Push-Nachrichten von MacTechNews.de

Würden Sie gerne aktuelle Nachrichten aus der Apple-Welt direkt über Push-Nachrichten erhalten?

Sicherheitsrisiko Dateikonvertierung: iOS-Apps schicken Files unverschlüsselt durchs Netz

23 millionenfach genutzte iOS-Apps zur Dateikonvertierung stellen ein Sicherheitsrisiko vor allem für Unternehmen dar, können aber auch für Privatanwender gefährlich sein. Das hat das Cybersecurity-Unternehmen Wandera herausgefunden. Wer eine der betroffenen Anwendungen nutzt, könnte ausspioniert werden.

Konvertierung erfolgt in der Cloud
Alle von Wandera entdeckten Apps stammen von einem Unternehmen namens Cometdocs. Die kanadische Firma bietet nach eigenen Angaben ein cloud-basiertes Dokumenten-Management-System an, zu dessen Features auch die Konvertierung von Dateiformaten gehört. Für die Umwandlung und den Upload der Files stellt Cometdocs insgesamt 29 iOS-Apps zur Verfügung. Nach der Konvertierung, welche auf Servern des Unternehmens erfolgt, werden die Dateien zurück auf iPhone oder iPad geschickt.

Einige der Apps des Anbieters Cometdocs im iOS App Store

Unverschlüsselte Verbindungen
Das Problem dabei: Wandera zufolge werden die Dateien in beiden Richtungen über eine unverschlüsselte Verbindung übertragen. Das ermöglicht es zum einen jedem beliebigen Knotenpunkt im Netz, über welchen die Daten fließen, sie abzugreifen und zu speichern. Zum anderen können die Dateien etwa durch eine Man-in-the-Middle-Attacke abgefischt werden, und zwar sowohl im lokalen Netzwerk, etwa im WLAN, als auch über das Internet. Unternehmen, welche die Services von Cometdocs und die entsprechenden Apps nutzen, setzen sich daher der Gefahr aus, dass Dritte an sensible Daten wie beispielsweise Geschäftsgeheimnisse gelangen. Auch für Privatanwender besteht das Risiko, intime Informationen preiszugeben.

23 Apps sind betroffen
Wandera zufolge übertragen die folgenden 23 Apps die Daten unverschlüsselt:

Audio Converter - Convert Audio Files
Video Converter – Convert Video Files
Compress PDF – Make PDF Smaller
PDF Merge – Combine PDF Documents
JPG to PDF Converter
XPS to PDF Converter – Convert XPS files to PDF
Save as PDF - from Anywhere
Image to Text Converter – OCR
Image to Excel Converter – OCR
Image to Word Converter – OCR
PDF Creator – PowerPoint edition
PDF Creator – Word edition
DOC to DOCX
DOCX to DOC
PDF to AutoCAD Converter
PDF to Text Converter with OCR
PDF to PowerPoint Converter
PDF to Excel Converter – OCR
PDF to JPG Converter (JPEG)
Publisher to PDF Converter
PDF Converter Ultimate – All In One Converter
PDF to Word Converter with OCR
MP3 Converter – Convert Videos and Music to MP3

Hinzu kommen vier Apps, die nicht korrekt funktionieren, also keine Dateikonvertierung vornehmen: XPS to Word Converter, Publisher to Word, Resumable File Transfer und Scanned PDF to Word. Darüber hinaus sind auch 31 Android-Apps betroffen, diese nutzen ebenfalls unverschlüsselte Verbindungen. Wandera hat Cometdocs bereits zweimal auf die Sicherheitsrisiken in den Anwendungen hingewiesen, das kanadische Unternehmen hat darauf allerdings bislang nicht reagiert. Aus Sicherheitsgründen sollten die Apps daher bis auf Weiteres nicht mehr genutzt werden.

Kuo: Release der Apple Watch Ultra 3 und SE 3 i...

10 Jahre Yosemite-Design

Mac mini M4: Reparaturhandbuch bestätigt austau...

Kopfhörer für Workout

Vor 30 Jahren: Apple holt Sanierer – kann das s...

iPhone 16 Pro: Tippen oder Wischen ignoriert, N...

watchOS 11: Apple trennt sich von vier Zifferbl...

Eskalationskurs: ARM kündigt Qualcomm die Desig...

Kommentare

teorema6721.02.20 09:33

Da mache ich mir deswegen keine Sorgen, weil ich keines dieser Tools, auch kein vergleichbares installiert habe und nicht wüsste, wozu ich sie auf dem Phone brauche.

Aber andere brauchen sie vielleicht.

Rassismus ist, überall Rassismus zu wittern, wo keiner ist, und damit echten Rassismus zu bagatellisieren. (Dieter Nuhr)

-6

rosss21.02.20 09:39

„Das Problem dabei: Wandera zufolge werden die Dateien in beiden Richtungen über eine unverschlüsselte Verbindung übertragen.“

Das Problem dabei ist, dass überhaupt Daten übertragen werden, statt die Konvertierung lokal zu machen.

