Apple trekt ontwikkelaarscertificaten Facebook in
Apple heeft verschillende certificaten ingetrokken die Facebook gebruikt voor interne apps, wat voor problemen bij de socialmediagigant zorgt. Aanleiding is het nieuws dat Facebook gebruikers betaalde voor het installeren van een vpn-app waarmee hun gedrag kon worden gemonitord.
De app werd buiten de Apple App Store aangeboden. Hiervoor maakte Facebook gebruik van een enterprise certificaat, waarmee organisaties eigen apps onder hun medewerkers kunnen uitrollen. Het is niet toegestaan om deze certificaten te gebruik voor het uitrollen van apps onder consumenten, aldus Apple. Volgens Apple heeft Facebook dan ook het beleid geschonden. Om gebruikers en hun data te beschermen zijn de certificaten van Facebook ingetrokken, aldus een verklaring van een Apple-woordvoerder tegenover Recode.
Het intrekken van een certificaat heeft niet alleen gevolgen voor het verspreiden van apps op iOS, ook zorgt het ervoor dat apps die via het certificaat zijn uitgegeven niet meer werken. Organisaties kunnen meerdere apps aan één certificaat koppelen. In het geval van Facebook blijkt dat zowel test-apps als apps voor medewerkers niet meer werken. Het gaat onder andere om een interne app voor personeelsvervoer. Facebook zou de situatie als een "ernstig probleem" behandelen, zo laten bronnen aan The Verge weten.
Uit het andere topic van vandaag blijkt dat certificaat van Apple ook geen algemeen aanwezig root gebruikte en moesten de gebruikers het certificaat van Apple ook eerst installeren op de toestellen.:
Uit het andere topic van vandaag blijkt dat certificaat van Apple ook geen algemeen aanwezig root gebruikte en moesten de gebruikers het certificaat van Apple ook eerst installeren op de toestellen.:
Om Applicaties te kunnen publiceren in de Appstore heb je een developer certificaat nodig, als je dan rotzooi in je app propt, trekt Apple je certificaat in en alles werkt niet meer :) stukje beveiliging. Alleen als jouw zelf gemaakte app is voorzien van een Apple developer certificaat kun je die publiceren in de appstore.
Voor het testen van je Applicaties op iPhones en iPads kun je een test certificaat genereren, die dan door beta testers geïmporteerd kunnen worden, waarna ze jouw test app kunnen installeren.
Dit zijn andere certificaten dan de PKI certificaten waar je een root Certificate Authority voor hebt, zoals je ze gebruikt onder windows, en voor SSL etc.
Dat is bekend, maar deze apps werden expliciet buiten de appstore aangeboden.
Dat is bekend, maar deze apps werden expliciet buiten de appstore aangeboden.
Voor meer info zie de helppagina van Apple: https://help.apple.com/xcode/mac/current/#/devba5e7054d
Enerzijds is dit bescherming voor de gebruikers tegen malafide software van schimmige ontwikkelaars, want iedereen die een certificaat heeft is altijd volledig bekend bij Apple (het aanmeld proces is behoorlijk grondig). Aan de andere kant is het ook wel duidelijk dat Apple hiermee de controle wil houden op hoe er Apps worden gekocht op iOS, ze willen expliciet geen App Stores van derden en alle pogingen daartoe worden tegengehouden. Als men gemakelijk zelf gesignede apps kon installeren kon Apple dit moeilijk tegengaan.
Zelfs als verfent Apple kritikaster vind ik dit een onioglijk ongeinformeerde mening. Als het onderwerp je zo erg niet boeit dat je de plank zo misslaat; koppel dan de pc van het internet.
Net als T-Mobile die je wil laten betalen voor niet geconsumeerde betaald-SMS-jes in de trein (scam).
Real time locatiegegevens van iedere mobiel nummer op de Amerikaanse markt te koop voor $ 4.95.
Wanneer wordt er tegen opgetreden? Neen, kat en muis spel en de consument (consumeerder) is de pineut.
Nog vier grote aanbieders en allemaal met dezelfde luizige voorwaarden (dag XS4all!).
Nu nog ad-blokkers frustreren via API begrenzingen (Google) en het zieke plaatje is weer compleet,
want minder veilig, dus wel meer giga-profijt. Zieke wereld.
We wilden dit toch met z'n allen. Dan ook niet zeuren.
En het gaat hier ook steeds meer lijken op ziek USA in dat opzicht.
J.O.
https://www.destentor.nl/tech/apple-heractiveert-interne-apps-google-en-facebook-na-spionagepraktijken~ac1c831b4/
...terwijl Google niet alleen een CA is, maar ook een prachtig domein "pki.goo" voor gebruikte.
Zelfs als verfent Apple kritikaster vind ik dit een onioglijk ongeinformeerde mening. Als het onderwerp je zo erg niet boeit dat je de plank zo misslaat; koppel dan de pc van het internet.
Developers die een overtreding maken, worden zonder informatie afgesloten.
Gebruikers die problemen melden die gewoon structueel zijn, worden niet gehoord of eventueel verwijderd.
Security fixes worden niet gemeld.
Vrijheid mag, zolang apple het maar kan controleren en bepalen.
En het ligt vooral aan de gebruikers, nooit aan Apple.
Valt redelijk onder een dictatuur....
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
