Apple's SSL bug (CVE-2014-1266)

[PBP]

Modbreak:

Dit topic is afgesplitst van [OS X Mavericks 10.9] Ervaring & Discussie

10.9.2 inc. de SSL fix komt deze week. Gezien de snelle releases achter elkaar de afgelopen weken.

[ Voor 36% gewijzigd door Daedalus op 25-02-2014 18:38 ]

[Pyrone89]

PBP schreef op maandag 24 februari 2014 @ 22:42:
10.9.2 inc. de SSL fix komt deze week. Gezien de snelle releases achter elkaar de afgelopen weken.

Ik mag toch hopen dat ze vandaag bedoelen.
Inmiddels laat Apple al 4 dagen lang weten aan OSX gebruikers dat ze wat Apple betreft tweederangs zijn en dat het voor hun inmiddels alleen nog maar gaat om iOS.

[CyBeR]

Ik heb toch al eerder aan je uitgelegd dat je een OS release niet even zomaar de wereld in kan sturen?

[Pyrone89]

CyBeR schreef op dinsdag 25 februari 2014 @ 00:34:
Ik heb toch al eerder aan je uitgelegd dat je een OS release niet even zomaar de wereld in kan sturen?

Het is 1 regel code, 1 regel.

Je brengt daar zo snel mogelijk een noodpatch voor uit, 10.9.2 kun je later aan verder werken.

Crue genoeg doet het bedrijf dat telkens door Apple zo als pispaaltje wordt gebruikt dit wel goed: ze komen meteen met een update en gaan niet eerst rustig weekend vieren (de overige blunders maken ze ook, maar die tenminste niet).

Daarbij is dit een noodsituatie. Die Apple klaarblijkelijk afhandelt op zijn dooie gemak, zeker voor OSX klanten. Zelfs hun eigen voormalige Security Analyst geeft ze onder uit de pan dat ze blunders op elkaar stapelen, namelijk:

1. Überhaupt zo'n lullige fout maken als programmeur van Apple (we hebben het niet over hobbyisten maar mensen die dit als werk doen)
2. Zo'n fout door het QA proces te laten komen, als ze die al hebben op noemenswaardig niveau (begin daar gezien de laatste fails in zowel software als hardware sterk aan te twijfelen).
3. Vervolgens de fout ruim anderhalf jaar laten zitten (en het dus keer op keer over het hoofd zien, inclusief geautomatiseerde tools die hierbij helpen zoals ironisch genoeg hun eigen Xcode voor developers van iOS en OSX apps wel doet).
4. Als je eenmaal een patch maakt en uitrolt dit slechts voor 1 van je 2 getroffen platformen doet, daarmee de hele wereld op de hoogte stellen van de mogelijkheid tot misbruik op kinderlijk eenvoudige wijze van OSX, met inmiddels al 4 dagen (and counting) waarin dit misbruik kan plaatsvinden.
5. Vervolgens rustig weekend vieren alsof er niks aan de hand is en niet al je klanten rondlopen met een enorm veiligheidslek. Ook niet op zijn minst even een persbericht eruit doen die mensen waarschuwt. Dat moet de media zelf maar doen. Ondertussen hebben ze wel een persbericht klaar als ze zichzelf op de borst kunnen slaan, dan zijn ze er wel als de kippen bij.

Op 9to5Mac, MacRumours en AppleInsider is het ongekend te zien dat op het forum eensgezind Apple keihard wordt veroordeeld, terwijl je normaal altijd de bekende discussie hebt tussen extreme liefhebbers en de meer kritische mensen. Dat geeft wel aan hoe erg Apple dit keer de zaak heeft verknald. Overigens is dit ook extreem slechte PR als je meer Macs wilt verkopen aan beveiligingsbewuste particulieren en zakelijke klanten. De algemene tendens is met name dat OSX keihard in de steek wordt gelaten door Apple en dat blijkbaar alleen nog mensen die iPhones en iPads kopen tellen voor Apple.

[ Voor 33% gewijzigd door Pyrone89 op 25-02-2014 01:19 ]

[CyBeR]

Pyrone89 schreef op dinsdag 25 februari 2014 @ 00:54:
[...]

Het is 1 regel code, 1 regel.

Je brengt daar zo snel mogelijk een noodpatch voor uit, 10.9.2 kun je later aan verder werken.

