iOS/iPadOS 14.5 befindet sich inzwischen seit einigen Wochen im Betatest und wird bei seiner Veröffentlichung für alle Nutzer diverse neue Funktionen mitbringen. Doch auch unter der Haube werden wichtige Neuerungen eingeführt, die für den Nutzer nocht offensichtlich sind, die Sicherheit von iPhone und iPad jedoch erheblich verbessern werden. Wie die Kollegen von Motherboard berichten, wird Apple dabei seinen Quellcode besser gegen sogenannte "Zero-Click" Angriffe absichern. Diese Angriffe erfordern kein Zutun des jeweiligen Nutzers, wie beispielsweise das Anklicken eines Links in einer Phishing-Mail oder ähnliches.

Bereits in der Vergangenheit versucht Apple derartige Angriffe mithilfe von sogenannten Pointer Authentication Codes (PAC) zu unterbinden. Hierbei werden kryptografische Verfahren eingesetzt, um Pointer im Code zu authentifizieren und zu validieren, bevor sie ausgeführt werden. Eingeschleuster Schadcode sollte hierdurch unterdrückt werden. Hinzu gesellen sich sogenannte ISA-Pointer, die die Anweisungen an eine Anwendung übermitteln, welcher Code genutzt werden soll, wenn sie unter iOS ausgeführt wird. Mit iOS/iPadOS 14.5 wird Apple nun auch diese Pointer verschlüsseln und signieren, was es deutlich schwieriger machen wird, Zero-Click Angriffe auszuführen. Apple hat inzwischen gegenüber den Kollegen bestätigt, dass diese Maßnahme in der finalen Version des kommenden Updates enthalten sein wird.

Mit der Veröffentlichung von macOS Big Sur hatte Apple im vergangenen November eine neue Maßnahme eingeführt, für die man viel Kritik einstecken musste. So lieferte man eine neue Konfigurationsdatei namens "ContentFilterExclusionList" mit dem neuen Betriebssystem aus, über die gesteuert wird, dass verschiedene Apple-Apps, wie beispielsweise der App Store, FaceTime, der Software Update Dienst oder auch die Musik-App nicht durch lokale Firewalls geblockt oder auch deren Datenverkehr überwacht werden kann. Mit dem Update auf Big Sur Version 11.2, von der man gestern Abend die zweite Betaversion veröffentlicht hat, wird man diese Änderung nun wieder rückgängig machen. Die angesprochene Datei ist in der aktuellen Beta nicht mehr vorhanden.

Ans Tageslicht gekommen waren die Firewall-Sonerberechtigungen für Apple-eigene Apps durch die Probleme, die es beim Rollout von macOS Big Sur im November gab. In diesem Zusammenhang fielen verschiedene Apple-Server aus, wodurch diverse Apps nicht mehr nutzbar waren, da ihre Validität nicht überprüft werden konnte. Als Entwickler daraufhin versuchten, die Kontakierung der Server durch eine Firewall zu blockieren, bemerkten sie, dass dies bei verschiedenen Apple-Apps aufgrund der neuen Konfigurationsdatei nicht funktioniert.

Selbstverständlich stellt eine solche Maßnahme durchaus auch ein Sicherheitsrisiko dar, was auch verschiedene Beispiele aus der Hacker-Szene bereits verdeutlicht haben, in denen es gelungen ist, die Sonderregeln auszunutzen, um Firewallregeln zu umgehen.

Durch den Wegfall der Konfigurationsdatei in der zweiten Beta von macOS Big Sur 11.2 ist es auch Apple-Apps nun nicht mehr möglich, Firewalleinstellungen zu umgehen und werden somit wieder genauso behandelt, wie auch die Apps von AppStore-Entwicklern, wie der Sicherheitsforscher Patrick Wardle berichtet.

Omg we did it! ????

Thanks to the community feedback (and ya, bad press) Apple decided to remove the ContentFilterExclusionList (in 11.2 beta 2)

Means socket filter firewalls (e.g. LuLu) can now comprehensively monitor/block all OS traffic!!

Read more: https://t.co/GJXkRA31e7 https://t.co/BCPqdCjkV0

— patrick wardle (@patrickwardle) January 13, 2021

Apple hatte nach dem Aufkommen der Kritik an der Maßnahme in macOS Big Sur reagiert und sich seinerzeit nicht nur öffentlich entschuldigt, sondern auch Veränderungen angekündigt, um die Arbeit unter der Haube von macOS für den Nutzer transparenter und nachvollziehbarer zu machen. Das Entfernen der "ContentFilterExclusionList" dürfte nun eine erste Konsequenz aus dieser Ankündigung sein.

Die Kollegen von iFun.de haben ein neues deutschsprachiges Erklärvideo zum Thema Zwei-Faktor-Authentifizierung von Apple entdeckt, auf das ich auch meine Leser an dieser Stelle gerne hinweise. Die Zwei-Faktor-Authentifizierung wird nicht nur von Apple, sondern auch von mir wärmstens empfohlen, erhöht sie doch die Sicherheit der eigenen Apple-ID um ein Vielfaches. Auf diese Weise wird nämlich sichergestellt, dass auch wirklich eine berechtigte Person tiefgreifende Änderungen an den Stammdaten einer Apple-ID vornimmt oder sich von einem zuvor nicht genutzten Gerät bei dieser anmeldet.

