Push-Nachrichten von MacTechNews.de

Würden Sie gerne aktuelle Nachrichten aus der Apple-Welt direkt über Push-Nachrichten erhalten?

macOS 10.14.5: Höhere Sicherheitshürden für neue Apps

Apple wird die Sicherheitshürde für neue Drittanbieter-Apps mit macOS 10.14.5 abermals höher legen. Der entsprechende Hinweis dazu findet sich im Developer-Portal des Unternehmens. Demzufolge müssen alle neuen Programme, die über eine neue Developer ID verteilt werden, erst von Apple „beglaubigt“ werden, bevor sie auf dem Betriebssystem lauffähig sind. Apple plant, die geforderte „Notarization“ zukünftig zu einer Standardbedingung für jegliche macOS-Software außerhalb des hauseigenen App Store zu machen.

Strengere Sicherheitsvorschriften für Softwareanbieter
„Beginnend mit macOS 10.14.5 müssen alle neuen oder aktualisierten Kernel Extensions und alle Anwendungen von Entwicklern mit neuer Developer ID erst beglaubigt werden“, so Apple. Das Unternehmen führte „Notarization“ mit macOS Mojave für Anwendungen ein, die nicht über den Mac App Store verteilt werden – für Apps im Store ändert sich entsprechend nichts. Nutzer sollen dadurch besser als bisher vor Malware und anderen, potenziell gefährlichen Programmen geschützt werden.

Um eine „Notarization“ zu erhalten, müssen Entwickler ihre Software an Apple schicken. Das Unternehmen führt einen automatisierten Malware-Check durch und prüft zudem, ob es Probleme hinsichtlich des Code-Signings gibt. Bei bestandener Prüfung erhalten App-Anbieter ein Ticket, das sie zu ihrer Software hinzufügen. Auch der macOS-Gatekeeper greift via Internet auf die Ticketinformationen zu, sodass das Tool die Sicherheit und Echtheit der jeweiligen Software vor der Installation sowie dem ersten Programmstart bestätigen kann.

Anbieter von Mac-Apps werden vom Unternehmen bereits jetzt dazu animiert, ihre Software zur entsprechenden Prüfung einzureichen. Schon Ende des letzten Jahres kündigte Apple an, „Notarization“ ab dem Frühjahr 2019 deutlicher zu betonen. Die aktuell noch in der Beta-Phase befindliche macOS-Version 10.14.5 dürfte der Startschuss für die neue Sicherheitsoffensive des Unternehmens beim Mac-Betriebssystem sein.

Daten zum Mac mini M4: Aufpreise, Spezifikation...

Ransomware eingefangen? Die meisten bezahlen ih...

Beddit ist Geschichte, Apple entfernt Apps

M4-Benchmarks: Deutliche Leistungssteigerung im...

Apples interne Einschätzung: Zwei Jahre Rücksta...

Kurz: Schon wieder neue AirPods-Firmware +++ Se...

Release Candidate ist da! iOS 18, iPadOS 18, ma...

Gegenüberstellung: AirPods 4 vs. AirPods Pro 2

Kommentare

motiongroup10.04.19 08:38

https://www.theverge.com/2019/4/8/18300822/spyware-app-abuse d-ios-enterprise-certificate-track-targets

Aufwachen.... Haaaallllooooo so viel zum Thema die sichere Seite der Apple Infrastruktur

wer nen roten Daumen über hat.. darüber plaudern ist nicht so euer Ding gell

-26

Dirk!10.04.19 08:40

motiongroup

Aufwachen.... Haaaallllooooo so viel zum Thema die sichere Seite der Apple Infrastruktur

@motiongroup Aufwachen! So lange Firmen Enterprise Zertifikate brauchen, wird sich Missbrauch damit nur begrenzt verhindern lassen, der USER muss aber auf seinem Gerät aktiv zustimmen, dass er dem Zertifikat vertraut. Wer das ohne nachzudenken macht, ist selber Schuld!

+11

Mendel Kucharzeck10.04.19 08:42

motiongroup
Aufwachen! Das sind zwei völlig verschiedene Themen. Enterprise-Zertifikate haben nichts mit Developer ID zu tun. Über das generelle Problem mit Enterprise-Zertifikaten haben wir hier und in weiteren Meldungen schon ausgiebig berichtet.

+15

MLOS10.04.19 08:50

Aber Tools ohne DevID laufen schon weiterhin?

MiiCha10.04.19 08:51

Hm... wie ist das nun?
Reicht es, wenn Valve für Steam die Überprüfung durchläuft oder muss jedes Game in Steam nun von einem überprüften Entwickler stammen?

