Push-Nachrichten von MacTechNews.de
Würden Sie gerne aktuelle Nachrichten aus der Apple-Welt direkt über Push-Nachrichten erhalten?

Fotos fremder Personen: Schwerer Fehler in iCloud für Windows könnte iCloud-Fotos anderer Nutzer zugänglich machen

iCloud lässt sich nicht nur auf Apple-Geräten nutzen, sondern auch mit Windows. Apple bietet hier extra eine kostenlose Windows-Software an, über welche sich beispielsweise die iCloud Foto-Bibliothek nutzen lässt. Doch offenbar gibt es aktuell Probleme: Diverse Nutzer melden, dass mit dem iPhone 13 Pro und 14 Pro aufgenommene Videos momentan nicht korrekt abgeglichen werden, wenn man "iCloud for Windows" einsetzt. Die Videos zeigen nur schwarze Bilder mit aufflackernden Linien.


Dies ist zwar ärgerlich, aber noch nicht beunruhigend. Doch manche der Betroffenen berichten von einem durchaus ernstzunehmenden Sicherheitsmangel: In diesen schwarzen Videos sind ab und zu Bilder von fremden Personen oder Familien zu sehen, welche nicht im Ursprungsmaterial vorhanden sind. Die Nutzer berichten, dass Fotos von Fußballspielen, fremden Kindern und andere unbekannte Inhalte zu sehen sind.

Fehler auf iCloud-Servern?
Möglich ist, dass die iCloud-Server das Video-Material der neueren iPhone-Modelle transkodieren, so dass die Videos auch auf Windows-PCs abspielbar sind. Offenbar scheint die Transkodierung aktuell nicht zu funktionieren.

Denkbar ist hier, dass die Umwandlung vom nativen Video-Format in das Zielformat derart scheitert, dass zufällig im Speicher des Servers befindliche Inhalte im Video landen. Dies ist möglich, da Speicherbereiche oftmals nicht geleert werden, wenn diese wiederverwendet werden. Normalerweise ist das genannte Verhalten kein Problem, da der Speicher sowieso überschrieben wird – doch in diesem Fall könnten hierdurch iCloud-Inhalte anderer Nutzer zugänglich werden.

Sollte sich diese (gewagte) Spekulationskette als korrekt herausstellen, ist zwar kein gezielter Zugriff auf die Inhalte anderer Nutzer möglich, jedoch hätten dadurch "iCloud for Windows"-Nutzer zumindest Zugang zu zufälligen Bildern anderer (ebenfalls zufälligen) iCloud-Nutzer.

Nicht bestätigt
Noch gibt es keine offizielle Bestätigung von Apple – doch die Vielzahl der Berichte lässt darauf schließen, dass es sich tatsächlich um ein ernstzunehmendes Problem handelt. Normalerweise behebt Apple derart schwerwiegende Fehler innerhalb kürzester Zeit.

Momentan keine Lösung
Diverse Betroffene haben das Problem bereits an Apple gemeldet. Eine Neuinstallation von iCloud für Windows behebt weder den ersten noch den zweiten genannten Mangel. Nutzer von Windows 10 und 11 scheinen gleichermaßen betroffen zu sein – aktuell aber nur Anwender, die ein iPhone 13 Pro und 14 Pro einsetzen. Es ist möglich, dass dieser Fehler nur durch Videos mit bestimmten Einstellungen, wie zum Beispiel HDR-Videos, ausgelöst wird.

Kommentare

PinchePasta
PinchePasta22.11.22 01:46
Tja, da erhält dann also irgendwer einen ziemlich schrägen Einblick in mein Liebesleben. Ich würd im Austausch dann aber gerne das Gesicht der Person dabei sehen 😂
Wenn jemand nun aber Screenshots davon macht und die Sachen veröffentlicht, wird man wenigstens ordentlich reich wenn man Apple verklagt
Lieber arm als ab
+3
esc
esc22.11.22 06:46
Und ich dachte es gäbe Verschlüsselungen und andere Sicherheitsvorkehrungen.
0
vta22.11.22 08:20
Ich meine mich zu erinnern, dass es vor x-Jahren bei Apple mal eine directory traversal Schwachstelle im Cloud Dienst gab....
esc
Und ich dachte es gäbe Verschlüsselungen und andere Sicherheitsvorkehrungen.
Nein, gibt und gab es nicht. Jedenfalls keine
Ende-zu-Ende-Verschlüsselung.
https://support.apple.com/en-us/HT202303

