4. Update: Developer Center weiterhin nicht erreichbar

[Falko]

Zumindest die Zugangsdaten sollte man ändern, das gilt auch für alle anderen hier mitlesenden Developer!

[Jesusphone]

Nützt nicht viel:
Der Name ist die Apple ID, und die kann man nicht ändern. Das Passwort wird eh nicht gespeichert, sondern nur der Hash überprüft. Aber das zu ändern ist zumindest ein gutes Gefühl.

[noX1609]

@blackout84: So wie ja Apple schreibt, war fast alles verschlüsselt, nur vereinzelt kann es sein, dass Name, Adresse und/oder Email-Adresse ausgelesen werden konnten. Also die Zahlungsdaten dürften sicher sein.
Aber das Passwort würde ich auf jedenfall ändern, sobald die Seite wieder geht, sicher ist sicher.

[robin.h]

was soll apple auch sonstmschreiben? je,amd der sich die mühe macht das dev cent zu hacken, der weiss ziemlich gemau was er da abgreifen kann... und ich kann mir nicht vorstellen, das diese person/personen nicht irgendeinen "plan" haben... ansonsten wäre es wohl die mühe nicht wert.


apple sollte möglichst schnell offenlegen welche daten abgegriffen wurden, bzw. was diese veschlusselten datensätze beinhaltet haben...
wurden evtl. sogar die logs von angemeldeten devices "gestohlen"? welche inhalte übermitteln angemeldete beta devices genau?

[Stricki]

@robin.h Im ersten Post steht doch das max Name, Adresse und E-Mailadresse abgegriffen werden konnten. KK Daten sind z.B. nicht betroffen.

[robin.h]

ich hätte meine zweifel, dass sich in gehackten datensätzen nur der name, die adresse und die email befindet... auch wenn apple das jetzt erstmal so schreibt...
werden kreditkartendaten, udid einträge und zugeordnete bugreports nicht mit dem konto verknüpft?

leider ists ja nun so, dass eigentlich alle uneternehmen (nicht nur apple) bei solchen vorfällen erst nach und nach (und unter druck) infos an die öffentlichkeit geben, was wirklich alles "gestohlen" wurde...

also würde ich mir da nicht so sicher sein...

[Jesusphone]

Im Dev-Center sind keine Zahlungsdaten gespeichert. Die stehen in der Verwaltung der Apple ID; gekauft wird die Mitgliedschaft über den ganz normalen Apple Store.

[robin.h]

jesus, ich hoffe du hast recht und es gibt diesbzgl. keine verknüpfung...

für mich steht die frage im raum: warum? warum hackt jemand das dev center? das dürfte doch vom aufwand her nichtleichter oder schwerer zu kacken gewesen sein als iTunes accounts oder sonstwas...

bei angriffen in der grössenordnung gehe ich erstmal davon aus, das der angreifer schon recht gezielt arbeitet... also auch nen ziel hat.
wenn es nich die kreditkartendaten sind, was dann? für nen paar emailadresse lohnt sich das sicher nicht...
also evtl doch buglogs? oder udids?

ich könnte mir vorstellen, dass buglogs und crashlogs in der beta durchaus interessante daten erhalten...

ich hoffe aber inständig das du recht hast...
letztenendes machen mich formulierungen wie "die daten sind verschlüsselt", "es kann sein das einige daten WIE email, adresse und passwort".

deswegen die frage... welche daten sind denn jetzt genau geklaut worden, egal ob verschlüsselt oder nicht?

nur name, adresse, email und passwort oder noch etwas? was ist WIE?

[Stricki]

Du kaufst den Dev Account wie JP bereits sagte quasi wie ein normales Produkt über den Warenkorb im Apple Store. Somit macht es Sinn das im Dev Center keine KK Daten gespeichert sind. Passwörter sollen da auch nicht gespeichert sein. Somit kann sich erstmal keiner mit deiner Apple ID anmelden. Aber auch mit den reinen Adressdaten kann man viel Geld machen.

[robin.h]

mich interessiert eigentlich nur, was apple neben den adressen unter "Sensitive personal information was encrypted and cannot be accessed" versteht... welche sensitiven persönlichen infos sind denn damit genau gemeint?

[maxafe]

@robin.h
Jesusphone ist halt ein relaxter Kerl. Bei ihm müsste wohl die Apple Zentrale direkt angegriffen werden, damit er sein Passwort ändert.

Es wäre nicht das erste Mal, wenn ein Unternehmen einen Hackangriff schön redet bzw. die Hälfte verschweigt. Manchmal aus vernünftigen Gründen und manchmal nicht. Hier kann man wohl nur abwarten.

[Master 1911]

Normalerweise bin ich immer ziemlich Skeptisch wenn ich solche Hackmails bekomme (was ja leider doch immer wieder mal egal wo passiert) und ändere daraufhin überall mein Kennwort.

