MacOS: Apple will bei App-Datenschutz nachbessern

Eine Zertifikatsprüfung beim Programmstart soll keine Privatsphäre-Probleme verursachen, dennoch hat Apple bisher die IP-Adressen erfasst.

Artikel veröffentlicht am 16. November 2020, 11:11 Uhr, Moritz Tremmel

MacOS prüft signierte Software online. (Bild: Pexels/Pixabay)

Apple nimmt Stellung zur Prüfung von Softwarezertifizierungen beim Start von Programmen unter MacOS. Das hatte vor wenigen Tagen zu Ausfällen geführt. Zwischenzeitlich waren im Internet die Auswirkungen des Systems auf die Privatsphäre diskutiert worden, dabei wurde spekuliert, dass Apple mit dem System jede App-Nutzung trackt. Dem widerspricht Apple nun in einem eigens veröffentlichten Supportdokument, gesteht aber das Sammeln von IP-Adressen ein.

In dem Dokument erklärt Apple noch einmal den Hintergrund der Gatekeeper genannten Technik: Unter MacOS kann standardmäßig nur mit einer Entwickler-ID zertifizierte Software ausgeführt werden. Ob die entwickler-, nicht jedoch programmspezifischen Zertifikate noch gültig sind, überprüft Apple online mit dem Online Certificate Status Protocol (OCSP). Dessen Server waren kürzlich überlastet, was dazu führte, dass Programme nicht mehr gestartet werden konnten. Allerdings nicht alle, da nicht bei jedem Programmstart eine Abfrage gemacht wird.

In dem Supportdokument tritt Apple Spekulationen über Privatsphäreverletzungen entgegen: "Wir verwenden Daten aus diesen Überprüfungen nicht, um zu erfahren, was einzelne Benutzer auf ihren Geräten starten oder ausführen." Die Sicherheitsprüfungen hätten nie die Apple-ID des Benutzers einbezogen. Im Gegenteil seien die Daten der Überprüfungen nie mit Informationen über Apple-Benutzer oder deren Geräte kombiniert worden.

Apple protokollierte IP-Adressen

Allerdings wurden offensichtlich die IP-Adressen der anfragenden Geräte protokolliert. Diese habe Apple nun eingestellt, heißt es in dem Supportdokument. Apple kündigte zudem an, die bereits gesammelten IP-Adressen aus den Protokollen zu entfernen. Die Einstellungen sollen um eine Option zur Deaktivierung der Online-Zertifikatsüberprüfung ergänzt werden.

Ein weiteres Problem an OCSP ist, dass die Zertifikatsprüfung unverschlüsselt stattfindet und entsprechend von Dritten mitgelesen werden können. Apple kündigte an, ein neues Verschlüsselungsprotokoll für die Zertifikatsprüfungen zu entwickeln und einen starken Schutz gegen Serverausfall zu implementieren.

In früheren Versionen von MacOS konnte der Gatekeeper zugrunde liegende Dienst Trustd noch per Firewall-Regeln blockiert werden. Allerdings lassen sich Apple-Dienste und Apps in der aktuellen MacOS-Version Big Sur nicht mehr von Firewalls blockieren. Eine Designentscheidung, die in der Apple-Community nicht unumstritten ist. Der Sicherheitsforscher Patrick Wardle hat bereits einen Weg gefunden, wie Malware die Filterregelungen von Firewalls wie Little Snitch umgehen kann.