Im März deckten Forscher einen beunruhigenden Zugriff auf die Privatsphäre durch mehr als vier Dutzend iOS-Apps auf, darunter TikTok, das in chinesischem Besitz befindliche Social-Media- und Video-Sharing-Phänomen, das das Internet im Sturm erobert hat. Obwohl TikTok versprochen hat, diese Praxis einzudämmen, greift es weiterhin auf einige der sensibelsten Daten von Apple-Nutzern zu, darunter Passwörter, Adressen von Kryptowährungs-Geldbörsen, Links zum Zurücksetzen von Konten und persönliche Nachrichten. Weitere 32 Apps, die im März identifiziert wurden, haben ebenfalls nicht aufgehört.
Die Verletzung der Privatsphäre ist das Ergebnis des wiederholten Lesens von Text, der sich zufällig in Zwischenablagen befindet, die von Computern und anderen Geräten verwendet werden, um Daten zu speichern, die von Dingen wie Passwortmanagern und E-Mail-Programmen ausgeschnitten oder kopiert wurden. Wie die Forscher Talal Haj Bakry und Tommy Mysk herausfanden, rufen die Apps ohne ersichtlichen Grund absichtlich eine iOS-Programmierschnittstelle auf, die Text aus den Zwischenablagen der Benutzer abruft.
Universelles Schnüffeln
In vielen Fällen ist das verdeckte Lesen nicht auf die auf dem lokalen Gerät gespeicherten Daten beschränkt. Für den Fall, dass das iPhone oder iPad dieselbe Apple-ID wie andere Apple-Geräte verwendet und sich in einem Umkreis von etwa drei Metern befinden, teilen sich alle eine universelle Zwischenablage, was bedeutet, dass Inhalte aus der App eines Geräts kopiert und in eine App eingefügt werden können, die auf einem anderen Gerät läuft.
Das lässt die Möglichkeit offen, dass eine App auf einem iPhone sensible Daten in den Zwischenablagen anderer verbundener Geräte liest. Dazu könnten Bitcoin-Adressen, Passwörter oder E-Mail-Nachrichten gehören, die vorübergehend in der Zwischenablage eines Mac oder iPad in der Nähe gespeichert sind. Obwohl die iOS-Apps auf einem separaten Gerät laufen, können sie die sensiblen Daten, die auf den anderen Geräten gespeichert sind, problemlos lesen.
„Das ist sehr, sehr gefährlich“, sagte Mysk in einem Interview am Freitag und bezog sich dabei auf das wahllose Lesen der Zwischenablage-Daten durch die Apps. „Diese Apps lesen die Zwischenablage, und es gibt keinen Grund, dies zu tun. Eine App, die kein Textfeld zur Eingabe von Text hat, hat keinen Grund, Text aus der Zwischenablage zu lesen.“
Das folgende Video demonstriert das Lesen der universellen Zwischenablage:
Zurück in den Nachrichten
Während Haj Bakry und Mysk ihre Forschung im März veröffentlichten, machten die invasiven Apps diese Woche mit der Veröffentlichung der Entwickler-Beta von iOS 14 erneut Schlagzeilen. Eine neue Funktion, die Apple hinzugefügt hat, warnt jedes Mal, wenn eine App den Inhalt der Zwischenablage ausliest, mit einem Banner. Als viele Menschen begannen, die Beta-Version zu testen, wurde ihnen schnell klar, wie viele Apps diese Praxis anwenden und wie oft sie es tun.
Dieses YouTube-Video, das seit seiner Veröffentlichung am Dienstag mehr als 87.000 Aufrufe verzeichnet hat, zeigt eine kleine Auswahl der Apps, die die neue Warnung auslösen.
TikTok im Rampenlicht
Die Schlagzeilen der letzten Zeit haben TikTok besondere Aufmerksamkeit geschenkt, vor allem wegen seiner massiven Basis aktiver Nutzer (Berichten zufolge 800 Millionen, mit geschätzten 104 Millionen iOS-Installationen allein in der ersten Jahreshälfte 2018, was es zur meist heruntergeladenen App in diesem Zeitraum macht).
TikToks fortgesetzte Schnüffelei wurde aus anderen Gründen besonders unter die Lupe genommen. Als der Video-Sharing-Anbieter im März darauf aufmerksam gemacht wurde, erklärte er gegenüber der britischen Publikation The Telegraph, dass er diese Praxis in den kommenden Wochen beenden werde. Mysk sagte, dass die App die Überwachung nie eingestellt hat. In einem Twitter-Thread vom Mittwoch wurde außerdem bekannt, dass die Zwischenablage jedes Mal ausgelesen wird, wenn ein Nutzer beim Verfassen eines Kommentars ein Satzzeichen eingibt oder die Leertaste antippt. Das bedeutet, dass die Zwischenablage etwa jede Sekunde ausgelesen werden kann, ein viel aggressiveres Tempo als in der Untersuchung vom März, die ergab, dass die Überwachung stattfand, wenn die App geöffnet oder wieder geöffnet wurde.
