Writing Exchange

0 posts0 participants0 posts today

Erik van Straten<a href="https://infosec.exchange/@thomasbosboom" class="u-url mention" rel="nofollow noopener noreferrer" target="_blank">@thomasbosboom</a> : I reported the passkkey (and password) bug privately to Apple in the summer of 2023. Even after providing a near endless amount of screenshots and other proof, Apple said it's a wontfix.The basic issue is that, if the user does not use biometrics to unlock their iPhone or iPad, they are NOT asked to enter their (screen unlock) passcode to use passwords from iCloud keychain.IMO that on itself is already insane (considering [1]). Many people do not use biometrics.If no bio is used (and even if it is) there are specific circumstances where someone with access to an unlocked iDevice (think of children) can use passkeys without any local authentication.Just tested using iOS v18.3: with my iPhone unlocked, I can log in to <a href="https://icloud.com" rel="nofollow noopener noreferrer" translate="no" target="_blank">https://icloud.com</a> and (fixed URL 20:48 UTC) <a href="https://account.apple.com" rel="nofollow noopener noreferrer" translate="no" target="_blank">https://account.apple.com</a> using the passkey on my iPhone WITHOUT providing any credentials.If <a href="https://hachyderm.io/@rmondello" class="u-url mention" rel="nofollow noopener noreferrer" target="_blank">@rmondello</a> reads this: thank you for adding the Safari "Not Secure Connection Warning"!Even if it not enabled by default, this http warning should help protect against EvilTwin attacks (such as described in <a href="https://www.bleepingcomputer.com/news/security/australian-charged-for-evil-twin-wifi-attack-on-plane/" rel="nofollow noopener noreferrer" translate="no" target="_blank">https://www.bleepingcomputer.com/news/security/australian-charged-for-evil-twin-wifi-attack-on-plane/</a>).[1] See WSJ's Joanna Stern in <a href="https://youtube.com/watch?v=QUYODQB_2wQ" rel="nofollow noopener noreferrer" translate="no" target="_blank">https://youtube.com/watch?v=QUYODQB_2wQ</a> and <a href="https://youtube.com/watch?v=tCfb9Wizq9Q" rel="nofollow noopener noreferrer" translate="no" target="_blank">https://youtube.com/watch?v=tCfb9Wizq9Q</a>. And no, I do not believe that Stolen Device Protection is a good idea. Most people will not use it.<a href="https://nrw.social/@roman78" class="u-url mention" rel="nofollow noopener noreferrer" target="_blank">@roman78</a> <a href="https://infosec.exchange/tags/httpsOnly" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#httpsOnly</a> <a href="https://infosec.exchange/tags/httpWarning" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#httpWarning</a> <a href="https://infosec.exchange/tags/Passkeys" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#Passkeys</a> <a href="https://infosec.exchange/tags/iCloudKeychain" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#iCloudKeychain</a> <a href="https://infosec.exchange/tags/Biometrics" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#Biometrics</a> <a href="https://infosec.exchange/tags/StolenDeviceProtection" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#StolenDeviceProtection</a>

Erik van Straten<a href="https://infosec.exchange/@thomasbosboom" class="u-url mention" rel="nofollow noopener noreferrer" target="_blank">@thomasbosboom</a> : ik was al bezig met dit te schrijven:<a href="https://infosec.exchange/@thomasbosboom" class="u-url mention" rel="nofollow noopener noreferrer" target="_blank">@thomasbosboom</a> : het is een nieuwe instelling in Safari - die standaard *UIT* staat.Onderstaande foto's zijn van de iPhone van mijn vriendin. Hoewel "Automatische updates" aan staat, is de laatste update (en mogelijk méér dan één) niet automatisch geïnstalleerd. Haar iPhone zat nog op iOS v18.1.1 en daar heeft Safari die instelling nog niet.Zojuist geüpdated (wat een k-woord) naar v18.3.Ook op haar iPad Pro, die niet verder wil updaten dan iPadOS v16.7.10, heeft Safari die instelling (helaas) niet. Hopelijk komt dat mee met de eerstvolgende update voor een ernstige kwetsbaarheid.<a href="https://infosec.exchange/tags/Safari" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#Safari</a> <a href="https://infosec.exchange/tags/httpsOnly" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#httpsOnly</a> <a href="https://infosec.exchange/tags/httpWaarschuwing" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#httpWaarschuwing</a> <a href="https://infosec.exchange/tags/httpWarning" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#httpWarning</a> <a href="https://infosec.exchange/tags/iOS" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#iOS</a> <a href="https://infosec.exchange/tags/iPadOS" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#iPadOS</a> <a href="https://infosec.exchange/tags/iPhone" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#iPhone</a> <a href="https://infosec.exchange/tags/iPad" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#iPad</a> <a href="https://infosec.exchange/tags/iOSv18_3" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#iOSv18_3</a> <a href="https://infosec.exchange/tags/iOSv18_1_1" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#iOSv18_1_1</a> <a href="https://infosec.exchange/tags/iOSv18_2" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#iOSv18_2</a> <a href="https://infosec.exchange/tags/AutomaticUpdates" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#AutomaticUpdates</a>