Zelfs dat soort dingen moet getest worden. Je wilt gewoon niet dat die ene regel code ergens een of ander neveneffect heeft wat de boel erger maakt. Daarom duurt dit soort dingen even.

Maar nogmaals, dit heb ik al eerder uitgelegd.

[Tjoekie]

Pyrone89 schreef op dinsdag 25 februari 2014 @ 00:32:
[...]

Ik mag toch hopen dat ze vandaag bedoelen.
Inmiddels laat Apple al 4 dagen lang weten aan OSX gebruikers dat ze wat Apple betreft tweederangs zijn en dat het voor hun inmiddels alleen nog maar gaat om iOS.

Simpele kwestie van prioriteiten stellen. Er zijn nou eenmaal vele malen meer IOS devices dan OSX devices. Daarnaast zijn alle IOS devices draagbaar en worden veel buitenhuis gebruikt. En dat is juist waar deze kwetsbaarheid misbruikt kan worden: op open WIFI netwerken (buitenshuis dus). In dat licht bezien valt Apples keuze voor het prioriteit geven aan IOS prima te begrijpen.

Maar gezien je stellige bewoordingen ("tweederangs") hier, maar ook in eerdere berichten verwacht ik niet dat jij hier begrip voor kunt opbrengen.

[Pyrone89]

Tjoekie schreef op dinsdag 25 februari 2014 @ 11:40:
[...]


Simpele kwestie van prioriteiten stellen. Er zijn nou eenmaal vele malen meer IOS devices dan OSX devices. Daarnaast zijn alle IOS devices draagbaar en worden veel buitenhuis gebruikt. En dat is juist waar deze kwetsbaarheid misbruikt kan worden: op open WIFI netwerken (buitenshuis dus). In dat licht bezien valt Apples keuze voor het prioriteit geven aan IOS prima te begrijpen.

Maar gezien je stellige bewoordingen ("tweederangs") hier, maar ook in eerdere berichten verwacht ik niet dat jij hier begrip voor kunt opbrengen.

Je snapt wel dat jouw uitleg precies de definitie is van tweederangs he?

En dat ze dus hadden moeten wachten tot ze een fix hadden voor zowel OSX als iOS? Het bestond al sinds 2012, die paar extra dagen konden ook nog wel. Maar nee, laten we asymmetrisch een fix uitbrengen en daarmee een enorm probleem creëren.

[ Voor 14% gewijzigd door Pyrone89 op 25-02-2014 12:08 ]

[Tjoekie]

Pyrone89 schreef op dinsdag 25 februari 2014 @ 12:06:
[...]

Je snapt wel dat jouw uitleg precies de definitie is van tweederangs he?

En dat ze dus hadden moeten wachten tot ze een fix hadden voor zowel OSX als iOS? Het bestond al sinds 2012, die paar extra dagen konden ook nog wel. Maar nee, laten we asymmetrisch een fix uitbrengen en daarmee een enorm probleem creëren.

tweederangs
tweederangs bijv.naamw.Uitspraak: [twedəˈrɑŋs] van mindere kwaliteit Voorbeeld: `een tweederangs hotel` ...



Je hoort mij niet beweren dat OSX van mindere kwaliteit is vergeleken met IOS. De één heeft nog wel een bug en de andere niet meer. Daarnaast vind ik het wel prettig dat men een fix voor een platform meteen uitrolt als deze gereed is en niet gaat wachten tot alle fixes voor andere platformen ook klaar zijn.

Ik zie trouwens het enorme probleem niet dat nu volgens jouw gecreëerd is. Was het probleem minder groot geweest als de bug simultaan was gefixed voor beide platformen? Of had het probleem dan helemaal niet bestaan? Of hadden ze de fix eerst moeten uitbrengen voor de veel kleinere userbase (OSX) die ook nog eens minder risico liep op misbruik zodat jij had kunnen schreeuwen dat IOS gebruikers "tweederangs" zijn? Of was het bestaan van de bug anders nooit aan het ligt gekomen?

Zo veel vragen.... zo weinig antwoorden.

[Pyrone89]

Tjoekie schreef op dinsdag 25 februari 2014 @ 12:29:
[...]


tweederangs
tweederangs bijv.naamw.Uitspraak: [twedəˈrɑŋs] van mindere kwaliteit Voorbeeld: `een tweederangs hotel` ...



