Ο Craig Federighi υπερασπίζεται την ασφάλεια του iOS, λέγοντας πως τα Mac έχουν malware σε ανεπιθύμητο βαθμό

[AtiX]

3 ώρες πριν, orgixmh είπε

Γιατί να σε παρεξηγήσω, κουβέντα κάνουμε και ο καθένας έχει την άποψη του, σχετικά με την κατανόηση όσων γράφω όντος δεν είναι τo φόρτε μου ο γραπτός λόγος.

Σχετικά με το ερώτημα σου, 
Ο χρήστης προφανώς. Για να δώσει το iOS πρόσβαση στις επαφές ζητά την συγκατάθεση του χρήστη, αλλά αυτό που σκέφτομαι δεν θα έχει καν πρόσβαση σε προσωπικά δεδομένα. Σε περίπτωση εγκατάστασης μέσω web θα μπορούσε το app να τρέχει αλλά το iOS να μην του δίνει καμία πρόσβαση σε δεδομένα χρήστη, όπως ακριβώς τρέχουν τα web apps, θα μπορείς να τρέξεις παιχνίδια έξω από το store αλλά η εφαρμογή του παιχνιδιού δεν θα γνωρίζει ούτε το uuid του τηλεφώνου, ούτε θα έχει πρόσβαση σε επαφές/ημερολόγια/φωτογραφίες και για την χρήση της κάμερας και του μικροφώνου θα μπορούσε να εμφανίζεται η κόκκινη μπάρα πάνω ώστε να ενημερώνει τον χρήστη ότι η εφαρμογή κάνει χρήση κάμερα/μικρόφωνο. Η πρόσβαση στο σύστημα αρχείων θα είναι περιορισμένη σε ένα και μόνο φάκελο με το όνομα της εφαρμογής και θα είναι ο μόνος χώρος που η εφαρμογή μπορεί να διαβάσει και να γράψει, κοινός θα έχουμε ένα σκληρό sandbox για μη έμπιστες εφαρμογές που θα αποτρέπει την οποιαδήποτε κατάχρηση. 

Μιλάμε μία από τις μεγαλύτερες εταιρίες λογισμικού στον κόσμο, την εταιρία που άλλαξε τον κόσμο μας με χιλιάδες τρόπους, είναι κυριολεκτικά παιχνίδι για αυτούς να το κάνουν, προσωπικά πιστεύω ότι το πρόβλημα εστιάζεται στα χοντρά έσοδα του app store και όχι σε θέματα ασφαλείας.

Όλα αυτά που γράφεις φίλε μου είναι σωστά αλλά μόνο κάτω από την προϋπόθεση να συμπεριφέρονται ιδανικά όλα τα εμπλεκόμενα “πρόσωπα”… γνώμη μου είναι ότι κάτι τέτοιο δεν πρόκειται να συμβεί ποτέ και για αυτό θα πρέπει να υπάρχει και το απόλυτα ελεγχόμενο λειτουργικό από τον κατασκευαστή του ως επιλογή…

2 ώρες πριν, petasis είπε

Εσένα, αυτή είναι η έννοια σου; Εδώ μιλάνε ξεκάθαρα οι εμπλεκόμενοι, να ψάχνουμε τα υπονοούμενα; Αν ψάχνεις υπονοούμενα, υποθέτω η google θεωρεί ότι το android είναι ασφαλέστερο, και δεν σε περιορίζει τι εφαρμογές μπορείς να βάλεις. Για λεπτομέρειες, μπορείς να ρωτήσεις την google.

H απλ τοποθετήθηκε.

