Novo neodgovorno razkritje ranljivosti v Apple Mac OS X

Markoff je 19. avg 2015 ob 11:00 izjavil:

SaXsIm je 19. avg 2015 ob 09:34 izjavil:

po naši zakonodaji gre za KD (oz vsaj sostorilstvo) nepooblaščenega vstopa v sistem. V vsakem primeru pa takšno razkritje je neodgovorno, saj proizvajalec ni imel možnosti izdati popravka, zato so uporabniki ranljivi, hkrati pa je avtor razkritja objavil še source za exploit, ki to ranljivost izkorišča. To je no-go.

Se pa strinjam, da je 90 dni mnogo mnogo preveč.

Nepooblaščen vstop v sistem. Čakaj, čakaj, kaj pa če iščeš luknje v informacijskem sistemu, ki si ga SAM postavil in ga SAM uporabljaš? Si sam sebi naredil škodo? Poleg tega, mar želiš reči, da je objavljanje stvarnih napak na izdelkih kaznivo dejanje? In ne etična dolžnost obveščati javnost? Tule ne govorimo o istih stvareh.

Poleg tega - kaj če je ranljivost v resnici namensko postavljen backdoor (namenoma odprta vrata v inf. sisteme strank) - ali takšna zlonamerna koda ne klasificira kot kaznivo dejanje? In v takem primeru, ali nisi sostorilec, če avtorja backdoorja opozoriš nanj, saj si ga v bistvu opozoril, da je njegovo kaznivo dejanje odkrito in mu dal čas, da ga sanira?

Vprašanje je, kaj je bolj in kaj manj prav.

Slo zakonodaja (sej ne, da je relevanta za ta primer, a vseeno). V svoj sistem lahko vdiraš kolikor ti paše. Ampak takoj, ko javno objaviš izsledke in daš zraven podrobna navodila, ki taisti vdor ponoviti na drugih sistemih (ki niso v tvoji lasti), si dal orodje za izvedbo KD v javnost. Po naši zakonodaji 306. člen, 3. odstavek. Seveda, da se debatirati, s kakšnim namenom je to avtor objavil, vendar jaz zagovarjam, da je bila priložitev sourca za exploit nepotrebna in je posledično njegova namera bila, da kdo s tem orodjem izvrši tudi kaznivo dejanje.

Seveda pa je možno živeti tudi v svetu teorij zarot, in biti sostorilec, ker applu poveš, da je bila njihova (normalno) namerno vgrajena ranljivost odkrita. Ker nihče ne objavi izsledkov o ranljivostih nekaj časa po tem, ko so o njih obvestili prodajalca, ker to sploh ni stalna praksa. V tem svetu pa je dobro tudi, da si daš na glavo klobuk iz alu folije. Ti boš bolj varen, mi pa tudi, ker bomo že na daleč videli, s kom imamo opraviti.

Tomas 33 je 19. avg 2015 ob 10:51 izjavil:

Pa naj še proizvajalci SW naredijo isto.
Pomisli, da se upravlja vlake, promet, jedrske elektrarne, ...,...,

Malo pomisli kaj res upravlja vlake, promet, jedrske elektrarne ...

In ne piši neumnosti ...

Osemnajstletni Italijan

18-letni in po vrhu še makaronar jim najde kritično luknjo ... Popolnoma razumem, da si želijo, da bi jo najprej njim zaupali, da bi jo potiho zaflikali in noben ne bi nič vedel.

Morda bi res lahko počakal, ampak repenčenje o tem, da naj bi bil on odovoren, če bo kdo izkoristil to luknjo, je pa bolano. Ni dolžnost kogarkoli izven Appla/MS/Scroogle etc. da ščiti njihove skrivnosti in zajebe. Zaenkrat še velja svoboda govora, če res hočejo da bo njihova koda bolj varna naj, kot so že drugi napisali, formirajo sklad z nagradami za te, ki jim pri tem pomagajo.
Ampak morda pa tega v resnici nočejo - se pravi morda nočejo kupa nadebudnežev, ki bi pregledovali njihovo kodo in našli VSE luknje - tudi tiste, ki tam morda niso naključno?

