In den Apple Stores haben Tastatur-Reparaturen nun oberste Priorität. Apple stellt den Stores zudem mehr Ersatzteile zur Verfügung, damit sie die Reparaturen selbst durchführen können. Die vorgegebene Reparaturdauer verkürzt Apple so von fünf auf einen Tag.

Erst Ende März hatte Apple eingeräumt, dass auch die überarbeitete Version der MacBook-Tastatur zu Ausfällen einiger Tasten durch eindringenden Staub und Schmutz neigt. Darauf scheint das Unternehmen aus Cupertino nun mit einer Verkürzung der Standardreparaturzeit für eine Tastatur zu reagieren. Ein neues Verfahren soll den Vorgang, der derzeit bis zu fünf Tage in Anspruch nehmen kann, auf einen Tag verkürzen.

Das geht zumindest aus einem Rundschreiben an Apples eigene Ladengeschäfte hervor, das MacRumors vorliegt. Darin werden Mitarbeiter angewiesen, Tastaturreparaturen als oberste Priorität zu behandeln, um Kunden mit Tastaturproblemen besser zu unterstützen. Zudem sollen in den Stores künftig mehr Ersatzteile für Tastaturen vorgehalten werden.

„Die meisten tastaturbezogenen Reparaturen müssen bis auf weiteres im Store durchgeführt werden. Zusätzliche Serviceteile wurden an die Filialen verschickt, um das gestiegene Volumen zu unterstützen“, heißt es in dem Rundschreiben. „Diese Reparaturen sollten vorrangig durchgeführt werden, um die Durchlaufzeit am nächsten Tag zu gewährleisten. Öffnen Sie zum Abschluss der Reparatur die entsprechende Serviceanleitung und befolgen Sie alle Reparaturschritte sorgfältig.“

Probleme bereiten die sogenannten Butterfly-Switches, die Apple entwickelt hat, um dünnere Tastaturen und damit dünnere MacBooks zu ermöglichen. Die Schalter reagieren jedoch anfällig auf eindringenden Staub und Schmutz. Zwar führt dies nicht zwingend zum Ausfall einzelner Tasten, aber oftmals ist ein höherer Druck notwendig, um den Schalter auszulösen – was vor allem bei professionellen Nutzern den Schreibrhythmus durchbricht.

Apple selbst spricht von einer „geringen Zahl von Nutzern“, die Probleme mit der dritten Generation der Butterfly-Keyboards hat. „Die dritte Generation“ bedeutet aber auch, dass Apple schon zweimal nachgebessert hat, ohne das Problem vollständig zu lösen. Zuletzt wurde eine Silikonmembran hinzugefügt, um die Schalter vor Staub und anderen Verschmutzungen zu schützen.

Die neue Schaltertechnik wurde 2015 eingeführt. Für zwischen 2015 und 2017 hergestellte MacBooks bietet Apple ein Serviceprogramm zum Austausch defekter Tastaturen an. Auf die 2018 eingeführte Generation, die über besagte Silikonmembran verfügt, wurde das Programm bisher nicht ausgeweitet. Anscheinend ist dies auch nicht geplant. Stattdessen will Apple seinen Kunden nun wohl mit einer kürzeren Reparaturzeit entgegenkommen.

Auslöser ist eine fehlerhafte Implementierung eines kryptografischen Algorithmus. Der Fehler steckt in der Qualcomm Secure Execution Environment und betrifft 46 Chipsätze des Unternehmens. Googles April-Patchday bringt einen Fix für die Schwachstelle.

Android-Smartphones und –Tablets mit Qualcomm-Chipsätzen sind anfällig für eine neue Sicherheitslücke. Sie steckt in der Qualcomm Secure Execution Environment (QSEE) und erlaubt es, Daten wie private Sicherheitsschlüssel auszulesen. Anfällig sind Geräte mit insgesamt 46 unterschiedlichen Qualcomm-Chipsätzen.

