iphone-ticker.de — Alles zum iPhone. Seit 2007. 18 347 Artikel
Oh mein Gott

So eindeutig lässt sich jedes iPhone zuordnen

Artikel auf Google Plus teilen.
58 Kommentare 58

Die kurze Version: Schnappt euch diese App! Die lange Version erklären die folgenden 15 Absätze.

Vor noch nicht all zu langer Zeit, stattete Apple jedes iPhone mit einer eindeutigen Kennziffer aus. Über die sogenannte UDID ließ sich jedes iPhone eindeutig zuordnen. Zwar vereinfachte der eindeutige Fingerabdruck den App Store-Entwicklern das Leben – abgeschlossene Abonnements & Co. konnten direkt an die UDID gekoppelt werden – die Identifikationsnummer machte die iPhone-Nutzer jedoch auch überwachbar.

Werbeanbieter und Tracking-Firmen konnten die UDID aus mehreren Applikationen heraus abrufen und so detaillierte Nutzerprofile anlegen. Daten wurden korreliert, um zusätzliche Informationen angereichert und von zahlreichen Marketing-Firmen katalogisiert.

iphone-udid

Dann kam es, wie es kommen musste: Die UDID sorgte an mehreren Fronten für Probleme. Zum einen stand Apples zentrales Identifikationsmerkmal, nach mehreren Datenverlusten in Millionenhöhe, über Monate hinweg im Fokus kritischer Datenschützer. Zum anderen offenbarten sich unvorhergesehene Schwierigkeiten beim iPhone-Verkauf. Gebrauchte Geräte, die auf eBay und in der „Zweiten Hand“ ihren Besitzer wechselten, behielten ihren Fingerabdruck bei und identifizierten die neuen Benutzer weiterhin unter der alten Kennziffer.

App-Entwickler, die die UDID in ihren Anwendungen zur Erkennung von bestehende Mitgliedschaften, laufenden Abos oder für den einfachen Login genutzt hatten, stolperten reihenweise über ihre Bequemlichkeit.

Zur Einführung von iOS 5 entschloss sich Apple daraufhin, die UDID komplett aus dem iPhone-Betriebssystem zu entfernen. Entwickler und Werbetreibende sollten fortan mit einer alternativen Kennziffer versorgt werden, die nicht mehr an das Gerät, sondern an einzelne Applikationen gebunden sein sollte. Zum 1. Mai 2013 schnitt Apple die alten Zöpfe dann endgültig ab und entfernte die UDID-Abfrage – die bis dahin nur als „veraltet“ markiert war – komplett aus dem iPhone-Betriebssystem.

werbung

Ist die eindeutige Identifikation dennoch möglich?

Der Student Tobias Becker, der an der Universität Erlangen-Nürnberg derzeit an seiner Masterarbeit schreibt, wirft nun eine spannende Frage auf: Ist die eindeutige Identifikation unterschiedlicher iPhone-Einheiten dennoch möglich?

Mobile Device Fingerprinting am Beispiel von iOS

Die aus dem App Store geladenen iPhone-Applikationen haben zwar keine Möglichkeit mehr, sich die UDID eures Gerätes ausgeben zu lassen, können aus ihren App-Sandkästen aber mitunter so eindeutige Informationen über euer Gerät einsammeln, dass sich im besten (bzw. schlechtesten) Fall noch immer eine ID errechnen lässt, die euch eindeutig ausweist.

Tobias schreibt:

Das Thema meiner Arbeit lautet „Mobile Device Fingerprinting am Beispiel von iOS“ und ich beschäftige mich darin mit der Fragestellung, zu welchem Grad ein Nutzer bzw. sein Gerät seit der Entfernung der UDID aus dem iOS SDK (mit Version 7) noch eindeutig identifizierbar ist, wenn nur frei verfügbare Informationen über Gerät und Nutzer verwertet werden. Um diese Frage zu klären, brauche ich natürlich eine ausreichend große Stichprobe an Gerätedaten. Daher habe ich eine iOS-App dafür entwickelt und suche momentan nach Nutzern.

Die App nennt sich Unique (AppStore-Link), ist als akademisches Experiment natürlich kostenlos verfügbar und sollte euch definitiv einen Blick wert sein. So veranschaulicht der Download, wie einfach die Sammlung frei verfügbarer Gerätedaten auf eurem iPhone ist.

Mit dieser App sammelt Tobias Teams vom Lehrstuhl für IT-Sicherheitsinfrastrukturen frei zugängliche, benutzer-spezifische Informationen des iOS Betriebssystems, die grundsätzlich auch von jeder anderen App abgefragt werden können. Dazu zählen beispielsweise das Gerätemodell, Systemeinstellungen, installierte Apps, eure Songs etc.