Aber irgendwie seh ich das hier fast halb so wild wenn das stimmt was Appe sagt. Meinen Namen und meine E-Mail rauszufinden ist keine Kunst. Die steht sogar so schon im Netz

[noX1609]

@robin.h: Ich denke, dass Apple schon noch ausführlicher Stellung nehmen wird dazu. Aktuell sind sie aber vermutlich fieberhaft damit beschäftigt, ihr Sicherheitssystem und ihre Server zu aktualisieren. Daher müssen wir einfach warten, bis sie näheres bekannt geben - oder auch nicht

[robin.h]

ich denke auch... abwarten.

momentan ist doch die mär von "ihre daten sind sicher" zu einer eigenständigen kunstform erhoben worden... alle konzerne übertreffen sich gegenseitig im "schönreden".

am ende bleibt die frage: warum wurden die devs nach 5 tagen informiert? wieviele sind betroffen? warum das rundschreiben?

evtl. auch angst vor einer erpressung? je nach täter wäre das ja auch im bereich des möglichen... daher dann die öffentliche info...

wenn es einem angreifer gelingt den server eines multis zu hacken, dann hab ich meine bedenken wenn es heisst "die daten sind ja verschlüsselt"... der server hatte ja sicher auch keine tür auf der "24 Std. geöffnet" stand.

wenn jemand die zeit, die rechenpower und das nötige know how hat, dann sollte auch die verschlüsselung der datensätze nur ein temporäres problem sein.



ich kann mir auch nicht vorstellen, dass das dev center viel leichter zu hacken war, als es dann z.b. iTunes wäre... (oder setzt apple hier unterschiedliche prioritäten?)

naja, wahrscheinlich werden wir nie genau erfahren was da gelaufen ist... für mich einfach wieder nur ein warnschuss eben keinen "sicherheitsbeteuerungen" glauben zu schenken (egal ob nun von apple, google, microsoft, sony usw.)

[robin.h]

uiiii.... echt oder nicht? http://www.youtube.com/watch?v=q000_EOWy80

[robin.h]

ähm... ja, für mich sieht das auf den ersten blick echt aus... apple war also vorher schon informiert... und hat anscheinend die angekündigte attacke nicht sonderlich ernst genommen.
(wenn das denn so stimmt... aber es wirkt schlüssig)

[noX1609]

Naja Erpressung halte ich für sehr weit hergeholt. Ich denke, sie haben erst nach 5 Tagen ne Mail geschrieben, da sie da dann analysiert hatten, was gehackt wurde und konnten so die Info geben, dass das es "nur" Namen, Adressen und Email-Adressen betrifft. Und vorallem schreiben sie ja auch nur, dass sie es nicht ausschließen können, das die genannten Daten von EINIGEN geklaut wurden. Es ist also nicht mal sicher, ob was geklaut wurde, es liegt nur im Bereich des möglichen und betrifft, nach den Aussagen von Apple, auch nur einige Entwickler.

Die Rundmail haben sie sicher rumgeschickt, dass die Devs bescheid wissen, warum es so lange down ist. Denn die Meldung auf der Seite selbst kam ja erst später hinzu.

Und wenn sie verschlüsselte Datensätze entschlüsseln wollen, na dann viel Spaß. Ohne den richtigen Key würde das, selbst mit enormer Rechenleistung, Jahre dauern. Außer die haben Zugriff auf die Supercomputer der Geheimdienste, was ich aber stark bezweifle. Da würde sich der Zeitaufwand gar nicht lohnen, da wie von JP schon erwähnt keine Kreditkarten-Daten gespeichert werden dort. Hab ja selbst 2 mal einen Account gekauft und musste jedesmal mich erst mit der Apple-Store-ID anmelden. Mit der Developer-ID hatte man nicht mal die Möglichkeit die Daten einzugeben.

Also Leute, macht euch hier nicht verrückt und wartet einfach, bis Apple näheres bekannt gibt. Und das werden sie mit ziemlicher Sicherheit tun, da das Interesse an den Infos, was betroffen ist/war ja nicht gerade klein ist.

EDIT: Zu dem Video: Ob echt oder nicht, kann ich nicht sagen, aber selbst wenn es echt ist, zeigt es ja nur, dass die Emails und Namen abgegriffen werden konnten, aber keine PW's oder so.

[Stricki]

Sehe ich genau so. Wir sollten jetzt einfach die weitere Entwicklung abwarten und schauen was kommt. Ich glaube das zeitnah weitere Infos kommen bzw. das Dev Center wieder geöffnet wird.

[robin.h]

EDIT: Zu dem Video: Ob echt oder nicht, kann ich nicht sagen, aber selbst wenn es echt ist, zeigt es ja nur, dass die Emails und Namen abgegriffen werden konnten, aber keine PW's oder so.

WENN das video echt ist, zeigt es leider ganz genau das gegenteil:
es zeigt was ein einzelner (mit beschränkten ressourcen) schafft, der sogar die firma vorab über sein vorhaben informiert...

das würde im umkehrschluss nur heissen, dass infos über mögliche sicherheitslücken nicht ernst genommen werden oder schlicht und ergreifend nicht weitergeleitet werden.
und das mit mehr ressourcen wesentlich mehr schaden anzurichten wäre....


wie gesagt: WENN es echt ist.

[Adam]

Das Video soll echt sein und von Ibrahim Balic stammen der persönlich 13 Sicherheitslücken entdeckte und Apple von diesen Lücken in Kenntnis gesetzt hat. Er hatte zu keinem Zeitpunkt eine bösartige Absicht gehabt die Daten von Apple zu entwenden und ist deshalb überrascht, über Apples Darstellungen die heute veröffentlicht wurden.

Ob das jetzt so ist oder nicht werden wir sicher niemals mitbekommen.