macOS-Apps konnten lange Zeit Apple-Zertifikate vortäuschen

Ein Fehler in macOS und dessen Vorläufern sorgt dafür, dass Apps sich als zertifizierte Anwendungen ausgeben können und somit Anwender in falscher Sicherheit wiegen. Der Fehler besteht schon seit über einem Jahrzehnt.

Mit Apples Sicherheitsmechanismen in macOS ist es so eine Sache: Während einige davon wie etwa die Sandbox recht zuverlässig, wenn auch nicht unfehlbar, die Sicherheit am Mac verbessern kann, waren andere Konzepte immer wieder von Fehlern und systembedingten Anfälligkeiten betroffen, die die Schutzwirkung schmälerten.

So ist es nun auch keine zu große, aber eine üble Überraschung, dass die Zertifikate, die Apple vorschreibt, damit Apps ohne Warnung geöffnet werden, weitaus weniger sicher sind als zu erwarten wäre.

Apps können sich als von Apple zertifiziert ausgeben

Der ganze Sachverhalt ist recht kompliziert. Eine echte Sicherheitslücke im Code hat es nicht verursacht, betont Sicherheitsforscher Patrick Wardle. Viel mehr waren Apples Dokumentationen der Praxis zur Erzeugung der Zertifikate offenbar so verwirrend, dass dadurch die Möglichkeit entstand, Zertifikate zu erstellen, die den Eindruck erweckten, von Apple signiert worden zu sein.

Schlimm daran ist, dass dies schon seit nun mehr elf Jahren möglich ist. Ob diese Lücke seitdem aktiv ausgenutzt wurde, ist nicht bekannt, angesichts der langen zeit können wir aber wohl von dem ein- oder anderen Fall ausgehen.

Apple wurde inzwischen über das Problem informiert, hatte es aber zunächst als weniger dringlich eingestuft.

Inzwischen wurden die Dokumentationen überarbeitet, sodass die Problematik nun entschärft sein sollte.

-----
Willst du keine News mehr verpassen? Dann folge uns auf Twitter oder werde Fan auf Facebook. Du kannst natürlich in Ergänzung unsere iPhone und iPad-App mit Push-Benachrichtigungen hier kostenlos laden.