News Hacker ergattern 12 Mio. Datensätze von Apple-Kunden

[Euphoria]

Wieder einmal ein Beweis, dass die Java Sicherheitslücken unterschätzt wurden.

Man sollte bei Java wirklich aufpassen und versuchen es anders umzusetzen (ohne Java)

 

[eddy.33]

Als ich die überschrift gelesen habe, habe ich gedacht die daten sind von Apple aus gestohlen worden, ich finde dies setzt ein schlechteres licht auf Apple anstelle des FBI welche ja hier sogesehen schlecht bzw leichtsinnig gehandelt hat. Würde mich freuen wenn dies doch geändert wird da Apple genug Krititk hier einstecken muss aber dafür können sie eigentlich ja rein gar nix.

Wenn man sich überlegt 12 Mio geräte sind im verhältnis dazu wieviele es auf dem Markt gibt ja nur ein kleiner anteil.. wenn ich mir das bei Sony etc. anschaue werden gleich bankdaten mit ausgespäht das ist ja hier nich der fall .. ich wüsste nich wo hier wenn es so sein sollte das meine UDID dabei wäre so schlimm sein sollte...

 

[buzz89]

Im Endeffekt könnten die UDIDs sogar vom Angry Birds Entwickler stammen -.-

Im Prinzip ja, jedoch wurden laut anderer Quellen eben auch weitere Informationen(Namen, Adressen usw.).

Wieso die Daten dort so unverschlüsselt lagen wird uns wohl kaum jemand sagen. Der "Mitarbeiter" wird jedoch erst mal Stress haben und die zuständige IT-Ableitung, die für die Sicherheit der Laptops zuständig ist - das will ich mir gar nicht vorstellen ...
VIELLEICHT wurde sie kurz zuvor selbst "erbeutet".

Kaut Antisec war der Ordner auf dem Desktop abgelegt.
Dieser ist im laufendem Betrieb unverschlüsselt.
Und jede Verschlüsselung muss aktiv sein, werden die Daten entschlüsselt kann auch jeder darauf zugreifen.
Du kannst deine Daten 30 mal verschlüsseln, solange du darauf zugreiffst, kann es auch jeder andere der in irgend einer Form Zugang zu deinem Gerät hat.

 

[terraconz]

Die Überschrift könnte besser sein - aktuell sieht sie so aus, als wären die Daten von Apple selbst gestohlen worden, aber sie wurden eben von einer dritten Quelle gestohlen, bei der noch völlig unklar ist warum sie diese Daten überhaupt hatte.
(Evtl. hat das FBI von irgend einem App-Entwickler den Server beschlagnahmt, der selbst diese Daten gesammelt hatte).

Das wird zwar im Text alles genannt, aaaaber - Apple ist ein sehr emotionales Thema und bei der Überschrift werden sich sicherlich genug Leute schon eine Meinung gebildet haben, die sich vom Artikeltext dann eh nicht mehr ändern lässt.


Was mich aber unabhängig davon interessiert:

Wie kann es sein, dass Apple sich bei der Sicherheit ihrer Webdienste so gut schlägt?

(Die Sache mit dem ferngelöschten iPhone/MacBook von Mat Honan neulich war eine Social Engineering-Sache und Amazon hat dabei die gröberen Verstöße geleistet.)

Das letzte Defacement war wohl im Jahr 2006, bei der koreanischen Storeseite von Apple - wohl auch social engineering oder eine andere Methode um die Adminkennwörter herauszubekommen.

Unglaublich viele junge Menschen, die von sich selbst behaupten sehr technikaffin zu sein, haben einen absoluten Hass auf Apple.

Theoretisch müssten die sich ja eigentlich auf den Webservern von Apple die Klinke in die Hand geben.

Wenn man soviel Kohle wie Apple hat sollte man sich doch auch die beste security leisten können also nicht weiter verwunderlich. Ausserdem kommt Apple hier zu gute das sie geführt werden wie ein cult und somit viel mehr Einfluß auf ihre Mitarbeiter/Anhänger haben.