Zur Reproduktion:
1. Halten Sie etwas in der Zwischenablage. Kopiere z.B. etwas Text aus Notes oder einer Website
2. Öffne TikTok und beginne, in ein beliebiges Textfeld zu tippen
3. Du erfährst von der iOS 14-Beta jedes Mal, wenn eine App „einfügt“ – aber in diesem Fall habe ich es nicht angefordert, und nichts von diesem Text erscheint in der UI– Jeremy Burge (@jeremyburge) June 24, 2020
In einem Statement schrieben TikTok-Vertreter:
Nach der Beta-Veröffentlichung von iOS14 am 22. Juni sahen Benutzer Benachrichtigungen, während sie eine Reihe von beliebten Apps verwendeten. Bei TikTok wurde dies durch eine Funktion ausgelöst, die sich wiederholendes, spammiges Verhalten erkennen soll. Wir haben bereits eine aktualisierte Version der App im App Store eingereicht, in der die Anti-Spam-Funktion entfernt wurde, um mögliche Verwirrung zu vermeiden.
TikTok hat sich verpflichtet, die Privatsphäre der Nutzer zu schützen und die Funktionsweise unserer App transparent zu machen. Wir freuen uns darauf, im Laufe des Jahres externe Experten in unserem Transparenzzentrum begrüßen zu dürfen.
Auf Nachfrage sagte ein Sprecher, dass TikTok für Android die Anti-Spam-Funktion nie implementiert hat.
Ich habe Folgefragen gestellt, um zu erfahren, (1) ob die TikTok-Version für Android die Zwischenablagen aus anderen Gründen überwacht, (2) ob Text aus der Zwischenablage vom Gerät hochgeladen wurde und (3) warum TikTok die Überwachung nicht wie im März versprochen entfernt hat. Der Pressesprecher hat noch nicht geantwortet. Dieser Beitrag wird aktualisiert, wenn eine Antwort später eintrifft.
Nicht nur TikTok
Insgesamt fanden die Forscher heraus, dass die folgenden iOS-Apps die Daten der Zwischenablage der Nutzer jedes Mal auslesen, wenn die App geöffnet wird, ohne dass es dafür einen klaren Grund gibt:
- App Name – BundleID
News
- ABC News – com.abcnews.ABCNews
- Al Jazeera English – ajenglishiphone
- CBC News – ca.cbc.CBCNews
- CBS News – com.H443NM7F8H.CBSNews
- CNBC – com.nbcuni.cnbc.cnbcrtipad
- Fox News – com.foxnews.foxnews
- News Break – com.particlenews.newsbreak
- New York Times – com.nytimes.NYTimes
- NPR – org.npr.nprnews
- ntv Nachrichten – de.n-tv.n-tvmobil
- Reuters – com.thomsonreuters.Reuters
- Russia Today – com.rt.RTNewsEnglish
- Stern Nachrichten – de.grunerundjahr.sternneu
- The Economist – com.economist.lamarr
- The Huffington Post – com.huffingtonpost.HuffingtonPost
- The Wall Street Journal – com.dowjones.WSJ.ipad
- Vice News – com.vice.news.VICE-News
Games
- 8 Ball Pool™ – com.miniclip.8ballpoolmult
- AMAZE!!! – com.amaze.game
- Bejeweled – com.ea.ios.bejeweledskies
- Block Puzzle -Game.BlockPuzzle
- Classic Bejeweled – com.popcap.ios.Bej3
- Classic Bejeweled HD -com.popcap.ios.Bej3HD
- FlipTheGun – com.playgendary.flipgun
- Fruit Ninja – com.halfbrick.FruitNinjaLite
- Golfmasters – com.playgendary.sportmasterstwo
- Letter Soup – com.candywriter.apollo7
- Love Nikki – com.elex.nikki
- My Emma – com.crazylabs.myemma
- Plants vs. Zombies™ Heroes – com.ea.ios.pvzheroes
- Pooking – Billiards City – com.pool.club.billiards.city
- PUBG Mobile – com.tencent.ig
- Tomb of the Mask – com.happymagenta.fromcore
- Tomb of the Mask: Color – com.happymagenta.totm2
- Total Party Kill – com.adventureislands.totalpartykill
- Watermarbling – com.hydro.dipping
Social Networking
- TikTok – com.zhiliaoapp.musically
- ToTalk – totalk.gofeiyu.com
- Tok – com.SimpleDate.Tok
- Truecaller – com.truesoftware.TrueCallerOther
- Viber – com.viber
- Weibo – com.sina.weibo
- Zoosk – com.zoosk.Zoosk
Andere
- 10% Happier: Meditation -com.changecollective.tenpercenthappier
- 5-0 Radio Police Scanner – com.smartestapple.50radiofree
- Accuweather – com.yourcompany.TestWithCustomTabs
- AliExpress Shopping App – com.alibaba.iAliexpress
- Bed Bath & Beyond – com.digby.bedbathbeyond
- Dazn – com.dazn.theApp
- Hotels.com – com.hotels.HotelsNearMe
- Hotel Tonight – com.hoteltonight.prod
- Overstock – com.overstock.app
- Pigment – Adult Coloring Book – com.pixite.pigment
