Popcorn Time-udviklere lister app på iPhone udenom Apples sikkerhedsmekanismer

Illustration:
Den populære streaming-tjeneste med piratkopierede film erklærer »krig mod Apple«. Den udnytter en særlig type certifikater til at installere den kontroversielle app på iPhonen.

Den populære og nok ulovlige streamingtjeneste, det torrent-baserede Popcorn Time, har nu fundet vej til Apples iPhone. Det fortæller udviklerne bag i hvert fald via sitet popcorn-time.se, hvor det er muligt at hente en beta-udgave af appen.

I den sammenhæng er det bemærkelsesværdigt, at app'en kan installeres på en almindelig iPhone uden om App Store, og uden at telefonen er jailbroken. Det er normalt ikke muligt. At telefonen er jailbroken vil sige, at de restriktioner, som Apple har lagt på apparatet i forhold til, hvad der kan installeres, er fjernet. Jailbreaking betragter Apple som et brud på slutbrugerlicensaftalen.

Læs også: Dropper at vente på Apple: Sikkerhedsfirma offentliggør exploit til iPhone

Det amerikanske teknologimedie Wired har mailet med de anonyme udviklere bag app'en om, hvordan app'en er listet forbi App Storen - hvor den næppe ville være blevet godkendt af Apple - og ind på iOS uden styresystemet er jailbroken.

For at installere app'en, skal et installer-program først installeres på en PC, som iPhonen forbindes til. Herefter skal brugeren følge nogle simple instruktioner for at få appen indlæst på iPhonen, forklarer en udvikler via mail til Wired.

Popcorn time-udviklerne har allieret sig med nogle andre - unavngivne - udviklere for at finde frem til løsningen, så programmet kan installeres på iPhones også. Udviklerne ønsker som sådan ikke at løfte sløret for, hvad der præcist foregår.

»Vi går i krig mod Apple med denne iOS-installer,« forklarer en af de unavngivne udviklere til Wired i en mail, som fortsætter:

»Desto længere, vi holder denne information for os selv, uden det er offentliggjort, desto stærkere vil vi stå i denne krig mod dem.«

Selvom udviklerne ikke vil gå i detaljer med, hvordan de omgår sikkerhedsmekanismerne, så forklarer de dog til Wired, at det indebærer brug af Apples enterprise certifikat-model, som gør virksomheder i stand til at installere apps på iPhones uden om app-store, så længe apps'ne er signerede med et gyldigt Apple certifikat.

Mulig fejl i Apples sikkerhedsmodel

App-virksomheden iDeal Development anvender også enterprise-certifikater fra Apple i forbindelse med udviklingsarbejde. Solutions Architect og Partner i virksomheden, Esben Bjerregaard, har fulgt sagen med Popcorn Time-app’en fra sidelinjen.

Og han gætter på, at udviklerne bag app'en anvender et enterprise-certifikat, der på et eller andet tidspunkt har været gyldigt. Normalt er det dog ikke muligt at anvende et certifikat, hvis det er udløbet, eller Apple har tilbagekaldt det som følge af det, virksomheden måtte opfatte som misbrug.

Hvis Apple mener, sådan et certifikat bliver misbrugt - som tilfældet givetvis vil være her - så revoker, altså tilbagekalder, Apple certifikatet, så apps, der bliver underskrevet med det, ikke kan køre længere.

I den forbindelse bemærker Esben Bjerregaard, at Popcorn Time-udviklerne understreger, at telefonen skal være i flight-mode, når installationen finder sted. Altså så alle radioer - og dermed også forbindelsen til internettet - er slukket. Og det forhindrer tilsyneladende valideringsprocessen i forhold til, hvorvidt der certifikat, der er brugt til signeringen, er gyldigt eller ej.

»Formentlig har Apple en eller anden fejl i deres sikkerhedsmodel, der bevirker, at man under nogle bestemt omstændigheder, kan slippe afsted med at lægge en app over, selvom der er brugt et ugyldigt certifikat,« siger han.