Das FBI kann auch leichter die Hells Angles infiltrieren als irgendeine Sekte da die Hells Angels ein Zwecksbündnis zur Geldvermehrung sind und die eine Sekte/Cult rein auf die Kontrolle des Geistes abzielt. Aus dem Grund wird es dir schwerer fallen einen Apple Mitarbeiter zu hacken. In jeder Firma hast du Security Trainings oder mit Karten geschützte Bereiche aber die Lücken treten fast immer bei den MItarbeitern auf. Wenn Apple etwas an seine Mitarbeiter ausgibt dann tun sie das ohne wenn und aber. Wenn (Hausnummer) Dell was an seine Mitarbeiter ausgibt können sie hoffen das es mehr als die Hälfte umsetzt und sich bestenfalls mit einer Unterschrift aus der rechtlichen Haftung entziehen.

 

[Creeed]

Nö überhaupt nichts, die Daten sind eigentlich total langweilig. Die UDID hat auch so gut wie jedes App nach Hause zu den Servern der App-Entwickler geschickt, von daher ist eine Liste mit 12 Mio UDIDs auch nichts besonderes.

Bei Golem liest sich das ganze ein wenig anders. Da sind nämlich nicht nur die UDIDs in der Datei sondern anscheinend auch noch andere Daten zu den entsprechenden Geräten.

Darunter ist auch eine Datei namens "NCFTA_iOS_devices_intel.csv", die laut Anonymous eine Liste mit 12,37 Millionen Datensätzen zu iOS-Geräten einschließlich deren Unique Device Identifiers (UDID), Nutzernamen, Gerätenamen, Tokens für Apples Push Notification Service, Postleitzahlen, Telefonnummer, Adressen und andere Daten enthalten soll. Allerdings sind die Daten laut Anonymous nicht vollständig.

Quleele: http://www.golem.de/news/anonymous-...gestohlen-und-veroeffentlicht-1209-94318.html

 

[Yinj]

Man könnte die News umschreiben. Wirklich wichtig ist doch nur das Hacker über eine Sicherheitslücke in Java auf den Rechner eines FBI Mitarbeiters zugreifen konnten. Das dabei UDIDs gestohlen wurden kann man dazu schreiben. Und vielleicht eine genauere erklärung für nicht Apple Kunden was diese ID wirklich bewirkt.
Wenn eh jeder App schreiber diese ID mit seinem App abfragen kann, ist es eh egal.

 

[hrafnagaldr]

Auch wenn die betreffende Firma diesmal nichts dafür kann:
Es trifft die richtige!

Hmm das ist ja auch nicht eindeutig geklärt. Daher müsste man zuerst feststellen, woher das FBI die Daten hatte. Es besteht auch die Möglichkeit, dass die die von Apple direkt hatten.

 

[Cytrox]

Wie heißts so schön, "Karma's a bitch".. Apple war nicht direkt selbst schuld, aber ich kann mir trotzdem nicht das Schmunzeln verkneifen. Das ach so tolle und restriktive iOS ist unterm Strich unsicherer weil es Spyware eingebaut hat. Feine Sache.

Wie einmal ein Beweis, dass die Java Sicherheitslücken unterschätzt wurden.

Die aktuelle Situation verzerrt imho die Warnehmung der "ahnungslosen" breiten Masse. Java ist eigentlich eine der sichersten Plattformen (hinsichtlich klassischer Exploits). Das ist u.a. einer der Gründe wieso es im Finanzsektor so beliebt ist.

Man kann in einem Programm, das auf der Java Plattform läuft (z.B. einem Webserver, Mailserver, Mailclient, etc.) nicht so ohne weiteres fremden Code einschleusen (egal wie stümperhaft es programmiert wurde, bzw. wieviele Bugs es hat), wie man es aus klassischen Programmen kennt. Es gibt keine Buffer Overflows (und ähnliches) einfach weil Daten und Code recht klar getrennt sind, und man auch gar keinen so direkten Zugang zum RAM bekommt.

Bei Java-Applets hingegen ist das eine andere Sache. Der wesentliche Unterschied hier ist dass ein Programm auf dem PC automatisch runtergeladen und ausgeführt wird. Ähnlich wie auch bei Flash, Sliverlight, etc. Man kann jetzt Oracle vorwerfen wieso ihre Sandbox nicht so solide wie die von Adobe oder MS ist, oder wieso sie Java Applets noch standardmäßig ausführen, wenn sich bei deren Entwicklung in den letzten Jahren nichts getan hat, etc. Genausogut kann man aber auch dem Firefox vorwerfern wieso er Java Applets ohne nachzufragen ausführt, wenn man weiß dass sie heute kaum noch wer verwendet.

