News Schwachstelle: Private MAC-Adressen unter iOS waren bisher nutzlos

[Salamimander]

War doch seit ios14 bekannt?! Also meine Bude konnte weiterhin iPhones identifizieren (eindeutig) und das sogar passiv..

 

[Mithos]

Ich kann in Supermärkten z.B....

Mal angenommen du machst das, wo entsteht mir jetzt der Schaden?

 

[ElisaMüller]

Naja "nutzlos" ist ein bisschen hart ausgedrückt.

Bei der verschleierung der MAC Adresse geht es ja hauptsächlich darum, dass McDonalds nicht nachvollziehen kann, wie viel mal ich bei denen verbeikomme. Ich glaube kaum, dass die mDNS ausgewertet haben um die "echte" MAC Adresse zu tracken.

 

[gaym0r]

Mal angenommen du machst das, wo entsteht mir jetzt der Schaden?

Mit dem gleichen Worten kann man jegliche Datenschutz- und Privatssphärenvorkehrungen als sinnlos bezeichnen.

 

[Mithos]

@gaym0r
Findest du? AngenommenJournalistenwürden keinen Datenschutz genießen, dann wären unter Umständen Leben in Gefahr. Angenommen private Fotos wären nicht geschützt, dann könnten Erpressungen die Folge sein. Angenommen Gesundheitsdaten wären nicht geschützt, dann könnten Versicherungen und Arbeitgeber diese zum Nachteil des Betroffenen nutzen.
Es gibt vermutlich unendlich weitere Beispiele.

Aber wo mir jetzt ein Schaden entsteht, wenn mein Supermarkt weiß, wann ich, wie oft ich und welche Produkte ich kaufe, ist mir nicht ersichtlich.
Deswegen stelle ich ja direkt die Frage, weil ich entweder anscheinend nicht genug Kreativität/Weitsicht für das mögliche Szenario. Ich vermute aber eher, dass es dies nicht gibt und diese Aufregung dadurch unbegründet ist.

 

[Salamimander]

Du hast es gut erfasst: Es ist DIR nicht ersichtlich. Mit Informationen basierend auf den Daten kann man dich vorzüglich manipulieren und dir damit Geld aus der Tasche ziehen. Oder nehmen wir das Beispiel Journalist: Mit den Daten kannst du ihn zielgerichtet abfangen und wieder sind Leib und Leben in gefahr.

 

[Mithos]

Mit Informationen basierend auf den Daten kann man dich vorzüglich manipulieren und dir damit Geld aus der Tasche ziehen.

Aber wie? Genau das ist doch meine Frage. Gib mir doch mal ein konkretes Beispiel.
Und bitte nicht sowas sagen wie oben: Die bieten dir einen Gutschein für ein Produkt an. Da antworte ich einfach, dass ich das nicht kaufe, wenn ich das nicht brauche.
Ihr redet immer um den heißen Brei, statt einfach mal ein echtes Beispiel zu nennen.

 

[Salamimander]

Es gibt halt keine Antwort die du ohne weiteres verstehen würdest. Nicht umsonst arbeiten Psychiologen an den Methoden. Wenn es dich WIRKLICH interessiert, wäre https://books.google.de/books/about...AAQBAJ&source=kp_book_description&redir_esc=y ein Anfang. Und das geht deutlich tiefer als Gutscheine.

 

[TomH22]

Ich kann in Supermärkten z.B. tracken wie oft du zu Besuch bist, kann dir über entsprechende Apps PopUps generieren wodurch du dann z.B. einen Gutschein o.ä. bekommst und dich somit zu Käufen verleiten, kann sehen wo du lang rennst, wie lange du vor bestimmten Regalen stehen bleibst wie lange du generell im Markt bist und und und. Das alles kann ich dann auswerten und sehen wie gut meine Aufsteller oder sonstige Werbung funktionieren.

Die Frage ist halt, inwiefern die MAC Adress randomization in der Apple Ausprägung das wirklich signifikant einschränkt (ich meine jetzt natürlich ohne den mDNS Bug). Da die MAC Adresse bei gleicher SSID gleich bleibt, reicht es wenn alle Outlets einer Ladenkette die gleiche SSID haben.