Überlegt mal was ihr Cloud-Verfechter häufig macht: Ihr ladet euere privaten Daten (inkl. Daten Dritter, z.B. Fotos mit Dritten oder von Dritten) hoch auf fremde Computer, die in einem anderen Land stehen und das i.d.R. unverschlüsselt.
+3
chonno22.11.22 08:39
vta
Ich meine mich zu erinnern, dass es vor x-Jahren bei Apple mal eine directory traversal Schwachstelle im Cloud Dienst gab....
esc
Und ich dachte es gäbe Verschlüsselungen und andere Sicherheitsvorkehrungen.
Nein, gibt und gab es nicht. Jedenfalls keine
Ende-zu-Ende-Verschlüsselung.
https://support.apple.com/en-us/HT20230

Überlegt mal was ihr Cloud-Verfechter häufig macht: Ihr ladet euere privaten Daten (inkl. Daten Dritter, z.B. Fotos mit Dritten oder von Dritten) hoch auf fremde Computer, die in einem anderen Land stehen und das i.d.R. unverschlüsselt.


Ohnehin kann man sich fragen warum trotz des sowas von herumreitens auf Datenschutz und das Hochhalten der User–Persönlichkeitsrechte, auch bei Apple so einige Dienste partout nicht Ende–zu–Ende–Verschlüsselt sind.

Wer eine unverschlüsselte Cloud auf unbekannten Servern für Daten und Fotos etc nutzt,ist nicht ganz dicht.
Im wahrsten Sinne des Wortes.

Aber die meisten Leute haben einfach kein Bock, sich mit dem Schutz ihrer Daten zu beschäftigen.
Man redet also mit einer Wand.
0
awk22.11.22 08:58
Eine Ende-zu-Ende Verschlüsselung hilft nichts wenn das beschriebene Szenario zutrifft.
+5
Mendel Kucharzeck
Mendel Kucharzeck22.11.22 09:00
chonno
Wer eine unverschlüsselte Cloud auf unbekannten Servern für Daten und Fotos etc nutzt,ist nicht ganz dicht.

Ich glaube hier liegt tatsächlich ein Missverständnis vor. Die gesicherten Elemente (Apple nennt die "Assets") sind verschlüsselt. Wenn ich meine Beobachtungen während der Entwicklung mittels CloudKit richtig interpretiere, wird ein Schlüssel bei der Abfrage eines Assets an iCloud-Server übermittelt, so dass dieser die Daten raussendet. Lokal scheint dann ebenfalls noch eine Entschlüsselung stattzufinden, bevor das Programm, welches die Daten haben will, die auch bekommt.

Das hier beobachtete Problem ist ein anderes: Offenbar scheint Apple Videos von bestimmten iPhone-Modellen zu transkodieren, wenn ein Windows-PC diese anfragt. Hierzu braucht die iCloud-Instanz natürlich die Schlüssel, um auf den Inhalt zuzugreifen.

Danach passiert dann der eigentliche Fehler. Stell dir mal eine Transkodierung so vor, dass es einen Quell- und einen Ziel-Speicherbereich gibt. Normalerweise wird das Quellbild genommen, gewandelt und in Ziel geschrieben – und dann rausgesendet. Hier (Achtung, Spekulation!) passiert möglicherweise etwas anderes: Während dem Wandeln von Quelle nach Ziel passiert ein Fehler – und nichts wird in Ziel geschrieben, aber TROTZDEM rausgeschickt. Es besteht aufgrund dessen, wie die Speicherverwaltung eines Computers funktioniert, die Möglichkeit, dass es sich hierbei dann um etwas Fremdes handelt, da Ziel nie überschrieben wurde.
+9
konnektor22.11.22 09:52
vta
https://support.apple.com/en-us/HT202303

... i.d.R. unverschlüsselt.
i.d.R sind die Daten nach Deinem eigenen Link verschlüsselt, teilweise End-to-End, ansonsten zumindest während des Transports und auf den Servern selbst.

chonno
Wer eine unverschlüsselte Cloud ...
Wo ist das was unverschlüsselt? Über die Sinnhaftigkeit der angewandten Verschlüsselungen kann man ja gerne streiten aber Deine Behauptung ist schlicht falsch.
+3
vta22.11.22 13:52
awk
Eine Ende-zu-Ende Verschlüsselung hilft nichts wenn das beschriebene Szenario zutrifft.
Wieso? Wenn es Ende-zu-Ende-Verschlüsselt ist, dann hast nur du den Private-Key und "fremden Personen oder Familien zu sehen" ist nicht möglich.
konnektor
vta
https://support.apple.com/en-us/HT202303

... i.d.R. unverschlüsselt.
i.d.R sind die Daten nach Deinem eigenen Link verschlüsselt, teilweise End-to-End, ansonsten zumindest während des Transports und auf den Servern selbst.
Du musst nicht teile von meinem Post löschen.
In dem Link steht genau was Ende-zu-Ende verschlüsselt ist.
Alles andere kann Apple einsehen.

