Trøbbel for App Store

[Newton]

Feil.

 

Feil.

 

Feil.

 

Kult, poe er tilbake. Savnet deg og den ufrivillige komiverdien din.

Hvem er "poe", og hvilken komiverdi sikter du til? At stakkars Gavekort tar feil mer enn en gang? Jo, det har en viss komiverdi med folk som ikke vet forskjell på trojanere og virus, som tror at det står noe om virus i en artikkel som overhodet ikke nevner virus, og som synes at jeg er "ekkel"

 

Det er i det minste en mer forståelig feil enn å skylde på en sikkerhetsfeil i windows XP for at det er sikkerhetsproblemer i appstore...

 

AtW

Les gjerne hva jeg har skrevet i tråden én gang til, f.eks når jeg svarer "Det vet vi ikke, men det er definitivt en mulighet."

Mener du at det ikke er en mulighet at folks iTunes-kontoer er hacket gjennom en eller annen sikkerhetsbrist på deres Windows-maskiner?

For å gjøre det helt klart, feløpig vet vi altså ikke nøyaktig hvordan folks iTunes-kontoer har blitt kompromittert, så det blir feil å dra konklusjoner basert på såpass tynn informasjon som disse artiklene/blogginnleggene gir. Vi kan mene noe som er mulig, hva som ikke er mulig, hva som er sannsynlig eller hva som ikke er sannsynlig ut fra foreliggende informasjon - that's it.

 

Det jeg leser er at du prøver å bortforklare problemer med appstore med at det også finnes sikkerhetshull i OS, ja det gjør det, man kan selvsagt ikke utelukke at dette sikkerhetshullet også har vært med for å bumpe opp salgene av de tviilsomme appene, mene saken begynte i 2009, så det man kan utelukke er at dette hullet er det eneste som står bak. Kjernen i problemet er de tvilsomme applikasjonene, uten de, ingen svindel. Dette i motsetning til din påstand: "Sorry, men Apple kan ikke forhindre noen i å legge inn en keylogger på Windows-boksen din som gir en eller annen dude i Asia full tilgang til alle dine hemmeligheter....", men så var det dette med å dra konklusjoner på tynn informasjon da... Det er tydligvis helt greit når du gjør det.

 

AtW

Les én gang til, og les gjerne kommentarene jeg svarer på så du ser konteksten. Svaret mitt som du siterer er et eksempel på hvorfor det åpenbart ikke er mulig for Apple å hindre misbruk av iTunes Store/App Store. Jeg synes det er utrolig kjedelig å ha en diskusjon om diskusjonen, så jeg gidder ikke forklare i detalj hvem som sa hva, og hvorfor jeg svarte som jeg svarte. Alt står i tråden.

 

Kjernen i problemet, og det som er ulovlig her, er at noen har skaffet seg urettmessig tilgang til andres iTunes-kontoer, og stjålet fra disse gjennom å kjøpe diverse innhold på deres regning. Dette er ikke noe nytt problem, tilsvarende har blitt gjort i årevis. Det nye er at det har blitt gjort i litt større skala, i et koordinert "angrep".

Det er da faktisk også mulig å tjene penger på slik svindel uten at det er de minste skummelt med applikasjonene, gjennom at man selger tilgang hackede kontoer for nedlasting av betal-apps eller musikk. Se f.eks denne diskusjonen:

http://www.dslreports.com/forum/r24387156-iTunes-accts-hacked

Her beskrives også muligheten for keylogging, som er en kjent angrepsmetode:

http://www.cbc.ca/technology/story/2010/05/28/edmonton-apple-itunes-hacked.html

[ATWindsor]

 

Les én gang til, og les gjerne kommentarene jeg svarer på så du ser konteksten. Svaret mitt som du siterer er et eksempel på hvorfor det åpenbart ikke er mulig for Apple å hindre misbruk av iTunes Store/App Store. Jeg synes det er utrolig kjedelig å ha en diskusjon om diskusjonen, så jeg gidder ikke forklare i detalj hvem som sa hva, og hvorfor jeg svarte som jeg svarte. Alt står i tråden.