Καμία έγνοια ως προς την πραγματικότητα, ερώτηση ήταν ουσιαστικά για να καταλάβω αν όντως ψάχνεις να βρεις πάτημα ώστε να μιλήσεις περί σουρωτηριού χωρίς καν να έχεις κάποιο απτό στοιχείο…

Ο Federighi το μόνο που έκανε ήταν να συγκρίνει το iOS με το macOS και σε σύγκριση αυτών των δυο λέει το αυτονόητο! Ότι δηλαδή επειδή δεν έχουν το απόλυτο έλεγχο και ο χρήστης εγκαθιστά ότι γουστάρει, το macOS έχει malware σε ανεπιθύμητο βαθμό… 

Τώρα πως κατάφερες και από αυτό, πηγές στο ότι παραδέχονται ότι το macOS είναι σουρωτήρι, μόνο εσύ και δυο τρεις ακόμα μπορείτε να το δικαιολογήσετε…

[orgixmh]

1 ώρα πριν, AtiX είπε

Όλα αυτά που γράφεις φίλε μου είναι σωστά αλλά μόνο κάτω από την προϋπόθεση να συμπεριφέρονται ιδανικά όλα τα εμπλεκόμενα “πρόσωπα”… γνώμη μου είναι ότι κάτι τέτοιο δεν πρόκειται να συμβεί ποτέ και για αυτό θα πρέπει να υπάρχει και το απόλυτα ελεγχόμενο λειτουργικό από τον κατασκευαστή του ως επιλογή…

Αν το λειτουργικό δουλέψει με τον τρόπο που περιγράφω ο χρήστης δεν θα μπορεί να κάνει καμία ζημία στο OS αλλά ούτε και να εκθέσει τα δεδομένα του, κάποτε υπήρχε στα Windows μία παρόμοια εφαρμογή που δημιουργούσε ένα virtual desktop, οι εφαρμογές νόμιζαν ότι τρέχουν σε κανονικό περιβάλλον με admin rights αλλά στην πραγματικότητα ήταν σαν να τρέχουν σε ένα virtual machine.

Ο λόγος που κάτι τέτοιο δεν έχει γίνει ούτε στο Android  αλλά ούτε στο iOS πιστεύω ότι είναι η μείωση των εσόδων τους, η google θα χάσει το tracking στους χρήστες με αποτέλεσμα να χάσει τεράστια έσοδα από τις διαφημίσεις και η Apple θα χάσει μέρος των κερδών της από το store.

Σχετικά με τους χρήστες που γράφεις καταλαβαίνω απόλυτα τι εννοείς, το βλέπω καθημερινά στα desktop, τρέχουν τα πάντα και δίχως δεύτερη σκέψη, ακόμα και χρήστες που έχουν Windows χρόνια, αυτός είναι και ο λόγος που ένα sandbox θα τους προφυλάξει από τέτοιες καταστάσεις. 

[kurkosdr]

19 ώρες πριν, Vasilisxd είπε

Από το 2007 Sandboxing στο MacOS και οι εφαρμογές για να τρέξουν με root προνόμια σου ζητάει να βάλεις το password σου. 

Ε και; Τα περισσότερα λειτουργικά έχουν κάποιο παρόμοιο σύστημα (πχ τα Windows έχουν το UAC επίσης από το 2007).  Οι εφαρμογές απλά ζητούν root (elevation), και ο χρήστης επειδή θέλει να τρέξει την εφαρμογή (την οποία πιθανότητα να έχει ήδη πληρώσει) το δίνει. Έτσι δουλεύουν και τα copy protection διαφόρων μεγάλων εταιριών (που από μόνα τους μπορεί να λειτουργήσουν ως malware) οπότε ο χρήστης συνηθίζει να δίνει root σε ότι εγκαθιστά. Το Android, αντιθέτως, παρέχει ως ελεγχόμενες υπηρεσίες αυτό το υποσύνολο των διαβαθμισμένων λειτουργιών που χρειάζονται οι κανονικές εφαρμογές (και κανονικά θα απαιτούσαν root), και έτσι στο Android έχουμε ένα πλήρως λειτουργικό οικοσύστημα εφαρμογών χωρίς την ανάγκη να δοθεί root/elevation σε καμιά εφαρμογή (εξαιρούνται οι power users με custom ROMs που τρέχουν προχωρημένες εφαρμογές και ως power users αναλαμβάνουν όλη την ευθύνη, εγώ προσωπικά ποτέ δεν χρειάστηκα root).

