Zum Inhalt springen Zur Navigation springen
Apple Systemsicherheit: Was ändert sich durch Abkehr von Intel?

Apple Systemsicherheit: Was ändert sich durch Abkehr von Intel?

Apples macOS wird oft als sicherer bezeichnet als Windows. Dies ist jedoch nicht ausschließlich auf die bessere Programmierleistung zurückzuführen. Nun verabschiedet sich Apple zudem von Intel als Prozessorlieferant. Was es mit der Sicherheit von Apple und der Abkehr von Intel genau auf sich hat, erklärt der folgende Artikel.

TL;DR

Apples Betriebssystem macOS, ehemals OS X, profitierte lange Jahre davon, dass die Zielgruppe für Kriminelle nicht groß genug war. Sicherheitslücken zu finden und Schadsoftware für Windows zu schreiben, war deutlich lukrativer. Dies hat sich in den letzten Jahren jedoch geändert. Dennoch hat macOS viele Sicherheitsfeatures, die nicht oder erst später in Windows integriert wurden. Durch die volle Kontrolle seitens Apple auf das geschlossene System lassen sich diese zudem bis tief in die Hardware integrieren, was ein eindeutiger Vorteil gegenüber Windows ist.

Der Wechsel weg von Intel Prozessoren hin zu einem eigenen SoC Design mit dem vorgestellten M1 gibt Apple deutlich mehr Kontrolle, was sich in Zukunft positiv auf die IT-Sicherheit auswirken kann.

Ein Blick in die Vergangenheit

Vor- und Nachteile von Apple Geräten werden schon seit Jahren, teilweise emotional, diskutiert. Insbesondere der Sicherheitsaspekt wird bei Geräten des Herstellers öfter hervorgehoben. Dies trifft insbesondere die mobile Plattform iOS. Der Macintosh hat jedoch eine längere Geschichte hinter sich, die ich kurz Revue passieren lassen möchte.

Die Apple Gründer Steve Jobs und Stephen „Steve“ Wozniak verfolgten von Anfang an verschiedene Grundsätze. Während Wozniak ein offenes System für die „Community“ schaffen wollte, erkannte Jobs das Potential und wollte Wozniaks System verkaufen – als geschlossenes System. Ein offenes System bietet Möglichkeiten zur Erweiterung und Modifikation, ein geschlossenes schränkt sie stark ein. Diese Einschränkung sorgt aber auch dafür, dass das System nicht so einfach manipuliert werden kann. Jobs Ziel war es, dem Benutzer ein vollständig abgestimmtes und seitens Apple kontrolliertes System bereitzustellen – die „perfekte Integration von Hardware und Software“.

Dieses Grundprinzip hat sich bis heute in Apple Geräten durchgesetzt. Apple hat diese Bauart in den letzten Jahren weiter vorangetrieben, indem sie Schnittstellen reduzierten und Softwarefeatures entfernt haben, welche die Modifikation an macOS zuließen. Dies ist auf iPhones mit iOS noch radikaler durchgeführt worden. In diesem Artikel werden wir unser Augenmerkt aber ausschließlich auf das Desktop-Betriebssystem macOS richten.

Die Sicherheit von macOS

Einer der Eckpfeiler der Sicherheit von Apples Desktops und Laptops ist das geschlossene System. Seit Jahren baut Apple die Kontrolle über die Hardware weiter aus, Massen- und Arbeitsspeicher sind verlötet, einiges verklebt oder nur mit Spezial-Schraubendreher zu lösen.

Der Kern der Software macOS ist Darwin, ein auf Unix basierendes Betriebssystem. Unix wurde 1969 entwickelt und hat seither viele weitere Betriebssysteme inspiriert oder hervorgebracht. Eines dieser Systeme ist Linux, bzw. dessen zahlreiche weitere Betriebssysteme.

Unixartige Systeme unterscheiden sich sehr stark von einem Windows-System, dies betrifft selbstverständlich auch die Sicherheitsarchitektur. Apple hat darauf basierend eigene Erweiterungen hinzugefügt.

Ein Beispiel: Seit Windows Vista kennen Benutzer die Abfrage von Windows, wenn z.B. eine neue Software installiert werden soll. Dies nennt sich in Windows „User Account Control“, kurz „UAC“. Was für Windows neu war, um den Benutzer darauf aufmerksam zu machen, dass ein Prozess administrative Rechte verlangt, ist bei Unix-System bereits lange implementiert worden.

Mit Signaturen gegen Schadsoftware

Einer der neusten Features von macOS 11 ist, dass nur noch signierter Code ausgeführt wird. Aber was heißt das eigentlich?