 

Kjernen i problemet, og det som er ulovlig her, er at noen har skaffet seg urettmessig tilgang til andres iTunes-kontoer, og stjålet fra disse gjennom å kjøpe diverse innhold på deres regning. Dette er ikke noe nytt problem, tilsvarende har blitt gjort i årevis. Det nye er at det har blitt gjort i litt større skala, i et koordinert "angrep".

Det er da faktisk også mulig å tjene penger på slik svindel uten at det er de minste skummelt med applikasjonene, gjennom at man selger tilgang hackede kontoer for nedlasting av betal-apps eller musikk. Se f.eks denne diskusjonen:

http://www.dslreports.com/forum/r24387156-iTunes-accts-hacked

Her beskrives også muligheten for keylogging, som er en kjent angrepsmetode:

http://www.cbc.ca/technology/story/2010/05/28/edmonton-apple-itunes-hacked.html

 

Kjernen er at noen bruker hackede maskiner til å tjene penger via itunes, poenget er ikke at hackerene bruker folks maskiner til å kjøpe ting til seg selv. De bruker appstore til å i praksis overføre penger til seg selv. Det kan man ikke uten videre gjøre med en hacket maskin, appstore er dermed en sentral del i denne svindelen, fordi det er det som lar de få faktiske penger, kontra å bare kunne kjøpe et par ting og sende det til seg selv. Om det er umulig for apple å hindre slikt, så kan man spørre seg om hvor de store fordelene ligger i at apple "kvalitetssikrer" apps.

 

AtW

[Newton]

Man kan selge tilgang til hackede kontoer, dvs last ned så mye innhold/applikasjoner du klarer før kontoen blir stengt, likegyldig hva slags innhold eller hvem som har produsert innholdet/applikasjonen.

Man kan også som du sier produsere en app, og kjøpe sin egen app 1000 ganger for andres penger, gjennom hackede iTunes-kontoer. Riskikoen er imidlertid stor for at dette blir oppdaget når det foregår i slik skala mot et fåtall apps, og at et slikt gjenkjennbart mønster fører til at Apple sperrer overføringer til bogus-app-utvikleren.

Her er det forskjellige scenarier som er mulig, men kjernen i det hele er uansett at det kriminelle ligger i å hacke kontoer og bruke andres penger.

[ATWindsor]

Man kan selge tilgang til hackede kontoer, dvs last ned så mye innhold/applikasjoner du klarer før kontoen blir stengt, likegyldig hva slags innhold eller hvem som har produsert innholdet/applikasjonen.

Man kan også som du sier produsere en app, og kjøpe sin egen app 1000 ganger for andres penger, gjennom hackede iTunes-kontoer. Riskikoen er imidlertid stor for at dette blir oppdaget når det foregår i slik skala mot et fåtall apps, og at et slikt gjenkjennbart mønster fører til at Apple sperrer overføringer til bogus-app-utvikleren.

Her er det forskjellige scenarier som er mulig, men kjernen i det hele er uansett at det kriminelle ligger i å hacke kontoer og bruke andres penger.

 

Det kriminelle er å hacke og bruke andres penger ja (uten at jeg ser den helt store relevansen i den selfølgeligheten i forhold til hva som diskuteres), men i dette tilfellet er det appstore som gjør det mulig å overføre hackede maskiner til cash in hand. Noe som er ekstra diskutabelt med tanke på den påståtte sikkerheten og kvalitetskontrollen man skal få i "belønning" for ulempen med at ting ikke akn legges fritt på appstore.

 

AtW

Endret 6. juli 2010 av ATWindsor

[Newton]

Det kriminelle er å hacke og bruke andres penger ja (uten at jeg ser den helt store relevansen i den selfølgeligheten i forhold til hva som diskuteres), men i dette tilfellet er det appstore som gjør det mulig å overføre hackede maskiner til cash in hand. Noe som er ekstra diskutabelt med tanke på den påståtte sikkerheten og kvalitetskontrollen man skal få i "belønning" for ulempen med at ting ikke akn legges fritt på appstore.