Φυσικά στο Android υπάρχει ακόμα user-space malware (συν τα root exploits λόγω του θέματος με τα updates), οπότε σαν οικοσύστημα το Android είναι λιγότερο ασφαλές από το MacOS, καθαρά λόγω του θέματος των update που ανέφερα και του τραγικού curation στο Play Store, δηλαδή θέματα που δεν έχουν σχέση με το σχεδιασμό του λειτουργικού.

Επεξ/σία 23 Μαΐου 2021 από kurkosdr

[Herald]

3 ώρες πριν, SeaLion είπε

Παιδιά, σορρυ, είτε δεν χρησιμοποιείτε macOS και δεν ξέρετε είτε απλά τα λέτε έτσι για να προκαλέσετε. Το λειτουργικό ρωτά (σε εκνευριστικό πλέον βαθμό) άδεια για τα πάντα και φυσικά δεν προχωρά τίποτα σημαντικό χωρίς admin password.

O Federighi απλά λέει το αυτονόητο: στο macOS οι χρήστες είναι ελεύθεροι να κάνουν ό,τι θέλουν, και μοιραία κάποιοι θα εγκαταστήσουν malware. Αυτό μπορεί να συμβεί όταν θέλεις π.χ. Photoshop πειρατικό και βάζεις το password σου για να το εγκαταστήσεις.

Το αν αυτό τώρα είναι ικανό επιχείρημα σε μια τέτοια δίκη, είναι στο χέρι αυτών που θα κρίνουν. 

To πόσες φορές ζητάει το password δεν το κάνει ασφαλές. Και εγώ μπορώ να βάλω τα windows ή όποιο άλλο λειτουργικό θέλω να ζητάει το admin password 19 φορές. Δεν είναι αυτό ασφάλεια. Σε διάφορους διαγωνισμούς που έχουν γίνει κατά καιρούς τα MAC OS hackaronte σε δευτερόλεπτα.

4 ώρες πριν, LionRulesGR είπε

Είπε ο Windows 10 user ... Ρε κάτσε ασχολήσου με το 90% της αγοράς για το οποίο δεν μπορώ καν να μετρήσω τα Viruses και άσε τους άλλους να περιμένουν να κολλήσουν όταν βρίσκονται στο τραγικά χαμηλό 9% ... Κάποιες φορές η απλή στατιστική σας βουλώνει το στόμα ... Φυσικά υπάρχει Malware και στο macOS ... Χρόνιος MacUser... Όμως η πιθανότητα να κολλήσεις ΕΙΔΙΚΑ ΑΝ ΠΡΟΣΕΧΕΙΣ ΕΛΑΧΙΣΤΑ είναι τόσο χαμηλή που με κάνει να θέλω να ξεράσω μόνο που το αναφέρεις ...

Ενώ στα windows οι πιθανότητες να κολλήσεις άπειρες. Χωρίς antivirus μια δεκαετία είμαι

[AtiX]

3 ώρες πριν, orgixmh είπε

Αν το λειτουργικό δουλέψει με τον τρόπο που περιγράφω ο χρήστης δεν θα μπορεί να κάνει καμία ζημία στο OS αλλά ούτε και να εκθέσει τα δεδομένα του, κάποτε υπήρχε στα Windows μία παρόμοια εφαρμογή που δημιουργούσε ένα virtual desktop, οι εφαρμογές νόμιζαν ότι τρέχουν σε κανονικό περιβάλλον με admin rights αλλά στην πραγματικότητα ήταν σαν να τρέχουν σε ένα virtual machine.

Ο λόγος που κάτι τέτοιο δεν έχει γίνει ούτε στο Android  αλλά ούτε στο iOS πιστεύω ότι είναι η μείωση των εσόδων τους, η google θα χάσει το tracking στους χρήστες με αποτέλεσμα να χάσει τεράστια έσοδα από τις διαφημίσεις και η Apple θα χάσει μέρος των κερδών της από το store.

Σχετικά με τους χρήστες που γράφεις καταλαβαίνω απόλυτα τι εννοείς, το βλέπω καθημερινά στα desktop, τρέχουν τα πάντα και δίχως δεύτερη σκέψη, ακόμα και χρήστες που έχουν Windows χρόνια, αυτός είναι και ο λόγος που ένα sandbox θα τους προφυλάξει από τέτοιες καταστάσεις. 