Je hoort mij niet beweren dat OSX van mindere kwaliteit is vergeleken met IOS. De één heeft nog wel een bug en de andere niet meer. Daarnaast vind ik het wel prettig dat men een fix voor een platform meteen uitrolt als deze gereed is en niet gaat wachten tot alle fixes voor andere platformen ook klaar zijn.

Ik zie trouwens het enorme probleem niet dat nu volgens jouw gecreëerd is. Was het probleem minder groot geweest als de bug simultaan was gefixed voor beide platformen? Of had het probleem dan helemaal niet bestaan? Of hadden ze de fix eerst moeten uitbrengen voor de veel kleinere userbase (OSX) die ook nog eens minder risico liep op misbruik zodat jij had kunnen schreeuwen dat IOS gebruikers "tweederangs" zijn? Of was het bestaan van de bug anders nooit aan het ligt gekomen?

Zo veel vragen.... zo weinig antwoorden.

Lees anders gewoon effe 9to5Mac, Apple Insider, de reacties van notabene de voormalig Apple Security Officer. Ik ben het zat om te moeten reageren op persoonlijke aanvallen van mensen die overduidelijk een extreem misplaatst loyaliteitsgevoel hebben naar een leverancier van hun spullen hebben en echt werkelijk waar alles goed praten.

Op je vraag hoe erg deze bug is: https://www.imperialviolet.org/2014/02/22/applebug.html

Daarnaast raad ik je aan om vandaag met een MacBook vooral veel openbare Wifi-netwerken te bezoeken waarvan iedere Jan de Hekker nu weet hoe deze te misbruiken doordat Apple na anderhalf jaar besloot een bug te fixen en dus de fout bekend te maken zonder deze te fixen voor hun andere platform (een doodzonde). En dat mijn mede-tweaker is het tweederangs behandelen van klanten van het laatst genoemde platform.

[ Voor 6% gewijzigd door Pyrone89 op 25-02-2014 12:45 ]

[RobV]

Bedankt voor de link. Ik snap nu eindelijk waar het allemaal om draait.

[Tjoekie]

Pyrone89 schreef op dinsdag 25 februari 2014 @ 12:33:
[...]

Lees anders gewoon effe 9to5Mac, Apple Insider, de reacties van notabene de voormalig Apple Security Officer. Ik ben het zat om te moeten reageren op persoonlijke aanvallen van mensen die overduidelijk een extreem misplaatst loyaliteitsgevoel hebben naar een leverancier van hun spullen hebben en echt werkelijk waar alles goed praten.

Op je vraag hoe erg deze bug is: https://www.imperialviolet.org/2014/02/22/applebug.html

Daarnaast raad ik je aan om vandaag met een MacBook vooral veel openbare Wifi-netwerken te bezoeken waarvan iedere Jan de Hekker nu weet hoe deze te misbruiken doordat Apple na anderhalf jaar besloot een bug te fixen en dus de fout bekend te maken zonder deze te fixen voor hun andere platform (een doodzonde). En dat mijn mede-tweaker is het tweederangs behandelen van klanten van het laatst genoemde platform.

In de eerste plaats ben ik niets aan het goed praten. Ik probeer jou alleen duidelijk te maken waarom er waarschijnlijk een paar dagen zit tussen het uitbrengen van een fix voor IOS en voor OSX. Dat is waar onze discussie over gaat. Het doel is daarbij om jou vooral te laten inzien dat dit niets te maken heeft met meer belang hechten aan een bepaald platform of userbase, maar meer met praktische zaken als resources en prioriteiten stellen.

Ik ben volkomen op de hoogte van de bug en wat de mogelijke gevolgen kunnen zijn. Zoals je zelf al zegt "vooral veel openbare Wifi-netwerken te bezoeken" is een use case die vooral geld voor mobiele devices, IOS dus. Met meer dan 700 miljoen devices is dat een grote groep om verantwoordelijk voor te zijn. De combinatie van het grote aantal devices en de zeer waarschijnlijke use case van het verbinden met een onbekend WIFI netwerk maakt dat IOS de nummer 1 kandidaat was om als eerste een update te ontvangen.

