Waarom worden de beveiligingslekken niet verholpen in de oudere versies? Dat valt vies tegen van Apple!

Niet vergeten dat de mac niet met een enkel gaatje in z'n geheel open en bloot ligt, wat bij windows vaak wel het geval is. Dat bovenop de verschillen in marktaandeel. Wil niet zeggen dat apple niet best een beetje beter z'n best mag doen. Maar aangezien redmond wel een hele grote show maakt van "iets doen" maar verder niet erg effectief is, levert dat voor apple ook maar weinig druk op om het dan wel beter te doen.

Microsft doet dat toch ook niet meer voor Windows 95, en straks XP!

Bij Apple kun je gratis naar Mavericks upgraden, en wordt je OS weer helemaal up-to-date,
met alle technologische verteringen er bij.

Ik kwam er achter dat bij de upgrade zelfs Java van het systeem verwijderd was.

Tja en binnenkort komt Mac OSX Maverics 10.9.2 uit met nog meer verbeteringen bovenop de nu meest recente versie 10.9.1

@Anoniem 16:31 Dat klopt. Maar windows 95 en XP zijn al zeer oud.
OSX 10.8 komt uit 2012 !

iedereen moet gewoon updaten... het is gratis en mijnn mac van 4,5 jaar oud doet t weer supersnel sinds de update (de batterij gaat ook langer mee!)

Ik denk dat er hier vergeten wordt dat er net voor het uitkomen van Mavericks, namelijk in september, er beveiligings updates waren voor Snow Leopard, Lion en Mountain Lion. Dus om nu te stellen dat Apple niets meer zou doen voor oudere versies is wel weer heel kort door de bocht.

Het probleem is dat Apple met nieuwe updates ook oudere hardware neutraliseert - veel mensen konden gewoon niet upgraden naar 10.9, al dan niet door kunstmatig afgedwongen restricties (cfr. XPostFacto [1] - men deed dat zelfs al in de PowerPC tijden).

Als je de system requirements er bij neemt van 10.9 [2], dan zie je dat hardware van voor 2008 niet meer wordt ondersteund. Terwijl dat op de meeste windows-PC's uit 2008 Windows 8.1 x64 vlekkeloos draait, evt. met een RAM upgrade - voor mensen met bv. een witte MacBook (die zijn allemaal ge-EOL'd) schiet er ironisch genoeg niets anders over om een ondersteunde Windowsversie er op te duwen om een veilig systeem te behouden.

Als je kijkt naar de PC wereld zijn oude PC's van ~5j nog perfect inzetbaar (cfr. de bloeiende tweedehandsmarkt voor mensen die een computer alleen maar nodig hebben om hun mail te lezen en hun huiswerk te doen, en alle initiatieven daar rond).

Je mag ook niet vergeten dat upgraden een PITA is met oudere Macbook (Pro)'s - ik had een Early 2011 die met 10.6 geleverd was (in de overgangsperiode), en die daarna een firmware upgrade kreeg om Lion Recovery te ondersteunen, maar wil ik 10.9 van scratch installeren moet ik eerst 5GB van het internet streamen om tot op 10.7 te raken, en dan nog eens 5GB om terug op 10.9 te raken. Oké, ik kan installatie-USB's maken die heel die blob cachen met onofficiële tools, maar vergeet niet dat 100mbit lijnen niet zo wijdverspreid zijn onder end-users - hier in de omgeving zitten de meeste home-users gewoon op ADSL 4mbit of met wat geluk op ADSL2 @ 20mbit als de kast vlak voor hun deur staat.

Ik vind het dus niet echt abnormaal dat veel mensen nog op 10.8 of lager zitten.

[1] http://en.wikipedia.org/wiki/XPostFacto
[2] http://support.apple.com/kb/ht5842

Tja,Mac OSX Heeft een totaal andere structuur dan Windows.
OSX is UNIX gebasseerd,en Windows heeft nog veel van het oeroude msdos in zich.
Maar goed ieder besturingssysteem heeft wel zijn eigen veiligheidslekken,die met eigen patches gedicht zullen worden.
Dus welke lekken er in Windows zitten zullen er niet in OSX zitten en anders om.
Je kan eigenlijk ook niet vergelijken welk van de twee besturingssystemen het veiligst is.
Het gaat meer om de marktwaarde.
Windows wordt het vaakste gebruikt,dus is vaak in trek om aangevallen te worden door hackers.
OSX is ook wel groot,maar dat vinden hackers minder aantrekkelijk om aan te vallen dan Windows.
Zo wordt OSX toch wel iets veiliger bevonden dan Windows.