Programme können eine digitale Signatur erhalten, um ihre Authentizität zu beweisen. So hat Microsoft vor Jahren begonnen, die Programme unter „C:\Windows“ digital zu signieren. Apple tut dies ebenfalls. Dennoch sind viele Programme von anderen Entwicklern nicht signiert. Dies trifft auf beide Plattformen zu. Apple wird diese Programme zukünftig an deren Ausführung hindern. Dies schützt besonders vor Malware, die in der Regel keine legitime digitale Signatur vorweisen kann. Es schränkt aber generell die Software ein, die ausgeführt werden kann. Jedoch lässt Apple hier einen Weg offen, da es die selbständige Signierung durch den Nutzer weiterhin erlaubt. Zudem gilt diese Einschränkung nicht für Apple Geräte mit Intel Prozessor, was somit alle in den letzten Jahren verkauften Geräte betrifft.

Bereits mit macOS 10.15 „Catalina“ hat Apple damit begonnen, das Betriebssystem und die Nutzerdaten auf zwei logisch getrennte Speicherbereiche, Partitionen genannt, aufzuteilen. Die Partition des Betriebssystems ist dabei im laufenden Betrieb schreibgeschützt eingebunden. Das heißt, dass keine Änderungen am Betriebssystem (durch Malware) vorgenommen werden können. Generell versucht ein Angreifer, die Schadsoftware möglichst tief in das System zu integrieren und direkt beim Start auszuführen. Deshalb findet sich auch Schadsoftware häufig im Windows-Ordner, administrative Rechte vorausgesetzt.

Mit macOS 11 „Big Sur“ geht Apple hier noch einen Schritt weiter und signiert bzw. hasht alle Dateien auf der Partition. Das bedeutet, dass für jede Datei ein eindeutiger Wert berechnet und mit der Datei verknüpft wird. Wird die Datei verändert, ändert sich auch der Wert des Hashes. Vergleicht man diesen mit dem verknüpften Hashwert der Datei, kann eine Änderung sehr schnell erkannt werden. Auf der obersten Ebene, dem Wurzelverzeichnis, bezeichnet Apple dies als „Siegel“. Dadurch können eventuell doch gelungene Veränderungen, z.B. durch Ausnutzung einer noch unbekannten Sicherheitslücke, erkannt werden. Apple bezeichnet diese Technik als „Signed System Volume„.

Ein Vorbote und damit schon deutlich länger integriert ist die „System Integrity Protection“, kurz SIP. Selbst mit administrativen Rechten ist es einer Software auf macOS nicht erlaubt, Änderungen am Systemordner vorzunehmen. Dieses Feature lässt sich allerdings leicht ausschalten.

Ein macOS braucht keinen Virenscanner – oder doch?

Die Frage wird auch schon lange diskutiert. Nicht zuletzt, weil Apple vom Namen her keinen Antivirusschutz von Haus aus mitbringt, wie es Windows 8 mit dem Defender getan hat. Die bereits vorgestellten Maßnahmen schützen ebenfalls nicht vor der Infektion, sondern nur vor der Ausbreitung von Schadsoftware auf dem befallenen System.

Das heißt aber nicht, dass Apple nichts getan hat. Eine Schutzfunktion nennt sich „Gatekeeper“. Bei dessen Einführung wurde Apple dafür kritisiert, die Ausführung von Software, welche nicht aus dem Mac App Store stammt, zu unterbinden. Tatsächlich kann man dies aber beim Gatekeeper sehr einfach konfigurieren. Zudem erkennt Gatekeeper, wie eine klassische Antiviren-Lösung, Schadsoftware und unterbindet die Ausführung.

Ob zusätzlich zu den Sicherheitsfunktionen von Apple eine Software installiert werden sollte, kommt auf das Nutzerverhalten und die eigene Risikoeinschätzung an. Wer ausschließlich Apps aus dem App Store installiert und auf vertrauenswürdigen Webseiten unterwegs ist, hat wenig zu fürchten. Dadurch, dass Apple zunehmend den Zugriff auf das System durch andere Programme beschränkt, sinkt auch die Wirkung, die eine solche Software haben kann. Generell hat Apple schon eine sehr ausgefeilte Sicherheitsarchitektur.

In den vergangenen Jahren profitierte Apple zudem von der ehemals geringen Verbreitung im Vergleich zu Windows. Diese waren ein deutlich lohnenswerteres Ziel, sodass die Malwareautoren vornehmlich auf Windows konzentrierten.  Dadurch war die Anzahl an Schadsoftware im Vergleich zu Windows überschaubar. Denn das ist einer der Knackpunkte: Software für Windows läuft nicht nativ auf macOS. Es gibt Programme, die dies emulieren können, diese müssen aber erst installiert werden.