Binnen quality assurance wordt een risico betrekkelijk eenvoudig berekend door de formule: risico = kans op falen * gevolgen. In dit geval zijn de gevolgen van de bug op zowel IOS als OSX gelijk, maar is de kans dat dit gebeurt op IOS vele malen groter door de grotere userbase en de eerder genoemde use case.

Dan nog even over jouw persoonlijke aanval tegen mij. Ik ben een tevreden Apple gebruiker, maar ik heb zeker geen misplaatst loyaliteitsgevoel en ik ben zeker ook niet alles aan het goed praten. Ik snap heel goed dat geen enkel product perfect is en dat ook Apple fouten maakt. Wat ik wel probeer te doen is jou de nuance van de situatie te laten inzien. Je schreeuwt moord en brand dat Apple bepaalde gebruikers als tweederangs behandeld en als er wordt aangegeven waarom dat zou kunnen zijn reageer je daar niet eens inhoudelijk op. Sterker nog, bij elk weerwoord graaf je je dieper in en doe je alsof de hele wereld tegen je is.

Tot op heden laat je niet blijken dat je ook maar een letter snapt van wat ik je probeer duidelijk te maken. Wat je echter wel weer voor elkaar krijgt is het beeld dat ik heb van Pyrone89 bevestigen. Je posts zijn soms op het randje van trollen. Daarbij ben je slim genoeg om het net niet opzichtig genoeg te doen en kruip je snel in de slachtofferrol als men je er op aanspreekt ("Ik ben het zat om te moeten reageren op persoonlijke aanvallen van mensen die overduidelijk...").

[ppl]

Pyrone89 schreef op dinsdag 25 februari 2014 @ 00:54:
Het is 1 regel code, 1 regel.

Met een grote lijst aan gevolgen en dus kun je die niet zomaar even veranderen. Meer info: http://www.macrumors.com/...-bug-other-apps-affected/

Je brengt daar zo snel mogelijk een noodpatch voor uit, 10.9.2 kun je later aan verder werken.

Zo snel mogelijk betekent niet halsoverkop Je zult een patch moeten uitbrengen die het gewoon doet en niet van alles en nog wat stuk maakt zoals een zekere andere softwarebouwer met enige regelmaat weet te presteren. Halsoverkop dingen uitrollen kan overigens ook de situatie verergeren omdat je een nog groter security gat creëert op een andere plek.

Crue genoeg doet het bedrijf dat telkens door Apple zo als pispaaltje wordt gebruikt dit wel goed: ze komen meteen met een update en gaan niet eerst rustig weekend vieren (de overige blunders maken ze ook, maar die tenminste niet).

Zoals ik net al heb uitgelegd doet dat bedrijf het dus helemaal niet goed. Ze komen met een update en vervolgens wordt ie weer ingetrokken omdat ie heel veel stuk maakt. Daarna fixen ze het en komt ie weer beschikbaar. Of ze pushen een nieuwe update waar weer een update voor nodig is omdat er wederom iets stuk gaat.

Daarbij is dit een noodsituatie.

En zoals iedere hulpverlener als eerste aangeleerd krijgt: blijf ten alle tijden kalm en werk zorgvuldig. Als je als een gek gaat lopen rennen en je valt ben je slachtoffer nummer zoveel en ben je niet meer in staat om een ander te helpen. De andere slachtoffers hebben hier dus niets aan. Dit soort security issues zijn geen haar anders. Haastige spoed is nooit goed.

Btw, in diverse UNIX systemen zijn ook ernstige bugs gevonden die er al een geruime 10 jaar in bleken te zitten. Zelfs in iets als OpenBSD. Wat zegt dat van hun? Toch worden die op juist de meest cruciale plekken van een infrastructuur ingezet. Waarom doen ze dat toch?

Pyrone89 schreef op dinsdag 25 februari 2014 @ 12:33:
Ik ben het zat om te moeten reageren op persoonlijke aanvallen van mensen die overduidelijk een extreem misplaatst loyaliteitsgevoel hebben naar een leverancier van hun spullen hebben en echt werkelijk waar alles goed praten.