"Hi I'm Larry "Talkalot Assuming Quoting" Seltzer and I sell juicy Apple stories for my (deadlines-writing) living!
And for all our advertisers off course, we like the clicks on all our ads! A good headline helps a lot to get maximum attention!"

* Semi samenhangend gebabbel van een broodschrijver (literatuur / wikipages onderzoeker?).
* Samengeraapt ratjetoe waardoor het wat lijkt maar eigenlijk niet veel is (ja een open deur, maar welke? Ah, 'allemaal', toe maar, respect.)
* Lui van opzet, moegen wij even alle 48 cve's gaan controleren op wat voor welk osx geldt en welke applicatie dat betreft en wat de zwaarte ervan is (vul dan de kolommen met een overtuigende onderbouwing). Het is niet allemaal niet waar, de samenhang is blah!
* Herhaling van wat anderen wel vaker dit jaar verondersteld hebben (vermoedens, aannames, meningen) of als kritiek hebben geuit (ook niet zo nieuw, Lifecycle osx weten we ongeveer wel. Je Mac gaat veel langer mee, allang bekend.)
* Nietszeggend goochelend met grafiekjes, daar kan veel meer mee, zat er vandaag zelf nog mee te stoeien.
* Bangmakerij, nee grote aandachttrekkerij met een verzameling algemeenheden, zonde van de paginavulling.

Wat heb je eraan als lezer?
Niets!

Beste m.i. wat we hier (als het om Mac gaat) kunnen doen is focussen op oplossingen voor problemen rondom OS X en security in het algemeen die platform onafhankelijk zijn die wel aan de orde en relevant zijn.
Lijkt me een stuk constructiever, zinniger, en leuker voor iedereen.

Zullen we eens met een Mac OS X poll beginnen hier (svp redactie)?
Wie gebruikt welk OS X op zijn of haar Mac en waarom?
10.9, 10.8, 10.7, 10.6, 10.5, 10.4, 10.3 (?) - Classic Os9 (?)

Heb je een oude of een nieuwe Mac?
Maak je je zorgen om de veiligheid van je Mac en waarom (welke programma's?)
etc etc etc.

Vast een stuk leuker dan dit soort *** .
Goede content is ook leuker om op te reageren.

Groet
MacTalkalottoo ;-)

Dat denk ik ook. Ik heb even in het archief van de updater van mijn Snow Leopard computer gekeken. Zowel in 2012 als in 2013 waren er maar 4 security updates. En gezien de laatste datum is er gewoon nog geen gepland. De bugs die ze in Mavericks gepatched hebben, geven waarschijnlijk zo weinig risico dat Apple die bewaard voor een volgende algehele security update. Safari 6 heeft intussen wel een security update gehad.

Ik ga ervan uit dat als er echt een lek misbruikt gaat worden dat dit zeker gepatched wordt op de oudere systemen. Bij de enige echte grote besmetting van mac systemen via lekken in het Java systeem, heeft Apple ook gereageerd door Java ook nog op Leopard te updaten, terwijl het formeel al een jaar niet meer ondersteund werd.

Nou dat is ongeveer een hele normale update cyclus, dus niet echt anders dan anders.


Klopt, maar 5.1.10 voor Snow Leopard niet en dat is nou net wel weer gewenst.
Ik heb zelfs het lichte vermoeden dat ik onlangs toevallig een kwetsbaarheid in Safari 5.1.10 heb ontdekt, geen deels versleutelde cache zoals wel in Safari 6 na de patch.
( https://www.security.nl/posting/373639/Safari+lekt+nog+steeds+wachtwoorden+via+vorige+sessies )

Maar ja, hier in een klein 'vergeten' postje heb je natuurlijk het nakijken//niet de media aandacht die security researchers en antivirus bedrijven kunnen genereren (en dat ook bij elke scheet doen). Evengoed vind ik dat Safari 5.1.10 dat nog wel verdient gezien het marktaandeel onder gebruikers.