Aber mit der Sicherheit von Java und der JVM selbst hat dies wenig zu tun. Man sieht doch allein schon daran, dass die Applets eine exe-Datei aufs Dateisystem schreiben (und diese anschließend ausführen) müssen um überhaupt etwas am PC des Opfers "angreifen" zu können, wie wenig Angriffsfläche ihnen die JVM selbst bietet.

 

[Smagjus]

@Topic - kein Agent wird einen ungesicherten Laptop mitführen. Sprich die Hacker waren schon extrem gut.

Die Daten über die Java-Lücke zu entwenden ist sogar noch einfacher als eine SQL-Injection zu starten. Sobald der Herr Agent auf einer präperierten Website surft, wechselt der Laptop seinen Besitzer. Da ist es egal, was da für eine Sicherheitsfirma hintersteckt.

 

[PhilAd]

Ich verstehe hier nicht warum ihr Probleme mit der Überschrift habt? Sie sagt doch genau das was passiert ist. Hacker haben nun mal Datensätze von Apple-Kunden ergattert. Die Überschrift trifft es doch genau. Im Text geht dann hervor über welchen Weg sie ergattert wurden. Das muss doch nicht Teil der Überschrift sein?
Die Tatsache, dass die Daten einem Dritten gestohlen wurde und nicht einem Applemitarbeiter, macht die Sache doch auch nicht besser sondern wohl eher schlimmer! Verstehe nicht wie einige das beschönigen können? Das heißt doch nur, dass es wohl für andere ein leichtes ist an solche Daten zu kommen und ich würde mir als Apple Kunde dreifach Gedanken machen: Wieso kommt ein dritter an vertrauliche Daten und warum sammelt diese auch noch ein Geheimdienst? Wer sammelt diese Daten noch?
Das Apple sowas zulässt ist doch ein Fehler Apples. Die Kritik an den UUIDs besteht immerhin schon länger. Wenn sie bewusst derartige Daten mit Geheimdiensten austauschen, müssen sie sowieso mit sowas rechnen. Absolut nicht nachvollziehbar warum hier einige versuchen die Schuld bei anderen zu suchen.

 

[WurstMitBrot]

Ich weiss gar nicht warum alle meinen die Überschrift würde nicht passen. Genau die jenigen die das bemängeln haben scheinbar die News nicht richtig gelesen.

Was ist das schon wieder für eine reißerische Bild-Überschrift? "Datensätze von Apple-Kunden" als Bezeichnung für eine fast schon öffentliche Seriennummer eines Gerätes ist für meinen Geschmack ein bisschen sehr abenteuerlich formuliert...
[...]

Das hier klingt nämlich nach ein wenig mehr als nur einer Seriennummer!

Die Datei habe zudem auch persönliche Kundendaten wie Namen, Adressen und Handynummern enthalten, welche man jedoch nicht veröffentlicht habe.

Und Ausserdem steht in der Überschrift nichts davon, dass Apple gehackt wurde.

 

[Mr.Wifi]

Mir stellt sich die Frage warum hat ein FBI Beamter solche Daten auf seinem Laptop und dann noch anscheinend dilettantisch gesichert?

Es ist doch kein Geheimnis dass Geheimdienste auf sämtliche Datensätze Zugriff haben, vor allem in den USA mit ihren "Terror Gesetzen". Wenn die sich bei Apple melden und einen Datansatz anfordern dann springen die dort sofort.

In den USA gibt es zb. mit Trapwire ein System, welches das Verhalten der Bürger überwacht und mit "großen Datenbanken" verknüpft ist, und zwar bis vor kurzem ohne dass die Bürger davon wussten dass ihr Verhalten in der Öffentlichkeit seit 9 Jahren analysiert wird.

http://www.zeit.de/digital/datenschutz/2012-08/trapwire-wikileaks

Das System scannt Menschenmassen und kann einzelne Personen anhand von Verhaltens-Auffälligkeiten raus selektieren. Quasi den einzelnen Fisch der gegen den Strom schwimmt.

 

[Scotty4BMAN]

Die aktuelle Situation verzerrt imho die Warnehmung der "ahnungslosen" breiten Masse. Java ist eigentlich eine der sichersten Plattformen (hinsichtlich klassischer Exploits). Das ist u.a. einer der Gründe wieso es im Finanzsektor so beliebt ist.

