Biometrische Sensoren zur Identitätsüberprüfung sind auf aktuellen Smartphones bereits gang und gäbe. Demnächst könnte dies auch bei Browsern im Web der Fall sein. So befindet sich bereits ein entsprechender Standard mit Namen "WebAuthn" in der Umsetzung durch die Web Authentication Working Group. Eine Candidate Recommendation wurde bereits ausgesprochen und es wird erwartet, dass die W3C dem in Kürze folgen wird. Damit dies geschehen kann, werden zwei unabhängige Implementierungen der neuen Web Authentication API in Browsern.benötigt. Den ersten Schritt ist dabei nun Mozilla mit seinem Firefox-Browser gegangen, wie Engadget berichtet. Chrome und Edge sollen in den kommenden Monaten folgen.

Bislang ist von Apples Safari-Browser noch keine Rede, allerdings ist die neue API wie geschaffen für Apple und die hauseigenen Face ID und Touch ID Sensoren, die es künftig auch ermöglichen könnten, sich auf Webseiten ohne die Eingabe eines Passworts anzumelden. Ob dies dann rein Safari vorbehalten bleibt oder auch andere Browser am Mac unterstützt werden, hängt dann einzig und allein von Apple ab.

Aktuell findet im kanadischen Vancouver die 18 CanSecWest Sicherheitskonferenz statt, auf der Sicherheitsforscher und Hacker sich unter anderem auch im Rahmen des 11. Pwn2Own Hacking-Wettbewerbs messen, bei dem insgesamt über 2 Millionen US-Dollar an Preisgeld für erfolgreiche Angriffe auf verschiedene Computersysteme ausgelobt sind. Die Ergebnisse des ersten Tages wurden inzwischen auf der Zero Day Initiative Webseite veröffentlicht. Darunter befinden sich auch verschiedene erfolgreiche Angriffe auf den Mac und Apples Safari-Browser.

Samuel Groß von phoenhex war dabei erfolgreich, einen Angriff auf die Desktop-Version von Safari durchzuführen. Er nutzte dabei einen JIT-Bug in Safari, einen Logikbug in macOS und einen Angriff auf den Kernel aus, wodurch er unter anderem in der Lage war, eine Textnachricht auf der Touch Bar eines MacBook Pro anzuzeigen. Groß erhielt hierfür ein Preisgeld in Höhe von 65.000,- US-Dollar und sechs Punkte in der "Master of Pwn" Rangliste. Bereits im vergangenen Jahr konnte Groß einen ähnlichen Angriff auf Safari am Mac erfolgrreich ausführen.

Auch auf dem iPhone war ein Angriff auf Safari erfolgreich. So war Richard Zhu in der Lage, sie Sicherheitsprotokolle auf einem iPhone 7 dank zweier Safari-Bugs auszuhebeln. Dies hatte er bereits auf dem Pwn2Own Mobile-Event im November demonstriert. Auf der aktuellen Konferenz scheiterte er allerdings an dem gesetzten Zeitlimit für den Angriff von 30 Minuten.

Sämtliche auf der Konferenz aufgedeckten Bugs und Sicherheitsprobleme werden den betroffenen Unternehmen und Anbietern bekanntgemacht, so dass sie sie mithilfe von Aktualisierungen beheben können. Auch Apple-Ingenieure waren in der Vergangenheit auf der Konferenz anwesend, um die gezeigten Hacks direkt vor Ort unter die Lupe nehmen zu können.

Wie in der vergangenen Woche angekündigt, hat Apple heute die mit der Veröffentlichung von iOS 11.2 und macOS High Sierra 10.13.2 bereits gestopften Prozessor-Sicherheitslücken "Meltdown" und "Spectre" weiter geschlossen. iOS 11.2.2 und das ergänzende Update für macOS High Sierra 10.13.2 kümmern sich dabei vor allem um das von "Spectre" betroffene Safari und die zugrundeliegende WebKit-Engine. Hierzu steht inzwischen zudem auch das Update auf Safari 11.0.2 für OS X El Capitan 10.11.6 und macOS Sierra 10.12.6 zum Download bereit. Ähnlich wie bei den anderen Updates, die sich um die Verbesserung der Sicherheit kümmern, ist auch die Installation dieses Updates dringend empfohlen.

Im Sog der "großen" Updates des heutigen Abends auf iOS 11, tvOS 11 und watchOS 4 hat Apple auch einige weitere Updates veröffentlicht. Das vermutlich Wichtigste darunter ist die Aktualisierung auf Safari 11 am Mac. Apple empfiehlt das Update allen Nutzern von macOS Sierra und macOS El Capitan, da es Verbesserungen für Datenschutz, Kompatibiltät und Sicherheit enthält. Darüber hinaus verhindert Safari 11 nun von Haus aus das automatische Abspielen von Inhalten auf den meisten Webseiten und verbessert generell Leistung und Effizient. Die Aktualisierung auf Safari 11 kann ab sofort über den Update-Bereich des Mac AppStore geladen werden.