Mystikken i forhold til, hvordan installationsprocessen, der øjensynligt narrer Apples sikkerhedsmodel, breder sig dog. For selvom det er et krav, at telefonen skal være i flight mode under selve installationen, formentlig så den ikke kan kommunikere med Apples servere, så skulle telefonen efterfølgende (og naturligvis, Popcorn Time’s natur taget i betragtning) godt kunne være online i forbindelse med øvrigt brug af app'en.

Ifølge Esben Bjerregaard bliver validiteten af et enterprise certifikat jævnligt tjekket, også efter installation. Blandt andet fordi, der bliver betalt en årlig afgift for certifikatet, og hvis ikke den bliver betalt, skal det ikke længere kunne bruges.

Esben Bjerregaard har et bud, som han understreger er rent gætværk, på, hvordan app'en kan omgå certifikat-tjekket, selvom telefonen er online. Nemlig ved at udskifte DNS-oplysninger i iOS, som telefonen anvender for at finde ud af, hvor datatrafik skal sendes hen på internettet.

»Jeg er ret overbevist om, at der kun sker et tjek under opstart af app'en. Og hvis man går ind og modificerer DNS-oplysningerne, i det øjeblik app'en starter op, så kan det være, man kan omdirigere al trafikken fra den app til en Popcorn Time-server i stedet for,« siger han.

Esben Bjerregaard påpeger i den forbindelse, at en app, underskrevet med et enterprise certifikat, har langt flere rettigheder på en iPhone end en normal app, installeret via App Store, ville have det. Eksempelvis i forhold til at kunne ændre DNS-oplysninger.

På hjemmesiden popcorn-time.se oplyser udviklerne, at app'en stadig er på beta-stadiet. Og det kunne noget tyde på. I hvert fald lykkedes det i Version2's lille forsøg på en iPhone 5S godt nok at installere app'en via iOS-installeren til Windows. Men selve programmet, altså Popcorn Time, frøs dog under opstarten, og det var ikke muligt at komme videre end startbilledet.

Wired bemærker, at det ikke er første gang, Popcorn Time finder vej til iOS. Popcorn-time.se har tidligere tilbudt en version til jailbrokede iOS-enheder. Og i oktober sidste år var der en udgave fra nogle andre udviklere, der ikke forudsatte enheden var jailbroken, men til gengæld skulle uret stilles tilbage på enheden. Formentlig for at narre iOS til at acceptere et udløbet certifikat. Dette hul lukkede Apple med iOS 8.1.

Journalist Elías Christian Lundström har begået følgende lille test og video af Version2's installation af programmet.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Følg forløbet
Kommentarer (31)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
Henrik Madsen

Er det at Apple brugere finder sig i at apple skal bestemme hvad de må køre på deres telefon ?

Dette trick som popcorn time nu bruger er jo med garanti lukket i næste version af Ios og så er de tilbage til start og telefonen skal være jailbroken.

Har for sjov installeret popcorn time på min android tablet og så længe jeg accepterer at det jeg har installeret ikke er verificeret af Google, så kan jeg på min ikke-rootede tablet nemt installere det.

Jeg har faktisk spurgt nogle apple folk og det de siger er at "Det er godt apple beskytter os, så er vores apple enhed meget sikrere end en android enhed".

Jeg syntes så bare argumentationen svarer lidt til at det ville være godt hvis politiet tvang mig til at blive inden døre for så risikerede jeg ikke at blive slået ned eller bestjålet.

Hvad er lige pointen i at føle sig sikker, bare fordi man er tvunget til at sidde i et "fængsel". (jfr. Jailboken)

Mikkel Bundgaard

At problematisere at iOS er låst samtidig med du argumenterer for pirat kopiering / brud på ophavsretten, får mig ikke til at ønske at IOS var mere åbent.

I den lovlige verden giver det ikke problemer med IOS og AppStore. Jeg mener ikke Apple skal støtte ulovligheder.

Mikkel Bundgaard

At problematisere at iOS er låst samtidig med du argumenterer for pirat kopiering / brud på ophavsretten, får mig ikke til at ønske at IOS var mere åbent.

