Und vor allem schließen Sie Rechner mit Sonderzeichen im Kennwort

Rechner mit File Fault und Sonderzeichen hatten bisher die Möglichkeit beim Booten oben rechts in der Ecke auf deutsch umzustellen... Unter 10.7.2 nicht mehr. Entweder kennt man nun das Layout in English oder man braucht den Wiederherstellungscode zum Rücksetzen des Kennworts...

Kurze Schrecksekunde war das schon

Bei mir ist immer Deutsch eingestellt. Ob allerdings die Flagge noch da ist, darauf hab ich nicht geachtet.

Auch SL User sollten mal das Security-Update (über 100MB) installieren!!!

@eiq: es ist nur ein "Loch" wenn man File Vault aktiviert hat!

Ohne dies klappt alles super. Da ich meinen Rechner beruflich einsetze (mobiles Air), sehe ich es als meine Pflicht an, den Rechner komplett zu verschlüsseln (von wegen Diebstahl oder anderweitigem Verlust)!

MacPaelmchen
Das ist mir schon klar - und natürlich habe ich FV2 aktiviert.
Trotzdem war und ist immer Deutsch eingestellt, auch bei der Passworteingabe.

, ,

Wie gut, dass Apple immer so richtig schnell ist beim Fixen von Bugs und Lücken. Und diese Fixes immer so zügig und asap zum Nutzer durchreicht, also sie nicht erstmal hortet und 'ne zeitlang drauf hockenbleibt, während der Nutzer da draußen diesbgl. solange mit offenen Lücken herumläuft und auf die Fixes wartet bis Apple sich endlich bequemt, sie ihm zu geben...

@sierkb: +1

Und auch ganz zu schweigen davon, dass solche Security-Updates nicht auch für andere (ältere) Systeme veröffentlicht werden - nach dem Motto "Friss oder Stirb".

So wird man sich wohl kaum im Business-Markt etablieren können …

sierkb
Worin besteht der Zusammenhang zwischen den von dir geposteten Links und deinem Text? Bzw. - um diesmal zehn falsche Antworten zu vermeiden - wo steht das Datum, an dem der Fehler Apple gemeldet wurde?

eiq:

Es geht laut Apples eigener Angabe in diesem Dokument nach um diese Sicherheitslücke hier: CVE-2011-3230.
Einmal danach googlen, Suchwort "CVE-2011-3230".
In den Such-Ergebnissen findet sich unter anderem diese Seite einer zentralen Sammelstelle für solche annoncierten Lücken: CVE/MITRE: .

Dort in der Description steht:
Desweiteren steht da:
Was sagt uns diese Info?
Die sagt uns Folgendes: der Einreicher (wahrscheinlich sogar Apple selbst), der diesen CVE MITRE gemeldet hat, möchte solange keine Details zu dieser Lücke öffentlich bekanntgegen, bis er selber es tut bzw. bis er selber einen Fix dazu anbieten kann. Solange sollen öffentliche Detail-Infos dazu unter Verschluss bleiben.

Das ist ein bei äußerst kritischen Bugs durchaus üblich. Um dem Hersteller Zeit einzuräumen, einen Fix bereitzustellen und in dieser Zeit Hackern und Crackern nicht die Möglichkeit noch auf dem Silbertablett zu servieren, diese Lücke in der Zwischenzeit auszunutzen, denen also quasi eine Handlungsanleitung frei Haus zu liefern oder sie überhaupt erst auf den gedanken zu bringen, dass da eine solche Lücke existiert.

Und die konkrete Antwort auf Deine Frage ist ebenfalls schin beantwortet worden: Assigned (20110819). Also am 19.August 2011 wurde dieser CVE eingetragen. Wahrscheinlich von Apple selbst. Spätestens seit dem 19. August weiß Apple darüber also Bescheid. Spätestens. Höchstwahrscheinlich schon ein paar Tage oder Wochen vorher, denn sie werden sich mit dem Teil schon ein paar Tage oder Wochen beschäftigt haben.

Bzw. Apples eigenen Security Notes ist in den Credits zu entnehmen, wer der Finder dieses Bugs gewesen ist: CVE-2011-3229 : Aaron Sigel of vtty.com.

Und dieser Finder, Aaron Sigel of vtty.com, ist obig verlinkt, dessen Blogpost hast Du bereits gelesen: .