Ο τρόπος λειτουργία που περιγράφεις αν και δεν είναι λάθος είναι εξαιρετικά αναποτελεσματικός… φαντάσου μόνο η εφαρμογή για τα email θα πρέπει να έχει πρόσβαση τουλάχιστον στον φάκελο με τα έγγραφα…

σκέψου τώρα στις δεκάδες χιλιάδες εφαρμογές και σε ένα λειτουργικο με αυτή τη λογική ποιος θα κάτσει να ελέγξει αν η τάδε εφαρμογή πρέπει να έχει πρόσβαση και που… εσύ προτιμάς ο χρήστης, εγώ προτιμώ η εταιρία που φτιάχνει το λειτουργικό… και οι δυο λύσεις είναι αποδέκτες…

Ελπιζω να καταλαβαίνεις ότι ακόμα και με τον ιδανικότερο τρόπο λειτουργίας ενός λειτουργικού, δεν θα αργήσει και πολύ η ώρα να φτάσουμε στο παραπάνω δίλημμα…

Επεξ/σία 23 Μαΐου 2021 από AtiX

[orgixmh]

2 ώρες πριν, kurkosdr είπε

Ε και; Τα περισσότερα λειτουργικά έχουν κάποιο παρόμοιο σύστημα (πχ τα Windows έχουν το UAC επίσης από το 2007).  Οι εφαρμογές απλά ζητούν root (elevation), και ο χρήστης επειδή θέλει να τρέξει την εφαρμογή (την οποία πιθανότητα να έχει ήδη πληρώσει) το δίνει. Έτσι δουλεύουν και τα copy protection διαφόρων μεγάλων εταιριών (που από μόνα τους μπορεί να λειτουργήσουν ως malware) οπότε ο χρήστης συνηθίζει να δίνει root σε ότι εγκαθιστά. Το Android, αντιθέτως, παρέχει ως ελεγχόμενες υπηρεσίες αυτό το υποσύνολο των διαβαθμισμένων λειτουργιών που χρειάζονται οι κανονικές εφαρμογές (και κανονικά θα απαιτούσαν root), και έτσι στο Android έχουμε ένα πλήρως λειτουργικό οικοσύστημα εφαρμογών χωρίς την ανάγκη να δοθεί root/elevation σε καμιά εφαρμογή (εξαιρούνται οι power users με custom ROMs που τρέχουν προχωρημένες εφαρμογές και ως power users αναλαμβάνουν όλη την ευθύνη, εγώ προσωπικά ποτέ δεν χρειάστηκα root).

Φυσικά στο Android υπάρχει ακόμα user-space malware (συν τα root exploits λόγω του θέματος με τα updates), οπότε σαν οικοσύστημα το Android είναι λιγότερο ασφαλές από το MacOS, καθαρά λόγω του θέματος των update που ανέφερα και του τραγικού curation στο Play Store, δηλαδή θέματα που δεν έχουν σχέση με το σχεδιασμό του λειτουργικού.

Στο macOS τα δικαιώματα root δεν θα σου δώσουν πρόσβαση στο OS, υπάρχει κάποια επιπλέον ασφάλεια που για την απενεργοποιήσεις θα πρέπει να μπεις σε recovery mode και μέσω του terminal να εκτελέσεις την εντολή "csrutil disable" ή με κάποιο τρόπο να αλλάξεις τα δεδομένα της nvram ή σε παλαιότερες εκδόσεις να bootάρεις τον kernel με το arg rootless=0
 

35 λεπτά πριν, AtiX είπε

Ο τρόπος λειτουργία που περιγράφεις αν και δεν είναι λάθος είναι εξαιρετικά αναποτελεσματικός… φαντάσου μόνο η εφαρμογή για τα email θα πρέπει να έχει πρόσβαση τουλάχιστον στον φάκελο με τα έγγραφα…