- Recolor Malbuch zum Ausmalen – com.sumoing.ReColor
- Sky Ticket – de.sky.skyonline
- The Weather Network – com.theweathernetwork.weathereyeiphone
Kurz nach der Veröffentlichung des Berichts, 10% Happier: Meditation und Hotel Tonight versprachen, das Verhalten einzustellen, was sie auch schnell umsetzten. Auch TikTik hat versprochen, das Verhalten einzustellen, wenn es erneut dabei erwischt wird. Hier ist die vollständige Liste der Apps, die die Praxis bis zum 30. Juni eingestellt haben:
News
- ABC News – com.abcnews.ABCNews
- Al Jazeera English – ajenglishiphone
- CBC News – ca.cbc.CBCNews
- CBS News – com.H443NM7F8H.CBSNews
- ntv Nachrichten – de.n-tv.n-tvmobil
Games
- 8 Ball Pool™ – com.miniclip.8ballpoolmult
- AMAZE!!! – com.amaze.game
- Classic Bejeweled – com.popcap.ios.Bej3
- Classic Bejeweled HD – com.popcap.ios.Bej3HD
- Letter Soup – com.candywriter.apollo7
- PUBG Mobile – com.tencent.ig
- Tomb of the Mask – com.happymagenta.fromcore
- Tomb of the Mask: Color – com.happymagenta.totm2
Social Networking
- TikTok – com.zhiliaoapp.musically
- Truecaller – com.truesoftware.TrueCallerOther
- Viber – com.viber
Other
- 10% Happier: Meditation -com.changecollective.tenpercenthappier
- 5-0 Radio Police Scanner – com.smartestapple.50radiofree
- Dazn – com.dazn.theApp
- Hotels.com – com.hotels.HotelsNearMe
- Hotel Tonight – com.hoteltonight.prod
- Recolor Malbuch zum Ausmalen – com.sumoing.ReColor
Klemmbrettlesen richtig gemacht
In manchen Fällen kann das Klemmbrettlesen Apps viel nützlicher machen. Die UPS-iPhone-App zum Beispiel zieht Text aus der Zwischenablage, und wenn der Text mit den Merkmalen einer Sendungsnummer übereinstimmt, fordert die App den Benutzer auf, das entsprechende Paket zu verfolgen. Google Chrome liest ebenfalls Text ein und fordert den Benutzer auf, die entsprechende URL aufzurufen, wenn es sich um eine URL handelt. Der Fotoeditor Pixelmator liest Daten nur, wenn es sich um ein Bild handelt. Ist dies der Fall, fordert Pixelmator den Benutzer auf, das Bild zur Bearbeitung zu öffnen. In allen drei Fällen hat das Auslesen von Daten einen klaren Verwendungszweck und ist transparent.
TikTok und die anderen beanstandeten Apps greifen dagegen ohne klaren Grund und ohne Hinweis auf die Zwischenablage zu. Bei vielen Apps ist es schwer, einen legitimen Grund für den Zugriff auf die Zwischenablage zu erkennen. Mysk sagte, dass Apple plant, seine und Haj Bakrys Forschung als Katalysator für die neue Benachrichtigung über die Zwischenablage in iOS 14 zu nennen.
Das Lesen der Zwischenablage, über das Haj Bakry und Mysk berichteten, gibt Anlass zu Bedenken, die sich wahrscheinlich auch auf Nutzer von Android und möglicherweise anderen Betriebssystemen erstrecken. Mysk sagte, dass das Lesen der Zwischenablage in Android-Apps „noch schlimmer“ ist als bei iOS, weil die Betriebssystem-APIs so viel nachsichtiger sind. Bis zur Version 10 erlaubte Android beispielsweise Apps, die im Hintergrund laufen, die Zwischenablage zu lesen. iOS-Apps hingegen können die Zwischenablage nur lesen oder abfragen, wenn sie aktiv sind (d. h. im Vordergrund laufen).
Mysk sagte, dass Apples Benachrichtigungsfunktion ein guter Anfang sei, aber letztlich sollten Apple und Google mehr tun. Eine Möglichkeit wäre, den Zugriff auf die Zwischenablage zu einer Standardberechtigung zu machen, so wie es jetzt der Zugriff auf das Mikrofon oder die Kamera ist. Eine andere Möglichkeit besteht darin, von den App-Entwicklern zu verlangen, dass sie genau angeben, auf welche Daten in der Zwischenablage zugegriffen wird und was die App damit macht.
Vorerst sollten sich die Nutzer bewusst sein, dass alle in der Zwischenablage gespeicherten Daten – auch wenn sie für das bloße Auge unauffällig sind – regelmäßig von Apps abgerufen werden können, die in vielen Fällen nicht einmal lokal auf dem Gerät installiert sind. Im Zweifelsfall sollten Sie die Daten in der Zwischenablage durch Kopieren eines Zeichens, eines Wortes oder eines anderen unbedenklichen Teils der Daten löschen.