Dat hebben anderen hier ook van jou. Je reageert heel fel op dingen waar je totaal geen verstand van hebt en presenteert bepaalde zaken als absolute waarheid. Zoals nu al diverse malen is aangegeven: software zit heel anders in elkaar dan jij denkt. Je denkt er veel te licht over, software en met name security is ontzettend complexe materie. Het is niet voor niets dat er nu op universitair niveau onderzoek wordt gedaan naar dit soort zaken en we daar op het moment zelf weinig van begrijpen. Probeer de vragen die ik een stukje hierboven heb gesteld over UNIX systemen maar eens te beantwoorden. Uiteraard op technisch niveau. Van mij part citeer je stukken van Tanenbaum of Schneier.

[Pyrone89]

Je kunt aankomen met allerlei zaken als 'het is complex' en er nog een lading persoonlijke aanvallen bovenop gooien (die echt helemaal nergens op gebaseerd zijn) maar zie nergens iemand ingaan op het feit dat ze dus de patch op twee momenten uitbrengen, en DAT is waar de crux ligt. Daar is helemaal niks complex aan, het is een kinderlijke blunder. Je kunt dus aankomen met allerlei drogredenen en je verstoppen achter universitaire onderzoekjes, maar die zijn totaal niet relevant. Het gaat heel simpel om dit: ze hebben de patch niet tegelijk uitgebracht en daarmee een enorm probleem gecreëerd.

Wacht dan met de patch tot je ook de patch voor je andere platformen klaar hebt. Het zat er al sinds 2012 in. Dus waarom nu halsoverkop deze blunder maken (om het te betrekken op je eigen voorbeeld van de hulpverlener)?

Dat zelfs sites die doorsnee zeer Apple-gezind zijn fel van leer trekken onderstreept het nog eens.
Zeker wanneer je als bedrijf de concurrentie aanvalt op securitygebreken (Android en Windows) kun je niet zelf zo'n extreme blunder maken (ik kan me voorstellen dat Phil Schiller zich voorlopig koest houdt met zijn uitspraken). Als je voor de Apple Maps chaos een openlijk excuus de wereld in stuurt, verwacht ik dit nu al helemaal in de komende weken mochten er gevallen uitkomen van mensen die de afgelopen 4 dagen daadwerkelijk zijn gehacked.

[ Voor 89% gewijzigd door Pyrone89 op 25-02-2014 16:02 ]

[Tjoekie]

Pyrone89 schreef op dinsdag 25 februari 2014 @ 15:52:
Je kunt aankomen met allerlei zaken als 'het is complex' en er nog een lading persoonlijke aanvallen bovenop gooien (die echt helemaal nergens op gebaseerd zijn) maar zie nergens iemand ingaan op het feit dat ze dus de patch op twee momenten uitbrengen, en DAT is waar de crux ligt.

Wacht dan met de patch tot je ook de patch voor je andere platformen klaar hebt. Het zat er al sinds 2012 in. Dus waarom nu halsoverkop deze blunder maken?

Daar is helemaal niks complex aan, het is een kinderlijke blunder.

Dat heb ik wel gedaan:

Zoals je zelf al zegt "vooral veel openbare Wifi-netwerken te bezoeken" is een use case die vooral geld voor mobiele devices, IOS dus. Met meer dan 700 miljoen devices is dat een grote groep om verantwoordelijk voor te zijn. De combinatie van het grote aantal devices en de zeer waarschijnlijke use case van het verbinden met een onbekend WIFI netwerk maakt dat IOS de nummer 1 kandidaat was om als eerste een update te ontvangen

Het feit dat de bug al sinds 2012 in de software zit betekend niet dat men er ook al sinds 2012 vanaf weet. Wat veel waarschijnlijker is, is dat dit hooguit een paar weken geleden naar boven kwam en er toen snel geschakeld moest worden. Met als gevolg eerst een patch voor IOS en binnenkort een patch voor OSX omdat ook Apple maar beperkte resources heeft.

[Pyrone89]

Tjoekie schreef op dinsdag 25 februari 2014 @ 16:02:
[...]


Dat heb ik wel gedaan:

Zoals je zelf al zegt "vooral veel openbare Wifi-netwerken te bezoeken" is een use case die vooral geld voor mobiele devices, IOS dus. Met meer dan 700 miljoen devices is dat een grote groep om verantwoordelijk voor te zijn. De combinatie van het grote aantal devices en de zeer waarschijnlijke use case van het verbinden met een onbekend WIFI netwerk maakt dat IOS de nummer 1 kandidaat was om als eerste een update te ontvangen

Het feit dat de bug al sinds 2012 in de software zit betekend niet dat men er ook al sinds 2012 vanaf weet. Wat veel waarschijnlijker is, is dat dit hooguit een paar weken geleden naar boven kwam en er toen snel geschakeld moest worden. Met als gevolg eerst een patch voor IOS en binnenkort een patch voor OSX omdat ook Apple maar beperkte resources heeft.