Mogoče pa je to namerno promovirano s strani konkurence, kot dokazilo, da OSX ima slabosti?

apple naredi slab izdelek, kriv je pa tisti ki to pokaze in izda popravek

tipicni mac uporabniki, zato se vam pa cel svet rezi

getfe je 19. avg 2015 ob 13:35 izjavil:

apple naredi slab izdelek, kriv je pa tisti ki to pokaze in izda popravek

tipicni mac uporabniki, zato se vam pa cel svet rezi

Ajde ajde posplosevat.
Kaj mislis da so MS ali sploh Google uporabniki kaj na boljsem? Smejem se lahko samo tebi ce si tako naiven.
In Apple userjem se lahko rezi samo en Slovencelj ipd, v ostalem svetu pa ni nic takega imet Apple napravo. Noben se ne kuje v zvezde ker ima iNapravo (ala Leiito ki se ima za elitneza), tako kot te noben postrani ne gleda, ker si lastis iNapravo (ala Androidezi).

A to po sebi sklepas?
Ker poznam en kup Aplasov, pa svoje iPhone itd raje v etuiju ali v zepu/torbi drzijo ko so v javnosti, zaradi blesavih pogledov.
Imas vsekakor tudi take debile ja, ampak jih je pri Androidu bistveno vec...moj fon pa ima 8 jeder, 3gb rama, pravi stroj...ipd gluposti.
Ni prav v nobenem taboru boljse ali slabse...imas folk ki jim je to kar so kupli pac ok fon in imas take ki se kitijo kot da so vsemogocni ker imajo highend fon. Ponavadi slednji nimajo za rundo ko je treba placat, ne glede na tabor.
Drugace pa nisem v nobenem taboru. Uporabljam od vseh taborov neko napravo.

Mah, si pa še ti nalimaš to nalepko na svojga androidneža pa se nosiš :))

getfe je 19. avg 2015 ob 15:17 izjavil:

ne vem, potem so tvoje izkusnje cisto nasprotne mojim. vsi z apple opremo ki jih poznam se blazno nosijo zato ker ma njihov telefon/racunalnik na sebi pogrizen jabuk :/

Odvisno od druzbe. Ce se druzis z egotripi se bodo nosli neglede na tabor, glavno da se vidi da ima pare.
Kot ze omenjeno, ni to odvisno od tabora. Mentaliteta je ta. V tujini pac tega ni, razen na balkanu, ipd drzavah.
Smo pa ze konkretno off topic.

Hja na zalost eni mislijo da ce so v drugem taboru da so varni
MS, Google, Apple, itd...vsi so eno sranje ko se gre za varnost.

Malo realnosti ne škodi. Ta exploit ni take vrste kot npr. Stagefright za android, kjer je dovolj, da ti nekdo pošlje message, tudi če ga ne odpreš (a androidneži po tem debaklu sploh še obstajajo?), ampak je a) ranljivost samo v primeru, da uporabnik inštalira iz non-trusted virov, kar terja poseg v nastavitve kljub explicitnem opozorilu in b) Apple daje svoj OS (in vse programe) uporabnikom zastonj, za razliko od kake druge firme in vsakdo si lahko že dlje časa brezplačno inštalira El Capitan, ki je jasno tudi 4x hitrejši in vsaj 3x lepši. Tko da to je bolj kot ne samopromocija tega Italijana. Exploit za OS, ki ga noben resen uporabnik že mesece nima več, ostali pa ne inštalirajo programov iz non-trusted virov, ker jih niti ne rabijo.

Tko da big deal res, da ne omenjamo, da vsak dan poročajo o novih hackih za Mercedes in BMW, pa lastniki Dacij ne kričijo, da kok zanič avti so to in kok nesposobna firma, ki dovoli take reči.

In ce mislis da si z Apple-om varen

Ker si omenil Apple - sem spada tudi iOS (non jailbreakan), si v primerjavi z Androidom varen kot britanska kraljica v svoji palači. Seveda tudi pri iOS kdaj pa kdaj odkrijejo kakšno ranljivost, ampak kolikokrat se je to dejansko zgodilo, da bi to ranljivost izkoristili? Na koncu s(m)o pa Android uporabniki na udaru vsak dan. Pri androidu moraš bit že advanced user, če nočeš, da gor namestiš kako kramo ki bo kradla gesla itd.



Zanimivo je bilo ko sem s svojim droidom pobrskal mal po XXX straneh. Pa hmal dobil obvestila da se downloada "noname.apk" aplikacija. Wtf seriously?

