Apple stopt met loggen van ip-adressen bij Gatekeeper-controle
Apple stopt met het loggen van ip-adressen bij het controleren van de applicaties die de gebruiker wil starten. Eerder opgeslagen ip-adressen zullen worden verwijderd. Dat heeft het techbedrijf in een document bekendgemaakt. MacOS voert verschillende controles uit tijdens het starten van een applicaties. Zo checkt Gatekeeper of een app malware bevat en of het certificaat van de ontwikkelaar is ingetrokken.
Alle software voor macOS 10.15 (Catalina) en nieuwer die van een Developer ID is voorzien moet een "notarizing" proces ondergaan. Via een geautomatiseerd systeem controleert Apple de software op kwaadaardige content en andere zaken. Dit moet gebruikers meer zekerheid over de software geven. Wanneer de gebruiker nu een gesigneerde app wil starten maakt macOS verbinding met een host genaamd ocsp.apple.com om te controleren of het certificaat van de app is ingetrokken. Hierbij sloeg Apple ook het ip-adres van de gebruiker op. Iets waar het nu mee is gestopt.
Eerder deze week zorgde de Gatekeeper-controle voor problemen. Wanneer gebruikers een gesigneerde applicatie starten stuurt de notary-service informatie over het certificaat waarmee de app is gesigneerd naar de servers van Apple om te controleren dat de digitale handtekening overeenkomt. Wanneer dit het geval is wordt de applicatie gestart. Is er geen internetverbinding, dan is de controle niet mogelijk, maar voert macOS de app gewoon uit. Is er wel verbinding met internet, maar zijn er problemen met Apples server, dan blijven de applicaties 'hangen', wachtend op een antwoord.
De werkwijze zorgde voor felle kritiek. "Apple Users Got Owned", schreef Kyle Rankin, Chief Security Office bij fabrikant Purism. Volgens Rankin hebben Mac-gebruikers geen echte controle over hun computer. "Net als met zoveel Apple-features is security een marketingterm terwijl de echte drijfveer controle is. Code signing gaf Apple al controle of je een app kon installeren of software kon upgraden, deze feature geeft Apple controle of je wel applicaties kunt draaien."
Apple laat nu weten dat het verschillende aanpassingen aan de veiligheidscontroles gaat doorvoeren. Zo komt er een nieuw versleuteld protocol om de certificaten van ontwikkelaars te controleren en een betere bescherming tegen problemen met de server. Verder krijgen gebruikers de optie om geen gebruik van de controle te maken.
Dit bijhouden van de controle op app certificaten lijkt me nog het minste probleem. Als je http websites bezoekt (en dat worden er steeds meer), dan zal ook dat certificaat bij de uitgever gecontroleerd worden. Dat is een stuk privacy gevoeliger. (zie ook hierboven bij anoniem 12:09). Elke certificaat uitgeven zal zelf beslissen of ze wel/niet logbestanden bijhouden.
Als je dat wilt voorkomen, kun je de hele OCSP controle uitschakelen in de voorkeuren van het sleutelhanger programma op de mac. Maar dan loop je het risico dat je een website bezoekt met een terug getrokken certificaat omdat er iets mee aan de hand is.
Zit toch achter een VPN.
Privacy protections
macOS has been designed to keep users and their data safe while respecting their privacy.
Gatekeeper performs online checks to verify if an app contains known malware and whether the developer’s signing certificate is revoked. We have never combined data from these checks with information about Apple users or their devices. We do not use data from these checks to learn what individual users are launching or running on their devices.
Notarization checks if the app contains known malware using an encrypted connection that is resilient to server failures.
These security checks have never included the user’s Apple ID or the identity of their device. To further protect privacy, we have stopped logging IP addresses associated with Developer ID certificate checks, and we will ensure that any collected IP addresses are removed from logs.
In addition, over the the next year we will introduce several changes to our security checks:
A new encrypted protocol for Developer ID certificate revocation checks
Strong protections against server failure
A new preference for users to opt out of these security protections
Ja dat home-call gedeelte begint aardig ziek te worden. Even kijken of Debian ook op de nieuwe arm-processoren draait.
Zit toch achter een VPN.
Daar gaan ze mooi omheen volgens de bron van Louis Rossmann.
Ja dat home-call gedeelte begint aardig ziek te worden. Even kijken of Debian ook op de nieuwe arm-processoren draait.
Ja dat home-call gedeelte begint aardig ziek te worden. Even kijken of Debian ook op de nieuwe arm-processoren draait.
Het gaat niet zozeer over de processor uit maar over het OS en de Applicaties (programmas noemde we die vroeger) die je draait. Firefox doet ook call home maakt niet uit op welk OS of welke processor.
Ja ok dat kan uitgezet worden maar ik draai tegenwoordig eigenlijk alleen nog maar Ungoogled Chromium.
Chromium ontdaan van alle Google meuk, dat alles in een docker container die niks bewaard en telkens als volledig vers opgestart wordt.
Zit toch achter een VPN.
Daar gaan ze mooi omheen volgens de bron van Louis Rossmann.
Zit toch achter een VPN.
In de telemetrie zat het ip van je netwerkinterface, niet die van de VPN.
Maar als jij een VPN toepassing op de Mac zelf installeert dan lukt het Apple echt wel om daar buitenom te gaan!
Net zoals ze ook buitenom een firewall (little snitch) kunnen gaan.
Zit toch achter een VPN.
In de telemetrie zat het ip van je netwerkinterface, niet die van de VPN.
Maar ook met je surf gedrag, inloggen op dienstverleners (Facebook, Gmail) en bepaald site bezoek, maken je goed identificeerbaar met dank aan alle tracking die online plaats vindt.
Hiermee is overigens niet gezegd dat een VPN geen waarde heeft, maar wie denkt dat hij op een luie manier “onder de radar” blijft heeft het mis.
Enfin, om topic. Goed dat Apple hiermee stopt. De AVG eist tenslotte dat je geen persoonsgegevens mag verwerken die je niet nodig hebt. Het IP adres is van geen nut, kijkend naar de “dienstverlening” waar we het hier over hebben. Het zou goed zijn als ze nog een keer met de stofkam door alle verwerkingen van persoonsgegevens gaan. Zonder twijfel zijn er nog veel meer verwerkingen die niet aan het noodzakelijkheidscriterium voldoen.
Zit toch achter een VPN.
Daar gaan ze mooi omheen volgens de bron van Louis Rossmann.
De website van de blogger die dit heeft ontdekt wordt genoemd. Dus doe even je best zou ik zeggen.
Zit toch achter een VPN.
Daar gaan ze mooi omheen volgens de bron van Louis Rossmann.
De website van de blogger die dit heeft ontdekt wordt genoemd. Dus doe even je best zou ik zeggen.
Zit toch achter een VPN.
Daar gaan ze mooi omheen volgens de bron van Louis Rossmann.
De website van de blogger die dit heeft ontdekt wordt genoemd. Dus doe even je best zou ik zeggen.
Bewijzen ? Ik hoef jou niets te bewijzen.
Kijk zelf de video maar en zoek de site even op.
https://www.debian.org/releases/stable/installmanual
Installation Guide for ...
... 64-bit ARM (AArch64)
... EABI ARM (armel)
... Hard Float ABI ARM (armhf)
...
Ik kan prima leven met een Gnome interface, zonder overbodige toeters en bellen. Als je ooit heimwee naar macOS krijgt, dan kun je Debian uitrusten met een klassiek Mac "look-and-feel" thema.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