Goede kans dat dat dan nog voor 10.8 gebeurt en eventueel voor 10.7. Snow leopard 10.6 niet meer waarschijnlijk, jammer want nog genoeg Safari 5 en 4 gebruikers. Lees, MAC OS X Tiger 10.4, Leopard 10.5 , Snow Leopard 10.6 gebruikers
Toevallig vandaag stats van marketshare Safari in een spreadsheetje bijelkaar gezet

Browser version marketshare worldwide dec13-jan14 (alle andere browsers weggelaten)

Versie #Statsallebrowsers #Binnen osx omgerekend
Safari 4.0 #0,10 #1,10%
Safari 4.1 #0,05 #0,55%
Safari 5.0 #0,34 #3,72%
Safari 5.1 #1,14 #12,49%

Totaal = Oudere versies voor snow leopard en tiger samen 17,85 % binnen Mac marktaandeel
En dat is inderdaad een grote groep kwetsbare gebruikers, niet van de laatste tijd (consequentie van de korte OS X lifecycle en de lange levensduur van de hardware) en een gemist punt door deze man.
Deels gelijk met de verkeerde voorbeelden en argumenten.

Nieuwere safari versies #worldwide #binnen osx
Safari 6.0 #0,84 #9,20%
Safari 6.1 #0,94 #10,30%
Safari 7.0 #1,06 #11,61%
Safari iPad #4,66 #51,04%


Nee dat van Leopard klopt niet helemaal geloof ik, dat was alleen voor de intel Mac's. Beetje overbodige update/actie eigenlijk want die intel Macs konden gewoon allemaal Snow Leopard draaien.
Juist de PPc Mac's konden nog wel een (Java/Safari) update gebruiken, al stelde men dat het flashback virus niet is gesignaleerd op deze machines.

Mmm, well, ik had in ieder geval destijds twee besmettingen op twee PPC Mac's, of dat uiteindelijk het flashback was?
Misschien had ik de primeur een Finfisher variant in de wacht te hebben gesleept want één en ander gebeurde tijdens een verouderde Safari patch.
Al denk ik dat ik niet speciaal genoeg was voor deze dure malware variant. Denk niet dat ik er ooit nog achter kom.

Tot slot, heeft Mavericks het meeste marktaandeel weggesnoept onder Mountain Lion en deels Lion. De grootste groep die kon upgraden heeft dat misschien gedaan.
Daarmee vervalt al een deel van de niet bewezen dreiging voor Mountain Lion.

Een deel van de upgraders die naar Mavericks kunnen zullen het toch niet doen, dat zie ik in de praktijk. Mac gebruikers zijn niet allemaal van die upgraders (de Mac is dan wat fashionable dan de gebruiker die erachter zit), een deel van die grbuikers blijft waarschijnlijk (in de buurt) zitten op het OS X dat bij de machine werd geleverd.
Dit zijn niet zelden de gebruikers die wat advies en support nodig hebben en of ook een beetje angst hebben een vertrouwde interface te verliezen (en laat daar nou net ook 'flink' aan gesleuteld zijn).

Van de Snow Leopard gebruikers zijn er vast nog een hoop die omhoog kunnen naar Lion maar dat niet doen.
Vanwege ontbreken 'Rosetta' support voor het draaien van oudere software (universal binaries), en voor een deel omdat Lion ook weer niet zoveel toegevoegde waarde heeft.
Welja de encrypted backup, dat wel.
Maar het ontbreken van de bekende 'safe as' functie is behoorlijk irritant. En als je Mac er niet hoeft uit te zien als een halve iphone, met geliktere interface, scrollbar, je niets hebt met social media, en meer, is de noodzaak om op Lion over te stappen er voor de meeste (best wel saaie Mac) mensen niet.


P.s.,
Ligt er nog iemand wakker van mogelijke drive by downloads?
Daar is je Mac namelijk wel kwetsbaar voor, extra oppassen voor social engineering trucs, het kan goed op de Mac (vrij eenvoudig in aanvang; bijv. image icoontje op een pkg file. en meer van die grappen, leuk om mee te experimenteren).
"hey wat is dat voor file, clik klak-> terminal / installer , ja hoor daar gaatie installatie onder je Admin account, dan ben je te laat, als je het al door hebt (standaard user account aanmaken dus!)

Wat bleef het weer stil na een (niet zo heel) maffe tip, of wel? ;-)
https://www.security.nl/posting/373906/Britse+politie+adviseert+%22alleen+lezen%22+tegen+ransomware

Wat doe je er anders tegen, virusscannertje?
Hopen maar dat die dan net erg up to date is,.. ..

(yep, nog een aanvullende lange reactie dan, ff verder los)


Stelling : Mavericks is wel gepatched en Mountain Lion Niet en daarmee net zo kwetsbaar als Mavericks voor de patch.

Vraag : Zijn Mavericks en Mountain Lion in een 1 op 1 vergelijking wel voldoende identiek? Met andere woorden; werken de kwetsbaarheden voor Mavericks echt/wel onder Mountain Lion of eerder?