Getreu dem Motto „Zeige mir Deine Apps, und ich sag Dir, wer Du bist“ möchten wir so ermitteln, wie individuell bzw. eindeutig Ihre Gerätekonfiguration ist.Auf diese Weise können Sie erkennen, inwieweit Sie auch von anderen Apps möglicherweise weiterhin eindeutig identifiziert werden können.

Optional sammelt die App im zweiten Schritt auch Daten, die nur mit eurer Zustimmung abgefragt werden können. Anschließend werden sämtliche Daten zu einem „Fingerabdruck“ zusammengesetzt und (sofern ihr euch mit der Übertragung einverstanden erklärt) an einen Server der Universität Erlangen-Nürnberg gesendet. Dort wird ihr Fingerabdruck mit dem anderer Nutzer verglichen und die Eindeutigkeit bestimmt.

Ihr braucht euch jedoch nicht wie ein Versuchskaninchen zu fühlen. Die Forscher der Universität Erlangen-Nürnberg unterstreichen:

Mit dieser App möchten wir lediglich der Fragestellung nachgehen, inwieweit frei-zugängliche Daten des iOS Betriebssystems agreggiert werden können, um dadurch Nutzer möglichst eindeutig zu identifizieren. Zum Schutz Ihrer Privatsphäre werden sämtliche personenbezogenen Daten vor der Übertragung an uns unkenntlich gemacht. Dadurch können wir zwar die Eindeutigkeit Ihrer Daten bestimmen, die eigentlichen Inhalte aber nicht einsehen.

Wir empfehlen euch, die Probe aufs Exempel zu machen und die Anwendung der Forscher einfach mal laufen zu lassen. Auch wenn ihr die eingesammelten Daten nicht übertragen wollt, so überrascht die umfangreiche Analyse doch. Im Anschluss zeigen wir euch unsere Ergebnisübersicht.

Derzeit haben die Forscher ihren Test schon auf gut 400 Geräten laufen lassen und – aufgemerkt – konnten bislang noch jedes einzelne identifizieren. Dies sollte, folgt man Apples Logik, eigentlich nicht mehr möglich sein.

App Icon
App Not Found
Seller Not Found
Free
19.73MB

ergebnisse

Mittwoch, 21. Mai 2014, 18:25 Uhr — Nicolas
58 Kommentare bisher. Dieser Unterhaltung fehlt Deine Stimme.
Rede mit!
  • Peinlich für apple :) wirklich peinlich.

    • Was soll daran peinlich sein? Die Daten haben ja Ihren Nutzwert … Wenn man all die Informationen blockieren würde, würden zahlreiche Apps nicht mehr funktionieren. Oder man würde noch mehr Abfragen einbauen à la „Möchten Sie der App Zugriff auf … geben“ … dann gäb es aber bei vielen Apps viele Nachfragen.
      Klar, damit lassen sich auch solche Trackings ermöglichen, aber alles zu verbieten, was missbraucht werden kann… das wäre so, als würde man Autos verzichten, weil es Menschen gibt, die sich selbst und andere damit gewollt in Gefahr bringen.

      • Ich möchte lieber öfter mit Nachfragen genervt werden als wie bei Android alles pauschal abzunicken.

    • Peinlich für Apple. Nach dem gleichen Prinzip funktioniert das Evercookie in jedem Browser. Das ist kein Herstellerspezifisches Problem, sondern ein fundamentales konzeptuelles Problem, dass jede Software betrifft, die individuelle Erwiterungen in Form von Plugins, Apps oder auch persönliche Daten, wie Kontakte oder Mediadateien verwaltet. Durch die Daten lässt sich in jeder Software ein mehr oder weniger starker Fingerabdruck erstellen.

      • Genau. Das macht Trackingsoftware seit Jahren so. Rechner werden anhand der vom Browser auszulesenden Informationen eindeutig erkannt. Da helfen dann auch keine wechselnde IPs. Das klappt auch erstaunlich gut.

    • Mich nervt dieses peinlich Gerede ungemein. Warum ist es genau peinlich?

      • Es ist peinlich, weil die Person die es peinlich findet, damit zum Ausdruck bringen will, dass sie den Gesamtzusammenhang nicht erfassen konnte. :D

    • Dieses Problem gibt es in JEDEM OS. Wenn man ausgefallene Einstellungen benutzt, dann kann ein Fingerabdruck sehr leicht erstellt werden. IP + OS + Browserversion + Tastaturen + Fonts, schon kann man sehr, sehr viele Menschen identifizieren… Kein Skandal

  • Und was soll da dran neu sein? Internetseiten identifizieren Nutzer auch eindeutig über alle öffentlichen Informationen wie browser, Betriebssystem etc. Problematisch ist nur wenn sich etwas ändert an den Daten kann man nicht mehr eindeutig identifiziert werden.