Und selbst wenn die Adresse sich bei jedem Besuch ändern würde, könnte man immerhin noch je Besuch die von Dir genannten Dinge tracken.

Wer sich wirklich vor dieser Art Tracking schützen möchte, lässt sein WLAN unterwegs aus.

Ich will damit Apples Bug nicht verharmlosen, wenn man ein Feature anbietet, muss es so wie vom Hersteller beschrieben funktionieren, besonders wenn es um Privacy oder Security Features geht.

 

[gaym0r]

Aber wie? Genau das ist doch meine Frage. Gib mir doch mal ein konkretes Beispiel.

Ich versteh nicht warum es dir um ein konkretes Beispiel geht bei dem ein (finanzieller) Schaden entsteht. Privatsphäre hat doch erstmal nichts mit Geld zu tun.
Und dazu gehört halt auch, dass man nicht verfolgt werden möchte. Man kann nämlich auch verfolgt werden ohne sich überhaupt mit irgendeinem WLAN zu verbinden. In der Nähe sein reicht schon.

Wenn du meinst du hättest nichts zu verbergen und es ist dir egal: Schön. Aber geh nicht davon aus, dass es für alle gilt.

 

[TomH22]

Deswegen stelle ich ja direkt die Frage, weil ich entweder anscheinend nicht genug Kreativität/Weitsicht für das mögliche Szenario. Ich vermute aber eher, dass es dies nicht gibt und diese Aufregung dadurch unbegründet ist.

Naja, allein die Tatsache, dass jemand ungefragt z.B. ein Bewegungsprofil erstellt, ist ein Verstoß gegen die Datensouveränität, die in der DSGVO definiert ist.

Andererseits hat man ja meistens den Nutzungsbedingungen zugestimmt, wenn man ein öffentliches WLAN benutzt. Inwiefern man von wirklich informierter Einwilligung sprechen kann, wenn man auf dem Handy einem seitenlangen Dokument zustimmt, ist wieder eine andere Frage.

Aber viele Nutzer verlassen sich vermutlich darauf, dass die „private MAC Adresse“ sie vor allzu übergriffigen Tracking schützt, und stimmen unter diese Annahme den Nutzungsbedingungen zu. Insofern ist der Schädiger in diesem Fall Apple und nicht der Betreiber des WLANs, da Apple seine Zusage nicht eingehalten hat. Das wird in den USA sicher zu einer Sammelklage führen.

 

[ReactivateMe347]

Nutzlos klingt doch sehr nach Bild-Niveau. Soweit ich das verstehe: Wer die MAC-Adressen "auf dem üblichen Weg" ausgelesen hat, der wurde "getäuscht" - nur wer Deep Packet Inspection gemacht hat, der konnte es feststellen. Man hat sozusagen das KFZ-Kennzeichen getauscht, aber die FIN blieb dieselbe ...

 

[Mithos]

Privatsphäre hat doch erstmal nichts mit Geld zu

Ich will auch kein finanzielles Beispiel, sondern irgend ein konkretes.
Deines wäre, wenn ich das richtig interpretiere, ein ungutes Gefühl verfolgt zu werden.

Dies ist legitim, nur wäre mir das beim Einkaufen ziemlich egal. Unter anderen auch, weil ich in dem Fall nur eine Nummer wäre, die mit nichts anderem (Name, Gesundheitsdaten, …) im Verbindubg gesetzt werde.

Das mit dem nichts verbergen ist wiederum Quatsch, da es mir ausschließlich um das angesprochene Beispiel beim Einkaufen ging.

Naja, allein die Tatsache, dass jemand ungefragt z.B. ein Bewegungsprofil erstellt, ist ein Verstoß gegen die Datensouveränität, die in der DSGVO definiert ist.

Natürlich darf das nicht sein, ich befürworte dies auch garnicht. Nur stört es mich bei so „lapidaren“ Anwendungszwecken (Bezahlen mit z.B. KauflandPay, Payback und Ähnliches), dass immer davon geredet wird, wie schlecht das für den Datenschutz und den Konsumenten ist. Nur kann dann niemand (in den unzähligen Threads zuvor) ein Beispiel nennen, sondern es bleibt vage.