Entdeckt wurde die Anfällig schon vor mehr als einem Jahr vom Sicherheitsforscher Keegan Ryan von der NCC Group. Ihm zufolge ist Qualcomms Implementierung des kryptographischen Algorithmus ECDSA fehlerhaft. Das wiederum erlaubt es, auf Daten zuzugreifen, die innerhalb der QSEE verarbeitet werden.

Eigentlich ist die QSEE eine sogenannte Trusted Execution Environment (TEE), also ein vertrauenswürdiger Bereich, in dem bestimmte Daten wie Passwörter oder auch biometrische Kennzeichen verarbeitet werden. Eine TEE wie auch Intels SGX ist strikt vom restlichen System getrennt, damit sie auch vor Prozessen mit Root-Rechten geschützt ist.

Root-Rechte werden dem Forscher zufolge auch benötigt, um die Anfälligkeit mit der Kennung CVE-2018-11976 auszunutzen. Malware, die Angreifern diese Rechte beschafft, ist in der Android-Welt jedoch keine Seltenheit mehr – einzelne Exemplare wurde auch schon im Google Play Store gesichtet.

Jedoch soll die QSEE auch dann noch sicher sein, wenn ein Hacker die vollständige Kontrolle über ein Smartphone oder Tablet erlangt hat. Die Sicherheitslücke erlaubt es jedoch, diese Schutzfunktion zu umgehen. „Das sollte nicht möglich sein, da der hardwarebasierte Schlüsselspeicher jede Art von Schlüsseldiebstahl verhindern soll, selbst wenn ein Angreifer das Android-Betriebssystem vollständig kompromittiert hat“, sagte Ryan.

In einem Whitepaper beschreibt Ryan technische Details seines Angriffs. Demnach entdeckte der Forscher mit einem Tool namens Cachegrab kleine Lecks im Prozess zur kryptografischen Signierung von Daten. Sie geben Details zu verwendeten Einmal-Schlüssels preis. „Diese wenigen Bits reichen aus, um 256-Bit-ECDSA-Schlüssel wiederherzustellen“, ergänzte Ryan. Der Forscher testete seinen Angriff erfolgreich auf einem Nexus 5X.

Googles Android-Patches für den Monat April enthalten einen Fix für die Schwachstelle. Der ist allerdings nur in Updates enthalten, die die Sicherheitspatch-Ebene 5. April erreichen. Nutzer von Samsung-Geräten müssen sich also noch bis Mai gedulden, bis sie vor diesen Angriffen geschützt – sofern die Geräte auf Qualcomm-Chipsätzen basieren. Eine Liste aller betroffenen Qualcomm-Chipsätze stellt der US-Chiphersteller in einem Advisory bereit.

Die Funktion richtet sich an Unternehmen, die Azure AD einsetzen. Single-Sign-On unterstützt SaaS- und selbst gehostete Anwendungen. Eine weitere neue Funktion schränkt zudem den Zugriff auf bestimmte Anwendungen über Chrome oder Safari ein.

Microsoft hat seinen Browser Edge für iOS und Android um zwei neue Funktionen erweitert. Der Support für Single-Sign-On soll vor allem die Anmeldung im Browser und bei Apps in Umgebungen vereinfachen, die Azure Active Directory nutzen. Bedingter Zugriff wiederum soll verhindern, dass Nutzer mit unsicheren Browsern auf bestimmte Anwendungen zugreifen.

Single-Sign-On unterstützt Anwendungen wie Microsoft Outlook oder auch webbasierte Apps, solange sie mit Azure AD verknüpft sind. Unerheblich dabei ist, ob sie als Software-as-a-Service oder auf eigenen Servern bereitgestellt werden. Sobald beispielsweise Mitarbeiter sich bei einer mit Azure AD verbundenen App angemeldet haben, müssen sie ihren Nutzernamen und Kennwort nicht erneut für die Anmeldung bei einer anderen App eingeben. Stattdessen kann die Authenticator-App von Microsoft für iOS oder die Intune Company Portal App für Android verwendet werden.

