» »

Nepodpisana koda na iNapravah

vir: Forbes
Forbes - Heker in varnostni raziskovalec Charlie Miller je uspel zaobiti varnostni mehanizem na iNapravicah, ki zagotavlja poganjanje zgolj podpisane in odobrene kode iz AppStore-a. Kot razloži v priloženem videu, je mogoče z uporabo WebKit widgeta (brskalnika) s tretjega strežnika prenesti nepodpisano kodo in jo pognati. Ta koda lahko stori poljubne reči, npr. naloži zimzeleni glasbeni hit, pokrade kontakte iz imenika, naloži nove fotke, spremlja notifikacije .. in tako naprej. Podrobnosti bo razkril na prihajajoči konferenci SysCan na Tajvanu.

Za demonstracijo je v App Store prijavil konceptno aplikacijo InstaStock, ki naj bi služila zgolj prikazu borznih kotacij, v resnici pa je vsebovala njegov hek. Tradicionalno strogi Applovi ocenjevalci so jo spustili skoz in Miller je posnel kratek filmček z demonstracijo in ga postavil na YouTube. Od tu naprej žal ni šlo najbolj - Apple mu je le nekaj ur zatem odstranil aplikacijo iz AppStore-a, obenem pa še pobrisal razvijalski račun, ki ga potrebuje za objavo novih aplikacij in prejemanje zaslužkov iz prodaje obstoječih. Take shoot-the-messenger politike do varnostnih razvijalcev smo bili vajeni pred leti, danes pa je bolj redka in velja bolj ko ne za slabo prakso in PR. Podjetja so vesela raziskovalcev, posebej če jih pred objavo obvestijo in jim dajo čas za popravek (ti. white hat pristop), ker to prispeva k varnosti izdelka in onemogoča, da bi za napako vedeli samo nepridipravi in jo temu primerno izkoriščali. Miller še ni povedal, ali je Applu poslal obvestilo pred objavo posnetka, neodvisno od tega pa se zdi brisanje razvijalskega računa (ki je tudi plačljiv) pretirana poteza. Twitter že ni navdušen.

Jabolčne verjetno skrbi prav možnost namestitve nepotrjenih aplikacij brez potrebe po jailbrake-u.

32 komentarjev

balocom ::

Čudno da jih še ni kak varuh konkurence oglobil zaradi tako zaprte politike nameščanja aplikacij:|
V svetu brez googla bi bil najbolj uporabljen ukaz v bash-u ukaz man

nekikr ::

Zakaj le, saj niso monopolisti.

MrStein ::

Kaj ima Twitter z linkom na Forbes?
Teštiram če delaž - umlaut dela: ä ?

zeleni ::

nekikr je izjavil:

Zakaj le, saj niso monopolisti.


Verjetno se nadzira vse? Ne samo monopoliste?
Ali je pac ostalim dovoljeno vse?

vorantz ::

Miller še ni povedal, ali je Applu poslal obvestilo pred objavo posnetka


Piše v linkani novici iz forbesa :P

Miller has found and reported dozens of bugs to Apple in the last few years, and had alerted Apple to this latest flaw on October 14th.

Looooooka ::

Rude je ce je poslal mail in ce je odstranil aplikacijo takoj ko je posnel video.
Glede na napisano sklepam, da ni naredil ne prvega ne drugega.

Heh:
To answer questions I hear: I did contact Apple about vuln 3 weeks ago. Didn't tell'em there was an app. App has been in store since Sept.

Se prav si je sam kriv.

Zgodovina sprememb…

iceph03n1x ::

nekikr je izjavil:

Zakaj le, saj niso monopolisti.


So, imajo monopol nad ljudmi k nimajo pojma o racunalnikih.

jype ::

iceph03n1x> So, imajo monopol nad ljudmi k nimajo pojma o racunalnikih.

Samo, če se ti s tem strinjajo.

nekikr ::

Verjetno se nadzira vse? Ne samo monopoliste?
Ali je pac ostalim dovoljeno vse?

Nadzira se vse, seveda. In ker Apple ni monopolist je tako početje dovoljeno. Če bi imeli prevladujoč tržni delež potem pa ne bi bilo več. Že zaradi splošne razgledanosti si poglej kaj pomeni biti monopolist in kakšne tožbe lahko grozijo takemu podjetju. Primerov imaš pa ogromno, malce se poigraj z Wikipedio.

So, imajo monopol nad ljudmi k nimajo pojma o racunalnikih.

