Sicherheit in Apples iOS 8

Wie schon lange üblich, hat Apple bei seiner World Wide Developers Conference in der letzten Woche die neueste Variante seines mobilen Betriebssystems vorgestellt. Die Firma aus dem kalifornischen Cupertino nennt das neue iOS 8 „das fortschrittlichste mobile Betriebssystem der Welt“. Über diese Behauptung kann man natürlich geteilter Meinung sein, doch die Plattform enthält einige gut durchdachte Sicherheits- und Privatsphärefunktionen, zudem wurde die App-Entwicklungsumgebung enorm umgebaut.

Die stärkste Neuerung bei der Sicherheit und Privatsphäre wird von den Anwendern wahrscheinlich am wenigsten bemerkt: Die zufällige Generierung von MAC-Adressen (Media Access Control). MAC-Adressen sind einzigartige Kennungen, die fast überall für die Nachverfolgung von Geräten und Überwachung des Nutzerverhaltens in WLAN-Netzwerken genutzt werden. Händler und andere Firmen überwachen MAC-Adressen, um mehr über das Verhalten Ihrer Kunden herauszufinden, wenn sich diese mit öffentlichen WLAN-Netzen verbinden.

Das Problem dabei ist, dass viele Nutzer gar nicht wissen, dass das passiert – was bedeutet, dass sie dem eigentlich nicht zustimmen, zumindest nicht im traditionellen Sinne.

Mit iOS 8 werden iGeräte nun zufällige MAC-Adressen generieren, wenn die Geräte von drahtlosen Netzerken erfasst und gescannt werden. Damit wird es ganz nebenbei für Händler unmöglich gemacht, die Aktionen von Kunden auf ihren Seiten sowie weiteres Nutzerverhalten nachzuverfolgen. Die zufällige Generierung von MAC-Adressen ist für viele Apple-Fans ein enormes Update ihrer Privatsphäre, das sie vielleicht nicht einmal bemerken werden.

Die zufällige Generierung von MAC-Adressen ist für viele #Apple-Fans ein enormes Update ihrer #Privatsphäre, das sie vielleicht nicht einmal bemerken werden.

Tweet

Eine weiteres schönes Update der Sicherheit und Privatsphäre macht es den Anwendern möglich, DuckDuckGo als Standard-Suchmaschine in Safari einzurichten. DuckDuckGo ist eine alternative Suchmaschine, die keine Nutzerdaten basierend auf den Suchanfragen und auch keine anderen Daten sammelt. Zudem stellt DuckDuckGo sicher, dass die Anwender – wenn möglich – auf sichere Seiten mit verschlüsselter HTTPS-Verbindung geleitet werden. Suchanfragen bei DuckDuckGo sind in gewisser Weise organischer, denn Ihre Anfragen werden nicht nach Ihren vermuteten Interessen zusammengestellt, wie das oft bei anderen Suchmaschinen der Fall ist.

Natürlich bietet die neue Betriebsystemsversion auch eine Menge auffälligerer und nützlicher Funktionen. Fotos werden mit allen verbundenen Geräten geteilt, man kann ganz einfach Sprache zu SMS-Nachrichten hinzufügen (wobei ich immer dachte, für so etwas seien Telefonanrufe da) und Apple hebt auch die neue und sauberere Oberfläche für Benachrichtigungen hervor. Natürlich könnte das Teilen von Fotos mit verbundenen Geräten ein Sicherheits- und Privatsphäreproblem darstellen, doch hier kann man nur wenig machen.

Manche der neuen Tastaturfunktionen zusammen mit der Family-Share-Funktion, der tieferen iCloud-Integration und dem ganz offensichtlichen Streben nach mehr neuen App-Entwicklungen, könnten allerdings ernste Folgen für die Sicherheit haben.

Apple bewirbt vor allem auch das neue Software Developers Kit (SDK) als das beste, seit dem ersten start des App Stores, das mehr als 4.000 Application Programming Interfaces (API) bietet. Wenn ich die Pressemitteilung richtig verstehe, kommen diese mit einer neuen Programmiersprache für Apps, die den App Store in ein offeneres, Google-Play-ähnliches System verwandeln wird (wobei aber die Prüfungsregeln von Apple weiterhin gelten werden). Auf der einen Seite bedeutet das, dass es mehr Apps geben wird. Auf der anderen Seite bedeutet es, dass es auch mehr Bedrohungen geben wird, die zu einem Risiko für die Anwender werden könnten, je nachdem, wie sich Apple um die Sicherheit in der veränderten Umgebung kümmern wird.