Reden : Het lijkt erop dat Apple onder Mavericks-motorkap flink heeft lopen schuiven met code. De vraag is of en wie die kennis heeft en meeneemt in zijn haar kritiek op OS X kwetsbaarheden.

Onderbouwing : Aantoonbaar onderbouwen kan ik het niet want daarvoor ontbreekt mijn technische kennis.
Een artikel dat ik pas tegen kwam geeft mij redenen te twijfelen aan de stelling dat Mavericks en Mountain Lion in de basis voldoende identiek zijn en daarmee een 1 op 1 gelijk kwetsbaarheids niveau hebben.
"Breaking OS X signed kernel extensions with a NOP"
http://reverse.put.as/
Globaal lezende krijg ik de indruk dat het er niet beter op is geworden maar dat er in ieder geval redenen zijn om aan te nemen dat kwetsbaarheden voor Mavericks niet ook 1 op 1 zijn toe te passen voor Mountain Lion. Daarmee zou de kritiek te kort door de bocht kunnen zijn; beoordeling aan de programmeurs/techneuten.



NeeNee, . . echnie

Overbekende aanname / Advies : Als je Mac geen nieuwer OS X ondersteunt is het 'game over' en kan je drie dingen doen; 1) een nieuwe Mac kopen, 2) Windows erop zetten (?!!!), 3) Linux erop zetten.

Larry slaat dit soort blah-adviezen even over, Intego is 'aanhoudend meester' in dit soort tips (Joshua),
2 dingen daarover :

1) m.i. onzinnige adviezen die niet aansluiten bij de praktijk, een Mac OS X gebruiker stapt echt niet zo makkelijk over naar een ander OS want komt daar niet zelden juist vandaan (mmm; in your wildest dreams baby ;-).

M.i. onzin voorbeelden hiervan (ander os installeren of nieuwe Mac kopen in plaats van het probleem proberen op te lossen)
- http://www.intego.com/mac-security-blog/what-to-do-if-your-mac-cant-run-os-x-mavericks/
- http://www.intego.com/mac-security-blog/what-to-do-if-your-mac-cant-run-mountain-lion/

2) volstrekt negeren van het feit dat Mac's met een ouder OS X best goed veilig te configureren zijn met hier en daar wat aanpassingen en wat extra software. Of dat gemakzucht is of een gebrek is aan kennis kan ik niet beoordelen.
En het negeren van het feit dat het dreigingsniveau voor de Mac relatief (of bijzonder) laag is (waar hebben we het dan over? ah, natuurlijk ik moet dat antiviruspakket kopen van leverancier X).

! Wat zijn dat voor fratsen? Security researchers horen m.i. te werken aan oplossingen en kijken naar wat werkt. Als je kennis van OS X tekort schiet, duik er dan verder in, yep tijd is geld.
! Het voorkomen van schaakmat is niet preventief of tijdens het spel de schaak-stukken en het bord snel inruilen voor een damspel (get the picture?), dat is in een aantal gevallen ronduit luiheid / onverschilligheid, of ronduit verkapt advertorial advies (who's paying?).

Eerlijk is eerlijk : ik ben bepaald geen fan van dit soort door Intego gebezigde 'adviezen', maar , soms hebben ze op delen wel interessante informatie , voor Larry bijvoorbeeld.
Want, Hey!, dat is toevallig, Intego heeft juist op cve-delen wèl haar huiswerk eerder en beter gedaan (28 oktober) dan Larry, had hij beter direct deze link erbij kunnen geven (yep van Intego) :
- http://www.intego.com/mac-security-blog/os-x-mavericks-10-9-gets-security-update/
Evengoed is het dan nog steeds een klus om zijn beweringen allemaal te fact-checken.

Kwetsbaarheden ? : Er zijn ongetwijfeld zeer serieuze cve's die de aandacht verdienen, cve's die ook gelden voor oudere OS X-en, alleen dat maakt echter niet dat daarmee oudere OS X-en per definitie onveilig zijn.
Uit ervaring weet ik dat in ieder geval Lion 10.7, Snow Leopard 10.6, Leopard 10.5, Tiger 10.4 op manieren te configureren zijn die maken dat je daarmee met een gerust hart van alles kan doen (ja hoor, zelfs internet-bankieren).
Dat vraagt Wel enige investering / interesse / kennis / aangepaste houding van de gebruiker : je moet het willen weten en ervoor open staan, dan de kennis vergaren, en het toepassen.