σκέψου τώρα στις δεκάδες χιλιάδες εφαρμογές και σε ένα λειτουργικο με αυτή τη λογική ποιος θα κάτσει να ελέγξει αν η τάδε εφαρμογή πρέπει να έχει πρόσβαση και που… εσύ προτιμάς ο χρήστης, εγώ προτιμώ η εταιρία που φτιάχνει το λειτουργικό… και οι δυο πείσεις είναι αποδέκτες…

Ελπιζω να καταλαβαίνεις ότι ακόμα και με τον ιδανικότερο τρόπο λειτουργίας ενός λειτουργικού, δεν θα αργήσει και πολύ η ώρα να φτάσουμε στο παραπάνω δίλημμα…

είναι προφανές ότι εφαρμογές γραφείου, τηλεφώνου, e-banking κτλ θα είναι αδύνατο να τρέξουν χωρίς ο χρήστης να πρέπει να εισάγει χειροκίνητα δεδομένα. Παρόλα αυτά όμως τα παιχνίδια, οι εφαρμογές κάμερας και πληθώρα μικρών δωρεάν εφαρμογών (δίχως διαφημιστικά) θα είναι ικανές να τρέξουν χωρίς προβλήματα. Προφανώς εφαρμογές τύπου network scanners κτλ θα βλέπουν ένα εικονικό δίκτυο και όχι το πραγματικό και άρα δεν θα βλέπουν τους hosts αλλά θα δοθεί η ευκαιρία σε χομπίστες devs να γράψουν εφαρμογές για το iOS χωρίς να πρέπει να πληρώνουν την Apple  την ετήσια συνδρομή.  Εφαρμογές για IOT για κάμερες ασφαλείας και χίλιες δύο εφαρμογές που η devs γράφουμε για τον εαυτό μας θα μπορούν πλέον να τρέξουν στα τηλέφωνα κάθε χρήστη με ασφάλεια και χωρίς να τον φόβο μην σου φάει κάρτες κτλ κτλ.

Φαντάσου ένα τύπου cydia με homebrew εφαρμογές που θα καλύπτουν  διάφορες ανάγκες αλλά και την δυνατότητα σε epic games κτλ να διαθέσουν τα παιχνίδια τους δίχως το 15% της Apple, αν ο χρήστης θέλει η εφαρμογή να ελέγχετε από την apple και να έχει πρόσβαση στα API του iOS τότε θα πρέπει να το πληρώσει μέσω του store.

Σχετικά με την πρόσβαση που γράφεις ότι θα πρέπει να γίνει έλεγχος δεδομένου ότι θα απαγορεύεται οποιαδήποτε πρόσβαση στο iOS δεν θα υπάρχει θέμα ελέγχου. Εξ ορισμού θα έχει διακοπεί οποιαδήποτε πρόσβαση σε δεδομένα χρήστη, δεν θα έχεις πρόσβαση σε κανένα δεδομένο του iOS και δεν θα υπάρχει τρόπος να την αποκτήσεις.

Όπως καταλαβαίνεις δεν έχω ένα ολοκληρωμένο πλάνο και θα βρεις αρκετά λάθη σε αυτά που γράφω, η φιλοσοφία πάνω σε αυτό όμως είναι η λογική των webapps με desktop shortcut αλλά με την υποστήριξη της swift. Ότι επιτρέπει ένα web app (camera/mic/location/localStorage/notification/gpuUsage) θα επιτρέπετε και στο unsigned app.

35 λεπτά πριν, AtiX είπε

Ελπιζω να καταλαβαίνεις ότι ακόμα και με τον ιδανικότερο τρόπο λειτουργίας ενός λειτουργικού, δεν θα αργήσει και πολύ η ώρα να φτάσουμε στο παραπάνω δίλημμα…

Έχουμε φτάσει, τα Windows S είναι ακριβώς αυτό, το iOS το ίδιο και ο μόνος λόγος που το MacOS δεν έχει ακολουθήσει είναι ότι θα υπάρξει σοβαρό θέμα με τους χρήστες που έχουν την ηλικία μου