Sicherheitsüberprüfte Anwendungen aus dem Mac App Store

Somit ist einer der Eckpfeiler der Systemsicherheit die Verteilung von Anwendungen aus dem eigenen App Store. Dieses Prinzip hat Apple schon vor einigen Jahren vom iPhone mit iOS auf den Mac mit macOS transportiert. Software aus dem App Store ist von Apple geprüft. Dies geht meist via einer automatisierten Prozedur, aber auch eine Einzelbetrachtung ist möglich. Software, die gegen die Regeln des Marktplatzes verstößt, wird von Apple nicht zugelassen. Dies trifft natürlich im Speziellen auf Schadsoftware zu. Die Benutzer sollen darauf vertrauen können, dass der App Store eine vertrauenswürdige Quelle ist und darüber nur legitime Software auf dem Mac installiert werden kann.

Die Geschichte zeigt, dass dies meist gut funktioniert. Diskussionen zum App Store bestehen wegen Themen zur Provision oder der in den Augen von einigen Entwicklern zu strengen Regeln. Weiterhin existiert ein Notarisierungsdienst von Apple, um es Entwicklern zu ermöglichen, Software aus dem Internet anzubieten. Diese wird dann von Apple geprüft und ggf. positiv bescheinigt. Wird die Software aus dem Internet geladen, lässt macOS diese Software ungehindert starten. Leider gab es dabei zuletzt ein paar „Pannen“. Schadsoftware wurde nicht erkannt und durch Apple legitimiert und konnte dadurch wie eine legitime Software auf dem Rechner agieren.

Was sich jetzt an der Hardware ändert

Apple hat im Sommer bereits bekannt gegeben, dass diese sich von Intel als Zulieferer für Prozessoren auf lange Sicht trennen werden. Der Prozessor ist das Hauptrechenwerk eines Computers und somit dessen „Herz“. In Zukunft wird Apple eigene Prozessoren, „Apple Silicon“ genannt, entwickeln und in seinen Geräten verbauen. Die ersten drei wurden am vergangenen Dienstag vorgestellt. Dass Apple selbst Prozessoren baut, ist nicht neu – dieser Schritt wurde vor Jahren in den Mobilgeräten vollzogen.

Im Unterschied zum klassischen Desktop oder Laptop arbeitet in einem Mobilegerät aber ein einziger sogenannter „System-on-a-Chip“. Dieser „SoC“ enthält nicht nur den Prozessor, sondern auch weitere Komponenten, wie Grafik oder Arbeitsspeicher. Somit sind die Chips deutlich umfangreicher als ein klassischer Prozessor. Der erste SoC für macOS Geräte heißt „Apple M1“. Dieser ist nicht zu verwechseln mit der bereits vorhandenen Co-Prozessor-Baureihe (M7-M14) von Apple.

Und jetzt nochmal im Detail

Apple wechselt die Architektur seiner zentralen Recheneinheit. Diesen Schritt geht Apple nicht zum ersten Mal. Der Weg reicht von Motorola, über PowerPC von IBM, bis hin zu aktuell noch Intel. Der neue in der Reihe lautet nun ARM. Die ARM-Architektur arbeitet deutlich effizienter als die von klassischen Intel Prozessoren und ist deshalb bei Smartphones und Tablets seit Jahren der Standard. Es gab zu Beginn des Smartphone-Booms Versuche von Intel, dies zu ändern, jedoch konnten die Prozessoren mit der von Intel genutzten Architektur nicht überzeugen.

Was bedeutet das für den Benutzer? Generell gilt: Programme, die nicht für die ARM-Architektur geschrieben wurden, sondern für Intel Prozessoren (Intel 64 Architektur), können nicht ausgeführt werden. Das bedeutet, dass Anwendung, die für die aktuellen macOS Geräte geschrieben wurde, auf den neuen ARM-basierten Geräte nicht nativ ausgeführt werden kann.

Ist Apple jetzt ARM dran?

Nein, bestimmt nicht. Für das Problem hat Apple die Emulationssoftware „Rosetta 2“ in macOS11 integriert, welche die Ausführung der bereits existierenden Programme auf den neuen ARM-Geräten erlaubt. Das bedeutet natürlich auch, dass Schadsoftware diese Emulationsschicht nutzen kann, um auf den neuen Geräten laufen zu können. Diesen Kniff hatte Apple bereits bei dem Wechsel von der PowerPC-Architektur hin zu Intel angewandt.

Apple hat nun eine deutlich bessere Kontrolle über die Komponenten, die in deren Geräten verbaut werden. Zur Steigerung der Sicherung wurde bei den letzten Geräten immer ein Apple T2 Chip verbaut. Dieser war für eine Reihe kryptographischer Operationen, wie z.B. der Festplattenverschlüsselung „FileVault“, zuständig, speicherte aber auch biometrische Daten zur Nutzung der Touch ID. Dieser Chip wird nun überflüssig, weil alle Funktionen in den neuen M1-Chip wandern.