Wat wederom niet verklaard waarom je dan niet even een paar dagen extra wacht maar ervoor kiest om 1 van je platformen onder de bus te gooien om de ander te redden van een probleem wat tot dusver niet in de publiciteit was gekomen. Let op: het was een probleem dat niet bestaat uit een slimme truc maar simpelweg het daadwerkelijk niet versleutelen, al sinds 2012. Je hoefde als aanvaller niks extra uit te vinden, het was letterlijk een open deur (wat dan dus in jouw case een paar weken geleden zou zijn gelukt net zoals jailbreaks een tijd nodig hebben om slimme trucs te vinden om het uberhaupt mogelijk te maken).

Een schrikreactie als deze in september 2012 was gebeurd had ik dan nog wel kunnen begrijpen, maar om dan nu anderhalf jaar later zo halsoverkop te werk te gaan met deze blunder tot gevolg is echt niks minder dan paniekvoetbal met tegengesteld resultaat.

[ Voor 21% gewijzigd door Pyrone89 op 25-02-2014 16:08 ]

[Pyrone89]

Voila: http://9to5mac.com/2014/0...-capture-all-ssl-traffic/

"It’s difficult to over-state the seriousness of this issue"

[ Voor 21% gewijzigd door Pyrone89 op 25-02-2014 16:31 ]

[ppl]

Pyrone89 schreef op dinsdag 25 februari 2014 @ 15:52:
Je kunt aankomen met allerlei zaken als 'het is complex' en er nog een lading persoonlijke aanvallen bovenop gooien (die echt helemaal nergens op gebaseerd zijn) maar zie nergens iemand ingaan op het feit dat ze dus de patch op twee momenten uitbrengen, en DAT is waar de crux ligt.

Ofwel lees je er overheen, ofwel wil je het niet zien maar feit blijft dat meerdere mensen dit hebben uitgelegd. Nogmaals: het gaat hier om twee verschillende systemen die hoogstens een basis met elkaar delen maar dat maakt ze nog niet eenvoudig vergelijkbaar. Zie ook mijn andere reactie: https://gathering.tweakers.net/forum/view_message/41822197

De enige kinderlijke blunder en tevens ook meest verraderlijke is denken dat het allemaal zo eenvoudig is.

Daar is helemaal niks complex aan, het is een kinderlijke blunder. Je kunt dus aankomen met allerlei drogredenen en je verstoppen achter universitaire onderzoekjes, maar die zijn totaal niet relevant. Het gaat heel simpel om dit: ze hebben de patch niet tegelijk uitgebracht en daarmee een enorm probleem gecreëerd.

Het gaat erom dat je begrijpt hoe de materie in elkaar steekt want dat doe je gewoonweg niet en dat is niet handig (vooral niet voor jezelf). Dat is wat anderen je ook proberen te vertellen. Het is niet een kwestie van eventjes een patchje schrijven en uitbrengen. Het gaat erom dat je EN het probleem oplost EN geen nieuwe problemen creëert. Daardoor duurt het vaak een tijdje voordat patches uitgegeven worden. Browse eens wat bugs van Firefox door in hun bugtracker. Je zult heel vaak zien dat ze met een patch komen en dat die diverse malen herschreven wordt omdat andere dingen ineens stuk gaan. Het helpt je beter om het proces te begrijpen.

Wacht dan met de patch tot je ook de patch voor je andere platformen klaar hebt. Het zat er al sinds 2012 in. Dus waarom nu halsoverkop deze blunder maken (om het te betrekken op je eigen voorbeeld van de hulpverlener)?

Hier spreek je jezelf compleet tegen. Je had het daarnet nog over "zo snel mogelijk uitbrengen" en nu mogen ze dat niet meer doen. De reden dat ze voor iOS eerder zijn is dat "zo snel mogelijk uitbrengen".

