Iphone unhackbar?
Wäre es Möglich einem Cracker durch eine Website oder einen Script, mein Iphone zu hacken oder die Cookies in meinem Tab?
Oder den Wlan Router?
5 Antworten
Iphone unhackbar?
Das ist völliger quatsch - hier ist eine Liste bekannter Sicherheitslücken die iOS betreffen: https://cve.mitre.org/cgi-bin/cvekey.cgi?keyword=ios
Da dies eine reine Textsuche war, werden verschiedenste andere Lücken bei denen der Text iOS nicht enthalten war nicht aufgelistet. Daher gibt es sicherlich mehr Lücken die nicht in der Liste auftauchen.
Außerdem werden nicht alle Lücken als CVE (Common Vulnerabilities and Exposure) gemeldet!
Die Dunkelziffer ist also nochmals höher!
Wäre es Möglich einem Cracker durch eine Website oder einen Script, mein Iphone zu hacken oder die Cookies in meinem Tab?
Möglich ist alles - praktisch beschäftigen große Firmen ganze Teams von Experten um bei Verdachtsfällen solche Dinge zu untersuchen.
Guckst du: https://www.computerweekly.com/de/definition/Computer-Security-Incident-Response-Team-CSIRT
Was in deinem Fall zutrifft, kann man nur sagen wenn man den Angriffscode analysiert.
Stimmt - man muss schon lesen können. Dann sieht man das auch. Aber auch da gilt wieder - ich habe keine Kristallgugel die mir sagt welche Apps installiert sind und wie die Berechtigungen am System aussehen, etc.
Wäre ja auch schlimm wenn die Leute endlich mal vorsichtiger werden würden. Aber ich sehe das positiv - so lange viele Denken, dass eh alles Sicher ist und sich darauf verlassen, dass ihr iOS, Android, Windows, Linux, etc. ohnehin "unhackbar" ist dank der ganzen Sicherheitsmaßnahmen der Hersteller und auf allen Mist draufklicken aus reiner Neugier habe ich als IT-Forensiker zumindest genug zu tun.
Der FS sagt ja selber, dass ein AJAX Request abgesetzt wurde oder das dies zumindest versucht wurde. Was da wie gemacht wurde ist völlig unklar. Und selbst die Meldung kommt mir schon "komisch" vor.
Ich bin es eigentlich gewohnt mir Dinge anzusehen und nicht aus dem Bauch heraus zu entscheiden ohne irgendwas gesehen zu haben. Aber wie gesagt - mir egal. Ihr macht das schon...
Tja, wenn du dich auskennen würdest, dann würdest du wissen das Apple Berechtigungen nicht leichtfertig hergibt. Und die Sandbox auf iOS devices wirklich gut abgekoppelt sind.
Ich sag ja nicht, dass es unmöglich ist. Nur extrem unwahrscheinlich, das ihm da was passiert ist.
Und nur weil eine AJAX request abgesendet wurde... OMG, das macht jeder im Browser täglich............
Natürlich wäre es besser wenn man sich das Device anschauen kann, aber als normale Person hast du leider bei iOS auch sehr wenig Zugriffsrechte da überhaupt draufzukommen. Vielleicht habt ihr in der Arbeit oder so was dafür aber der User hier wird keins haben.
Meine Sicherheitseinschätzung erfolgt deswegen aus der Ferne, und ich beziehe in Betracht wie anfällig das System ist, welche Sichereitslücken es gab, ob der User auf einer Relativ aktuellen Version ist. Aber wenn du lieber zum User fahren willst, gönn Ichs dir.
Übrigens - gibt auch die Möglichkeit einer Remote-Acquisition über das Internet.
Aber ich würde mir auch nur den Link ansehen und nicht 15 - 20k Seiten an forensischem Bericht durchackern für lau...
Guck dir mal das Inhaltsverz. an: https://static1.squarespace.com/static/574d60aef85082d3b6cb20d2/t/62e3dbb9c673b11578c4aa39/1659100099507/MOBILedit+Forensic+Android+Sample+report.pdf
Was soll ich damit anfangen?
Ich will ja nicht meckern, aber das ist ein altes Google Pixel. Mit ner wahrscheinlich älteren Android Version.
Hast du so reports auch für neue iPhones?
Klar gibt es das auch - Mobiledit analysiert alle möglichen Geräte. Es geht ja nur um die Menge an Daten die bei einer richtigen forensischen Untersuchung eines Gerätes anfallen.
Da du gemeint hast ich soll das Gerät beim User untersuchen, wollte ich dir mal zeigen was da dann für eine Datenflut auf einen zukommt. Dann kannst du dir den Aufwand das alles durchzuackern und auf Spuren zu untersuchen vorstellen.
Du kannst dir gerne eine Demo-Version anfordern und dein eigenes iPhone untersuchen. Ich kann hier keine realen Berichte online stellen.
Je nach dem wie du auf das Gerät zugreifen kannst, kommen auch beim iPhone zig tausende Seiten an Report raus.
Das wäre schon möglich, aber 99% aller Nutzer sind so unwichtige Hansel, da macht sich keiner die Arbeit.
Als Politiker, Anwalt oder Aktivist in einem autokratischen System sollte man allerdings sehr vorsichtig sein!
iOS ist nicht unhackbar, sonst gäbe es keinen Jailbreak.