"i.d.R sind die Daten nach Deinem eigenen Link verschlüsselt"
?
+1
konnektor22.11.22 14:10
vta
Du musst nicht teile von meinem Post löschen.
Im Sinne der Lesbarkeit lasse ich das stehen, auf was ich mich beziehe.
In dem Link steht genau was Ende-zu-Ende verschlüsselt ist.
Ja, sag ich doch, da steht aber auch wie die anderen Sachen verschlüsselt sind. Unverschlüsselt ist da nix.
Alles andere kann Apple einsehen.
Deswegen kann man da auch gerne drüber diskutieren. Aber nicht mit falschen Behauptungen.
0
vta22.11.22 14:17
konnektor
vta
Du musst nicht teile von meinem Post löschen.
Im Sinne der Lesbarkeit lasse ich das stehen, auf was ich mich beziehe.
Wegen der Lesbarkeit den entscheidenden Punkt weglassen?
"Jedenfalls keine Ende-zu-Ende-Verschlüsselung."
In dem Link steht genau was Ende-zu-Ende verschlüsselt ist.
Ja, sag ich doch, da steht aber auch wie die anderen Sachen verschlüsselt sind. Unverschlüsselt ist da nix.

Ja. Habe ich auch nirgends behauptet.
Es ist aber vieles - wie Fotos - nicht Ende-zu-Ende verschlüsselt. Was gibt es da noch klarzustellen.
konnektor
Alles andere kann Apple einsehen.
Deswegen kann man da auch gerne drüber diskutieren. Aber nicht mit falschen Behauptungen.

Habe ich nicht. Ich habe richtige Behauptungen aufgestellt, die du zum Teil gelöscht hast, damit es nach einer falschen Behauptung aussieht. So wirkt das zumindest.
Dann führe doch mal aus, wieso Apple diese Nicht-Ende-zu-Ende verschlüsselten Daten nicht einsehen kann... und wieso es dennoch zu dem Fehler kommen konnte
0
Mendel Kucharzeck
Mendel Kucharzeck22.11.22 14:20
Bezüglich Ende-Zu-Ende: Dies hätte auf dieses (spekulative) Szenario, woher dieser Fehler kommt, keinen Einfluss. Wenn Apple die Transkodierung auf den iCloud-Servern laufen lässt, benötigen diese (zumindest temporär) den Schlüssel zur Dekodierung des Filmmaterials – und der oben beschriebene Fehler wäre genau so aufgetreten.
+1
vta22.11.22 14:21
Mendel Kucharzeck
Bezüglich Ende-Zu-Ende: Dies hätte auf dieses (spekulative) Szenario, woher dieser Fehler kommt, keinen Einfluss. Wenn Apple die Transkodierung auf den iCloud-Servern laufen lässt, benötigen diese (zumindest temporär) den Schlüssel zur Dekodierung des Filmmaterials – und der oben beschriebene Fehler wäre genau so aufgetreten.
Dann ist es keine (echte) Ende-zu-Ende Verschlüsselung mehr. Wie soll ansonsten Apple an den Private Key kommen, wenn den nur du hast? Anonsten ist das nur Pseudo-Ende-zu-Ende...
0
konnektor22.11.22 14:26
@vta

Auf was bezieht sich dann der Satz: Überlegt mal was ihr Cloud-Verfechter häufig macht: Ihr ladet euere privaten Daten (inkl. Daten Dritter, z.B. Fotos mit Dritten oder von Dritten) hoch auf fremde Computer, die in einem anderen Land stehen und das i.d.R. unverschlüsselt.? Auf die Cloud(s) der Konkurrenz?
0
Mendel Kucharzeck
Mendel Kucharzeck22.11.22 14:36
vta
Wenn du (auch nur kurzzeitig) mit den Daten auf dem Server was anstellen willst, brauchst du (ebenfalls kurzzeitig) den Schlüssel.
0
vta22.11.22 14:51
konnektor
@vta