Na iOS tega ne boš videl. Vsaka aplikacija pa je tam še dodatno pregledana s strani "človeških rok". G.Play je v primerjavi z iTunes app storo-m pravo smetišče.

klinker je 19. avg 2015 ob 16:23 izjavil:

Ne spremeni pa dejstva da se imas za neko elito, ker ti je kolega, aktivni racunalnicar, instaliral ElCapitan...ker je jako tezko se prijavit v beto in dat redeem my mac in posodobit preko app store
Ce tega sam nisi bil sposoben nardit, kaj dosti pametovat ne mores okoli tega keri os je boljsi ali slabsi in vedno kovat Apple v nebo.
In ce mislis da si z Apple-om varen...hehh...enako si varen kot z MS ali Google. Na kratko, nisi

Sem šel prav vprašat tega kolega, ki se res spozna, kot že rečeno med vikendi iz kosovnega odpada sestavlja otrokom računalnike, tko da res ve kako se tem rečem streže. Pravi da ni primerjave, da sem z Applom povsem varen, če ne inštaliram 3rd party šrota iz non-trustee virov. Česar itak ne počnem, ker so me tako vzgojili. Je rekel, da je pa res, ta si tudi s PCjem enako varen, samo na internet ne smeš.

leiito je 19. avg 2015 ob 19:49 izjavil:

klinker je 19. avg 2015 ob 16:23 izjavil:

Ne spremeni pa dejstva da se imas za neko elito, ker ti je kolega, aktivni racunalnicar, instaliral ElCapitan...ker je jako tezko se prijavit v beto in dat redeem my mac in posodobit preko app store
Ce tega sam nisi bil sposoben nardit, kaj dosti pametovat ne mores okoli tega keri os je boljsi ali slabsi in vedno kovat Apple v nebo.
In ce mislis da si z Apple-om varen...hehh...enako si varen kot z MS ali Google. Na kratko, nisi

Sem šel prav vprašat tega kolega, ki se res spozna, kot že rečeno med vikendi iz kosovnega odpada sestavlja otrokom računalnike, tko da res ve kako se tem rečem streže. Pravi da ni primerjave, da sem z Applom povsem varen, če ne inštaliram 3rd party šrota iz non-trustee virov. Česar itak ne počnem, ker so me tako vzgojili. Je rekel, da je pa res, ta si tudi s PCjem enako varen, samo na internet ne smeš.

Dej clovek. Ce zna plato prisravfat, vstavit ostali hw v svoje slote in konektorje priklopit...kar razen ce si popoln trot ne mores falit...je jaki poznavalec ja.
To sem pocel pri 14ih bp.
S tvojimi posti samo meces slabo luc na Apple userje, ker so sory, so na nivoju IQja sobne temperature in je iz njih ocitno da si totalen noob v tem. Najhujse pa je, da hoces tu ucit folk o tem, kateri ve o PCjih ogromno, pa se vedno niso nobeni strokovnjaki racunalniske varnosti ali neke tretje racunalniske vede.
Racunalnistvo je tako sirok pojem, da si predstavljat ne mores.

link_up je 19. avg 2015 ob 11:52 izjavil:

trapasto ... uporabnike ogroza Apple in ne ta pajac...kot, da bi zdravnik obtozili, da je nekoga pozdravil brez tablet...

Še ene dva komentarja bi bila dovolj, da bi zaokrožili temo. V svetu je imeti jabuk nekaj običajnega, pri nas pod alpami pa slavolok zmage. In potlej se med seboj "kurčijo", ker oni pa že niso vsakdanji uporabniki, ker bi imeli potlej andro foune ali pa še huje, kaj huje, za bruhat, win foune. In jim nek mulo pokaže, da so še vedno iz krvi in mesa in potrebujejo vodo in spanec kot vsi ostali pripadniki homo sapiens, oni pa, kako dramatično, "udri po Muji" oz. "kill the messenger"... Še nedolgo nazaj so objavili "lepe slike" mladenk iz ogriženega ablaka, pa je spet bila ihta pa vsi na drevo pa v jok in pingo sok s seboj.

Potlej se res vprašaš, zakaj imeti jabuk? Priznam, sem si ga želel, že 20 let nazaj. Pa sanjal o apple cube in power macih g4 in g5. Le klik me je še ločil, da bi končal z nakupom prvih iMacov. Ampak, those days are over
Žal, ali pa na srečo, ostajam pri pingvinčku in PCju. Vsem ostalim, ki so pa dobili belo plastiko od staršev ali pa kot posledica prilizovanja z druge strani prebavnega trakta, pa jih okolica ne opazi in imjo motnjo spanca, izrekam najgloblje sožalje. Življenje ni črno belo, ampak je spekter barv. In če si numero Uno in misliš, da si lahko privoščiš in delaš vse, si že na poti propada. To me spominja na pest; bolj kot jo tiščiš skupaj, bolj ti med prsti polzi ven...