I den lovlige verden giver det ikke problemer med IOS og AppStore. Jeg mener ikke Apple skal støtte ulovligheder.

Henrik Pedersen

Jeg må faktisk give Mikkel ret. Apple er definitionen af produktet der "bare virker" for den almindelige forbruger. Hvis du giver en almindelig forbruger en håndpistol er der helt sikkert nogle som vil lade den og sutte på den, mens de leger med aftrækkeren, fordi de troede det var sådan den skulle anvendes. Så snart man giver brugerne en "omgå sikkerheden" knap, vil folk trykke på den, hvis de tror de får gratis penge eller kan gemme snapchats, eller whatever.

Mængden af folk der bruger iOS taler jo for sig selv. Hvis det er så stort et problem at det er låst ned så kan du:

a) Jailbreake.
b) Købe en Android telefon.

Jeg kan slet ikke se nogen grund til at diskutere det. De leverer et produkt. Køber du det, må du kunne lide produktet (du bruger vel ikke 5000 kroner for sjov? I så fald skal du bestille mig pizza!). Hvis du ikke kan lide produktet, kan du gå et andet sted hen.

At jeg så synes Apples kvalitet er faldet på det seneste er en helt anden ting........ :(

Nicolai Rasmussen

Hvis du ikke kan lide produktet, kan du gå et andet sted hen

Ja, det er jo glimrende så længe det er en mindre sko fabrikant i søndre bøvelse. Når meget dominerende virksomheder, der former store dele af den teknologiske virkelig vi lever i, misbruger sin position, bliver vi nød til at stille krav.

Der er aldrig en bilfabrikant der har brugt tid på at undersøge om deres solgte biler transporterer ting som fabrikanten ikke kan lide - for de har aldrig lavet en gate-keeper funktion til bagagerummet (iTunes, etc.). Det er på samme måde med Facebook og alle mulige andre dominerende spillere. De bliver nød til at overholde nogle spille regler, som de ikke selv sætter, ellers vil de med deres dominans kunne skade minoriteterne, til stor skade for mangfoldigheden. Det er et kæmpe problem at kommunerne og andre centrale organisationer i stigende omfang benytter Facebook til at komme i kontakt med brugerne/kunderne. Det giver Facebook en stor magt til at bestemme hvad og hvordan den kommunikation skal foregå. Vi ville aldrig acceptere at kommunerne brugte penge på at indrette specielle parkeringspladser til Toyota ejere, fordi det ville glæde den del af befolkningen med Toyota - og samtidig acceptere at Toyota bestemmer hvad man kørte rundt med i sin bil, hvor man kunne handle, samt hvilke tankstationer man benyttede.

Biler er lavet efter relativ åbne standarder. De overholder alle nogle standarder for størrelse, brændstof, osv. Så parkeringspladser er udformet til at næsten alle biler kan benytte dem. Supermarkeder har ikke behov for at lave aftaler med de enkelte bilmærker for at lave deres egen parkeringsplads. Bilejere skal ikke være bange for at overtræde en lang og uforståelig eula når de handler byggematerialer i silvan. Med de nye teknologivirksomheder er historien en helt anden. Deres forretningsmodeller er helt anderledes. De har en økonomisk interesse i at være gatekeepere på alt hvad de kan slippe afsted med. Og så længe befolkningen i bred forstand bakker op om virksomhedens "ret" til lock-in, så fortsætter problemet med at vokse.

Toke Herkild

"Hvis du giver en almindelig forbruger en håndpistol er der helt sikkert nogle som vil lade den og sutte på den, mens de leger med aftrækkeren, fordi de troede det var sådan den skulle anvendes"

Der kunne argumenteres for at det kunne være en fordel for det nationale arvemateriale. Nej spøg til side.

At der er personer der er disponeret for selvdestruktion, er vel ikke en gyldig grund til at tvinge resten ind i et formynder samfund ?