Was bedeutet das für die Sicherheit von macOS?

Die Trennung von Intel sowie weiteren Hardwarelieferanten kann sich auch risikominimierend auswirken. Größere Schwachstellen in den Prozessoren von Intel und zum Teil auch AMD wurden in Form von Meltdown und Spectre bekannt. Treten bei den eigenen Prozessoren, respektive SoC von Apple, solche Fehler auf, kann Apple in Zukunft schneller handeln und ist nicht auf seine Zulieferer angewiesen.

Wird in ferner Zukunft die Emulationsschicht zu Ausführung älterer Programme entfernt, ist mit einem Schlag auch eine ganze Reihe von macOS Schadsoftware lahmgelegt. Generell müssen sich Angreifer bei der Programmierung von neuen Schadprogrammen erst einmal auf ARM-Technik einstellen. Dies ist aber lediglich ein kleines Hindernis. Schadsoftware für ARM-basierte Geräte, wie z.B. Android Smartphones, gibt es genug.

In Apples ARM-basierten Smartphones gibt es bereits einen Speicher (Boot-ROM), der nur gelesen, aber nicht beschrieben werden kann. Was von Werk aus darauf codiert wurde, kann auch durch Patches nicht geändert werden. Dieser soll einen sicheren Start des Betriebssystems ermöglichen. Dadurch wird Malware auch hier die Angriffsfläche entzogen.

Das Problem ist aber: Wird hier eine Schwachstelle gefunden, kann Apple diese nicht beheben. Dementsprechend hatte der „Checkm8“ (Schachmatt) Exploit, also eine Software, die eine Schwachstelle und somit einen Fehler in diesem Bereich ausnutzt, für großes Aufsehen gesorgt. Bis hoch zum Apple A11 SoC (iPhone X) existiert diese Schwachstelle, mit welcher es möglich ist, jedes Gerät mit A11 oder älter zu knacken. Die aktuelle Version des „checkm8“ für die iOS Version 14 ist bereits erschienen.

Es bleibt spannend

Während meiner Ausbildung sagte der IT-Leiter zu mir, dass Apple mit dem Wechsel von der PowerPC Architektur hin zu Intel nur noch langweilige Standardhardware verbaut. Es ist nichts Besonderes mehr an Macbook und Co. Mit dem erneuten Wechsel hat sich dies erfreulicher Weise geändert.

Der Schwenk hin zu einer neuen Prozessorarchitektur bringt auch aus Sicherheitssicht ein enormes Potential mit sich. Apple hat dadurch eine deutlich größere Kontrolle über seine Produkte und kann das Betriebssystem nun ideal auf seine Chips anpassen. Dies kann die Betriebssystemsicherheit deutlich erhöhen.

Ungeachtet dessen hat Apple bis heute eine gute Sicherheitsarchitektur entwickelt und baut diese stetig weiter aus. Auch wenn der Konzern in der Außendarstellung vor allem den Datenschutz in den Fokus der Aufmerksamkeit stellt. Apple macht in einigen Dingen einiges deutlich besser als Microsoft mit Windows. Das liegt aber zuletzt auch daran, dass Apple aufgrund des geschlossenen Systems nahezu vollständige Kontrolle hat. Windows ist von Microsoft dazu designt, auf vielfältiger Hardware zu laufen. Somit ist es dort deutlich schwerer, ähnliche Einschnitte wie Apple vorzunehmen. Die geringere Verbreitung von Mac-Geräten hat in der Vergangenheit ihr Übriges getan. Somit ist der Anwender mit einem Mac grundsätzlich erstmal weniger anfällig für Schadsoftware als ein Windows Benutzer, was aber auch mit mehr Einschränkungen verbunden ist. Diese dürften den Standardbenutzer im Alltag allerdings nicht beinträchtigen.

Informieren Sie sich über unsere praxisnahen Webinare
  • »Microsoft 365 sicher gestalten«
  • »Informationspflichten nach DSGVO«
  • »Auftragsverarbeitung in der Praxis«
  • »DSGVO-konformes Löschen«
  • »IT-Notfall Ransomware«
  • »Bewerber- und Beschäftigtendatenschutz«
Webinare entdecken
Mit dem Code „Webinar2024B“ erhalten Sie 10% Rabatt, gültig bis zum 31.12.2024.
Beitrag kommentieren
Fehler entdeckt oder Themenvorschlag? Kontaktieren Sie uns anonym hier.
Die von Ihnen verfassten Kommentare erscheinen nicht sofort, sondern erst nach Prüfung und Freigabe durch unseren Administrator. Bitte beachten Sie auch unsere Nutzungsbedingungen und unsere Datenschutzerklärung.