Eines der neuen Developer Kits, die wir weiter beobachten werden, ist „HealthKit“. Damit können Entwickler eigene Gesundheits- und Fitness-Apps erstellen, die untereinander besser kommunizieren und bestimmte Informationen, etwa Trainingsdaten und den Blutdruck der Anwender, teilen können. In den letzten Jahren ist der Markt für solche Apps enorm gewachsen. Unser Interesse wurde im letzten Monat geweckt, als die United States Federal Trade Commission einen Bericht veröffentlichte, in dem sie davor warnte, dass solche Gesundheits- und Fitness-Apps beim Sammeln und Teilen von Informationen über den Anwender oft ein unschönes Eigenleben entwickeln. Das Problem wird noch verschärft, wenn die Anwender unterschiedlichen Apps die Möglichkeit geben, Daten untereinander auszutauschen – selbst wenn die Anwender das erlauben, was oft schon durch das Erlauben von Zugriffsrechten passiert. Um fair zu sein, muss man aber auch sagen, dass es vielleicht ein ganz guter Kompromiss sein kann, persönliche Daten preiszugeben, wenn Sie dafür etwas mehr für Ihre Fitness tun.

HomeKit ist eine andere neue API, die uns etwas Sorgen macht. Damit können Entwickler Apps erstellen, die mit den immer vernetzteren und „smarteren“ Geräten moderner Haushalte kommunizieren können. Wenn Sie regelmäßig unser Blog lesen, wissen Sie, wie schlecht es um die Sicherheit solcher Automationssysteme und Smart-Häuser steht. Apple behauptet, dass das Ganze mit der Sicherheit Hand in Hand geht – wahrscheinlich, indem auf irgendeine Art Verschlüsselung genutzt wird – und sicher konfiguriert wird, allerdings ist es schwer zu beurteilen, ob so etwas wirklich sicher ist, bevor es überhaupt auf dem Markt ist.

Insgesamt scheint diese neue Version die existierende Entwicklungsumgebung von Apple komplett umzubauen. Das ist natürlich aufregend, denn es bedeutet, dass neuere, innovativere Apps kommen werden, inklusive virtueller Tastaturen von Drittanbietern, Widgets usw. Allerdings ist das auch ein bisschen beängstigend, denn mit all der Innovation kommen auch eine größere Angriffsfläche und besorgniserregendere Attacken. Wie oben angedeutet, werden wir wohl mehr schädliche Apps bekommen, wenn der App Store so offen wie unter Android sein wird.

Wenn Sie wirklich bis ins Detail erfahren wollen, wie diese neue Entwicklung der Apps die Sicherheit beeinflussen wird – auch im vergleich mit Android – dann sollten Sie die zweite Seite dieses umfassenden Ars Technica Artikels von Andrew Cunningham lesen.

Darüber hinaus bietet die neue Tastatur die Möglichkeit, dass Sie beim Tippen „mögliche Worte oder Phrasen sehen, die Sie wahrscheinlich als nächstes eingeben wollen – basierend auf vorhergehenden Konversationen und Ihrem Schreibstil“. Zusätzlich „zieht iOS 8 in betracht, dass Sie in SMS-Nachrichten vielleicht einen lockeren Stil verwenden, in E-Mails dagegen eine formellere Sprache“ und „passt sich auch daran an, mit welcher Person Sie kommunizieren, denn bei Ihrem Partner ist Ihre Sprache wahrscheinlich lockerer als bei Ihrem Chef“.

Zusammengenommen bedeuten all diese Funktionen, dass Apple mehr Informationen über Sie sammelt, was eine Verschlechterung der Privatsphäre bedeutet, egal, wie praktisch sie sind. Der vergrößerte iCloud-Speicherplatz bedeutet, dass Sie mehr und mehr vertrauliche Informationen an einem einzigen Ort speichern werden, so dass Sie sich genauer mit den Sicherheitsfunktionen des Dienstes beschäftigen und diese nutzen müssen. Aber es bedeutet auch, dass Sie gut Sicherungskopien Ihrer vertraulichen Daten anlegen und diese schützen können.

Die neue Family-Share-Funktion gibt den Anwendern die Möglichkeit, Ihre Geräte mit denen anderer Nutzer, die sie als Familienmitglieder angelegt haben, zu verbinden. Abgesehen von den offensichtlichen Risiken und der zusätzlichen Kindersicherungsmöglichkeiten, die das bietet, bringt dies aber auch neue Angriffswege – ganz ähnlich zu den kürzlich entdeckten Angriffen, bei denen Cyberkriminelle den iCloud-Zugriff missbrauchten, um iPhones zu sperren. Es wird interessant sein, zu sehen, ob es Angreifer schaffen werden, sich selbst heimlich als Familienmitglieder einzuführen, um das Nutzerverhalten zu beobachten und Daten von den Geräten zu stehlen.