    • Schon lustig das sich diese Seite hier beschwert. Immerhin wird Google Analytics benutzt was Datenschhutzrechtlich der Super-Gau ist!!!

      • Vor allem wenn man sich mal anschaut was man mit javascript / PHP alles auslesen kann :)

        Das sind Daten wie: Liste der installierten Schriftarten, user Agent, Bildschirm größe und Auflösung, installierte browser Plugins mit versionsnummern!!!, mimetypes, also ausführbare Dateien,etc etc etc..

        Würde mich nicht wundern, wenn man im Web, zb mit google analytics eindeutiger identifiziert werden kann.

      • Google analytics ist datenschutzrechtlich ok, solange die „anomynize ip“ Funktion verwendet wird. Sollte dies nicht der Fall sein kann man als Privatperson den Webseiten Betreiber abmahnen. (Hoffe nur ich hab hier niemanden auf dumme Gedanken gebracht)

    • Das sehe ich auch als Problem an. Je nachdem welche Daten man mit einfließen lässt, z.B. die Top 50 Songs, dann ist die Gefahr groß, dass sich dieses Verhalten ändert und dadurch ein anderer Fingerabdruck generiert wird. Und wenn dies eintritt, dann ist eine eindeutige Identifizierung nicht direkt gewährleistet.

    • Genau aus dem Grund werden ja insgesamt 39 Werte gesammelt. Damit können kleinere Veränderungen kompensiert werden.

      • Und wenn 20 ihre werte ändern, welcher neue Fingerabdruck gehört dann zu welchen alten? Das wäre mit einer Logik schon zu überprüfen aber können immer Fehler drinnen sein…

  • Ohne Absichtlich doof klingen zu wollen: hätte mich eher gewundert, wenn dem nicht so gewesen wäre…

    • Eben. Und dagegen könnte Apple nur was tun, indem wirklich für ALLES eine Berechtigung verlangt werden würde.
      Und dann würde es wieder heißen: mimimimimi…..

  • Das wäre Android nicht passiert. Nicht.

  • ach_du_grüne_neune

    Das macht mir irgendwie Angst was da alles so möglich ist ❗️❓

    • Ist noch bei weitem mehr möglich. Google macht es super einfach möglich.

    • Schau mal nach browser Fingerprint in google, dann gehst du nie wieder ins inet…

      • Your browser fingerprint appears to be unique among the 4,144,195 tested so far.

        Currently, we estimate that your browser has a fingerprint that conveys at least 21.98 bits of identifying information.

        The measurements we used to obtain this result are listed below. You can read more about our methodology, statistical results, and some defenses against fingerprinting in this article.

  • Bin doch nicht blöd. App verlangt einen regelrechten Datenstriptease. Nur weil „Universität“ drauf steht, is „Vertrauen blind“ – NICHT DRINN‘

    • hast dus nicht gelesen? 1. kannst du der Versendung widersprechen und 2. sind das informationen die JEDE app OHNE deine Zustimmung an ihre Server senden kann und garantiert 50% der apps dies auch tun.

  • Schade, dass iOS 7 Voraussetzung ist.

  • Ich breche jetzt mal eine Lanze für die Entwickler…
    Natürlich ist es für mich und alle anderen Entwickler interessant, wie die Verteilung der Geräte, deren Fähigkeiten und iOS Versionen bei meinen/unseren Anwendern sind und ja das sammeln anonym (also ohne Geräteident oder ähnliches) sicherlich viele Apps mit so auch ich. Aus der IP Adresse des Geräte kann man ohne Probleme grob die Geographie ermitteln (mache ich auch aber ich kann in meiner DB im Nachhinein KEINE Zuordnung machen welches Gerät wann wo war).

    Was mache ich damit? ich wäge z.B. ab (wie im Januar/Februar) für meine Apps den Support für iOS 6 einzustellen, da mehr als 92% meiner Anwender damals schon von iOS 6 weg waren.

    Dafür sind diese Daten und deren Ermittlung perfekt. Als Benutzer von zig anderen Apps möchte ich aber genauso wenig wie jeder andere hier „persönlich“ analysiert und ausgehorcht werden.

    Dass diese Daten zugänglich sind war mir aber auch nicht neu, da ich diese Infos ja selbst verwende. Apple könnte natürlich dem Zugriff einen Riegel vorschieben wie bei Fotos und Adressen etc. und eigentlich wäre das auch nur konsequent.