E, bravo. V dobri meri resnično. Ko bi bilo le več takih podjetij. Ne vem zakaj bi moral biti nekdo avtomehanik, da bi uporabljal avto in ne vem zakaj bi moral biti nekdo računalničar, da bi uporabljal računalnik. Si ne predstavljam, da bi moral svoj pralni stroj vsakič malo "pošraufati" preden bi dal prati perilo, samo zato, ker je to nekim nadebudnim mulcem "kul".
Po drugi strani pa je dobro, da imamo kapitalizem in množico proizvajalcev in med njimi tudi take, ki ponujajo naprave, kjer pa lahko počneš kar hočeš, če se ti s tem da ukvarjati seveda.

Zgodovina sprememb…

  • spremenil: nekikr ()

zeleni ::

Hvala za napotke, ampak mislim, da ne rabim.

Ne komentiram konkretnega dejanja, ceprav je vprasanje koliko se da zaupati podjetju, ki odpusti (ce mu zaklene account je prakticno isto kot odpusti) cloveka, ki opozori na varnostno napako v njihovem izdelku.

brbr21 ::

nekikr je izjavil:


E, bravo. V dobri meri resnično. Ko bi bilo le več takih podjetij. Ne vem zakaj bi moral biti nekdo avtomehanik, da bi uporabljal avto in ne vem zakaj bi moral biti nekdo računalničar, da bi uporabljal računalnik. Si ne predstavljam, da bi moral svoj pralni stroj vsakič malo "pošraufati" preden bi dal prati perilo, samo zato, ker je to nekim nadebudnim mulcem "kul".


tvoja primerjava potrebuje dodatek, da bi bila relevantna: kar apple in ostali pocno je, kot bi tvoj gorenje hyperavtomat zraven se prevohal tvoje nogavice in ce smrdijo prevec, takoj poslal znizani ponudbi za dodatno zajfo ter deodorant, preveril ce je kaj ostankov sperme na tvojih gatah in ti ponudil se nove trojno odisavljene robcke, prevohal srajce in ugotovil, da uporabljas samo 3 parfume in ti ponudil se 2 s 50% off, ki ju nikakor nebi mogel odbiti...

dela zato (in android je brezplacen), da te lahko precitajo, ter izpulijo se zadnji cent iz zepa, za stvar, ki je nikakor nisi potreboval. to pa je absolutni monopol nad tvojo svobodo odlocanja. se vedno kul?

balocom ::

Dodatek: takle gorenje pralni stroj bi sprejel samo detrgente in mehčalce, odobrene z strani gorenja, seveda bi jih lahko kupil samo preko preko njih in tudi oni bi jih edin lahko notri natočili. Totalen monopol nad kupljenim (!) pralnim strojem.
V svetu brez googla bi bil najbolj uporabljen ukaz v bash-u ukaz man

Blisk ::

Tole jabolko, je vedno bolj gnilo. Kmalu bo segnilo do konca....

nekikr ::

tvoja primerjava potrebuje dodatek, da bi bila relevantna: kar apple in ostali pocno je, kot bi tvoj gorenje hyperavtomat zraven se prevohal tvoje nogavice in ce smrdijo prevec, takoj poslal znizani ponudbi za dodatno zajfo ter deodorant, preveril ce je kaj ostankov sperme na tvojih gatah in ti ponudil se nove trojno odisavljene robcke, prevohal srajce in ugotovil, da uporabljas samo 3 parfume in ti ponudil se 2 s 50% off, ki ju nikakor nebi mogel odbiti...

dela zato (in android je brezplacen), da te lahko precitajo, ter izpulijo se zadnji cent iz zepa, za stvar, ki je nikakor nisi potreboval. to pa je absolutni monopol nad tvojo svobodo odlocanja. se vedno kul?


O čem zaboga ti to pišeš? Še nisi nikdar uporabljal kakšne iNaprave kajne? No, da te malce podučim, po dolgoletni uporabi. Nikdar mi še niso poslali ponudbe za "zajfo, če bi moje gate smrdele preveč, robčkov ali česa podobnega". Kakšen zadnji cent izpulijo iz mene za stvari, ki jih nisem rabil? Lahko tole pojasniš prosim? Saj veš, da ne izpadeš popolni bedak.

Balocom: super. Če to pomeni, da se mi pralni stroj ne bo pokvaril in da bodo vsi programi vedno oprali stvari v skladu z napisanim in z moje strani zahtevanim, idealno! Z veseljem kupim takega (no, saj sem tudi ga). Sem pa tudi prepričan (beri: subjektivno mnenje), da če bi Miele pralni stroj zavrnil nek poceni čangšlank pralni prašek in ti dovolil uporabljati le navadnega ali premium, da bi bil uporabnik bolj zadovoljen, ker ne bi bilo okvar in programi bi oprali kot je treba. Ampak hej, še dobro, da imaš napisano kaj stvar zmore in ne, da nisi presenečen ko nekaj že kupiš.

zeleni ::