Ebenfalls für den Mac, dort aber vornehmlich für Entwickler, steht auch das erwartete Update auf Xcode 9 zum Download bereit. Diese neue Version von Apples Entwicklungsumgebung begleitete iOS 11 und macOS High Sierra auch während ihrer Betaphasen seit der WWDC. Enthalten ist neben Swift 4 natürlich auch die komplette Unterstützung für die neuen Betriebssysteme. Zudem enthält Xcode 9 diverse Verbesserungen und Erleichterungen bei der App-Entwicklung. Auch diese Aktualisierung kann aus dem Update-Bereich des Mac AppStore bzw. aus Apples Developer Center geladen werden.

Aus dem iOS AppStore lassen sich ebenfalls zwei Updates laden. Hier stehen neue Versionen von TestFlight (kostenlos im AppStore) und Swift Playgrounds (kostenlos im AppStore). TestFlight bekommt dabei sein erstes großes Update spendiert und erhält dabei auch direkt ein neues, an iOS 11 angepasstes User Interface, sowie weiteren kleinen Verbesserungen. Apples Swift-Lernapp für das iPad mit Namen Swift Playgrounds erhält in der neuen Version unter anderem neue Optionen für Augmented-Reality-Apps und Zugriff auf die iPad-Kamera. Beide Aktualisierungen können direkt aus dem Update-Bereich des iOS AppStore geladen werden.

Wer des Öfteren mal die Google-Suche in Safari auf dem iPhone bemüht, wird garantiert schon das eine oder andere Mal über sogenannte AMPs gestolpert sein. Bei diese Accelerated Mobile Pages handelt es sich um ein von Google entwickeltes Format, welches speziell an mobile Geräte angepasst ist und dort extrem schnell lädt. In die Kritik gekommen ist das Format allerdings, da sich in die auf diese Weise aufbereiteten Seiten ausschließlich Werbebanner aus Google AdSense anzeigen lassen. Auf dem iPhone werden diese Seiten aus der Google-Suche heraus standardmäßig angezeigt. Dies hat den weiteren Nachteil, dass die dabei aufgerufenen Links automatisch verändert werden. So wird beispielsweise aus http://m.bild.de bei der AMP-Version http://www.google.de/amp/m.bild.de, was vor allem beim Teilen von Links aus Safari heraus nervte.

Dankenswerterweise wird sich dieses Verhalten unter iOS 11 ändern. Zwar werden auch dann nach wie vor die gegoogelten Seiten in der AMP-Version geladen, die geteilten Links leiten aber wieder auf die Original-Adresse. Dies hat nun der Kollege Federico Viticci herausgefunden. Und offenbar handelt es sich hierbei sogar um einen Wunsch von Seiten Googles. So schreibt ein offensichtlicher Google-Mitarbeiter in einem Forum:

Just wanted to clarify that we specifically requested Apple (and other browser vendors) to do this. AMP's policy states that platforms should share the canonical URL of an article whenever technically possible. This browser change makes it technically possible in Safari. We cannot wait for other vendors to implement.

It appears Safari implemented a special case. We'd prefer a more generic solution where browsers would share the canonical link by default, but this works for us.

Anfang des Jahres wurde bekannt, dass Apple sich dem Wireless Power Consortium angeschlossen hatte, was inzwischen dazu führt, dass immer mehr Beobachter erwarten, dass das iPhone 8 den vom WPC unterstützten Qi-Standard für kabelloses Laden adaptieren wird. Nun sind drei Entwickler aus Cupertino auch der WebVR-Vereinigung beigetreten, was Apples Bestrebungen in Sachen Virtual und Augmented Reality weiteren Nachdruck verleihen dürfte. Vorrangiges Ziel der von Mozilla und Google geführten Vereinigung ist, einen einheitlichen und browserunabhängigen Standard für Virtual Reality Anwendungen zu etablieren. Neben den beiden Initiatoren und nun auch Apple beteiligen sich unter anderem auch Entwickler von Vodafone, Intel, Microsoft, Samsung, W3C und weiteren großen Organisationen an der Weiterentwicklung. Die drei Apple-Entwickler dürften in erster Linie ihren Teil für die Kompatibilität zu Safari in das Projekt einbringen.

