoke on condition of anonymity. The result was the letter that Mr. Cook signed on Tuesday, where he argued that it set a “dangerous precedent” for a company to be forced to build tools for the government that weaken security.“ - http://www.nytimes.com/2016/02/19/technology/how-tim-cook-became-a-bulwark-for-digital-privacy.html via https://blog.fefe.de/?ts=a839be00mfg
Woodfighter
-
-
@@Christian Kruse
“And if Snowden proved anything then that it’s very likely that something like this would be misused on a big scale. The complicated encryption mechanisms that iOS puts in place are what keeps the lid on the users privacy. And it’s literally Pandora’s box: Once you open it, even a bit, there’s no way back.”
—Gernot Poetsch, Why Tim Cook is so furiousVielleicht bringt der Artikel ja noch etwas Licht ins Dunkel, worum es hier überhaupt geht.
LLAP 🖖
--
„Wir haben deinen numidischen Schreiber aufgegriffen, o Syndicus.“
„Hat auf dem Forum herumgelungert …“
(Wachen in Asterix 36: Der Papyrus des Cäsar)-
Tach,
—Gernot Poetsch, Why Tim Cook is so furious
Vielleicht bringt der Artikel ja noch etwas Licht ins Dunkel, worum es hier überhaupt geht.
kein guter Artikel, die Empfehlungen am Schluss sind gefährlich: für FDE sollten Passwörter nicht unter 20 Zeichen verwendet werden (und keine ausschließlich numerischen), um einen Brute-Force für absehbare Zeit auszuschließen; Touch-ID ist unwirksam und man liefert eine gute Oberfläche zur Abnahme des Fingerabdrucks gleich mit (mal abgesehen von den prinzipiellen Problemen mit Biometrie); Backups in die iCloud können von Apple gelesen werden (und werden von Apple an Behörden weitergegeben), ob das auch für verschlüsselte Backups gilt, ist nur bei iPhones der aktuellsten Generation unsicher (und nicht nachprüfbar).
mfg
Woodfighter
-
-
Tach,
und eine FAQ von Apple zu Fragen, die aufgekommen sind.
TLDR: Alles vor iOS 8 können sie aufmachen und tun dies auch, ab iOS 8 ist die „Sicherheit“ an die Integrität von Hard- und Software gebunden und damit meines Erachtens gegenüber einem ausreichend motivierten Angreifer eher nicht vorhanden.
mfg
Woodfighter -
Hallo alle,
neues aus dieser Ecke: es gibt ein Court Ruling in einem ähnlich gelagerten Fall, bei dem ein Verwaltungsrichter entschieden hat, dass Apple nicht verpflichtet werden kann den Behörden zu helfen.
Es bleibt „interessant.“
LG,
CK