Auf iPhones ist es zudem möglich, sich per Single-Sign-On bei mehreren Azure-AD-verknüpften Apps gleichzeitig anzumelden. In dem Fall muss allerdings das Gerät für die Anmeldung registriert werden.

Der Bedingte Zugriff bedeutet, dass Unternehmen per Richtlinie festlegen können, dass Mitarbeiter einen durch Microsoft Intune verwalteten Browser wie eben Edge einsetzen. Konkret kann so verhindert werden, dass Nutzer Chrome oder Safari für den Zugriff auf bestimmte Enterprise-Anwendungen verwenden, um laut Microsoft Datenverluste durch „ungeschützte Browser“ zu verhindern.

„Sie können nun den richtlinienverwalteten Microsoft Edge als zugelassenen mobilen Browser durchsetzen, um auf Azure-AD-verbundene Webanwendungen zuzugreifen, wodurch die Verwendung ungeschützter Browser wie Safari oder Chrome eingeschränkt wird“, teilt Microsoft mit. „Auf diese Weise können Sie den Zugriff sichern und Datenverluste über ungeschützte Browseranwendungen verhindern.“

Nutzer, die einen nicht verwalteten Browser wie Chrome oder Safari öffnen, um auf bestimmte Apps zuzugreifen, werden aufgefordert, stattdessen Microsoft Edge zu nutzen. Zudem werden Sie unter iOS zur Installation der Authenticator-App und unter Android zur Einrichtung des Intune Company Portal aufgefordert.

Externe Speicher können zu einer fehlerhaften Zuordnung von Laufwerksbuchstaben führen. Nutzer müssen vor der Installation des Mai-Updates alle USB-Speicher und SD-Karten entfernen. Die Warnmeldung von Windows 10 enthält diesen Hinweis jedoch nicht.

Microsoft weist auf ein Problem hin, das bei der Installation des Mai-2019-Updates für Windows 10 auftreten kann. Einem neuen Support-Dokument zufolge wird das Funktionsupdate nicht eingespielt, falls ein USB-Laufwerk oder eine SD-Speicherkarte mit einem System verbunden ist. In dem Fall kann es offenbar vorkommen, dass durch das Update Laufwerksbuchstaben falsch zugeordnet werden.

„Bei berechtigten Computern, bei denen während der Installation des Mai-2019-Updates ein externes USB-Gerät oder eine SD-Speicherkarte angeschlossen ist, kann es zu einer falschen Laufwerkszuordnung kommen. Aus diesem Grund sind diese Computer derzeit vom Erhalt des Updates ausgeschlossen“, heißt es in dem Support-Artikel. „Dies erzeugt die Fehlermeldung, die im Abschnitt ‚Symptome‘ erwähnt wird, wenn das Upgrade auf einem betroffenen Computer erneut versucht wird.“

Die Fehlermeldung wiederum hält keine hilfreichen Informationen bereit. Sie teilt dem Nutzer lediglich mit, dass sein PC nicht aktualisiert wird und dass er nicht unternehmen muss. Das Update erhalte er zu einem späteren Zeitpunkt automatisch, nachdem das Problem behoben sei.

Als Beispiel führt Microsoft in dem Support-Artikel einen USB-Speicherstick an, der vor der Installation den Laufwerksbuchstaben G und nach der Aktualisierung den Laufwerksbuchstaben H hat. In dem Fall Verknüpfungen zu Laufwerk G und auch zu Laufwerk H nicht die gewünschten Resultate liefern. Besonders schwerwiegend ist der Fehler, da laut Microsoft auf die Laufwerksbuchstaben interner Festplatten verändert werden können – ein USB-Stick kann also offenbar auch den Buchstaben einer interne Festplatte übernehmen, auf der Anwendungen installiert sind. Diese würden anschließend unter Umständen nicht mehr oder nur eingeschränkt funktionieren.

