iphone-ticker.de — Alles zum iPhone. Seit 2007. 26 257 Artikel
Keinerlei Daten gehen nach China

Safari-Betrugswarnung: Apple nimmt Stellung

10 Kommentare 10

Wie erwartet hat Apple zeitnah auf die Diskussion um die Safari-Funktion „Betrugswarnung“ reagiert. Der iPhone-Hersteller betont, dass es die Privatsphäre der Benutzer mithilfe dieser Funktion schütze und niemals die tatsächliche Adresse einer besuchten Internetseite weitergebe.

Der wohl wichtigste Punkt in der Apple-Stellungnahme bestätigt unsere Erwartungen. Der chinesische Anbieter Tencent kommt nur in Zusammenhang mit in China genutzten Geräten ins Spiel. Ansonsten bleibt ausschließlich Googles Apples „Safe Browsing“-Partner.

Hier eine Übersetzung der von Apple an US-Medien ausgegebenen Stellungnahme:

Apple schützt die Privatsphäre der Benutzer und schützt Ihre Daten mithilfe der Safari-Betrugswarnung, einer Sicherheitsfunktion, die Websites, von denen bekannt ist, dass sie bösartig sind, markiert. Wenn die Funktion aktiviert ist, überprüft Safari die URL der Website anhand von Listen bekannter Websites und zeigt eine Warnung an, wenn die URL, die der Benutzer besucht, im Verdacht steht, betrügerisches Verhalten wie Phishing an.
Um diese Aufgabe zu erfüllen, erhält Safari von Google eine Liste von Websites, von denen bekannt ist, dass sie bösartig sind; für Geräte mit dem Regionalcode auf dem chinesischen Festland erhält Safari eine Liste von Tencent. Die tatsächliche URL einer Website, die Sie besuchen, wird niemals an einen sicheren Anbieter solcher Listen weitergegeben und die Funktion kann deaktiviert werden.

Technisch läuft das Ganze so ab, dass Safari für die Überprüfung einer Zieladresse einen sogenannten Hash-Wert (oder Streuwert) der eingegebenen Adresse erstellt und diesen Wert von Google eine Liste mit Webseiten anfordert, deren Adressen den selben Hash-Wert haben, um die Adresse zu verifizieren. Durch die direkte Kommunikation mit den Google-Servern „sieht“ Google die IP-Adresse des anfragenden Apple-Geräts, die gesuchte Internetadresse wird für Google durch das Hash-Verfahren jedoch verschleiert.

Wer die Funktion nicht verwenden will, kann die „Betrugswarnung“ in den Einstellungen Safari deaktivieren. Dann werden zwar keine Daten mehr an Google oder Tencent übertragen, jedoch verzichtet ihr auch auf ein keineswegs überflüssiges Sicherheitsfeature.

Montag, 14. Okt 2019, 19:33 Uhr — chris
10 Kommentare bisher. Dieser Unterhaltung fehlt Deine Stimme.
Rede mit!
  • Danke für die Übersetzung und den schnellen Bericht

  • Wäre es denn ein so großes Problem, das ganze über einen Proxy von Apple laufen zu lassen? Dann würde wenigstens Google nicht meine IP sehen und könnte auch keine Profile anlegen.

  • Laut eurem Artikel von heute, 15:11 Uhr schreibt Apple: „Anbieter, die privates Surfen ermöglichen, KÖNNEN auch deine IP-Adresse protokollieren“.

    Laut der Stellungnahme von Apple wird die IP-Adresse des Kunden-Geräts aber IMMER an Google übertragen und Google schickt eine Liste „passender“ URLs zurück. Hierbei wird die URL der besuchten Seite jedoch nur dann für Google (bzw. Tencent) „verschleiert“, wenn zum verschickten Hash-Wert MEHR ALS EINE URL passt; passt der Hash-Wert dagegen genau zu EINER URL (enthält die Google-Liste also nur ein Element), wissen Google (bzw. Tencent), dass mit der verschickten IP-Adresse genau DIESE URL aufgerufen wurde – oder sehe ich das falsch?

    • Dieses siehst Du komplett richtig. Wenn google eine Hash der Webseite erstellt und Apple einen Hash der angesurften Webseite an google schickt inkl. der IP-Adresse meines iPhones kann eine direkte 1:1 Beziehung seitens google angelegt werden. Hashes helfen also nur, dass Dritte auf dem Weg von deinem iPhone zu Google nicht wissen was gerade von mir angesurft wird. Willst Du auch dies verschleiern benötigst du Tor oder ähnliche Dienste

  • Für Google ist es ein leichtes von allen URLs auch die Hashwerte zu hinterlegen, wenn es für sie kein Problem ist den gesamten content zu indizieren. Daher könnten sie problemlos alle mit der IP-Adresse aufgerufenen Seiten tracken.
    Wenn dann noch ein Cookie gesetzt wurde durch z.BGoogle Analytics können sie auch problemlos die IP einen User bzw. Userprofil zuordnen.
    Wenn man sich dann noch fragt warum der Dienst bin Google kostenlos angeboten wird sollte man sich schon überlegen ob man das weiter nutzt.

    • Nun ja, Apple könnte die URL mit einer langen, zufälligen Zeichenfolge (Salt) ergänzen und den Hashwert mehrere tausend Mal berechnen. Google erhält den Hashwert und den Salt und muss nun für alle bösartigen Seiten dasselbe tun.

      Sofern die Website bösartig ist, kennt Google weiterhin die genaue URL. In allen anderen Fällen müsste Google aber sämtliche Webseiten die es gibt überprüfen, da der Hashwert aufgrund des Salts bei jeder Anfrage anders ist. Durch das mehrfache „hashen“ dauert der Vorgang zudem nochmals einiges länger.

  • Kein Google-Fan

    Leider fehlen hier ein paar Informationen:
    Es wird nur Kontakt zu Google aufgenommen um die aktuelle Liste bekannter Phishing- und Malware-Websites herunterzuladen. Der gesamte Abgleich findet dann lokal auf dem jeweiligen Gerät statt. Nur wenn eine Übereinstimmung erfolgt, wird eine Teilkopie des Hash-Wertes an Google gesendet um weitere Informationen auszutauschen. Kann man gerne nachlesen:
    https://www.google.de/intl/de/chrome/privacy/#safe-browsing-practices

    Und nein, ich bin kein Google-Fan :D

  • Redet mit. Seid nett zueinander!

    Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.

    ifun.de ist das dienstälteste europäische Onlineportal rund um Apples Lifestyle-Produkte.
    Wir informieren täglich über Aktuelles und Interessantes aus der Welt rund um iPhone, iPad, Mac und sonstige Dinge, die uns gefallen.
    Insgesamt haben wir 26257 Artikel in den vergangenen 4456 Tagen veröffentlicht. Und es werden täglich mehr.
    ifun.de — Love it or leave it   ·   Copyright © 2019 aketo GmbH   ·   Impressum   ·   Datenschutz   ·   Auf dieser Seite werben aketo GmbH Powered by SysEleven