Hierzu wird in den geschilderten Fällen zusätzlich zum Passwort ein sechsstelliger Code angefordert, der von Apple an ein vom Nutzer benanntes vertrauenswürdiges Gerät geschickt wird und zusätzlich zur Apple-ID samt Passwort eingegeben werden muss. Hierdurch wird gewährleistet, dass die persönlichen Daten auch dann geschützt sind, wenn jemand über das Passwort zur Apple-ID verfügt. Übrigens bietet nicht nur Apple einen solchen Zusatzschutz an, auch bei anderen Diensten, wie beispielsweise Facebook, Dropbox, PayPal oder Flickr kann dies eingerichtet werden.

Bei der Hinweismeldung, dass die Apple-ID verwendet wird, um sich auf einem neuen gerät anzumelden, kommt es allerdings leider auch immer wieder zu Verwirrungen, da Apple in dem entsprechenden Pop-Up auch den Standort anzeigt, von dem aus auf das Konto zugegriffen wird. Dieser hat allerdings in den seltensten Fällen etwas mit der Realität zu tun. Auf diesen Umstand geht Apple in dem neuen Erklärvideo ebenso ein, wie auf die unbedingte Empfehlung, neben den vertrauenswürdigen Geräten auch eine gültige "vertrauenswürdige Telefonnummer" zu hinterlegen. Diese kann alternativ genutzt werden, sollte man einmal keinen Zugriff mehr auf die vertrauenswürdigen Geräte haben. Sämtliche Konfigurationen rund um die Sicherheit der Apple-ID können auf der Apple-Webseite appleid.apple.com/ vorgenommen werden.

YouTube Direktlink

Es ist schon einigermaßen schizophren. Die nach wie vor wichtigste Sicherheitsmaßnahme in Bezug auf unser digitales Leben ist auch gleichzeitig die oftmals am meisten vernachlässigte. Die Rede ist vom herkömmlichen Passwort. So gut wie alle digitalen Dienste werden heute mit einem solchen Passwort geschützt und dennoch machen sich viele Menschen keine wirklichen Gedanken über die Stärke und damit auch die Sicherheit ihres Passworts. Regelmäßig tauchen in den Listen der am häufigsten verwendeten Passwörter Zeichenketten wie 12345, qwertz oder passwort auf. Das diese nicht nur unglaublich leicht erraten, sondern von Algorithmen auch innerhalb von Bruchteilen einer Sekunde geknackt werden können, versteht sich dabei von selbst. Oftmals steht hier die Bequemlichkeit vor der Sicherheit - und das auch noch im Jahr 2018!

An jedem 01. Februar eines Jahres steht nun der sogenannte "Ändere dein Passwort"-Tag auf dem Programm. Oftmals hört man, dass man Passwörter regelmäßig wechseln sollte. Dabei ist dies eigentlich gar nicht die sinnvollste Maßnahme. Zumindest dann nicht, wenn man es bloß um des Ändernwillens tut. Das ein Jahr lang benutzte Passwort 12345 nun auf 98765 zu ändern erfüllt schließlich auch nicht den Zweck einer Sicherheitsverbesserung. Stattdessen sollte man sich bei jedem Passwort intensiv Gedanken machen.

Ein extrem komplexes Passwort kann durchaus so sicher sein, dass man es eben nicht regelmäßig ändern braucht, ja sogar muss. Darüber hinaus sollte man nie für verschiedene Onlinedienste dasselbe Passwort verwenden. Wird es nämlich auf den angegriffenen Servern eines dieser Dienste geknackt, sind damit auch alle anderen Dienste, wo man dieselbe Kombination aus Benutzernamen und Passwort verwendet, ebenfalls betroffen. Inzwischen existiert sogar ein recht reger Handel mit diesen Daten in den hinteren Ecken des Internets.

Aus diesem Grunde sollte man am heutigen "Ändere dein Passwort"-Tag vielleicht einmal weniger über eine Änderung des eigenen Passworts (oder im Idealfall der eigenen Passwörter) nachdenken, sondern vielmehr darüber, wie sicher dieses eigentlich ist. Nach wie vor gilt als empfehlung, eine mindestens 12 Zeichen lange Kette von zusammenhangslos zusammengewürfelten großen und kleinen Buchstaben, Zahlen und Sonderzeichen als sicherste Variante. Solche Passwörter lassen sich unter anderem von einem Passwort-Manager generieren, der dann auch gleich noch in der Lage ist, diese zu speichern und zu verwalten. Selbstverständlich sollte das dabei verwendete Master-Passwort den höchsten Sicherheitsansprüchen genügen.

Selbstverständlich gibt es solche Passwort-Manager inzwischen auch als Apps für das iPhone und iPad. Zu den bekanntesten Vertretern gehören dabei 1Password, Enpass oder LastPass (allesamt kostenlos im AppStore). Auch auf dem Mac gibt es entsprechende Programme, die sich in der Regel verschlüsselt über die Cloud mit ihren iOS-Pendants synchronisieren: 1Password, Enpass oder LastPass (allesamt kostenlos im Mac AppStore).