Har flere gange hørt argumentet at folk der tror på en guddom er personer der ikke er modne nok til at tage ansvar for sig selv. Udfra manges holdning om hvordan sikkerhed opnåes for Apple produkter, rejser det helt klart spørgsmålet: "Er det samme gældende for brugere af Apple produkter?"

Henrik Mikael Kristensen

Er det at Apple brugere finder sig i at apple skal bestemme hvad de må køre på deres telefon ?

Man kan blot kigge på mængden af malware til iOS og mængden af malware til Android.

Apple frigør ikke iOS, for at tilfredsstille de få millioner, der gerne vil pille, for at gøre det muligt at installere malware på op mod næsten en milliard iOS devices. Det sker simpelthen ikke.

Erik Jensen

Fordi jeg ikke gider spilde tid på min telefon. Den har direkte adgang til min bank konto, ikke bare med app store køb men også via telefon regningen. Derfor er det vigtigt for mig at der ikke kommer slam programmer på telefonen.
Jeg gider ikke skulle bruge min tid på at holde øje med om de programmer som jeg måtte formode at have installeret på min ""åbne" telefon også er ok,sikre,opdaterede,uden bagdøre etc.
Det bliver hurtigt uoverskueligt og en masse vedligholdelsesarbejde som de færreste bruger tid på selvom de burde.

Erik Jensen

personer der er disponeret for selvdestruktion, er vel ikke en gyldig grund til at tvinge resten ind i et


Der er vel næppe nogen der tvinger nogen til at købe en Apple telefon. Der er mange fremragende telefoner fra andre producenter til dem der gerne vil sidde og nørkle med deres telefon.

Og så må jeg sige at du virkelig er god til at trolle. at kæde religion sammen med Apple brugere og folk der er dumme, er godt skrevet, men noget forbandet pladder og trolling, men det ved du vist godt selv ikke. Hvis du nu skulle være ærlig?

Kasper Sandberg
Mikkel Bundgaard

IOS er åbent via appstore. At påstå ios er lukket, og argumentere med et behov om, at kunne installere pirat software får hverken mig, politikere, meningsdannere til ændre holdning. Argumenterne falder tungt til jorden når det handler om, "så jeg kan installere pirat software".

Hvis det derimod handlede om at apple censurerede apps væk, lovlige programmer, ville jeg ændre holdning. Eller hvis det handler om omkostninger forbundet med appstore. De argumenter fremkommer ikke i nogle af ovenstående oplæg.

Jeg kan ikke se hvad der skulle få apple til at ændre holdning sålænge kravet om mere åbenhed kun skal bruges til at kunne installere pirat software eller programmer som fordrer til ulovligheder.

Henrik Madsen

Man kan blot kigge på mængden af malware til iOS og mængden af malware til Android.

Så hvis jeg med statistik kan bevise at der var væsentligt mindre kriminalitet under Nicolae Ceaușescu i Rumænien end der er i Danmark så vil du altså give mig ret i at et kommunistisk styre ala det Ceaușescu drev ville være en fordel for danskerne. ?

En politistat hvor politiet patruljerede gaderne og du ikke måtte gå ud efter mørkets frembrud ville også betyde væsentligt mindre kriminalitet.

Spørgsmålet er så bare om de ting vi mister ved at indføre kommunisme eller en politistat hvor andre tager beslutninger om hvad vi må og ikke må i en så ekstrem grad, ikke er større end de ting vi risikerer at miste i et åbent samfund.

Jeg må indrømme at jeg vil hellere være fri og så leve med den lille risiko der er for at det kan have negative konsekvenser, end jeg vil føle mig begrænset hele tiden men måske føle en form for sikkerhed.

Eller som Benjamin Franklin (næsten) sagde det :

People willing to trade their freedom for temporary security deserve neither and will lose both.

Bjarke Rodas

Slap af mand, det er et privat firma - ikke en stat. Kan du ikke se det paradoksale i at du vil forbyde et privat firma at sælge en vare til mig jeg gerne vil købe?