Howgh, spisano iz HTC win phone :)

Mislim da je prav da je vse skupaj objavil - to da apple ne obvesti je bila čisto njegova odločitev. Ni bil plačan za to da Applu preglejuje za varnostne napake in jih o tem obvešča. Je delal v prostem času. Sam drugim ni vdiral. Svoje delo je dal prosto drugim v uporabo. Tisti ki to znanje/orodje uporabi za vdor drugim v sistem, pa je sam v prekršku. Kaj od tega ne drži?

Z novico se strinjam le v naslovu: res je da je šlo za neodgovorno razkritje, saj 18letni italijan nima ne moralne in ne pravne odgovornosti do appla in applovih strank.

No lahko pa da se motim: hej prepovejmo wiki/Buffer_overflow - preveč "napačnega" znanja na enem mestu. Zaprimo še vse tiste ki kažejo kako doma narediti pištolo, bombo, pa prepovejmo "umor je napisala". Vse to znanje se lahko uporabi za škodovanje nekomu...

WarpedGone je 20. avg 2015 ob 14:16 izjavil:

Mislim da je prav da je vse skupaj objavil - to da apple ne obvesti je bila čisto njegova odločitev. Ni bil plačan za to da Applu preglejuje za varnostne napake in jih o tem obvešča. Je

Tip ni škodoval applu ampak vsem drugim uporabnikom, ki apple uporabljajo.
Ni za brezveze "standardna praksa", da se najprej obvesti proizvajalca in se mu da razumen čas, da problem odrpavi.

Brez tega je povsem enako, kot da bi na široko odprl vrata v tvojo hišo, medtem ko si ti na morju.
Sej si sam kriv, če nisi zaklenu vrata. Js sm samo odrkril na niso zaklenjena in to razbobnal celemu svetu.

Da ti nucaš en teden da prideš nazaj domov, pa ni več moj problem.

ubistvu je APPLE škodoval uporabnikom s tem ko je naredil slab sw

Klinc za exploit bi posteno placevali pa tega nebi bilo. Sicer pa naj sami iscejo po spletu kdo je kje kaj objavil. Nenazadnje je avtor dobil referenco sicer nebi pa nič.
Pa nič narobe če je ljudi opozoril ahtejte se tm tist most se lohk podre.

noraguta je 19. avg 2015 ob 13:44 izjavil:

V obiju prodajajo pajsarje za male pare. Sporno?

Ker naloga pajserja je samo in izključno za vdor skozi vrata, zraven pa so tudi navodila, kako vdreti, če ne znaš?

Kaj se poleg vdora v sistem še da narediti z objavljenim exploitom (pustimo distinkcijo med pooblaščenim in nepooblaščenim vdorom)? Ker s pajserjem lahko tudi žebelj izpuliš.

WarpedGone je 20. avg 2015 ob 14:16 izjavil:

Mislim da je prav da je vse skupaj objavil - to da apple ne obvesti je bila čisto njegova odločitev. Ni bil plačan za to da Applu preglejuje za varnostne napake in jih o tem obvešča. Je

Tip ni škodoval applu ampak vsem drugim uporabnikom, ki apple uporabljajo.
Ni za brezveze "standardna praksa", da se najprej obvesti proizvajalca in se mu da razumen čas, da problem odrpavi.

Brez tega je povsem enako, kot da bi na široko odprl vrata v tvojo hišo, medtem ko si ti na morju.
Sej si sam kriv, če nisi zaklenu vrata. Js sm samo odrkril na niso zaklenjena in to razbobnal celemu svetu.

Da ti nucaš en teden da prideš nazaj domov, pa ni več moj problem.

To je še relativno slaba primerjava. Boljša bi bila, da bi recimo imel ključavnico na kodo, sosed bi kodo videl in jo skupaj z natančnimi navodili, kje je tvoje stanovenje, dal na vse oglasne deske po mestu, ko bi bil ti ravno na morju. Hej, saj je samo svoboda govora.