Willen is een dingetje : Als je al adem haalt om over security te beginnen schieten mensen al in het (wel zo makkelijke) defensief : "geen interesse", ik wil het niet horen", "ik weet het niet en zal het ook niet gaan snappen", "te ingewikkeld", "afblijven want het werkt nu goed zo".
Afdeling SruisvogelMac's? Dat valt te bezien, het zijn gebruikers die er in ieder geval (gegund!) mee wegkomen vanwege het lage OS X dreigingsniveau en daarmee in zekere zin nog gelijk hebben/krijgen ook.
Prima, dan komen de vragen wel als het wel misgaat; kunnen we ook meteen goed aan de slag). Want bewezen dat het kan is het, en het was mazzelen, want wat als FlashBack/FlashFake werkelijk kwaadaardig was geweest, in de vorm van een BankingTrojan?!.
Maar het ging om ClickFraude, relatief sympathieke malware eigenlijk in vergelijking met andere malware. 'Eind goed al goed alles vergeten en vergeven, waar waren we gebleven?'

Niet te vergeten, de portemonnee natuurlijk (nl-sport) : Wel een veel te dure tweedehandsMac kopen (met 'schoon' geïnstalleerd OS X 10.3? ;-( ?!!) en geen aandacht voor een veilige configuratie (geld op?).
Wel een nieuwe Mac maar in de 7 jaar erna niet bereid zijn te investeren in wat onderhoud of security.
Dat gebeurt meestal / uiteindelijk pas als die Mac het echt niet meer doet (geen back-up natuurlijk ;-(. , maar wel geld voor een rechtszaak.
http://blog.iusmentis.com/2013/01/25/de-harddisk-van-een-op-leeftijd-zijnde-powerbook/
Goede raad hoeft niet duur te zijn, 'niet luisteren' of 'kop in het zand' kan je duur komen te staan. Dat zijn overigens geen natuurwetten, het zijn gezonde risico afwegingen; zoek tenminste naar een gezonde balans daarin.

Bewustwording van security : Is een algemeen moeilijk punt voor de grootste groep computergebruikers, dat is niet anders voor Mac gebruikers.
Ze hebben alleen nog steeds flink de wind mee en dat is mooi ; loop jij met een helm over straat omdat de kans bestaat dat er ooit een meteoriet op je kop kan vallen? Draag jij een helm op de fiets?
Nee,...? Waarom niet ,…?
Nou dan!
Het praktische en makkelijke gelijk van risico inschatting. Niets mis mee, dagelijkse functionaliteit van alledag.

FUD, Scareware, Anti Mac story's : Helpen niet bij het ontwikkelen van een gezonde interesse voor Security. In zekere zin verpest de industrie het voor zichzelf en bereikt het tegenovergestelde wat ze eigenlijk willen.
Inderdaad komen Mac gebruikers daar nog goed mee weg, een geluk bij (nog) geen ongeluk!

Stapje terug dus voor de schreeuwende security sellers svp : Voor niet actuele kwetsbaarheden (bij gebrek aan malware) waarschuwen moet je heel voorzichtig / met een zekere bescheidenheid aanpakken / zeer met mate toepassen.
Kom dan ook direct met werkbare oplossingen en begrijpelijke voorbeelden die relevant zijn. Anders luisteren mensen niet (schietend in het bekende deels terechte defensief) en zien je als een gladde praatjesmaker die een 'verzekering' probeert aan te smeren, of zoiets, vul maar in, terecht? een beetje wel hè? inmiddels.
Te vaak worden halve waarheden verteld (informatie weglaten die niet in je belang is, dat krijgen gebruikers door).

Tot die tijd is er (inschatting) 'weinig' tot 'geen droog brood' te verdienen met het geven van Mac security advies / cursussen of het maken van veilige systeemconfiguraties.
Helaas, het betreft waarschijnlijk een interessant spanningsveld tussen marktwerking (interesse en behoefte) en daadwerkelijk overtuigende marketing ; 2x afwezig?).

Werk aan de winkel voor de gebruiker zelf dan : In weerwil van M.R's / Joshua's / F-Secure-Sean's * advies (kóóp die Nieuwe Mac nu eens, gééf dat geld nu eens royaal uit aan nieuwe vervangende software, máák die Apple verzameling eens compleet nieuw voor iedereen in huis!"),
neem eens in alle bescheidenheid nou maar eens wel de moeite om je Mac veilig te configureren.
Begin eens met alle voorkeursinstellingen van al je programma's en de SysteemVoorkeuren van je Mac. Werk niet meer onder een standaard account, etc etc.