Zeker wanneer je als bedrijf de concurrentie aanvalt op securitygebreken (Android en Windows) kun je niet zelf zo'n extreme blunder maken (ik kan me voorstellen dat Phil Schiller zich voorlopig koest houdt met zijn uitspraken).

Dat zal de meesten hier ook wel verbazen maar dat is nou eenmaal onderdeel van marketing. Wij techneuten denken daar heel anders over omdat wij wel weten dat zoiets eenieder kan overkomen. Hebben we ook historische data van. Om diezelfde reden verbaas ik mij ook enorm over de massale overstap van WhatsApp naar Telegram en dan vooral wanneer men als argument "privacy" geeft (als je dat echt belangrijk vindt gebruik je deze diensten niet).

En wat betreft je onderstaande uitspraak...

Wat wederom niet verklaard waarom je dan niet even een paar dagen extra wacht maar ervoor kiest om 1 van je platformen onder de bus te gooien om de ander te redden van een probleem wat tot dusver niet in de publiciteit was gekomen.

...we weten inmiddels allemaal wel dat Apple een blackbox bedrijf is en dat we op dit vlak niet verder zullen komen dan giswerk. Voor wie bekend is met de techniek/technologie is dat gissen makkelijker vanwege het grote inzicht in dit soort materie.

En dat is dan ook het moraal van het verhaal. Er zijn diverse redenen te bedenken maar het is en blijft giswerk. Dat is wat men je hier probeert in te laten zien.

Pyrone89 schreef op dinsdag 25 februari 2014 @ 16:30:
Voila: http://9to5mac.com/2014/0...-capture-all-ssl-traffic/

"It’s difficult to over-state the seriousness of this issue"

Schot voor open doel. Alle informatie was al bekend, dan is het maken van een exploit ook niet zo moeilijk meer. Dat het een groot probleem was wisten we ook al. Brengt ons tevens bij een ander punt waar je volledig aan voorbij gaat: uiteindelijk ligt de bal bij de gebruiker. Je kunt zoveel patches uitbrengen als je wilt maar de user moet ze wel installeren. Helaas is dat iets wat men massaal weigert. Het is niet voor niets dat wij systeembeheerders updates forceren.

[Pyrone89]

Hier het hele verhaal:
http://gizmodo.com/why-ha...urity-flaw-yet-1530046951

[ Voor 33% gewijzigd door Pyrone89 op 25-02-2014 18:50 ]

[CyBeR]

Correcte url: http://gizmodo.com/why-ha...urity-flaw-yet-1530046951

Ah never mind.

[ Voor 8% gewijzigd door CyBeR op 25-02-2014 18:57 ]

[Smultie]

10.9.2 is uit.

[CyBeR]

Geüpdatet, bug lijkt zoals verwacht gefixt te zijn.

[ppl]

Voila. Zo nalatend is Apple dus helemaal niet

[Pyrone89]

ppl schreef op dinsdag 25 februari 2014 @ 22:57:
Voila. Zo nalatend is Apple dus helemaal niet

Ik ga niet happen als je het niet erg vind.

[Hoite]

En ook geüpdatet, speciaal even m'n andere Macs gescreenshared om de patch ook daar te installeren aangezien ik donderdagavond pas weer thuis ben.
Het heeft nu een week ofzo geduurd voordat er een patch was? is dat echt heel lang? Lijkt me dat ze zoiets toch gewoon goed moeten testen, als je met je quick-fix de boel nog verder sloopt is de wereld helemaal te klein.

[Pyrone89]

Hoite schreef op woensdag 26 februari 2014 @ 11:30:
En ook geüpdatet, speciaal even m'n andere Macs gescreenshared om de patch ook daar te installeren aangezien ik donderdagavond pas weer thuis ben.
Het heeft nu een week ofzo geduurd voordat er een patch was? is dat echt heel lang? Lijkt me dat ze zoiets toch gewoon goed moeten testen, als je met je quick-fix de boel nog verder sloopt is de wereld helemaal te klein.

Het punt was niet hoe lang het heeft geduurd, het punt was dat ze de patch niet tegelijk uitbrachten, wat de ongeschreven grondregel is bij 0 day patches.

[ppl]

Nee, die regel is dat je zo snel mogelijk met een kwalitatief goede patch aan komt zetten. Niet om het gelijktijdig releasen van een patch. Het is software, niet een restaurant.