Die gestern auch in unserem Blog thematisierte Sicherheitslücke unter iOS und OS X schlug hohe Wellen. Ausgehend von einem Bericht auf TheRegister machte die Meldung auf Portalen aus aller Welt die Runde. Immer mit dabei: Der Verweis auf mögliche Folgen der Sicherheitslücke. Denn in der Tat kann die Malware, die es sogar (einmal zumindest) vorbei an Apples Prüfungsstelle geschafft hat, auf vertrauliche Informationen, wie Passwörter, von Drittanbieter-Apps zugreifen. Das ließ insbesondere 1Password-Nutzer aufhorchen.
Nun hat sich AgileBits zu Wort gemeldet und adressiert in den Kommentaren unter unserem gestrigen Artikel speziell die Apfelpage-Leser:
[…] Ja, 1Password ist auch potentiell von diesem Problem betroffen. Jedoch kann ein Angreifer keinen Zugriff auf die 1Password-Datenbank erlangen. Unter bestimmten Umständen ist es möglich die Kommunikation zwischen 1Password und den 1Password Browser-Erweiterungen abzufangen und damit übertragene Zugangsdaten auszulesen.
Dabei verweist der Sprecher auf den firmeneigenen Blog, auf dem sich gestern anlässlich der Berichte der Sicherheitsexperte Jeff Goldberg ausführlich zu den Sicherheitsrisiken bei der Kommunikation zwischen Programmen, der XARA-Attacke, und 1Password mini geäußert hat. Demnach sei es möglich, sich als Browsererweiterung auszugeben und so Abfragen abzufangen. Eine Lösung dafür sei aber sehr schwer zu finden – selbst die Hacker der Uni, welche die Lücke fanden, hatten nur Ansätze. Es sieht so aus, als müsse Apple hier ran. Bislang hat aber noch keiner die komplizierte Sicherheitslücke genutzt.
Wir unterdessen können der schnellen und ausführlichen Reaktion der 1Password-Macher das Attribut „lesenswert“ aufdrücken.
Imagepflege am Rande.
Und noch etwas wollten die Entwickler geklärt wissen: Es geht um die Rabattaktion der Mac-App, die wir im AppSalat erwähnten.
Hallo liebe apfelpage.de-Leser, […] Ich wollte nur eine kurze Anmerkung zum Timing unserer Rabattaktion geben: Die Aktion hat nichts mit den Problemen zu tun, die LastPass gerade hat. 1Password wurde heute neun Jahre alt und deswegen haben wir zu Beginn der Woche die Aktion gestartet.
Wir empfinden keinerlei Schadenfreude bei den aktuellen Ereignissen und würden auch nie aus sowas Profit schlagen wollen.
Imagepflege darf sein.
11 Gedanken zu „1Password zur Mac-Sicherheitslücke: Keinen Zugriff auf unsere Datenbank“
Die Kommentare sind geschlossen.