Wie sieht es mit WINE aus - das kompiliert man sich ja normalerweise selbst - auch ohne Entwickler ID... Läuft das dann überhaupt noch unter Mojave nach dem Update

motiongroup10.04.19 08:58

Danke für die Rückmeldung Mendel... und auf wie vielen IOS Devs wurden diese durch Unwissen legitimiert.. eben wenn alle so firm wären wie sie tun, würden sie keine anonymen Anrufe annehmen oder auf Fishingmails antworten oder dümmeres unternehmen um auf der Geiz ist Geil Schiene surfen zu können..

wer nen roten Daumen über hat.. darüber plaudern ist nicht so euer Ding gell

-3

jens-ulrich10.04.19 09:10

... und wie sie das mit der Software aus, die man für sich selber (in-house) entwickelt?

BarbedAndTanged10.04.19 09:45

motiongroup

Guter Punkt, allerdings komplett am Thema vorbei.

Peter Longhorn10.04.19 10:17

Ist das dann nicht im Prinzip das gleiche wie wenn nur noch Apps aus dem AppStore erlaubt wären?
Der einzige Unterschied ist doch, dass der Entwickler hier die App nicht veröffentlichen muss. Er muss aber für sämtlichen Code, den er ausführen möchte die Erlaubnis von Apple bekommen.

Heißt das System ist jetzt definitiv für sämtliche Drittanbieter-Anwendungen gesperrt ohne dass Apple dies erlaubt. Der Unterschied wird hoffentlich noch sein, dass bei diesen Anwendungen auch Schnittstellen verwendet werden dürfen, welche im AppStore nicht erlaubt sind?

Jedenfalls ein meiner Meinung nach sehr schlechter Weg, den Apple da endgültig einschlägt. Bei Gatekeeper war es ja von Anfang an nur eine Frage der Zeit wann es so weit sein wird. Oder sehe ich das jetzt gerade falsch und es gibt doch noch Möglichkeiten ohne Apple Software auszuliefern/zu installieren?

conath10.04.19 10:22

MiiCha

Es geht im neuen Sicherheitsmechanismus nur um Kernel Extensions, also Programme die auf der Systemebene laufen. Einige Programme wie Philips Hue Sync und VMWare benötigen das tatsächlich, aber Programme wie Dropbox verlangen es teils auch, wo es jedoch Alternativen wie OwnCloud gibt, die ohne Kernel Extension laufen. Es wird sich zeigen, ob diese Entwickler wirklich auf die Kernel Extension angewiesen sind und sich notarisieren lassen oder ob es auch ohne geht.

Der Artikel ist in dieser Hinsicht meines Erachtens nach ungenau formuliert, es müssen lt. Zitat von Apple nicht alle Drittanbieter-Programme notarisiert werden.

nobillgates10.04.19 10:28

Ach ja. Das MacOS ist ja ach so arg bedroht! Appel sperrt sogar ihre eigenen Programme aus, Blamageband frag mich allen ernstes ob es auf das Mikrophon zugreifen darf . Und Programme wie zB Teamviewer, deren einzige Bestimmung es ist, aus der Ferne zuzugreifen, muss ich umständlich berechtigen! Etwas weniger Kontrollahisbola und etwas mehr Vertrauen in den User würde nicht schaden. Mir geht diese Misstrauenskultur mächtig auf den Sack, aber sowas von. Schlimmer als Windows Vista! Und damals hat sich Apple noch lustig gemacht. Aber drüben sind sie ja alle nur noch am hyperventilieren.

-11

pünktchen10.04.19 10:47

conath

MiiChaEs geht im neuen Sicherheitsmechanismus nur um Kernel Extensions, also Programme die auf der Systemebene laufen.

Das wäre ja schön und gut aber das kann ich da wirklich nicht rauslesen:

Apple

Important
Beginning in macOS 10.14.5, all new or updated kernel extensions and all software from developers new to distributing with Developer ID must be notarized in order to run. In a future version of macOS, notarization will be required by default for all software.

also

1. neue Kernelextensions
2. Software von neuen Developern
3. in Zukunft alle Software

Das klingt gar nicht gut. Denn Apple wird wohl kaum Software "notarisieren" welche nach Vorstellung von irgendwelchen Gesetzgebern oder Gerichten illegal ist.

AJVienna10.04.19 11:26

Hm, was bedeutet das für homebrew, LaTeX und co?