 

AtW

Det er ingen åpenbare feil med angjeldende apps i seg selv, som kan være helt tilforlatelige og lovlige på alle måter, bortsett fra at utvikler i dette tilfellet ser ut til å være involvert i svindelen og sikkert hadde håp om å håve inn salgsinntekter fra Apple. Det siste er nok ganske utypisk for den sporadiske kriminelle virksomheten som har foregått mot iTunes gjennom flere år. Kan ikke skjønne annet enn at det i så fall burde være mulig å følge pengestrømmen her, siden utvikleren jo må ha oppgitt en legitim bankkonto for å kunne motta penger fra Apple...

Andre metoder som jeg har nevnt er helt uavhengig av både apps og utvikler, men går kun på utnyttelse av hackede kontoer, gjerne mot betaling. Flere eksempel på folk som har blitt utsatt for dette i denne tråden, der særlig post #109 gir et interessant innblikk i hvordan denne kriminelle virksomheten kan skje fra land som Kina eller Vietnam:

http://forums.macrumors.com/showthread.php?t=407990&highlight=hacked&page=5

 

Her har det altså skjedd i løpet av helgen at apps fra denne tvilsomme utvikleren har fått en markant salgsøkning og solgt i størrelsesorden 50-250 pr dag, pr app. Mer skal det ikke til i akkurat den kategorien for å havne i topp-50 sjiktet, men det er svært lite i forhold til toppselgerne i App Store generelt. Det kan være grunnen til at svindlerne ikke ble oppdaget tidligere, blant 100 millioner registrerte iTunes-brukere som laster ned mer enn 10 millioner apps pr dag.

 

Her er for øvrig reaksjonen fra Apple: http://www.engadget.com/2010/07/06/apple-responds-on-itunes-fraud-vaguely-confirms-said-fraud/

Endret 6. juli 2010 av Newton

[ATWindsor]

Det kriminelle er å hacke og bruke andres penger ja (uten at jeg ser den helt store relevansen i den selfølgeligheten i forhold til hva som diskuteres), men i dette tilfellet er det appstore som gjør det mulig å overføre hackede maskiner til cash in hand. Noe som er ekstra diskutabelt med tanke på den påståtte sikkerheten og kvalitetskontrollen man skal få i "belønning" for ulempen med at ting ikke akn legges fritt på appstore.

 

AtW

Det er ingen åpenbare feil med angjeldende apps i seg selv, som kan være helt tilforlatelige og lovlige på alle måter, bortsett fra at utvikler i dette tilfellet ser ut til å være involvert i svindelen og sikkert hadde håp om å håve inn salgsinntekter fra Apple. Det siste er nok ganske utypisk for den sporadiske kriminelle virksomheten som har foregått mot iTunes gjennom flere år. Kan ikke skjønne annet enn at det i så fall burde være mulig å følge pengestrømmen her, siden utvikleren jo må ha oppgitt en legitim bankkonto for å kunne motta penger fra Apple...

Andre metoder som jeg har nevnt er helt uavhengig av både apps og utvikler, men går kun på utnyttelse av hackede kontoer, gjerne mot betaling. Flere eksempel på folk som har blitt utsatt for dette i denne tråden, der særlig post #109 gir et interessant innblikk i hvordan denne kriminelle virksomheten kan skje fra land som Kina eller Vietnam:

http://forums.macrumors.com/showthread.php?t=407990&highlight=hacked&page=5

 

Her har det altså skjedd i løpet av helgen at apps fra denne tvilsomme utvikleren har fått en markant salgsøkning og solgt i størrelsesorden 50-250 pr dag, pr app. Mer skal det ikke til i akkurat den kategorien for å havne i topp-50 sjiktet, men det er svært lite i forhold til toppselgerne i App Store generelt. Det kan være grunnen til at svindlerne ikke ble oppdaget tidligere, blant 100 millioner registrerte iTunes-brukere som laster ned mer enn 10 millioner apps pr dag.

 

Her er for øvrig reaksjonen fra Apple: http://www.engadget.com/2010/07/06/apple-responds-on-itunes-fraud-vaguely-confirms-said-fraud/

 

Ja, det er kjempefine applikasjioner, rent bortsett fra den ganske så enorme bortsetten at de brukes til svindel, fordi de gjør en lett tilgjengelig hacket maskin over til mer vanskelig tilgjengelig cash. Apple store gjør det lett å kjøpe ting uten koder osv, og storen har ikke stoppet disse applikasjonene, verken før eller et stykke etter svindelen (og jeg tør tippe dette ikke er høykvalitets materiale), så hva er egentlig den store fordelen med apples "kvalitetskontroll"?