Jeg er udmærket i stand til at forstå fordele/ulemper ved Apples hhv Android app butikker og for 15 år siden havde jeg nok valgt muligheden for at hacke og pille, nu gider jeg bare ikke.

Det er mit eget, frie valg. Så kan du synes jeg er en idiot sammen med de Apple-hadende downvotes der med sikkerhed følger - men det er jo netop en demokratisk frihed, at kunne foretage mit eget tåbelige valg.

Henrik Mikael Kristensen

Hvor længe tror i den var gået hvis der var de samme restriktioner på en PC, og Microsoft bestemte hvad den måtte bruges til ?

Jeg ved det bliver downvoted, men det er en komplet misforståelse, at det nogensinde har været meningen, at iOS skulle eksistere under samme løse restriktionsforhold som Windows.

Den slags har vi OSX til, hvor restriktionsniveauet er det samme som Windows. Spørg hellere her, hvilket ramaskrig det ville være, hvis OSX fik iOS restriktionerne: De færreste af dagens Mac brugere ville bruge Macs, og Mac'ens programøkosystem ville bryde sammen, fordi Mac App Store fungerer ikke ret godt, og de fleste programmer man får der igennem simpelthen ikke kan ret meget.

iOS er til embeddede platforme, telefoner, tablets og set-top boxe, hvor kanalen til softwareinstallation skal være kontrolleret, fordi der er millioner af telefoner, hvor livsvigtige funktioner ikke må kompromitteres, og det er app udviklerne selv enige i.

Det Apple så gør i stedet, er at langsomt åbne for API'er til forskellige ressourcer på iOS devices. Kritikpunktet ligger heller ikke på disse restriktioner, men på Apple's programgodkendelsesproces, der er til tider hen i vejret.

Vi kan se hvor meget malware, der eksisterer til Windows, Android og sørme også OSX, netop fordi man kan installere egne programmer.

Hvis det blev tilladt på iOS, ville App Store økosystemet fungere lige så dårligt som Mac App Store. Den går ikke.

Henrik Mikael Kristensen

En politistat hvor politiet patruljerede gaderne og du ikke måtte gå ud efter mørkets frembrud ville også betyde væsentligt mindre kriminalitet.

Prøv at vende det rundt og se det fra Apple's situation: Deres førsteprioritet er den gode brugeroplevelse. Jeg kan godt garantere dig for, de har vendt alle idéer, inklusive at iOS skulle være åbent, før de satte sig på den nuværende model, og den model er altså ikke billig at drive for dem, og det er ressourcekrævende at udvikle de nødvendige API'er til gradvis adgang til mere og mere af hardwaren.

Hvordan leverer man en god brugeroplevelse til 1 milliard iOS devices? Det kan ikke lade sig gøre ud fra Android modellen, hvis brugeren potentielt ikke aner, hvad en app er, eller gladeligt indtaster kreditkortoplysninger i en app downloadet fra en hjemmeside. Det er disse mennesker iOS sælges til, ikke os. Der er utroligt mange iOS brugere, for hvem, iOS er deres allerførste operativsystem.

Hvis du vil have et helt frit device til alverdens pilleri, inklusive til at skabe din egen gode brugeroplevelse, så er man helt frit til at købe sig en Android.

Den gik nok ikke i politistaten.

Morten Hansen

Jeg vil godt væde på at der stort set ikke er nogen der vender tomlen nedad på pro-apple kommentarer i denne debat, der har en IPhone. Dermed er debatten politisk.
At Apple har et forholdsvis lukket økosystem gør blot at langt flere gerne betaler de ekstra penge for færrest mulige risici for uønsket malware. Google har gentagende gange bevist at deres analyse og filtre på Google Store er langt mere åbne (dårligere) end Apples. Så kan folk måske klantre Apple for at være for restriktive (spørg bare Peter Øvig Knudsen) - men rent teknisk gør Apple et godt stykke arbejde for rigtigt mange brugere/kunder. Ansvarsbevidst og modigt at man allerede fra starten udelukkede både Java og Flash på IOS. At android-alliancen så ikke undgår IOS i form af IPad - af familiære grunde - må man så nok bare acceptere.