Das kann man so nun wirklich nicht stehen lassen. Java ist im Finanzsektor durchaus beliebt, kommt aber eigentlich nur überall da zum Einsatz, wo man sich Entwicklungsaufwand sparen möchte und kann, weil eine 0815 Lösung vom Kunden akzeptiert wird.
Letztlich hast Du es ja selbst schon gesagt, Java ermöglicht es mittelmäßige Entwickler einzusetzen und trotzdem ein brauchbares Produkt zusammenzuschustern. Überall wo es aber auf Geschwindigkeit und vielleicht sogar Realtime-Fähigkeit ankommt, also z.B. beim algo Trading auf den elektronischen Börsen etc. kommt andere Technologie zum Einsatz, wo auch besser bezahlte Entwickler etwas länger drüber nachdenken. Java kannst Du da lange suchen.

Sicher ist per se überhaupt nichts. Java hat zwar durchaus seine Vorteile, aber Sicherheit ist offensichtlich keiner davon

 

[Furian]

In Verbindung mit den Käuferdaten, z.B. Kreditkartennummer, den Infos aus dem obligartorischen Apple-Account und den dortigen Bankdaten und/oder den Daten des Flatratebesitzers, kann man mit dieser UID Millionen Menschen, in Verbindung mit GPS buchstäblich auf Schritt und Tritt und in Verbindung mit ihrem Surf- und Chatverhalten nahezu bis auf den privatesten Bereich, überwachen. Und das nicht nur anonym, sondern personenbezogen.
Mehr informelle Macht geht kaum noch. Jetzt fehlt nur noch George Orwells Gedankenübewachungsbehörde.
Und das alles in den Händen einiger weniger Leute, die noch nicht einaml direkt vom Volk gewählt noch beauftragt wurden, dies zu tun.
Macht korrumpiert. Absolute Macht korrumpiert absolut.

 

[Meetthecutthe]

Kommt es nur mir so vor, oder ist die Überschrift ein bisschen Apple-Feindlich?

Kommt es mir nur so vor oder bist du bei Apple-Themen recht empfindlich?


Ich finde in diesem Fall muss Apple klar offen legen warum solche Daten überhaupt außer Hause unterwegs sind.
Solange dies nicht gegeben ist befindet sich Apple erst mal in der Verantwortung.

 

[MichaG]

Artikel-Update: Das FBI hat sich mittlerweile mit einer Meldung auf Twitter selbst zu den Vorwürfen geäußert, dass die Daten von einem Notebooks eines Mitarbeiters stammen, und abgestritten, die Quelle für die 12 Millionen UDIDs zu sein.

Statement soon on reports that one of our laptops with personal info was hacked. We never had info in question. Bottom Line: TOTALLY FALSE

Eine Pressemitteilung des FBI klingt etwas weniger eindeutig und sagt lediglich, dass man nach derzeitigen Informationen keinen Anhaltspunkt dafür habe, dass die Daten von einem gehackten FBI-Laptop stammen oder überhaupt erhoben wurden.

The FBI is aware of published reports alleging that an FBI laptop was compromised and private data regarding Apple UDIDs was exposed. At this time there is no evidence indicating that an FBI laptop was compromised or that the FBI either sought or obtained this data.

Als Reaktion hat AntiSec indes bereits angekündigt, dass man 3 Terabyte weitere Daten habe, die man veröffentlichen könnte.

 

[x-ares-x]

3TB? Was hat denn das FBI für Laptops? o.O

 

[Hendrik2]

Nö überhaupt nichts, die Daten sind eigentlich total langweilig. Die UDID hat auch so gut wie jedes App nach Hause zu den Servern der App-Entwickler geschickt, von daher ist eine Liste mit 12 Mio UDIDs auch nichts besonderes.

Seid Ihr alle Blind??

Im Artikel steht eindeutig:

"Die Datei habe zudem auch persönliche Kundendaten wie Namen, Adressen und Handynummern enthalten, welche man jedoch nicht veröffentlicht habe."

 

[echoDave]

LoL ich frage mich wie man unbemerkt über 3 Terabyte an Daten klauen kann, durch das Internet dauert das doch ein wenig.

 

[VYPA]

3 TB? Aber wohl kaum von diesem einen Agenten. Also da haben die Jungs ja schon oooordentlich lange geladen. 3.000 GB ist schon eine gehörige Zahl. Wenn mein DU-Meter einen solchen Upload anzeigen würde wäre aber ganz schnell Schluss! ^^