Legoman10.04.19 11:48

Ich hab viele kleine kostenlose Programme für Spezialfunktionen, die natürlich keine Zertifikate haben. Ob sie diese jemals bekommen würden oder sich die Programmierer diesen Stress antun wollen, ist mehr als fraglich.
Beim iPhone war das irgendwie vielleicht grad noch verständlich, bei nem Rechner will ich sowas eigentlich gar nicht.
Es kommt mir irgendwie so vor, als ob man die Angleichung von iPad an einen Rechner jetzt von der anderen Seite vorantreiben will. ("Dann streichen wir eben alles, was das iPad nicht kann...")

Und dann ist wohl auch Schluss mit Software, die Apple aus irgendwelchen Gründen nicht gefällt (nicht sauber und familientauglich genug).

Sicherheit fängt beim Nutzer an. Und wenn der sich nicht bevormunden lassen will, dann soll ihm das auch ermöglicht werden.

motiongroup10.04.19 12:09

BarbedAndTanged

Guter Punkt, allerdings komplett am Thema vorbei.

aber überhaupt nicht oder warum glaubst du ziehen sie das denn nun durch da könnt ihr mir ruhig eine million Daumen runter geben..

wer nen roten Daumen über hat.. darüber plaudern ist nicht so euer Ding gell

-2

BigLebowski10.04.19 12:30

pünktchen

Apple

Das wird wirklich noch interessant werden.
Erst der T2 Chip in Macs, jetzt das hier...
Der goldene Käfig ist noch golden, aber er wird enger

Mal eine Frage bezüglich Sicherheit (ich bin da nicht auf dem Laufenden):

- Wie sieht es mit diesen Drive-By Downloads aus?
Was hat sich da sicherheitstechnisch getan? (egal ob macOS, Win10 oder Linux)

- öffnen von Anhängen in Emails?

Das wären in meinen Augen 2 Punkte die viel wichtiger für den User sind.

Marcel Bresink10.04.19 12:33

Peter Longhorn

Ist das dann nicht im Prinzip das gleiche wie wenn nur noch Apps aus dem AppStore erlaubt wären?

Nein.

Peter Longhorn

Der einzige Unterschied ist doch, dass der Entwickler hier die App nicht veröffentlichen muss. Er muss aber für sämtlichen Code, den er ausführen möchte die Erlaubnis von Apple bekommen.

Nein, der Code wird überhaupt nicht überprüft, außer dass ein Virenscanner von Apple darüberläuft.

Peter Longhorn

Heißt das System ist jetzt definitiv für sämtliche Drittanbieter-Anwendungen gesperrt ohne dass Apple dies erlaubt.

Nein. Aber Apple plant etwas, wovon in Foren immer schon behauptet wurde, dass das ginge (was aber nie gestimmt hat), nämlich eine App im Nachhinein per Telemetrie zu sperren.

ssb10.04.19 13:35

jens-ulrich

... und wie sie das mit der Software aus, die man für sich selber (in-house) entwickelt?

MiiCha

Wie sieht es mit WINE aus - das kompiliert man sich ja normalerweise selbst - auch ohne Entwickler ID... Läuft das dann überhaupt noch unter Mojave nach dem Update

Software, die man mit Xcode oder auch via Make, CMake etc. selbst kompiliert, wird nach wie vor nutzbar sein. Apples Timestamp und Notary Server wären platt, wenn man mit Xcode was baut und alles erst notarisiert werden müsste, bevor man es nutzen kann.

Es wird einfach darum gehen, dass Software, die man aus dem Internet lädt von Safari und anderen ein eXtended ATTRibute bekommt. Software mit diesen Attributen werden beim ersten Start in eine spezielle Sandbox geschoben (es wird wirklich das gesamte Bundle in ein /tmp Verzeichnis verschoben). Das ist schon seit macOS 10.13 so, zumindest für Software, die nicht mit einer Application Developer ID signiert wurden. Zukünftig wird das vermutlich mit jeder Software passieren, die nicht Notarisiert wurde - auch mit Signatur.
Dazu wird GateKeeper beim ersten Start einer Anwendung aus dem Internet an Apple Hashes der Dateien und/oder der Signatur schicken und wenn sie ein Notary-Ticket als Antwort bekommt, dann darf die App normal laufen.
Später (macOS 10.15 oder später) werden Dateien ohne dieses Ticket gar nicht mehr laufen - aber das wird nur geprüft, wenn die Software aus einer "unsicheren" Quelle kommt.
Wir hatten schon den Fall, dass Software von einem ISO-Image unbedenklich war - aber von GateKeeper "translokiert" wurde, wenn man sie aus dem Internet geladen wurde.
Wird eine App kompiliert, dann hat sie diese xattr nicht, kopiert man sie sich von einem File-Server (SMB, AFP) dann auch nicht, vermutlich auch nicht, wenn man sie von einem USB-Stick installiert.
Lädt man sie aus dem Netz, dann sind the xattr gesetzt und GateKeeper wird aktiv.