Oder ist Wandera (oder jede andere Firma) ein absolut vertrauenswürdiger Ort, um Firmengeheimnisse dort zu speichern?

Matze198521.02.20 09:57

Kontrolliert Apple sowas nicht?

sierkb21.02.20 13:00

rosss

Lässt Apples iOS eine solche Konvertierung denn lokal zu, stehen dazu die nötigen Tools und Werkzeuge bereit bzw. lassen sich installieren? Wenn nein, geht's eben nur außerhalb – oder der Nutzer muss eben drauf verzichten.

Wie funktioniert denn die Analyse der Daten, Datenströme auf potentiell verdächtige/schädliche Vorgänge auf dem Gerät durch

Will Strafach's (iOS Sicherheitsforscher- und Experte)
Guardian Firewall + VPN
Take back control of your privacy and digital life.

Oder

Microsoft Defender Advanced Threat Protection (ATP) ,

Die findet statt ebenfalls ausgelagert und außerhalb des Gerätes via Cloud und auf den Rechnern der Cloud – notgedrungen und zwangsweise. Weil's unter iOS auf dem Gerät selber lokal nicht geht, von Apple unterbunden ist.

Es bleibt ja keine andere Möglichkeit. Oder Verzicht.

tranquillity21.02.20 13:29

Ich benutze schon lange gezwungenermaßen ab und an den OOReader um OpenOffice-Dokumente auf dem iPad lesen zu können. Leider bekommt man die manchmal zugeschickt und lange Zeit gab es keine Möglichkeit, sich diese Dateien anzusehen. OOReader hat die Dokumente immer „auswärts“ konvertiert (was aber auch kommuniziert wurde).

Mittlerweile gibt es zu Glück Office700 Lite, welche die ODT-Dateien nativ lesen kann.

Man könnte auch in diesem Fall kritisch fragen, warum Pages etc. keine OpenOffice-Dokumente nativ lesen kan.

rosss21.02.20 13:47

rosss

Oder ist Wandera Cometdocs (oder jede andere Firma) ein absolut vertrauenswürdiger Ort, um Firmengeheimnisse dort zu speichern?

Mit dem richten Namen ist der Satz gleich verständlicher. Mea Culpa.

rosss21.02.20 13:52

sierkb

Es bleibt ja keine andere Möglichkeit. Oder Verzicht.

Wenn es wirklich um Firmengeheimnisse geht, bleibt nur zweiteres.

Ansonsten muss jeder für sich abwägen.

sierkb21.02.20 14:22

rosss

sierkb

Es bleibt ja keine andere Möglichkeit. Oder Verzicht.

Wenn es wirklich um Firmengeheimnisse geht, bleibt nur zweiteres.

Ja. Kann dann aber auch bedeuten: nicht Verzicht auf die benötigte Funktion, sondern Verzicht aufs ganze Gerät dieses Herstellers. Und Hinwendung zu einem Gerät eines anderen Herstellers, das diese gewollte Funktion ermöglicht, mehr Freiheiten gewährt, weniger Einschränkungen hat, keine solche Black-Box ist. Wo sowas dann möglich ist, weil erlaubt. Und zwar lokal. Und von der Firma bei Bedarf kontrollierbar und nachvollziehbar, was unter der Haube vor sich geht, wenn sie möchte und Wert drauf legt – im Sinne ihrer Firmensicherheit und der Wahrung ihrer Firmengeheimnisse.

sierkb21.02.20 15:23

tranquillity

Man könnte auch in diesem Fall kritisch fragen, warum Pages etc. keine OpenOffice-Dokumente nativ lesen kan.

Ja, in der Tat.

OpenRadar – Community bug reports: iWork applications do not read nor write odf documents
Nicht-öffentlicher Apple-interner Bug dazu ist rdar://6653531 und rdar://6543272.

macOS TextEdit (TextEdit unter iOS leider nicht) kann ODF-Dokumente schon seit mehreren Jahren sowohl lesen als auch schreiben – Apple bewirbt es sogar kurz mit einem Satz unter – (allerdings in der Version ODF 1.0/ISO IEC 26300:2006 aus dem Jahr 2006, aktuell ist seit dem Jahr 2015 ODF 1.2/ISO 26300-1:2015). Warum Pages das immer noch gar nicht kann, TextEdit wenigstens auf dem Mac hingegen sehr wohl sowohl lesend als auch schreibend und das wenigstens in der Version ODF 1.0, bleibt wohl Apples Geheimnis.

teorema6721.02.20 15:30

teorema67

... weil ich keines dieser Tools, auch kein vergleichbares installiert habe und nicht wüsste, wozu ich sie auf dem Phone brauche ...

sierkb

Lässt Apples iOS eine solche Konvertierung denn lokal zu? ...