Als het configureren niet lukt, zoek dan neutraal / realistisch advies (die krijg je waarschijnlijk niet altijd in een .. store, resellerwinkel, hardware reparatiewinkel, of één van de véél te dure 'refurbished' bedrijfsmacwinkel's).

Wees in het zoeken van die balans een beetje redelijk (én én én wensen betekenen inderdaad een nieuwe Mac) / verwacht niet het onmogelijke. Voor het onmogelijke moet je de portomonnee trekken, als je dat niet wil roep dan niet dat het niet kon, je wilde veel voor weinig en dat was niet haalbaar; eerlijke / realistische keuzes maken svp (daar schort het nog wel eens aan).
Als het configureren redelijkerwijs dan niet meer lukt (iMac 1999 met os9 of OS X 10.2?) kijk pas dan of je zin hebt om een ander OS te gaan gebruiken of een andere Mac te kopen (zinniger).

Nieuwe Mac hoeft daarbij helemaal niet per sé, een tweedehands mac kan ook; betaal alleen niet teveel (wat je waarschijnlijk bij gebrek aan kennis van de hardware of gehypte biedingen wel gaat doen).
Tel alvast bij de aanschafprijs op ; de aanschaf van een eventueel nieuwer OS X, preventieve vervanging Harddisks, extra geheugen, antivirussoftware/firewall software, configuratie-support (aan die kosten heeft de verkoper natuurlijk geen boodschap, ze komen er voor jou echter wel bij, mits je goed bezig bent).

Succes ermee & keep IT realistisch safe


P.s, correctie; FinFisher vermoeden gerezen na een update van (o.a.) verouderde iTunes software (gebruikte het toch niet, leek me geen issue, oeps!) op twee Mac's en niet een Safari update, dat was een verschrijf-foutje.


* Van XP op Mac OS X overstappen kan natuurlijk ook,
ja, het staat er echt!
http://www.f-secure.com/weblog/archives/00002648.html

kwam er na dit artikel achter dat mijn zus al meer dan 6jaar haar mac niet meer geupdate heeft....
Heb die toch maar eens aangeschreven..

Best leuk hoor dat gebrabbel over security , maar de fout ligt bij Apple dat zoveel procent niet update en staat los van de security update.

Ik werk reeds 14 jaar met Mac en bezit er zelf 1 sinds 2007. Graag was ik altijd up-to-date ... Tot de huidige update!

Ik werk dus nu ook net zo onveilig met 10.8 als een groot deel van de Mac gebruikers.
Waarom doe ik dit, simpel er zitten zoveel aanpassingen in het nieuwe systeem die een negatieve invloed hebben op m'n huidige workflow als fotograaf/ grafisch vormgever dat ik pas wil updaten als dit word aangepast of er een fatsoenlijke work-around is.

Dus ik en nog vele anderen in mijn omgeving zouden erg blij zijn als bepaalde functies in Pages terug komen en als de label functie weer zijn visuele kracht terug krijgt met volledig gekleurde mappen ipv kleine slecht te definiëren bolletjes.
En zo zou ik nog wel even door kunnen gaan.

Eerder heb ik me niet zo druk gemaakt over het missen van Steve Jobs bij Apple, maar de laatste tijd maken ze er echt een zooitje van. De iPhone 5C had niet gebeurt en anders iig in andere kleuren. Het ontbreken van de SSD harde schijf in de nieuwste IMac ... Ook een hele rare beslissing, vroeger werd daar iig niet op bezuinigd en nu ging m'n oude Mac de deur uit met een snellere HD en had m'n nieuwe een langzamere HD, wat toch krom is als je iets nieuws aanschaft!

Afijn met familie in de securitybusiness en een goed besef van internetveiligheid, hoop ik m'n Mac nog boven water te houden. In de hoop dat Apple luisterd naar z'n klanten en functionaliteit aan past, zodat ik ook weer "veilig" ben:)

Goeie actie (!) want 10.4 (OS X Tiger) is op leeftijd en kan afhankelijk van de soort Mac zeer waarschijnlijk wel minimaal 1 of 2 stapjes omhoog (Leopard 10.5 / Snow Leopard 10.6).

En, Ja ja, dat komt vaker voor dan je zou denken, ik zei het niet voor niets :

"Mac gebruikers zijn niet allemaal van die upgraders (de Mac is dan wat {{meer}} fashionable dan de gebruiker die erachter zit), een deel van die grbuikers blijft waarschijnlijk (in de buurt) zitten op het OS X dat bij de machine werd geleverd."