Vermutlich lässt sich das per Kommandozeile (spctl) auch wieder deaktivieren - es wäre aber nicht zu empfehlen. Wir arbeiten gerade daran, dass unsere Software rechtzeitig notariziert sein wird.

ssb10.04.19 13:46

Marcel Bresink

Nein, der Code wird überhaupt nicht überprüft, außer dass ein Virenscanner von Apple darüberläuft.

Ich glaube, dass nicht mal das beim Apple Notary Service passiert - sonst hätte da manche Datei von uns ein Problem. Derzeit werden meist nur strukturelle Informationen der App-Bundles analysiert - aber da Apple das nicht dokumentiert, kann sich das jederzeit ändern. Leider hat mir mein Chefe kein Budget für die WWDC genehmigt - sonst würde ich denen da auf den Zahn fühlen.

Legoman

Es ist weniger der Stress als die Tatsache, dass man für eine Developer ID einen Developer Account braucht, der dann 99 Euro im Jahr kostet. Viele der "kleinen" Entwickler werden sich diese Kosten nicht leisten können oder wollen, wenn sie für ihre Software kein Geld bekommen.
Diese werden dann entweder ihre Software OpenSource machen müssen - oder es eben doch mit der Developer ID signieren und notarisieren.

motiongroup10.04.19 14:07

Das ist ja auch heute schon so wenn man unter ios für privat entwickelt und nicht in den Store kann oder darf.

Läuft der dev Account aus funktioniert die eigene private app nicht mehr es sei denn zu kaufst dich für 99 € alle Jahr aufs neue ein...
Halt warte der 7Tage Testflug sein uns ja gestattet
Ich gebe dir vollkommen recht Legoman

wer nen roten Daumen über hat.. darüber plaudern ist nicht so euer Ding gell

Marcel Bresink10.04.19 14:14

ssb

Software, die man [...] selbst kompiliert, wird nach wie vor nutzbar sein.

Es ist richtig, dass die ganzen hier diskutierten Sicherheitsverfahren im Moment und in der nahen Zukunft nicht auf alle "Apps" wirken, sondern nur auf solche, die den Mac auf einem unsicheren Übertragungsweg erreicht haben, also z.B. per Download oder als E-Mail-Anhang. Wenn das nicht so wäre, wäre das sonst z.B. auch das Aus für ältere Adobe-Software auf CD, etc.

Man kann allerdings zwischen den Zeilen lesen, dass sich das in der ferneren Zukunft ändern könnte.

ssb

Wir hatten schon den Fall, dass Software von einem ISO-Image unbedenklich war - aber von GateKeeper "translokiert" wurde, wenn man sie aus dem Internet geladen wurde.

Programmtranslokation ist ein anderes Sicherheitsverfahren, das hiervon komplett unabhängig ist und mit macOS 10.12 eingeführt wurde: Wenn entweder ein beliebiges (d.h. auch komplett signiertes und beglaubigtes) Programm von einem unsignierten Disk-Image aus gestartet wird oder wenn mehrere ausführbare Dateien von einem Disk-Image aus unsicherer Quelle in einer einzelnen Operation auf den Computer kopiert wurden, dann wird das Programm nicht wirklich von dem Ort gestartet, den der Finder anzeigt, sondern von einem anderem Ort mit zufälligem Pfad. Das ist ein Schutz gegen ein bestimmtes Angriffsszenario, das 2016 bekannt wurde.

ssb

Ich glaube, dass nicht mal das beim Apple Notary Service passiert - sonst hätte da manche Datei von uns ein Problem.

Ihr vertreibt also Malware?
Dass die Beglaubigung von Apple in Wirklichkeit eine Art externer Virenscanner ist, ist aber genau das, was Apple dem Endkunden schriftlich zusichert.

forscher10.04.19 18:26

Kann man diesen Mechanismus dann spezifisch ausschalten (per Rechtsklick, wie bisher), etwa, weil man Spezialsoftware (z.B. Bioinformatik-Desktopsoftware in Java oder Open Source Software) verwenden muss, deren Autoren aber niemals jedes Jahr für eine Developer-ID an Apple zahlen würden. Weiss einer was?

Marcel Bresink10.04.19 19:00

Im Moment ist Software ohne Developer-ID überhaupt nicht betroffen.
In welcher Form sich das in Zukunft ändert, wurde von Apple noch nicht angekündigt. Das dürfte sich wohl erst zur WWDC 2019 ergeben.

macOS 10.14.5: Höhere Sicherheitshürden für neue Apps

Kommentare

Kommentieren

Sie müssen sich einloggen, um die News kommentieren zu können.