Apple meint also auch, dass man solche Konvertierer auf dem iPhone nicht braucht? Danke, wusste ich nicht 👍

Rassismus ist, überall Rassismus zu wittern, wo keiner ist, und damit echten Rassismus zu bagatellisieren. (Dieter Nuhr)

sierkb21.02.20 15:45

teorema67

... weil ich keines dieser Tools, auch kein vergleichbares installiert habe und nicht wüsste, wozu ich sie auf dem Phone brauche ...

sierkb

Lässt Apples iOS eine solche Konvertierung denn lokal zu? ...

Apple meint also auch, dass man solche Konvertierer auf dem iPhone nicht braucht? Danke, wusste ich nicht 👍

Ich habe es bewusst als Frage formuliert – ich weiß es im Moment nicht ob Datei- und Text-Konvertertierung in alle möglichen Richtungen und Formate lokal auf dem Gerät möglich sind oder nicht. Es wäre zu prüfen. Ich habe bisher keinen Anlass/Bedarf gehabt, war auf meinem Gerät noch nicht in der Situation, es dort zu machen oder machen zu müssen. Kann sein, dass es lokal möglich ist. Kann aber auch sein, dass nicht. Und wenn es nicht lokal möglich sein sollte, kann ich es sehr nachvollziehen, wenn man das dann ausgelagert anbietet, um dem Nutzer, der sowas braucht, überhaupt eine Möglichkeit dazu anbieten zu können (er muss sie ja nicht nutzen, er kann/darf, wenn er möchte). Natürlich sollte das abgesichert geschehen und der Transportweg verschlüsselt sein – und natürlich ist die diesem Artikel zugrundeliegende Kritik sehr berechtigt, wenn diese Absicherung/Verschlüsselung nicht gegeben ist, das sollte dann schleunigst asap abgestellt und verbessert werden.

-2

rosss21.02.20 18:45

sierkb

Hmm. Warum sollte es nicht möglich sein? Mit dem iPad ist doch neuerdings sogar der Zugriff auf andere Ordner und sogar USB-Sticks möglich. Wenn Pages ein Word-Doc öffnen und es als Pages-Doc speichern kann, ist das doch schon eine Konvertierung.

Ich denke, es liegt eher am Hersteller der App – vielleicht hat es mit Lizenzgebühren oder -bedingungen für ein Dateiformat zu tun. Oder die Konvertierung auf dem eigenem Server ist für den Hersteller, ähm…, lukrativer.

sierkb21.02.20 19:30

rosss

sierkb

Pages. Eine Apple-App, fester Bestandteil des Betriebssystems iOS. Und komplett abgestimmt und integriert in die Betriebssystem- und Sicherheits-Architektur und Privilegien und Möglichkeiten der System- und Sicherheits-Architektur genießend, die Drittprogrammen von Non-Apple-Anbietern so nicht zustehen, so nicht gewährt werden.
Du nennst: Word-Dokument, Pages-Dokument. Nur-Text. RTF. PDF. Das kann Apples eigenes Pages. Dafür sind systemseitig entsprechende Bibliotheken da. Und weiter? Alle anderen obig genannten Formate? Was ist mit denen? Wenn Pages, iOS die alle von Haus aus könnte und die technischen Werkzeuge dafür mit an Bord hätte, bräuchte es keine Drittprogramme, die diese Lücken füllen und derlei anbieten, dann würde sich die Frage sicher nicht so stellen, weil eh alle Bordmittel für jeden Anwendungsfall ausreichten.
Obig ist ODF genannt worden. Kann Pages, kann TextEdit unter iOS, kann iOS ODF? Offenbar nein. Also brauchste dazu wohl ein Drittprogramm, das das kann bzw. konvertieren kann. Und genau da weiß ich grad' nicht, ob es auf dem Gerät lokal geht, oder ob man so eine Konvertierung auslagern muss, weil es technisch nur so lösbar ist. Wie bereits gesagt: es kann sein, es kann nicht sein. Ich habe mich damit bislang nicht beschäftigt, weiß es schlicht nicht.

Ich denke, es liegt eher am Hersteller der App

Zum Beispiel auch Apple, als Anbieter einer solchen App.
Mit welchen Formaten kann Pages alles umgehen? Mit welchen kann Pages, iOS-eigene Apps alles nicht umgehen?

– vielleicht hat es mit Lizenzgebühren oder -bedingungen für ein Dateiformat zu tun.

Vielleicht auch das, vielleicht sind bestimmte lizenzfreie Werkzeuge dazu unter iOS nicht installierbar, aus verschiedenen Gründen, entweder, weil die Lizenz es nicht erlaubt oder Apples AppStore-Richtlinie nicht bzw. sich die beißen beißen? Kann alles sein.

Oder die Konvertierung auf dem eigenem Server ist für den Hersteller, ähm…, lukrativer.

Kann sein, kann nicht sein.
Oder für ihn gar nicht anders möglich als so bzw. Kosten-/Nutzenabwägungen lassen es nur so zu oder es geht technisch nur so, oder auch alles zusammen.

-2

Sicherheitsrisiko Dateikonvertierung: iOS-Apps schicken Files unverschlüsselt durchs Netz

Kommentare

Kommentieren

Sie müssen sich einloggen, um die News kommentieren zu können.