Erik van Straten<a href="https://infosec.exchange/@thomasbosboom" class="u-url mention" rel="nofollow noopener noreferrer" target="_blank">@thomasbosboom</a> : die "nuance" klopt dus niet als de eerdergenoemde instelling UIT staat.Als je dan <a href="http://gemeente.amsterdam" rel="nofollow noopener noreferrer" translate="no" target="_blank">http://gemeente.amsterdam</a> opent, krijg je GEEN waarschuwing - omdat er slechts *kortstondig* sprake is van een http-verbinding.Voor een aanvaller (bijv. met een "Evil Twin" accesspoint) is dat voldoende om de browser naar een *andere* server, die wel https ondersteunt, door te sturen. De gebruiker ziet dan geen enkele waarschuwing - maar kijkt wel naar een nepwesite.Vandaar dat ik destijds o.a. "werk.nl" geshamed heb (<a href="https://security.nl/posting/803597" rel="nofollow noopener noreferrer" translate="no" target="_blank">https://security.nl/posting/803597</a> - gefixed dankzij mijn lawaai, zie <a href="https://security.nl/posting/807153" rel="nofollow noopener noreferrer" translate="no" target="_blank">https://security.nl/posting/807153</a>).<a href="https://infosec.exchange/tags/EvilTwin" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#EvilTwin</a> <a href="https://infosec.exchange/tags/PublicWiFi" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#PublicWiFi</a> <a href="https://infosec.exchange/tags/FakeAccessPoint" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#FakeAccessPoint</a> <a href="https://infosec.exchange/tags/AitM" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#AitM</a> <a href="https://infosec.exchange/tags/MitM" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#MitM</a> <a href="https://infosec.exchange/tags/httpWarning" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#httpWarning</a>

Erik van Straten<a href="https://infosec.exchange/@thomasbosboom" class="u-url mention" rel="nofollow noopener noreferrer" target="_blank">@thomasbosboom</a> : Top, dank je wel! Heb ik daar al die tijd overheen gekeken, of is deze instelling recentelijk toegevoegd?Voor Nederlandstalige iOS/iPadOS gebruikers: zie de plaatjes hieronder. Nb. er staat veel info onder de Alt knop, vooral bij het tweede plaatje (onderaan beschrijf ik een nieuw security-risico).LET OP: als u op "Ga door" klikt, wordt de http-verbinding gemaakt. Let daarna, vooral op openbare WiFi, heel goed op de domeinnaam (in de adresbalk van Safari) waar je uiteindelijk op terechtkomt!Nogmaals als test, twee websites:1) <a href="http://gemeente.amsterdam" rel="nofollow noopener noreferrer" translate="no" target="_blank">http://gemeente.amsterdam</a>2) <a href="http://http.badssl.com" rel="nofollow noopener noreferrer" translate="no" target="_blank">http://http.badssl.com</a>Als de eerste u, *zonder* waarschuwing, doorstuurt naar een andere website, let er dan goed op dat dit <a href="https://amsterdam.nl" rel="nofollow noopener noreferrer" translate="no" target="_blank">https://amsterdam.nl</a> is (zonder waarschuwingen) en niet een *andere* domeinnaam!Als u de instelling maakt zoals hieronder getoond, hoort Safari u te waarschuwen (alleen de eerste keer dat u <a href="http://gemeente.amsterdam" rel="nofollow noopener noreferrer" translate="no" target="_blank">http://gemeente.amsterdam</a> opent). Zo te zien "vergeet" Safari uw akkoord gaan met http voor een specifieke website zodra u Safari sluit (door deze, in iets verkeinde toestand, van het scherm te vegen).Als de tweede link u een rood scherm laat zien, staat de instelling (nog) niet goed - tenzij u diezelfde site al eerder geopend hebt (en sindsdien Safari niet hebt gesloten en heropend).Nb. in Edge, Firefox en Firefox Focus voor iOS/iPadOS kan ik een dergelijke instelling *helaas* nog steeds niet vinden.<a href="https://infosec.exchange/tags/Safari" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#Safari</a> <a href="https://infosec.exchange/tags/iOS" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#iOS</a> <a href="https://infosec.exchange/tags/iPadOS" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#iPadOS</a> <a href="https://infosec.exchange/tags/httpsOnly" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#httpsOnly</a> <a href="https://infosec.exchange/tags/httpWaarschuwing" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#httpWaarschuwing</a> <a href="https://infosec.exchange/tags/httpWarning" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#httpWarning</a> <a href="https://infosec.exchange/tags/httpEntwarnung" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#httpEntwarnung</a>

Recent searches

Search options

Administered by:

Server stats:

#httpwarning