 

[Salamimander]

Nö, du hast einfach nur kein echtes Interesse. Dir geht es einzig und allein darum „recht“ zu haben. Ließ das verlinkte Buch und die ganzen wirklich guten Artikel zu dem Thema.

 

[JohnWickzer]

Jop, Apple und Datenschutz - das "Pro" Argument und die Rechtfertigung für den Kaufpreis finde ich immer wieder extrem amüsant 😂

 

[Atkatla]

Da die MAC Adresse bei gleicher SSID gleich bleibt, reicht es wenn alle Outlets einer Ladenkette die gleiche SSID haben.

Es gibt leider mittlerweile schon schlimmere Ausprägungen dieser Randomization, von denen ich hoffe, das Google, MS und Apple diese noch möglichst lange nicht implementieren:

• neue MAC pro Assoziation
• neue MAC pro DHCP Renewal (nicht nur bei DISCOVER!)

"schlimmere" daher, weil da Programmierer sich da einfach denken "ah, das ist ja noch anonymer", ohne sich zu überlegen, was das für Auswirkungen auf den unteren Schichten hat (Clientübergabe bei Roaming, Funktionen an Captive / Gast portalen usw)...

 

[xmimox]

deshalb mach ich ein bogen um apple

Ich fasse auch Säure lieber ohne Handschuhe an, weil ich gelesen habe dass manche Löcher haben.

Man man…

 

[gaym0r]

@Atkatla Hast du zu den neuen "Plänen" mehr Infos / Links?

 

[Hammelkopp]

Ich will auch kein finanzielles Beispiel, sondern irgend ein konkretes.

Werbung soll nicht nur dazu dienen, Dinge anzupreisen, sondern auch um Bedürfnisse zu wecken von denen du vor dem Einkauf nichts wusstest.

Jetzt kommst du in den Laden, bekommst ne Nachricht das Produkt XY im Angebot ist, da du in der Vergangenheit ein zwei mal länger vor dem Regal gestanden hast und vielleicht mal drüber nachgedacht hast, aber es dann doch verworfen hast. Objektiv betrachtet, bräuchtest du das Produkt nicht, nimmst es dann aber doch mit da es ja jetzt und nur heute ausgerechnet im Angebot ist. Zu Hause angekommen ärgert es dich dann doch vielleicht, dass du dafür jetzt Geld ausgegeben hast.

Das geht zig tausenden Leuten z.B. regelmäßig während des Amazon Prime Day so. Nur hier wird das selbe Prinzip halt auf den Store angewendet.

Jetzt kommen bestimmt gleich ein paar Leute - ich kaufe nur das was auf dem Zettel steht, Ich lasse mich generell nicht von Werbung beeinflussen oder sonstige Sprüche... Glaubt gerne weiter dran ;-)

Weiterhin kann mit dem Tracking natürlich auch eine preisliche Schmerzgrenze ausgelotet werden. Wie weit kann ich die Preise anheben bis die Leute weg bleiben.

Weiterhin ist das WLAN Geraffel nur ein Teil der Strategie. Es gibt Kundenzähler (mit und ohne Kamera, Werbeprospekte, PayPal Deutschlandcard und Co, Fernsehwerbung, Radio) und alles zusammen soll dir im Endeffekt möglichst effizient das Geld aus der Tasche ziehen.

Also es ist nicht die eine Sache die die auf den ersten Blick schadet, sondern Teil einer Strategie.

 

[testwurst200]

Ich kann in Supermärkten z.B. tracken wie oft du zu Besuch bist, kann dir über entsprechende Apps PopUps generieren wodurch du dann z.B. einen Gutschein o.ä. bekommst und dich somit zu Käufen verleiten, kann sehen wo du lang rennst, wie lange du vor bestimmten Regalen stehen bleibst wie lange du generell im Markt bist und und und. Das alles kann ich dann auswerten und sehen wie gut meine Aufsteller oder sonstige Werbung funktionieren.

Deshalb ist hier im Edeka der Mobilfunk so miserabel damit man ins WLAN geht?