Den Namen Tim Berners-Lee kennt jeder, der schon einmal ansatzweise irgendwas mit Informatik zu tun gehabt hat. Er ist der Erfinder dessen, was wir heute als Internet kennen. Aktuell hat jener Pionier in einem Gastbeitrag für den Guardian die drei Dinge angeprangert, die ihn heute am meisten am Internet stören. Einen Punkt, den er dabei nicht aufgreift, sind selbststartende Videos. Zugegeben, die Punkte, die Berners-Lee anspricht, sind deutlich wichtiger und weitreichender, für den Nutzer aber beinahe ebenso nervig ist es, wenn man eine Webseite aufruft und von irgendwo auf einmal ein Sound ertönt weil ein (Werbe-)Video ungefragt anfängt zu laufen. Mal ganz abgesehen davon, dass sie nicht nur Bandbreite, sondern auch Performance am Mac kosten.

Gott sei Dank kann man sich gegen diese Videos wehren, wenn auch etwas umständlich. Der Blogger Kirk McElhearn hat nun die verschiedenen Optionen zusammengetragen, die einem dabei zur Verfügung stehen. Nutzt man als Browder Chrome oder Firefox am Mac, stehen einem zum Unterbinden der selbstspielenden Videos Plugins zur Verfügung, die einfach geladen und installiert werden können:

• Firefox: FlashStopper
• Chrome: Disable HTML5 Autoplay plugin

Nutzt man hingegen den vorinstallierten Safari-Browser, muss man sich eines kleinen Tricks bedienen. Hierzu beendet man zunächst Safari komplett und öffnet dann das Terminal. Hier gibt man dann den folgenden Befehl ein und bestätigt ihn anschließend mit Enter:

• defaults write com.apple.Safari IncludeInternalDebugMenu 1

Anschließend kann man das Terminal wieder beenden und Safari neu starten. Hier findet man nun ein neues Menü namens Debug, in dem man anschließend im Untermenü "Media Flags" den Punkt "Disallow Inline Video" aktiviert. Dieser führt dazu, dass künftig keine Videos mehr ungefragt gestartet werden.

Möchte man das Debug-Menü anschließend wieder ausblenden, funktioniert dies erneut im Terminal. Also wieder Safari beenden, Terminal starten, den folgenden Befehl eingeben und mit Enter bestätigen:

• defaults write com.apple.Safari IncludeInternalDebugMenu 0

Möchte man sich den Umweg über das Debug-Menü komplett sparen, kann man die Funktion auch direkt mit den beiden folgenden, jeweils mit Enter zu bestätigenden Befehlen über das Terminal steuern:

• defaults write com.apple.Safari WebKitMediaPlaybackAllowsInline -bool false

• defaults write com.apple.Safari com.apple.Safari.ContentPageGroupIdentifier.WebKit2AllowsInlineMediaPlayback -bool false

Um die Befehle rückgängig zu machen, verwendet man dieselben Befehle, ersetzt das "false" am Ende jedoch durch ein "true".

Gestern kamen verschiedentlich Berichte auf, wonach Apple auf seinen iCloud-Servern den Browser-Verlauf von Safari länger speichert, als dies eigentlich vorgesehen sei. Selbst eigentlich vom Nutzer gelöschte Einträge lassen sich demnach über einen längeren Zeitraum wiederherstellen. Zu diesem Ergebnis kommt zumindest der Elcomsoft CEO Vladimir Katalov, der dieses Phänomen mit der von seinem Unternehmen entwickelten forensischen Software entdeckte. Dabei entdeckte er eine Datenbank von gelöschten Safari-Verläufen, die sich in Klartext auslesen lasse. Während solche Meldungen natürlich für eine Menge Aufsehen sorgen (und ich vermute mal, nichts anderes hatte der Kollege Katalov im Sinn), ist eine Erklärung für die genannten Umstände schnell gefunden.

Apple selbst hatte bereits vor einiger Zeit bestätigt, dass man bestimmte Daten für eine bestimmte Zeit speichere um sicherzugehen, dass diese nicht zu einem Gerät oder einem Account gehören, der nur vorübergehend stillgelegt ist und zu einem späteren Zeitpunkt doch wieder auftaucht. Für diesen Fall will Apple vorbereitet sein und hält die Daten entsprechend vor. Einzig beunruhigend ist dabei, dass sich die URLs der Datenbank in Klartext auslesen lassen. Doch auch dieses Problem ist bereits seit über einem Jahr gelöst. Genauer gesagt hat Apple den Klartext-Sync mit iOS 9.3 verschlüsselt und auch die Serverinfrastruktur entsprechend umgestellt, so dass das Auslesen von aktuellen Daten inzwischen überhaupt nicht mehr möglich ist. Alles in allem also viel heiße Luft um nichts. (via 9to5Mac)