Σήμερα βλέπουμε ότι τα top apps είναι στην ουσία web based apps και η apple προσπαθεί να τους κόψει τον αέρα γιατί έχουν πάρει φόρα και ρουφάνε τα πάντα από τις συσκευές μας, το facebook πχ σκίζεται να σου πάρει τον τηλεφωνικό κατάλογο ή να αλλάξει το default sms app. Σε μία έκδοση με τον τρόπο που περιγράφω ακόμα και αν ο χρήστης δώσει το ΟΚ το iOS δεν θα δώσει τηλεφωνικό κατάλογο

Επεξ/σία 23 Μαΐου 2021 από orgixmh

[kurkosdr]

9 ώρες πριν, orgixmh είπε

Στο macOS τα δικαιώματα root δεν θα σου δώσουν πρόσβαση στο OS, υπάρχει κάποια επιπλέον ασφάλεια που για την απενεργοποιήσεις θα πρέπει να μπεις σε recovery mode και μέσω του terminal να εκτελέσεις την εντολή "csrutil disable" ή με κάποιο τρόπο να αλλάξεις τα δεδομένα της nvram ή σε παλαιότερες εκδόσεις να bootάρεις τον kernel με το arg rootless=0

Και το UAC δεν δίνει πρόσβαση σε όλο το λειτουργικό, αλλά δίνει elevated priviledges που είναι αρκετά για να προκαλέσουν ζημιά. Δυστυχώς όλα τα mainstream desktop λειτουργικά (MacOS, Windows, Desktop Linux κλπ) έχουν τα χέρια τους δεμένα σε αυτό το ζήτημα λόγω της υποχρέωσης τους να παρέχουν ένα επίπεδο elevated priviledges που ναι μεν το απαιτούν οι παλιές εφαρμογές για να τρέξουν (ειδικά οι copy protected και τα εργαλεία συστήματος), είναι δε αρκετό για να προκαλέσει μεγάλη ζημιά. Το iOS και το Android αντιθέτως ήταν ευκαιρία να χτιστούν οικοσυστήματα από την αρχή στα οποία πολύ απλά δεν υπάρχουν εφαρμογές που ζητούν root (πλην εφαρμογές για power users που ξέρουν που να το βρουν).

Στα παλαιότερα λειτουργικά το μόνο που θα μας σώσει είναι μια "Lite" έκδοση με περιορισμένη συμβατότητα, βασικά εφαρμογές που δεν ζητούν root (αλλά με sideloading, αλλιώς σιγά μη δεχθεί η Adobe να δώσει 30% cut στα store και καλά κάνει).

Επεξ/σία 24 Μαΐου 2021 από kurkosdr

[petasis]

Στις 23/5/2021 στις 5:11 ΜΜ, AtiX είπε

Καμία έγνοια ως προς την πραγματικότητα, ερώτηση ήταν ουσιαστικά για να καταλάβω αν όντως ψάχνεις να βρεις πάτημα ώστε να μιλήσεις περί σουρωτηριού χωρίς καν να έχεις κάποιο απτό στοιχείο…

Ο Federighi το μόνο που έκανε ήταν να συγκρίνει το iOS με το macOS και σε σύγκριση αυτών των δυο λέει το αυτονόητο! Ότι δηλαδή επειδή δεν έχουν το απόλυτο έλεγχο και ο χρήστης εγκαθιστά ότι γουστάρει, το macOS έχει malware σε ανεπιθύμητο βαθμό… 

Τώρα πως κατάφερες και από αυτό, πηγές στο ότι παραδέχονται ότι το macOS είναι σουρωτήρι, μόνο εσύ και δυο τρεις ακόμα μπορείτε να το δικαιολογήσετε…

Ένα λειτουργικό που δεν είναι σουρωτήρι (Linux για παράδειγμα), τι φόβο έχει από το να τρέξεις το *οτιδήποτε*?

Όταν ο κατασκευαστής σου λέει μην τρέχεις ότι να 'ναι, τι εννοεί;

Ότι είναι τρύπιο, σουρωτήρι εννοεί.

Αν κοιτάς τα στοιχεία, εγώ έχω πει 100 φορές ότι το macos δεν ελέγχει τι δίνεις στα API του. Αυτό το κάνει σουρωτήρι.

Τα δικά σου στοιχεία ότι δεν είναι σουρωτήρι, είναι... ποια;