Es könnte auch Aaron Sigel gewesen sein, der diesen Bug dem MITRE gemeldet hat und dann die zugewiesene Nummer CVE-2011-3229 initiiert hat.
Und dass, sol lange, wie vom Hersteller kein Patch draußen ist, zwischen Finder und Hersteller ein Stillhalte-Abkommen existiert und der Finder damit und mit Details erst dann an die Öffentlichkeit geht, wenn der Patch durch den Hersteller entweder gerade an die Nutzer rausgegeben worden ist oder unmittelbar bevorsteht. Es existieren in solchen Fällen i.d.R. Vorgespräche und gentle agreements zwischen Finder und Hersteller nach dem Motto: "Du hältst bitte so lange die Klappe, bis wir den Bug tatsächlich gefixt und an die Benutzer weitergegeben haben. Danach kannst Du drüber schreiben soviel Du lustig bist." I.d.R. richten sich die Finder auch danach. Und setzen ihren Fund nur dann als Druckmittel ein, wenn der Hersteller sich zuviel Zeit lässt und selbst nach WEochen und Monaten immer noch nix an ie Nutzer hat rüberwachsen lassen. Auf genau solche Scenarios lässt Apple es leider häufig immer wieder hinauslaufen: sie warten bis zum geht-nicht-mehr, bis zu dem Punkt, wo der Finder anfängt, mit den Füßen zu scharren und öffentlich droht in etwa wie folgt:"Wenn ihr bis dann und dann oder nicht in den nächsten Tagen endlich in die Hufe kommt und einen Fix anbietet und endlich zu euren Nutzern rüberwachsen lasst, so dass die bzgl. dieser Lücke endlich geschützt sind, breche ich mein Stillschweigeabkommen und nenne Details!"
Und sehr oft und eider mit großer Regelmäßigkeit reagiert Apple erst genau dann und lässt was rüberwachsen. Wenn genau das droht. Wenn der Überdruck im Kessel also bis zum Zerbersten angestiegen ist. Dann meistens kommt Apple meist erst in Wallung und liefert seine Seicherheitsupdates aus.

Die Frage ist: warum muss das ganze immer erst soweit kommen? Warum reagiert Apple diesbzgl. mit größter Regelmäßigkeit immer erst dann, wenn der Druck auf sie so groß geworden ist? Warum erreichen solche Patches den Benutzer immer mit einer so langen Verzögerung? Während hingegen das bei anderen Betriebssystem-Herstellern (ich meine jetzt nicht Microsoft, obwohl die sich diesbzgl. enorm verbessert haben und im Vergleich zu Apple i.d.R. zeitnaher patchen) durchschnittlich schneller geht?

Kurzum: Apple weiß spätestens seit dem 19.08.2011 über diesen Bug offiziell Bescheid. Es ist davon auszugehen, dass Apple eher noch früher Bescheid wusste, am 19.08. ist die Lücke ja nur dem CVE/MITRE bekannt gemacht worden. Apple wird davon sehr wahrscheinlich schon Tage, wenn nicht gar Wochen vorher Bescheid gewusst haben und in Kenntnis gesetzt worden sein vom Finder dieser Lücke, Aaron Sigel.

Apples Fix ist beim Benutzer angelangt am 12.10.2011.
Das ist, angesichts der Schwere des Bugs und was man damit in der Zwischenzeit alles für dumme Sachen anstellen kann, eindeutig zu lange! Oder bist Du da anderer Meinung?

Nachtrag:

Und noch eine Bemerkung dazu, Marcel_75@work hat es schon anklingen lassen: mit sowas, mit so einer Patch-Praxis gewinnt Apple keinen Blumentopf und kein Vertrauen im Business-Bereich, wo zeitnahes und schnelles Anbieten von Sicherheits-Patches i.d.R. überlebenswichtig für das betroffene Unternehmen sein können bzw. sind. Sowas, wie Apple es praktiziert, solche langen Wartezeiten, in denen man dann teilweise gravierenden Lücken schutzlos und ohne Patch ausgeliefert ist, bis der Hersteller spürbar reagiert und was anbietet zum Stopfen dieser Lücken, kann man sich dort nicht leisten.
Kein Wunder also, dass Apples XServe-Strategie und Apples Server sich schlecht verkaufen. Das ist einfach nahe einer gewissen Unverantwortlichkeit, so locker wie Apple das bzgl. Sicherheit praktiziert; solchen Risiken und Praktiken liefert sich doch kein Unternehmen und kein verantwortungsvoller Admin ohne Not freiwillig aus, wenn sie noch einigermaßen alle beisammen haben und klar denken können!

Und CVE-2011-3229 ist ja nur ein Beispiel. Eines von vielen.

Apple hat kein Interesse am Business- und ebensowenig am Servermarkt. Das sollte sich ja inzwischen auch hier rumgesprochen haben …