Ce bo nekdo opozoril, da pralni stroj belo perilo obarva roza in ga bojo zato odpustili..
Bi si zelel stroj take firme?

nekikr ::

Kaj me briga za to, jaz kupujem artikel in ne notranje organizacije podjetja, ki ga izdeluje. In če je ta artikel ok, me to ne zanima (to, da belo perilo obarva roza pomeni, da pralni stroj povsem in v celoti ne deluje, tako da, če že hočeš nekaj dodati k debati, dodaj nekaj kar je podobno, ne pa da primerjaš nedelujočo stvarjo)

MrStein ::

V bistvu je ravno tak, da odpustijo ves oddelek, če v prodajo pustijo pralni stroj, ki obarva perilo.
Teštiram če delaž - umlaut dela: ä ?

francek1 ::

Apple sploh ne rabi haterjev; za to, da ga ljudje zasovrazijo, poskrbi kar sam.
Kdor se je že rodil učen se lahko reži...

amigo_no1 ::

Never underestimate the stupidity of the masses.

Preden bodo apple verniki ugotovili, da jih kuhajo, bo voda že zavrela.

Tud drugače precej brihtni narodi so podlegli (npr. Ein Volk, ein Reich, ein Führer narod).

Zgodovina sprememb…

frudi ::

Kako Apple ni monopolist? A se niso pred časom hvalili, kako da imajo 90+% delež med tablicami? Menda je v zadnjih mesecih to padlo na nekje 70%, ampak to je še vedno gladko prevladujoč delež.
1ACDoHVj3wn7N4EMpGVU4YGLR9HTfkNhTd... in case I've written something useful :)

win64 ::

Ja, protimonopolni zakoni očitno ne preprečujejo nastanek monopola, ampak je narejen samo zato, da malo cuzajo velike firme. Nobena firma pa zaradi teh kazni in kontrol ni izgubila monopolnega položaja. (Če ve kdo kakšen primer, je dobrodošlo)

sammy73 ::

Monopol sam ni problematičen, prepovedano je le izkoriščanje monopola za večanje delaža na kakem drugem področju.

win64: so primeri.

Iatromantis ::

win64 je izjavil:

Ja, protimonopolni zakoni očitno ne preprečujejo nastanek monopola, ampak je narejen samo zato, da malo cuzajo velike firme. Nobena firma pa zaradi teh kazni in kontrol ni izgubila monopolnega položaja. (Če ve kdo kakšen primer, je dobrodošlo)


Teh primerov je bilo v preteklosti precej več (Ma Bell..), odkar pa imamo mastodonstske banke, pa se očitno opušča tudi preganjanje škodljivih monopolov.

zeleni ::

nekikr je izjavil:

Kaj me briga za to, jaz kupujem artikel in ne notranje organizacije podjetja, ki ga izdeluje. In če je ta artikel ok, me to ne zanima (to, da belo perilo obarva roza pomeni, da pralni stroj povsem in v celoti ne deluje, tako da, če že hočeš nekaj dodati k debati, dodaj nekaj kar je podobno, ne pa da primerjaš nedelujočo stvarjo)


Pa bi bilo dobro, ce bi te brigal. Ne vem sicer zakaj mesas zraven notranjo organizacijo podjetja. Ce nekdo opozori na varnostno napako v izdelku in ga odpustijo sicer je notranja stvar podjetja, ampak direktno vpliva to tudi na potrosnika!

In ce bi bil osvescen uporabnik bi te taka stvar zanimala.

psihoxxx ::

če smo že pri monopolu - pravega monopola na trgu ni. monopol ne pomeni, da imaš prevladajoči delež, ampak da si edini ponudnik določene zadeve (pri nas je bil npr. včasih tak Telekom).

to kar mi smatramo kot monopol je dejansko oligopol. Torej na trgu je malo večjih igralcev, pri čemer niso nujno enakopravni po moči in zastopanosti. Navadno eno podjetje prevladuje (npr 50%25%25%; 70%30%), ni pa to nujno (lahko je tudi 50%50% - če sta na trgu samo dva ponudnika je sicer lahko to duopol, ampak če prav razumem je to le oblika oligopola)

nekikr ::

Pa bi bilo dobro, ce bi te brigal. Ne vem sicer zakaj mesas zraven notranjo organizacijo podjetja. Ce nekdo opozori na varnostno napako v izdelku in ga odpustijo sicer je notranja stvar podjetja, ampak direktno vpliva to tudi na potrosnika!

In ce bi bil osvescen uporabnik bi te taka stvar zanimala.