Auf was bezieht sich dann der Satz: Überlegt mal was ihr Cloud-Verfechter häufig macht: Ihr ladet euere privaten Daten (inkl. Daten Dritter, z.B. Fotos mit Dritten oder von Dritten) hoch auf fremde Computer, die in einem anderen Land stehen und das i.d.R. unverschlüsselt.? Auf die Cloud(s) der Konkurrenz?
Das ist eher allgemein gemeint gewesen.
Und ohne Ende-zu-Ende-Verschlüsselung ist es aus Apples Sicht mehr oder weniger wie unverschlüsselt.
Mendel Kucharzeck
vta
Wenn du (auch nur kurzzeitig) mit den Daten auf dem Server was anstellen willst, brauchst du (ebenfalls kurzzeitig) den Schlüssel.
Und das will man halt nicht bzw. geht dann nicht.
0
konnektor22.11.22 14:55
vta
Das ist aber ein anderes Posting, das eher allgemein gehalten ist.
Du meinst also eher so Bildzeitungsmäßig?
0
vta22.11.22 15:07
konnektor
vta
Das ist aber ein anderes Posting, das eher allgemein gehalten ist.
Du meinst also eher so Bildzeitungsmäßig?
Wenn du sonst schon nichts beizutragen hast...
0
MacKaltschale22.11.22 15:07
vta
konnektor
@vta

Auf was bezieht sich dann der Satz: Überlegt mal was ihr Cloud-Verfechter häufig macht: Ihr ladet euere privaten Daten (inkl. Daten Dritter, z.B. Fotos mit Dritten oder von Dritten) hoch auf fremde Computer, die in einem anderen Land stehen und das i.d.R. unverschlüsselt.? Auf die Cloud(s) der Konkurrenz?
Das ist eher allgemein gemeint gewesen.
Und ohne Ende-zu-Ende-Verschlüsselung ist es aus Apples Sicht mehr oder weniger wie unverschlüsselt.

Verwechselt du hier die Verschlüsselung auf deinem Gerät, die nur du entschlüsseln kannst, wie es z. B. bei Backup-Lösungen wie Arq geschieht (weil die Daten in der Cloud ausschliesslich gelagert werden sollen und nicht etwa verarbeitet), mit der Ende-zu-Ende-Verschlüsselung?

Ende-zu-Ende-Verschlüsselung bedeutet, dass keine der Zwischenstationen entschlüsselt – sehr wohl aber BEIDE Kommunikationspartner. Also hier die Cloud, die dann die Daten weiterverarbeitet, z. B. um dir Foto-Preview in schlechterer Qualität auf allen deinen Devices zur Verfügung zu stellen.
+1
vta22.11.22 15:09
MacKaltschale
vta
konnektor
@vta

Auf was bezieht sich dann der Satz: Überlegt mal was ihr Cloud-Verfechter häufig macht: Ihr ladet euere privaten Daten (inkl. Daten Dritter, z.B. Fotos mit Dritten oder von Dritten) hoch auf fremde Computer, die in einem anderen Land stehen und das i.d.R. unverschlüsselt.? Auf die Cloud(s) der Konkurrenz?
Das ist eher allgemein gemeint gewesen.
Und ohne Ende-zu-Ende-Verschlüsselung ist es aus Apples Sicht mehr oder weniger wie unverschlüsselt.

Verwechselt du hier die Verschlüsselung auf deinem Gerät, die nur du entschlüsseln kannst, wie es z. B. bei Backup-Lösungen wie Arq geschieht (weil die Daten in der Cloud ausschliesslich gelagert werden sollen und nicht etwa verarbeitet), mit der Ende-zu-Ende-Verschlüsselung?

Ende-zu-Ende-Verschlüsselung bedeutet, dass keine der Zwischenstationen entschlüsselt – sehr wohl aber BEIDE Kommunikationspartner. Also hier die Cloud, die dann die Daten weiterverarbeitet, z. B. um dir Foto-Preview in schlechterer Qualität auf allen deinen Devices zur Verfügung zu stellen.
Sorry. Du liegst falsch. Informiere dich z.B. über Private Key und Public Key bzw. asymmetrische Verschlüsselung. Davon spreche ich, damit eben Apple die Daten nicht einsehen kann.
+1
Dings22.11.22 23:32
Ist doch ganz einfach: Wären die Daten z.B. mit Cryptomator auf dem Original-Device verschlüsselt worden, könnte niemand, der – aus Versehen oder Absicht – die Daten aus der Cloud bekommt, was erkennen. Nicht mal, ob das Fotos sind.

So. Und das ab Werk einzubauen verweigert uns Apple.

Warum? Da musst Du Apple oder die US-Regierung fragen, Stichworte: National Security Letter und Cloud Act.
0

Kommentieren

Sie müssen sich einloggen, um die News kommentieren zu können.