Nein, vor kurzem gab es erst noch eine Meldung bezüglich einer Sicherheitslücke, die man durch updaten schließen sollte.
klar ist das Dingen hackbar
Oder dachtest nur weil nen angebissener Apfel als Logo drauf ist, wärs unangreifbar?
Dann informiere Dich mal warum erst letzte Woche OS 15.6.1 ausgerollt wurde
Klar geht das. Aber es macht sich keiner die Arbeit genau dich zu hacken!
Vorallem durch Cookies oder so ist es extrem unwahrscheinlich.
falls du noch fragen hast, schreib einfach ein Kommentar. Bin selbst Programmierer und bisschen in der Cyber Security scene.
Danke, dann hätte ich noch eine Frage und zwar war ich im privaten Surfmodus auf meinem Iphone in Safari. Plötzlich Popte im Tab etwas auf. Da stand irgenwas mit ajax sending data oderso. Ich konnte nichts mehr machen. Als ich Safari geschlossen und wieder geöffnet habe ging alles wieder. Ich glaube es war eine Xss Atacke. Könntest du mir bitte helfen?
Also, Safari rennt in einer eigenen Sandbox. Heißt Safari hat kein Zugang zu den anderen Daten auf deinem Handy.
Wenn dein Handy auf einer halbwegs neuen Version ist brauchst du dir echt keine Gedanken machen!
Du kannst wenn du extrem vorsichtig sein willst: in den Einstellungen bei Safari „Verlauf und Webseitdatenlöschen“.
oder dein Handy zurücksetzen.
Halte ich aber beides für Schwachsinn.
Das ist völliger Quatsch. Kaum ein Angriff ist gerichtet. Meist wird SPAM in Form von Emails, Nachrichten oder teilweise sogar günstige bezahlte Werbung wie Forced-Klicks genutzt um möglichst viele zu erreichen.
Hier und da findet sich dann ein unbedarftes Opfer das Links anklickt, Anhänge öffnet, etc.
98% der Angriffe sind diese Schrotschuss-Taktik. Daher kann man unmöglich sagen was der Fragesteller da angeklickt hat wenn er nicht willens ist den Link herauszurücken damit wir uns das JS-Code ansehen können...
Doch auf iOS ist es extrem schwer so große Attacken in die Wirklichkeit umzusetzen. Es gibt dafür extrem viele Blockaden in iOS und Safari selbst.
Und das macht fast keiner, weil der Code von iOS und Safari nicht OpenSource ist und somit alles reversed Engineered werden muss. Was bei apple schon immer extrem viel Arbeit war und das lohnt sich nunmal fast nicht.
LG
Natürlich ist es möglich. Aber vor allem auf iOS extrem unwahrscheinlich. So wie ich in meiner Frage gesagt habe.
Woher weißt du, dass der Code auf einen Angriff auf das System abzielt? Ich habe keine Kristallkugel die mir sowas sagt ohne den Code zu lesen. Egal - ihr macht das schon...
Also, du machst dir viel zu viel Gedanken.
Vor allem als Pentester hat ich mir ne bessere Einstellung zu dem Thema erwartet.
Natürlich könnte der Code einfach zu einem Bot netz gehören oder den User nicht als ziel haben und andere Dinge anstellen, oder ihm irgendwelche Daten von Webseiten abziehen will.
Aber wie ich gesagt habe, auf iOS ist es schwierig überhaupt zugriff auf irgendwas zu bekommen. Ich sag wie gesagt nicht, dass es nicht möglich ist auf iOS kein Virus zu bekommen. Ich sag nur es ist verdammt unwahrscheinlich!
Aber schon alleine an der Infection Rate auf IOS Devices ist weit geringer als auf anderen Geräten. Somit würde ich mir als normaler enduser wirklich nicht zu viele Gedanken machen.
Kannst du sehen wie du willst - ich bin nicht nur Pentester sondern auch IT-Forensiker und habe haufenweise infizierte Apple-Geräte gesehen von Leuten die alle dachten wie du.
Außerdem habe ich es mir angewöhnt nicht zu vermuten und zu glauben sondern zu testen und zu wissen.
Apple Geräte? Redest du hier von MacBooks ;) ja das passiert häufiger.
Es geht hier aber um iPhones. Natürlich habe ich auch schon infizierte Geräte gesehen, aber im Vergleich zu anderen eher gering.
Daher meine Gefahreneinschätzung aus der ferne.
Oha, das interessiert mich jetzt aber.
Welche Tools nutzt ihr so um auf die Geräte zuzugreifen?
Ist ja sehr schwierig wenn man nicht grad bei großen Sicherheitsfirmen arbeitet
Mobiledit und Oxygen Forensic Detective.
Aber ich glaube du verstehst das falsch - ich hacke die Geräte nicht sondern bin in den letzten Jahren primär im DFIR Umfeld tätig. Ich komme also eher nach den Angriffen und analysiere was passiert ist.
Als Pentester bin ich primär auf Web-Apps, API-Schnittstellen für modile Apps spezialisiert da ich so Zeug für fast 2 Jahrzehnte entwickelt hatte. Genau darum frage ich mich was der AJAX Request gemacht haben könnte und da fällt mir so einiges ein.
Apple CVEs die Kritisch sind, sind doch schon fast alle gefixed mach dem User doch keine Angst.
Außerdem zeigt der Link so viel Falsche CVEs an, die zum Teil fremde IOS apps betreffen, was nichts mit IOS Sicherheitslücken oder Safari am Hut hat!