 

AtW

[Newton]

Det kriminelle er å hacke og bruke andres penger ja (uten at jeg ser den helt store relevansen i den selfølgeligheten i forhold til hva som diskuteres), men i dette tilfellet er det appstore som gjør det mulig å overføre hackede maskiner til cash in hand. Noe som er ekstra diskutabelt med tanke på den påståtte sikkerheten og kvalitetskontrollen man skal få i "belønning" for ulempen med at ting ikke akn legges fritt på appstore.

 

AtW

Det er ingen åpenbare feil med angjeldende apps i seg selv, som kan være helt tilforlatelige og lovlige på alle måter, bortsett fra at utvikler i dette tilfellet ser ut til å være involvert i svindelen og sikkert hadde håp om å håve inn salgsinntekter fra Apple. Det siste er nok ganske utypisk for den sporadiske kriminelle virksomheten som har foregått mot iTunes gjennom flere år. Kan ikke skjønne annet enn at det i så fall burde være mulig å følge pengestrømmen her, siden utvikleren jo må ha oppgitt en legitim bankkonto for å kunne motta penger fra Apple...

Andre metoder som jeg har nevnt er helt uavhengig av både apps og utvikler, men går kun på utnyttelse av hackede kontoer, gjerne mot betaling. Flere eksempel på folk som har blitt utsatt for dette i denne tråden, der særlig post #109 gir et interessant innblikk i hvordan denne kriminelle virksomheten kan skje fra land som Kina eller Vietnam:

http://forums.macrumors.com/showthread.php?t=407990&highlight=hacked&page=5

 

Her har det altså skjedd i løpet av helgen at apps fra denne tvilsomme utvikleren har fått en markant salgsøkning og solgt i størrelsesorden 50-250 pr dag, pr app. Mer skal det ikke til i akkurat den kategorien for å havne i topp-50 sjiktet, men det er svært lite i forhold til toppselgerne i App Store generelt. Det kan være grunnen til at svindlerne ikke ble oppdaget tidligere, blant 100 millioner registrerte iTunes-brukere som laster ned mer enn 10 millioner apps pr dag.

 

Her er for øvrig reaksjonen fra Apple: http://www.engadget.com/2010/07/06/apple-responds-on-itunes-fraud-vaguely-confirms-said-fraud/

 

Ja, det er kjempefine applikasjioner, rent bortsett fra den ganske så enorme bortsetten at de brukes til svindel, fordi de gjør en lett tilgjengelig hacket maskin over til mer vanskelig tilgjengelig cash. Apple store gjør det lett å kjøpe ting uten koder osv, og storen har ikke stoppet disse applikasjonene, verken før eller et stykke etter svindelen (og jeg tør tippe dette ikke er høykvalitets materiale), så hva er egentlig den store fordelen med apples "kvalitetskontroll"?

 

AtW

Apples kvalitetskontroll strekker seg ikke til å forutse hvilke kriminelle handlinger utviklerene måtte begå mht hacking av PCer og tapping av folks bankkontoer. Så mye er sikkert.

Poenget med Apples kvalitetskontroll er å se til at apps gjør det de er ment å gjøre, at de er stabile og ikke lager krøll, at de holder seg innenfor retningsliinjer f.eks mht hvilke APIer de benytter, at de ikke åpenbart krenker opphavsrett eller inneholder uakseptabelt materiale (grov porno, etc), at de ikke inneholder skadelig kode, osv, osv.

Det er en vanskelig balansegang Apple har begitt seg ut på, de har gjort feil, de vil gjøre flere feil, men alt i alt så tror jeg at kvalitetskontrollen i App Store er et gode for brukerne. Sannsynligvis bedre enn å gi faen, og rydde opp i ettertid når mange apps viser seg å gjøre ting de ikke skal gjøre, slik Google gjør.