Morten Hansen

Det kommer nok an på hvornår det var indtruffet.
Hvis det var før 1992, havde Gates & Co nok ikke turdet det, af frygt for at blive udspillet.
Hvis det var mellem 1992 og 2002 havde man nok klaret det med nogle dygtige jurister. Se bare kampen med Netscape (som dog ikke har noget med nogen online store at gøre, men mere at bestemme hvad der kommer på PCen)
Hvis det var efter år 2002 havde Gates nok heller ikke turdet det, af frygt for at blive udspillet af nye modspillere.

Morten Hansen

" At android-alliancen så ikke undgår IOS i form af IPad - af familiære grunde - må man så nok bare acceptere."
@Flemming, @Bent: Var skrevet med et lille glimt i øjet. Jeg ved der findes rigtigt mange Android tablets af forskelligt kvalitet. Men jeg kender mange der ikke ville have Apple produkter indenfor huset vægge, men har måttet gå på kompromis, da deres bedre halvdels veninder eller børns klassekammerater/skole havde fået dette djævelske produkt.

Jesper A. Christensen

Har alle glemt Flash teknologien som Apple ikke ville lade komme ind på ios fordi det ville være en konkurrent til de spil som Apple sælger igennem deres appstore. At tro at ios er lukket for at beskytte brugerne er en smule blåøjet, det hander i lige så høj grad om at beskytte Apples pengetank.

Bent Jensen

Fordi jeg ikke gider spilde tid på min telefon. Den har direkte adgang til min bank konto, ikke bare med app store køb men også via telefon regningen. Derfor er det vigtigt for mig at der ikke kommer slam programmer på telefonen.


Med Android er det da ikke nødvendig at betale, har kun brugt penge på et program, det betale jeg så via Paypal. Det var ikke nødvendig at betale, der fantes andre gratis alternativer, men det var kun 29,- for et livtids abo.

Morten Hansen

"... At tro at ios er lukket for at beskytte brugerne er en smule blåøjet, det hander i lige så høj grad om at beskytte Apples pengetank." Vil jeg blot betragte som en påstand.
Jeg synes også det virker modigt eller rettere dumt, at man én gang har lagt en produkt-strategi om at skabe et lukket økosystem, hvor man helst vil styre udviklingen mest muligt og udelukke teknikker der er gængse standarder for udvikling af bl.a. spil, og så håbe på at spiludviklere og kunder kommer af sig selv. Og så nøjes med at holde en enkelt keynote om året, forlange et utopisk beløb for et produkt der findes i mange andre lignende produkter til en brøkdel af prisen, gøre bl.a. strømforsyning totalt inkompatibelt med andre - og skifter man det sq ud med sådan ca 6 års mellemrum.
Alligevel har man solgt mere end 500 mill. eksemplarer (nogle nævner 700 mill) at dette djævelske produkt, og selvom man kræver betaling for at have apps liggende på hylderne, kommer både nye og gamle udviklere af sig selv og ligger nye eller fornyede apps til salg i butikken.... jeg forstår det heller ikke?

Bent Jensen

Et godt eksempel hvor Android får baghjul af IOS er da ventetiden på system opdatering.. Eller at man må nøjes med den version som produktet er købt med.. :-)


Både og, alt efter model og firma.
Hvis du køber en rent google model som Nexus, får du flere og hurtigere opdateringer.
Hvis du køber Asus, vil du få, ... Måske ingen.

Men til forskel fra Appel, kan du altid root, og installer en eller andet version af CM, der så virker mere eller mindre godt.

SÅ baghjul vil jeg ikke sige, der går tit meget langt mellem opdateringer til IOS. Og de opdateringer der så kommer, køre ikke altid lige godt på ældre version.
Samt indhold af opdateringer, tit er noget vi andre har haft længe.

Det er desvære lang tid siden at Appel har været rigtigt innovativ.
Men hardware kvalitet er god, men det skal den også være til den pris.

Log ind eller Opret konto for at kommentere