      • Wenn sie bei Fotos usw nen Riegel vorschieben blockieren sie damit jede Bildbearbeitungsapp… jede Kameraapp… sogar Browser (denn oft will man ja irgendwo nen Bild via Browser hochladen)…
        Der Anwender sollte sich halt Gedanken machen… „Wieso will denn das Notizprogramm mein Adressbuch?!“…

    • um diese „nichtssagenden“ Daten geht es auch gar nicht. Mit der OS-Version und ähnlichen Attributen kannst du keinen eindeutigen Fingerprint erstellen. Selbst mit der IP nicht.
      Aber wenn man alles addiert und dann noch so persönliche Sachen wie zB Top50-Songs dabei sind, dann wird das ganze schon wieder für Werbung genutzt. (Das kann es auch allein durch diese Information).
      Das ist gewollt durch Apple und ich finde es absolut asi.

  • Wieder ein Grund für nen Jailbreak: PMP lässt einen diesbezüglich anonym.

  • Wer in seiner Firma mal GOOD Enterprise administriert hat, weiß, dass jedes Gerät eine eindeutige ID hat.
    Die ist problemlos auslesbar und wird auch in Good angezeigt.

    Verstehe nicht die Aufregung.

  • könnt einer mal bitte die ip löschen
    wer weiss welche kinder hier mit dieser ip iwas machen!

  • Wenn mein iPhone Name „iPhone von Vorname Nachname“ heißt ist die Chance der Erkennung sehr groß. Nenne ich es daher iPhone 5 oder Schatzi ist es sicher viel schwerer das Gerät unter anderen zu Identifizieren.
    Aber coole App, und ich helfe gerne Studenten die sich mal Gedanken machen ;-)

  • Moment mal. Nach neu aufsetzen ist die uiid eine andere. Oder?

    DAS ist die Neuerung. NICHT eine uiid die für alle gleich ist. Oder eine die sie stetig ändert.

  • Aber da sind doch jede Menge Parameter dabei, die sich permanent ändern. Ob das wirklich alles so eindeutig ist?!?

  • Leider nicht mehr für 3GS da iOS 7 benötigt ;(

  • Google ist richtig gruselig. Ich habe ein Gerät im DFU Modus widerhergestellt, also komplett auf Werkseinstellungen. Dann habe ich die Google Play Music App geladen und war darin direkt eingeloggt. Nicht einmal das Passwort wurde noch abgefragt.

    Auf dem iPad war das nicht so, nur auf dem iPhone.

  • Ich verstehe nicht, warum anhand der Gerätedaten ein Fingerabdruck generiert werden muss, wenn der Hash der Apple ID auslesbar ist. Das ist doch viel eindeutiger?!

    • Stimmt. Dieser Punkt erschliesst sich mir auch nicht.

    • Das habe ich beim Anschauen des Screenshots auch sofort gedacht. Ist das tatsächlich so, dass man den (eindeutigen) Hash der Apple ID auslesen kann? Dann könnte man ja im Zweifel auch zusammengehörige Geräte identifizieren (z. B. iPhone und iPad eines Nutzers). Welche Apple ID ist das überhaupt? Man kann ja mehrere gleichzeitig verwenden (Store, iMessage, FaceTime, etc.).

      • Das ist die Apple-ID, die für das HomeSharing mit iTunes genutzt wird. Und sie kann sogar im Klartext ausgelesen werden. Zum Schutz der Privatsphäre wird sie allerdings von der App gehasht.

      • Okay Tobias, wofür dann den ganzen Zinnober mit dem Fingerprinting, wenn es allein die eindeutige Apple-ID tut?

      • Weil die Apple-ID nicht auf jedem Gerät ausgelesen werden kann und weil wir nicht sicher sind, wie lange das Auslesen der Apple-ID noch möglich sein wird.

  • Nur mit iOS7 nutzbar…. oh man, dann eben nicht.

  • Jaelbreaken und gegen Apple abschotten, gut is

  • Rede mit, und hinterlasse einen Kommentar.

    Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *

    ifun.de ist das dienstälteste europäische Onlineportal rund um Apples Lifestyle-Produkte.
    Wir informieren täglich über Aktuelles und Interessantes aus der Welt rund um iPad, iPod, Mac und sonstige Dinge, die uns gefallen.
    Insgesamt haben wir 18347 Artikel in den vergangenen 3224 Tagen veröffentlicht. Und es werden täglich mehr.
    ifun.de — Love it or leave it   ·   Copyright © 2016 aketo GmbH   ·   Impressum   ·   Datenschutz   ·   Auf dieser Seite werben aketo GmbH Powered by SysEleven