Močno upam, da ne kupuješ stvari v Mercatorju, ker bi to pomenilo, da si hinavski lažnivec. Pa močno upam, da noben iz tvoje družine ne kupuje tam, ker so potem bebavi neosveščeni uporabniki. Nekaj primerov je bilo, ko so uslužbenke Mercatorja dobile t.i. disciplinsko kazen, ker so omenile, da so izdelki v konkurenčnem podjetju cenejši. Upam, da razumeš podobnost in razliko. Če ne greš po utečeni poti in svoje podjetje najprej blatiš v javnosti te pač doleti pravična kazen kapitalističnega sveta. Ali ti je to všeč ali ne ni pomembno, takle mamo. In kot osveščenega uporabnika me niti najmanj ne zanima kaj se dogaja z notranjo organizacijo podjetja (kamor spadajo tudi take kazni veš, da ne boš čisto nepoučen). Na prodajni polici pogledam ali mi artikel ustreza ali ne, je cena prava ali ne. Za vse ostalo imamo zakone. In če ti niso všeč...no, pojdi v politiko in spremeni kaj, ne prepričuj me pa s svojimi srednješolskimi puhlicami.

Psihoxxx: ti si pa letos prvič na EF kajne? Povedal si zelo lepo, izbrane besede prof. Komana najbrž, ki pa niso točne. Pravno gledano je monopol kar v redu definiran in to je lahko tudi (ni pa nujno) oligopol. Priporočam branje o kartelnih dogovorih, da ti bo več jasno kaj mislim.

Iatromantis ::

nekikr je izjavil:

In kot osveščenega uporabnika me niti najmanj ne zanima kaj se dogaja z notranjo organizacijo podjetja


Potem pa nisi osveščen uporabnik ali pa misliš, da živiš v poštenem svetu, kjer ti niti s prstom ni treba migniti, saj je že vse popolno in tebi se ni treba truditi za kaj več ob dejstvu, da so tukaj zakoni in policaji, da delajo ta svet fer namesto tebe..

Odlična logika plašnic zaradi katere te sistem melje naprej, večina zapade v mentaliteto 'a job is a job', kot v filmu Repoman, manjšina 'sanjačev' pa lahko naredi življenje čisto pristno in dokazuje, da 'ignorance' ni edini 'bliss'...

nekikr ::

Kako lepo je izpostaviti en stavek, ga vzeti iz vsega konteksta ter biti pameten kajne?

Limit-sky ::

Iatromantis je izjavil:

nekikr je izjavil:

In kot osveščenega uporabnika me niti najmanj ne zanima kaj se dogaja z notranjo organizacijo podjetja


Potem pa nisi osveščen uporabnik ali pa misliš, da živiš v poštenem svetu, kjer ti niti s prstom ni treba migniti, saj je že vse popolno in tebi se ni treba truditi za kaj več ob dejstvu, da so tukaj zakoni in policaji, da delajo ta svet fer namesto tebe..

Odlična logika plašnic zaradi katere te sistem melje naprej, večina zapade v mentaliteto 'a job is a job', kot v filmu Repoman, manjšina 'sanjačev' pa lahko naredi življenje čisto pristno in dokazuje, da 'ignorance' ni edini 'bliss'...

Upam, da ne uporabljaš Intelovih procesorjev ali MS izdelkov, ker ti podpirajo aktivno Foxconn, ki pa vemo, da izkorišča uboge kitajčke za svoj profit.

Bor H ::

MS ne podpira direktno, če že koga pol izkoriščajo indijce za helpdesk, so pa Applove zadeve narejene praktične vse v foxconnovih tovarnah.

nekikr ::

Ampak Indijce pa lahko izkoriščamo kajne? Mislim, to je povsem ok, ker Indijci ne štejejo. Niti ne štejejo zaposleni kje drugje, važno je, da je Apple nekoga odpustil, kar je kaplja čez rob. Ker je pač Apple. Da to počnejo vsi ostali (direktno ali preko outsourcinga) pa ni pomembno za to debato? Kdo ima plašnice na očeh?

Limit-sky ::

Saj ni težko, no:
Foxconn @ Wikipedia

Če čisto malo izdelujejo pri njih je OK.


Vredno ogleda ...

TemaSporočilaOglediZadnje sporočilo
TemaSporočilaOglediZadnje sporočilo
»

Nepodpisana koda na iNapravah

Oddelek: Novice / Varnost
324409 (1786) Limit-sky
»

Microsoft 'podkupuje' razvijalce

Oddelek: Novice / Apple iPhone/iPad/iPod
4014630 (13236) lurker
»

Nemški založniki kritizirajo Apple

Oddelek: Novice / Apple iPhone/iPad/iPod
202434 (1433) sammy73
»

Apple spet čisti App Store

Oddelek: Novice / Apple iPhone/iPad/iPod
102072 (1343) |SNap|
»

Googlova božičnica bo telefon

Oddelek: Novice / Android
103952 (2847) d0rK

Več podobnih tem