? Hoe kwam je er overigens achter als je je zus daarover moest aanschrijven?
(ik heb wel een idee maar ben toch benieuwd)

Als je security allemaal maar gebrabbel vindt wat doe je dan eigenlijk op een Security Forum, zoek een Algemeen IT Forum voor al je Grieven (meer reagerende lezers, meer bashers, meer flamewars).

Verder : Er is géén concreet probleem, het probleem is in zekere zin fictief

Anders gezegd :
-> er zijn Géén virussen of malware bekend voor veronderstelde / algemeen gesuggereerde nieuwe kwetsbaarheden in 10.8 en eerder
-> er is de afgelopen 10 weken nog Géén update van Apple uitgebracht voor malware en virussen die nog niet bestaan

Verleg je focus constructief en probeer je workflow in 10.8 lekker draaiende te houden, dat lijkt me in dit geval een stuk zinvoller dat je druk te maken om zaken die niet aan de hand zijn of al je grieven zo te dumpen.

Mijn excuses als ik hiermee op grote of kleine pikkies heb getrapt. Wat betreft het "gebrabbel" doelde ik enkel op het feit dat het in dit geval niet alleen de 'user' is die vrijwillig zijn security op unsafe zet, maar dat hier andere redenen voor kunnen zijn die ik aan heb gedragen om het beeld realistischer te maken.

Ik zit helemaal niet te wachten op die vele lezers, bashers enz. Maar ik kan me voorstellen dat je dit beeld zo wel hebt gekregen, omdat ik na het herzien van mijn reactie er achter kwam iets teveel door te zijn gegaan op het steeds meer falen van apple. excuses hiervoor, het was niet mijn bedoeling om mijn passie over te zetten in flaming. Mocht je dit zo ervaren hebben, zoals je ziet ben ik zeker niet te beroerd mijn standpunt te herzien en aan te passen.

Het is verbazingwekkend en verrassend dat je als mac gebruiker blijkbaar ondanks onveiligheid, nog steeds minder lastig gevallen word dan op een "goed beveiligde" windowsbak.

Ik vind het zelf wel een probleem dat ik door apple gedwongen wordt om minder 'secure' te zijn dan zou moeten, ongeacht of er wel of geen aanwezige threads zijn. Ik kan mij niet herinneren dat ik op een windows systeem ooit deze keuze heb moeten maken. Hierin zou wat mij betreft de nodige voorlichting absoluut verbeterd kunnen worden.

MacTalkalottoo Says ; Sorry! I was (partially) wrong.


Toelichting / correctie : Eerlijk is eerlijk (#2)

Ik beweerde in een reactie (onder https://www.security.nl/posting/374051/Groot+deel+Mac-gebruikers+werkt+met+onveilig+systeem ) dat Intego zijn huiswerk beter had gedaan dan Larry Selzer en suggereerde daarbij dat hij zich beter had kunnen laten inspireren door de schrijver van het Intego artikel "OS X Mavericks 10.9 Gets Security Update—But Is Something Missing?" *, waarin wel de 48 Cve's met (verholpen) kwetsbaarheden (in Mavericks) worden opgenoemd.
Cve's van patches in specifiek Mavericks OS X 10.9 welteverstaan.
Iets wat Larry in zijn eigen veel latere artikel, als eerder gesteld, niet leek te doen.

Besloten om nu alsnog de lijst van 48 cve's verder te onderzoeken, zie ik (nu wel) dat het artikel van Intego voor een deel juist (!) ontstaan is op basis van aangedragen informatie door Larry Selzer; "Apple?s OS X Mavericks 10.9 upgrade patches 48 vulnerabilities (CVEs), but as pointed out by Larry Seltzer at ZDNet, something is missing: Older OS X versions were left unpatched.".

Met mijn eerdere suggestie(s) deed ik daarmee de heer Selzer op dit punt geen recht aan.
De (impliciet verwijzende) link in het artikel op zdnet naar het artikel van Intego onder de phrase "!I think they're not going to.!" over het hoofd gezien .

Daarmee komen een deel van mijn eerdere conclusies als dat Intego wel (en eerder) haar huiswerk had gedaan in een ander daglicht te staan, namelijk dat het precies andersom is; Intego werd op de patch lijst gewezen door Larry Selzer.
Daarmee kan ook het argument van een zekere laksheid ten aanzien van de onderbouwing door Larry Selzer van het artikel met de suggestie "The evidence is overwhelming" wel wat genuanceerd worden doordat er wel, zij het impliciet, een verwijzing was naar een meer uitgebreide omschrijving van de cve's.