Hvala ti, ker si ravno potrdil mojo trditev! Resno. Točno o tem govorim. Če ne bom zaklepal vrat, se ne morem jezit nad sosedom ker je šel na ulico in rekel da imam odprta vrata. To bi bilo neumno, kaj šele pričakovati da ga obišče policija. Zakaj, ker izraža svobodo govora!? Problem ni sosedov dolgi jezik, deloma sem sam kriv ker sem pustil odprta vrata, krivec pa je zagotovo tisti ki bo vstopil brez dovoljenja.

"Tip ni škodoval applu ampak vsem drugim uporabnikom, ki apple uporabljajo." > neumnost - tip ni škodoval nikomur
Tudi če bo nekdo s to kodo vdrl 100mio računalnikom, je težava v tistemu ki bo program pognal, IN NE v tistemu ki ga je napisal. To da je povedal da je luknja v sistemu, je čista svoboda govora. Tako kot če jaz objavim kako se naredi bomba? Sej to pa menda lahko ane?

Zgornja primerjava je zgleda zahtevala preveč mentalnih sposobnosti, da bi jo dojeli nekateri posamezniki.

Jo bom naredu enostavnejšo: ni sosed pustil nezaklenjenih vrat ampak je nek mulc odkril, da se da popularne ključavnice od Titan Kamnik, ki so recimo vgrajena v četrtino vseh vrat tle okrog, odklenit brez ključa enostavno tako, da napol zasuknješ kljuko, v ključavnico porineš zobotrebec in narahlo brcneš v vrata. Opis postopka objavi na internetu brez da bi poprej opozoril proizvajalca al pa vsaj lastnike takih kljičavnic o težavi.

Kaj bi si milili o mulcu? Svoboda govora al horizontalni teror?

Takšna objava je sodelovaje pri kaznivem dejanju vloma. Mulc je sokriv čistovsakega vloma s to metodo, ki ga zakrivijo tretje osebe, ki z njim sicer nimajo nič. Pa magari je mulc od objave naprej se zaklenil v klet.

WarpedGone je 21. avg 2015 ob 14:41 izjavil:

Hvala ti, ker si ravno potrdil mojo trditev! Resno. Točno o tem govorim. Če ne bom zaklepal vrat, se ne morem jezit nad sosedom ker je šel na ulico in rekel da imam odprta vrata. To bi bilo neumno, kaj šele pričakovati da ga obišče policija. Zakaj, ker izraža svobodo govora!? Problem ni sosedov dolgi jezik, deloma sem sam kriv ker sem pustil odprta vrata, krivec pa je zagotovo tisti ki bo vstopil brez dovoljenja.

"Tip ni škodoval applu ampak vsem drugim uporabnikom, ki apple uporabljajo." > neumnost - tip ni škodoval nikomur
Tudi če bo nekdo s to kodo vdrl 100mio računalnikom, je težava v tistemu ki bo program pognal, IN NE v tistemu ki ga je napisal. To da je povedal da je luknja v sistemu, je čista svoboda govora. Tako kot če jaz objavim kako se naredi bomba? Sej to pa menda lahko ane?

Zgornja primerjava je zgleda zahtevala preveč mentalnih sposobnosti, da bi jo dojeli nekateri posamezniki.

Jo bom naredu enostavnejšo: ni sosed pustil nezaklenjenih vrat ampak je nek mulc odkril, da se da popularne ključavnice od Titan Kamnik, ki so recimo vgrajena v četrtino vseh vrat tle okrog, odklenit brez ključa enostavno tako, da napol zasuknješ kljuko, v ključavnico porineš zobotrebec in narahlo brcneš v vrata. Opis postopka objavi na internetu brez da bi poprej opozoril proizvajalca al pa vsaj lastnike takih kljičavnic o težavi.

Kaj bi si milili o mulcu? Svoboda govora al horizontalni teror?

Takšna objava je sodelovaje pri kaznivem dejanju vloma. Mulc je sokriv čistovsakega vloma s to metodo, ki ga zakrivijo tretje osebe, ki z njim sicer nimajo nič. Pa magari je mulc od objave naprej se zaklenil v klet.

Neumnost. Vsi lastniki takšnih vrat bi mu morali biti hvaležni, ker jim je povedal to, kar vsi vlomilci že vejo in bodo lahko sanirali situacijo - na stroške dobavitelja.

Sam, če bi vlomilc (v tem primeru ni vlomilc, ampak nekdo drug, ki ima ista vrata) objavil javno, da imajo moja vrata serijsko (stvarno) napakao z dokazom, bi bil vesel pa takoj poklical servis, uveljavil garancijo in zamenjal vrata za druga.