Nov 16: Apples Serverausfall zum Start von macOS Big Sur tritt Datenschutz-Diskussion los - Apple reagiert
Die vergangenen Tage werden wohl nicht unbedingt als die glorreichsten in Apples Geschichte eingehen. Am gestrigen Sonntag musste ich gleich über mehrere Meldungen zu Problemen mit dem iPhone 12, iOS 14 und macOS Big Sur berichten. Hinzu kommen auch noch die massiven Serverprobleme am vergangenen Donnerstag zur Veröffentlichung des neuen Mac-Betriebssystems. Während die Probleme für die meisten Nutzer, die sich auf das neue System gefreut haben, vor allem ärgerlich gewesen sind, sorgten sie auch für eine handfeste Diskussion zum Thema Datenschutz. Der Grund hierfür ist, dass sich verschiedene Sicherheitsforscher und Datenschutzexperten näher mit den Gründen hinter dem Serverausfall beschäftigt haben, der unter anderem auch dazu führte, dass sich manche Apps auf dem Mac nicht mehr starten ließen.
Der Grund für letzteres Phänomen war schnell gefunden und wurde von dem Sicherheitsforscher Jeffry Paul im Detail durchlechtet. So baut der Mac beim Start von Apps im Hintergrund eine Verbindung zum OCSP-Server von Apple auf, um dort die Validität des Entwickler-Zertifikats und der App selbst zu überprüfen. Steht keine Internetverbindung zur Verfügung, wird diese Prüfung ausgesetzt. Ist hingegen der Apple-Server aus einem anderen Grund nicht verfügbar, also so wie am vergangenen Donnerstag, bricht das System zusammen und die Apps können nicht gestartet werden. Blockt man hingegen die ausgehende Verbindung zu dem Server direkt auf dem Mac, wie zum Beispiel mit der Firewall Little Snitch, lassen sich die Apps wieder nutzen. Ein kompliziertes, offenbar nicht ganz zu Ende gedachtes Konstrukt also.
Wie Paul weiter ausführt, erstellen aktuelle Versionen von macOS einen eindeutigen Hashwert zu jeder App, die gestartet wird und schickt diesen an den OCSP-Server um ihn zu prüfen. Der Sicherheitsforscher sieht hierin ein größeres Datenschutzproblem, da neben dem Hashwert natürlich noch weitere Informationen an den Apple-Server übertragen werden, die sich zum Teil auch aus der verwendeten IP-Adresse des Nutzers ergeben. Hierzu gehören konkret das Datum, die Zeit, das Betriebssystem, der Internetprovider und Ortsinformationen. Paul schließt daraus, dass Apple aus diesen Daten ermitteln kann, wenn sich ein Nutzer zu Hause befindet, wann auf der Arbeit, wann im Urlaub, welche Apps er nutzt oder auch wie oft er dies tut.
Während dies für die meisten Nutzer erst einmal wenig bedenklich klingt, da derlei Informationen auch bei anderen Anwendungsfällen übertragen werden müssen (dies bringt das Internet nun mal so mit sich), argumentiert Paul, dass die Verbindung zum OCSP-Server unverschlüsselt ist und somit theoretisch auch andere Institutionen, wie der Internetprovider, Apples CDN-Partner Akamai oder auch Regierungsbehörden einsehen könnten.
Ein noch größeres Problem ergibt sich laut Paul aus macOS Big Sur. Darin hat Apple nämlich neue APIs eingeführt, die beispielsweise die oben angesprochene Firewall Little Snitch daran hindern, bestimmten ausgehenden Datenverkehr von Apple zu unterbinden. Gerade vor dem Hintergrund das Macs auf Basis von "Apple Silicon" ausschließlich mit macOS Big Sur laufen, kritisiert der Sicherheitsforscher Apples neuen Ansatz heftig mit den Worten "you can have a fast and efficient machine, or you can have a private one". Verbindungen zu den Apple-Servern lassen sich somit nicht mehr vom Nutzer unterbingen, da Apple dies über das Betriebssystem schlicht nicht zulässt. Die gesamte Analyse von Jeffry Paul kann über diesen Link eingesehen werden.
Selbstverständlich klingt dies im ersten Moment in der Tat höchst bedenklich. Auf der anderen Seite stellt Apple immer wieder heraus, dass Sicherheit und Datenschutz für das Unternehmen zu den höchsten Gütern gehören, weswegen man an dieser Stelle noch nicht zwingend sämtliche Apple-Geräte in die Tonne werfen sollte. Inzwischen hat sich Apple auch in Form einer Aktualisierung des Support-Dokuments "Safely open apps on your Mac" (die deutsche Version wurde noch nicht angepasst) zu den Berichten geäußert. Das Unternehmen schreibt dazu in der neuen Datenschutz-Sektion:
macOS wurde entwickelt, um seine Nutzer, ihre Daten und ihre Privatsphäre zu schützen.
Hierzu führt Gatekeeper Onlineprüfungen durch, um sicherzustellen, dass eine App keinen Schadcode enthält und das Entwicklerzertifikat gültig ist. Daten aus diesen Prüfungen wurden zu keiner Zeit kombiniert, um Informationen zu Apple-Nutzern und ihren Geräten zu erstellen. Zudem werden die Informationen auch nicht genutzt um zu ermitteln, welche Apps die Nutzer auf ihren Geräten verwenden.
Die Notarisierung prüft mithilfe einer verschlüsselten Verbindung, die Serverausfällen standhält, ob die App bekannte Malware enthält.
Diese Sicherheitsüberprüfungen enthielten niemals die Apple ID des Benutzers oder die Identität seines Geräts. Um den Datenschutz weiter zu schützen, haben wir die Protokollierung von IP-Adressen im Zusammenhang mit der Überprüfung von Entwickler-ID-Zertifikaten eingestellt und stellen sicher, dass alle gesammelten IP-Adressen aus den Protokollen entfernt werden.
Darüber hinaus wird Apple in den kommenden Monaten weitere Maßnahmen ergreifen, um die angesprochenen Sicherheitsprüfungen noch sicherer zu machen. Hierzu gehören unter anderem:
- Ein neues verschlüsseltes Protokoll für die Überprüfung von Entwickler-Zertifikaten
- Ein besserer Schutz vor Serverausfällen
- Eine neue Systeminstellung, um diese Sicherheitsmaßnahmen zu deaktivieren
Die angekündigten Maßnahmen dürften mit den kommenden Updates für macOS Big Sur schrittweise eingeführt werden.
Ja, man mag mir wieder vorwerfen, dass ich Apple gegen die erhobenen Vorwürfe in guter alter Fanboy-Manier verteidige. Ganz so einfach ist es aber nicht. Die Onlineprüfung der Apps auf Malware und ein gültiges Entwicklerzertifikat ist von der Idee her eine Maßnahme, die Sicherheit des Systems und damit auch der Nutzer zu verbessern. Dass damit einhergehend verschiedene Informationen, wie die IP-Adresse und verschiedene Informationen zum System übertragen werden müssen, ist leider technisch notwendig. Nicht wirklich gelungen ist hingegen die aktuelle Umsetzung in unverschlüsselter Form und die Kommunikation der neuen Maßnahmen in macOS Big Sur, bestimmte Verbindungen zu den Apple-Servern nicht mehr unterbinden zu können. Hierauf wird man nun mit den obene genannten Punkten reagieren. Ein glückliches Bild gibt man damit aber derzeit dennoch nicht ab.
