Ik ben met stomheid geslagen ... Heb de paper zojuist afgerond te lezen ... Ik mag de nodige kritiek hebben, maar dit gaat voorbij het punt waar ik mij nog gemakkelijk voel om kritiek te leveren ...

Vanuit beveiligingsperspectief is dit V-E-R-S-C-H-R-I-K-K-E-L-I-J-K ... En neen, helaas is dit niet beperkt tot enkel cryptografie. Immers, cryptografie vormt zo ongeveer de kern van hedendaagse (veilige) besturingssystemen en computer gebruik. En, deze fout is een Chip ARCHITECTUUR fout ...

Maar er is ook goed nieuws. Een soortgelijke bug (jaren terug) op het Intel domein had de nodige aandacht, maar dat (chip)platform werd/wordt natuurlijk ook gebruikt in de context van servers. Servers staan bekend om het delen van resources en daarmee was de bug toentertijd groots nieuws en ook zeker "gebruikt". Het goede nieuws is, dat Apple geen Servers maakt. Kortom, het zijn veelal single-user systemen en daarmee is de aanvals-vector toch anders.

Maar het is nu niet zo dat we dit lek kunnen bagataliseren. Temeer met het nodige programmeerwerk helemaal geen "root" of "beheer" rechten nodig zijn ...

Na (Intel) Spectre en Meltdown hebben we nu dus (Apple) ARM GoFetch 😒 ... Daarnaast is het Apple platform meer en meer doelwit van zowel White Hat Hackers ("de goeden") als de Black Hat Hackers ("de slechten") ... Wat (tenminste) mij, weer doet denken aan "NOBUS" ... "NO-wie?"

NOBUS ("Nobody But Us") ... een term die wordt gebruikt door de Amerikaanse National Security Agency (NSA) om een bekend beveiligingslek te beschrijven waarvan de NSA gelooft dat alleen de Verenigde Staten (VS) er misbruik van kunnen maken. De NSA ontwikkelde de NOBUS-systematiek waarin ze de waarschijnlijkheid evalueren dat een tegenstander in staat zou zijn om een bekende kwetsbaarheid in een computer systeem uit te buiten.

Als de NSA vaststeld dat de kwetsbaarheid alleen door de NSA kan worden misbruikt om redenen zoals beschikbare rekenkracht, budget of vaardigheden, bestempelen ze de kwetsbaarheid als NOBUS en zullen ze de kwetsbaarheid niet patchen, maar openlaten om te gebruiken tegen huidige of toekomstige doelwitten.

Oftewel: het moedwillig niet melden of niet patchen van kwetsbaarheden, ten behoeve van het hebben van "een ingang" tot computer systemen. Al zouden deze voorzien zijn van de nodige versleutelings- en beveiligingsmechanismen ...

Ter verduidelijking van het probleem:  elk programma dat draait met standaard beveiliging op applicatieniveau gebruik kan maken van deze exploit. Er wordt expliciet gezegd dat iemand alleen maar een applicatie met basisrechten op een P-core cluster hoeft te laten draaien en in staat zou moeten zijn om sleutels te onttrekken aan andere applicaties die op hetzelfde cluster draaien.

Het lek kan worden ingezet en uitgevoerd met een redelijk laag niveau van rechten.

Overheidsinstanties hadden dus een ongekend waardevolle ingang tot Mac (en mogelijk iPhone) apparaten zonder dat iemand hiervan iets wist. Overigens, is dit (slechts een van) de truukjes van Pegasus ...

Een zeer aantrekkelijke onopgemerkte manier om waardevolle beveiligingssleutels te ontfutselen, die het vervolgens mogelijk maken om al het verkeer te lezen dat door die sleutels wordt beveiligd, zonder dat het zelfs nodig zou zijn om de beveiligingsniveaus te verhogen na een compromittering.

Oftewel een (gratis) App, Open Source toepassing of zelfs (slim geschreven) web-applicatie kan de worden ingezet om de klus te klaren ...

... ben zeker dat het probleem in de M4 en nieuwere chips niet meer zondermeer aanwezig zal zijn, en ben ook zeker dat er een fix voor het OS komt. Maar hiermee zijn wel alle chips, zoals de M1, M2 en M3 blijvend "gebrandmerkt" met een beveiligingslek. Immers, een het is een zwakte op hardware niveau 😞

Wat mij alleen niet duidelijk is: Apple hanteert het basisprincipe van een kern-ontwerp voor haar processors, te weten, de  ARMv8.6-A instructieset. Wat ik mij afvraag, is nu enkel de M-serie getroffen door dit lek, of ook de A-serie processors?

Hoe dan ook *zucht* ... vervelend ... op z'n minst ... zowel voor Apple, haar gebruikers en (potentieel) voor mijn belegging 🤨. We hadden al de nodige tegenslagen laatste tijd ... EU boetes, Amerika die een soortgelijke rechtzaak voorbereid, Messages en RCS problematiek die nu niet alleen in Europa maar ook in de VS gaat spelen om wat te noemen, en nu dus dit ...

Laten we hopen op wat beter nieuws komende tijd ...