Für alle Betroffenen gibt es jedoch einen sehr einfachen Workaround. Es müssen lediglich die USB-Speicher sowie SD-Karten entfernt und die Installation des Mai-2019-Updates neu gestartet werden.

Darüber hinaus will Microsoft den Fehler mit einem künftigen Service-Update beseitigen. Windows Insider, die das Build 1877 oder neuer einsetzen, haben den Fix bereits erhalten.

Der dunkle Modus ist an die Einstellungen des Betriebssystems gekoppelt. Er lässt sich nicht unabhängig von Windows aktivieren. Google überarbeitet zudem den Datensparmodus von Chrome für Android.

Google hat seinen Browser Chrome auf die Version 74.0.3729.108 aktualisiert. Die wichtigste Neuerung betrifft ausschließlich Windows-Nutzer. Ihnen steht ab sofort auch ein Dark Mode zur Verfügung, den Google für macOS bereits mit Chrome 73 eingeführt hatte. Darüber hinaus beseitigt das Update mindestens 39 Sicherheitslücken.

In Chrome suchen Nutzer vergeblich nach einem Schalter, um das dunkle Thema zu aktivieren. Wie schon unter macOS muss der Dark Mode des Betriebssystems eingeschaltet werden, damit auch Chrome sein Farbschema ändert – was auf zwei Testsystemen von ZDNet jedoch auch nach einem Neustart des Browsers nicht funktionierte. Auch ein Neustart von Windows brachte keine Abhilfe – selbst bei einem frisch installierten Chrome-Browser. Laut Google soll das Feature in Wellen ausgerollt werden, sodass es anfangs nicht für jeden Nutzer zur Verfügung steht. Wer den Dark Mode schon jetzt ausprobieren möchte, ergänzt unter Eigenschaften der Verknüpfung im Feld Ziel den Eintrag um –force-dark-mode.

Chrome: Google schließt Sicherheitslücken

In den Versionshinweisen nennt Google zudem Details zu 19 von insgesamt 39 Sicherheitslöchern, die mit Chrome 74 gestopft werden. Von mindestens fünf Anfälligkeiten geht ein hohes Risiko aus. Ein Angreifer kann unter Umständen Schadcode einschleusen und innerhalb der Sandbox des Browsers ausführen.

Das gilt unter anderem für einen Use-after-free-Bug in PDFium, der PDF-Komponente von Chrome. Weitere schwerwiegende Fehler stecken in der Browserengine Blink und der JavaScript-Engine V8. Die Autofill-Funktion von Chrome 73 und früher gibt zudem unter Umständen persönliche Informationen preis.

Den Entdeckern der Sicherheitslücken zahlt Google eine Belohnung von insgesamt 26.837 Dollar. Die Prämien fließen unter anderem an Mitarbeiter von SSLab, Cisco Talos, Tencent, Leviathan Security Group sowie an unabhängige Sicherheitsforscher. Die Höhe der Zahlung ist abhängig vom Schweregrad der gefundenen Anfälligkeit.

Für Nutzer von Android für Chrome hält Google auch eine Neuerung bereit. Der Datensparmodus Data Saver heißt ab sofort Lite Mode. Die Aktivierung erfolgt über die Browsereinstellungen. Im Lite Mode prüft Chrome für Android, ob das Laden und Anzeigen der ersten Inhalte einer Seite mehr als fünf Sekunden in Anspruch nehmen wird. Im dem Fall wird eine optimierte Version der Seite geladen. Zu den technischen Details des Vorgangs will Google in den kommenden Monaten ein Whitepaper veröffentlichen.

Das Unternehmen betont jedoch, dass bei aktiven HTTPS-Verbindungen im Lite Mode nur die URL mit Google geteilt wird, nicht jedoch Cookies, Anmeldeinformationen oder persönliche Seiteninhalte. Google respektiere stets eine verschlüsselte Verbindung zwischen Chrome und einer Website.