Endret 7. juli 2010 av Newton

[ATWindsor]

Apples kvalitetskontroll strekker seg ikke til å forutse hvilke kriminelle handlinger utviklerene måtte begå mht hacking av PCer og tapping av folks bankkontoer. Så mye er sikkert.

Poenget med Apples kvalitetskontroll er å se til at apps gjør det de er ment å gjøre, at de er stabile, at de holder seg innenfor retningsliinjer f.eks mht hvilke APIer de benytter, at de ikke åpenbart krenker opphavsrett eller inneholder uakseptabelt materiale (grov porno, etc), at de ikke inneholder skadelig kode, osv, osv.

 

En viktig del av sikkerhet er å forutse hull og ting som kan utnyttes. At apple ikke evner å forutse at det er et potensielt problem at du kan bruke andres penger i butikken uten mer enn tilgang til PCen er ikke så imponerende. I dette tilfelle trengte de vel heller ikke å forutse noe som sådan, da det har holdt på en stund. Så da er spørsmålet igjen, hvor mye mererdi gir denne kontrolleen brukeren i relaiteten? Det kan se ut som denne verdien er relativt liten.

 

AtW

[Newton]

Apples kvalitetskontroll strekker seg ikke til å forutse hvilke kriminelle handlinger utviklerene måtte begå mht hacking av PCer og tapping av folks bankkontoer. Så mye er sikkert.

Poenget med Apples kvalitetskontroll er å se til at apps gjør det de er ment å gjøre, at de er stabile, at de holder seg innenfor retningsliinjer f.eks mht hvilke APIer de benytter, at de ikke åpenbart krenker opphavsrett eller inneholder uakseptabelt materiale (grov porno, etc), at de ikke inneholder skadelig kode, osv, osv.

 

En viktig del av sikkerhet er å forutse hull og ting som kan utnyttes. At apple ikke evner å forutse at det er et potensielt problem at du kan bruke andres penger i butikken uten mer enn tilgang til PCen er ikke så imponerende. I dette tilfelle trengte de vel heller ikke å forutse noe som sådan, da det har holdt på en stund. Så da er spørsmålet igjen, hvor mye mererdi gir denne kontrolleen brukeren i relaiteten? Det kan se ut som denne verdien er relativt liten.

 

AtW

Apple har helt sikkert forutsett dette, og de har også erfart det gjennom flere år ved at kriminelt misbruk av andres brukernavn og passord ikke er noe nytt, ei heller i iTunes Store. Det er imidlertid ikke selve iTunes Store som er kompromittert her, det er brukernes PCer. Det er umulig å lage en 100% vanntett beskyttelse mot hacking og misbruk. Det samme gjelder jo for alle andre online tjenester og transaksjoner, eller for betalingskort og kredittkort som du bruker i butikker og minibanker for den del, så jeg ser ikke helt hvor du vil...

Det er da uansett bedre at man har mekanismer for kontroll og sikkerhet, som tross alt har vist seg å være relativt gode og velfungerende, enn ikke å ha disse mekanismene. Det er bedre at jeg har en PIN-kode som jeg må taste inn når jeg bruker bankkortet mitt på super'n, enn at jeg ikke har det, selv om sidemannen i teorien kan se hva jeg taster inn og stjele kortet mitt etterpå. Klart at det ville være sikrere med en 1024-bits random kodenøkkel og full biometrisk scanning hver gang jeg skal kjøpe tyggis, men det handler om rimelige sikkerhetstiltak, i forhold til ulemper og kostnader en mer rigid sikkerhet vil påføre brukeren.

 

Nå ser det faktisk ut som at Apple som konsekvens av disse siste hendelsene innfører hyppigere verifisering mot kontrollkoden som står på betalingskortene, og en ekstra runde med verifisering hvis du gjør transaksjoner fra en annen PC enn du har brukt tidligere. Dette kommer selvsagt Apple til å få masse kritikk for fra enkelte hold siden det vil kunne bli mer tungvint å handle via iTunes, og at Apple "overvåker" og registrerer informasjon om hvilke datamaskiner folk bruker. Som så ofte før: "Damned if you do, damned if you don't"...

Endret 7. juli 2010 av Newton