Dus de stelling onder het kopje "Eerlijk is eerlijk" ;
"Intego heeft juist op cve-delen wèl haar huiswerk eerder en beter gedaan (28 oktober) dan Larry, had hij beter direct deze link erbij kunnen geven (yep van Intego)"
is dan niet langer houdbaar, hij deed het immers al.

Geen gemaar, wel een reden; de daadwerkelijke zin waarin de link stond gaf voor mij echter geen aanleiding de gemiste onderbouwing ("The evidence is overwhelming") daar te vinden. "I think they're not going to." suggereert mijns inziens een verhaal wat 'we' wel kennen, namelijk; iets over de bekende (nooit officieel bevestigde) routine van Apple om alleen het nieuwste OS X en het voorlaatste OS X te supporten.
Link niet aangeklikt, kom er nu via nb. het Intego artikel alsnog achter.

Wat blijft staan is mijn algemene indruk van het artikel als eerder gesteld.
Een niet zo nieuwe variatie op een al heel lang gehoorde stelling van Mac-'Hackers' ; OS X is op veel punten technisch helemaal niet zo veilig, alleen neemt vrijwel niemand de moeite om erop te studeren en de kennis om te zetten in een effectief werkende malware. Door de jaren heen af en toe te vinden op bijvoorbeeld een Black Hat presentatie.

Als advocaat van de duivel zou je (ik?) dan nog de vraag kunnen stellen welke cve's met de bijtelling van de nieuw genoemde 48 cve's effectief zouden kunnen worden misbruikt.
Bij rapid hebben ze (heb ik de indruk, oppassen nu ;-) een soortgelijke mening over de veiligheid van OS X, en lanceren af en toe ook nieuwe 'handigheidjes'. Die handigheidjes werken nooit helemaal en zelfstandig en hebben dan altijd weer een ander 'handigheidje' nodig (het is een indruk gekregen door nieuws samenvattingen hier).

Een werkende combinatie van exploits is er dus niet (nauwelijks? / of heel exclusief gebruikt?), ondanks het feit dat Os X al zolang ook al andere kwetsbaarheden zou hebben.

Ondertussen moet ik als geïnteresseerde lezer, van het bewuste zdnet artikel, die niet in de 'denial categorie valt' nog steeds flink aan het werk om cve's te gaan bestuderen, bij gebrek aan ruim en concreet besproken voorbeelden in de onderbouwing welke cve's nu zo'n enorme kwetsbaarheid opleveren, waarom en voor welke OS X-en dat nu zou kunnen gelden. Alle OS X-en voor Mavericks is me echt te gortig algemeen gesteld. Dat wordt nu al 'gewoon maar' herhaald door anderen in nieuwsberichtgeving.

Een verwijzing naar de onderbouwing is er dus, als lezer kan ik er nog steeds niets mee bij gebrek aan genomen moeite door de schrijver van het artikel mij op een interessante en begrijpelijke manier te informeren.
Het is tevens een vrij onmogelijke klus voor een lezer om de stelling redelijkerwijs op waarheid en nuance te controleren; wie onderneemt dergelijke pogingen?

Er zijn dus vermoedelijk (nieuwe?) kwetsbaarheden in bepaalde OS X-en alleen vrijwel niemand neemt het afgelopen decennium de moeite daar effectieve malware van te maken. *2
Wat is dan de nieuwswaarde?
Oud nieuws want al vaker gezegd en zelfs hier en daar op Black Hat bijeenkomsten gedemonstreerd, het kon blijkbaar altijd al maar toch het gebeurt niet?

Mac : 13!!! jaar security by obscurity?
Give it a name, zeg erover wat je wil, pakweg (slechts) 300 virus definities, minder dan 50 originele malware families, vrijwel 'alle' Mac malware heeft impact low.

Geen slechte score toch!

Een positief resultaat dat kennelijk met geen pen te beschrijven valt.

Kwetsbaarheden verdienen inderdaad de aandacht, twisten is het over de manier waarop.
'Dank' voor de attentie, we houden het in de gaten
(als we dat niet al deden)


* http://www.intego.com/mac-security-blog/os-x-mavericks-10-9-gets-security-update/
*2 - Flashback was goed raak, met misbruik van geimplementeerde Java functionaliteit