Für Entwickler, Hacker und Tester
iPhone-Datenverkehr mitlesen: HTTP Catcher in Version 2.0
Entwickler und neugierige iPhone-Anwender haben „ab Werk“ erst mal keine Möglichkeit, den Datenverkehr, den aktiven Apps oder auch Apples iOS-Betriebssystem selbst auf dem iPhone verursachen, unkompliziert mitzulesen.
DuckDuckGo: Woher kommen die Suchvorschläge
Tippt ihr etwa die Buchstabenkombination „nor“ in eure Safari-Adressleiste ein und habt die datensparsame Suchmaschine DuckDuckGo aktiv, dann könnt ihr euch wundern woher die Vorschläge „norma“ und „norisbank“ kommen, habt aber keine Möglichkeit einfach unter die Haube zu blicken und nachzusehen.
Doch es gibt Mittel und Wege hier nachzusehen. Neben der kürzlich aktualisierten Anwendung mitmproxy – ein Freeware-Download der auf eurem Rechner arbeitet und die Online-Kommunikation eures iPhones mitschneidet – bietet sich auf dem iPhone die beiden Apps Charles und HTTP Catcher an. Der HTTP Catcher ist jetzt in der generalüberholten Version 2.0 erhältlich.
Der Download installiert auf Wunsch ein VPN-Profil, das den gesamten Datenverkehr eures iPhone durch einen lokalen Proxy tunnelt.
Da alle Online-Verbindungen mitgeschnitten werden, könnt ihr diese im Nachgang analysieren und so zum Beispiel herausfinden, dass die Safari-Eingabe „nor“ an die DuckDuckGo-Adresse https://duckduckgo.com/ac/?q=nor geschickt und hier mit einer JSON-Datei beantwortet wurde, die 10 Vorschläge zur Textvervollständigung mitbringt. Deren Inhalt sieht übrigens so aus:
Um auch den verschlüsselten HTTPS-Datenverkehr mitlesen zu können installiert der HTTP Catcher auf Wunsch ein eigenes Root-Zertifikat, das nach Apples iOS 12-Änderungen etwas umständlich aktiviert werden muss. Zum einen müsst ihr die Profil-Installation zulassen, zum anderen Einstellungen > Allgemein > Info > Zertifikats-Vertrauenseinstellungen besuchen und hier noch mal euer ganz spezifisches Vertrauen aussprechen.
Tester-Grundausstattung und kein Hexenwerk
Root-Zertifikat, VPN, Daten mitschneiden… – Was für den Laien erst mal besorgniserregend klingt, gehört zum Alltag vieler Entwickler, Hobbyisten und technisch interessierter Anwender und ist die Grundlage jeder zweiten Verbraucher-Test-Sendung, in deren Verlauf Apps auf ein datenschutztechnisch bedenkliches Verhalten hin abgeklopft werden.
Hier sind meistens nämlich keine Ausnahme-Hacker am Werk, sondern langgediente Warentest-Mitarbeiter, die mal eben 10 Apps zum aktuellen Test-Thema starten, einen Proxy mitlaufen lassen und anschließend nachschauen, welche davon Nutzerdaten im Klartext und über unverschlüsselte Leitungen an ihre Haus-Server übermittelt hat.
Tests, die ihr mit HTTP Catcher auch in Eigenregie durchführen könnt.
Solltet ihr Charles schon besitzen, dann notiert euch noch kurz folgendes: HTTP Catcher schneidet mit installiertem Zertifikat alle HTTPS-Request mit und will nicht immer eine gesonderte Ausnahme-Bestätigung haben. Zudem gefällt die übersichtliche Darstellung von Kopfzeilen und Antworten, das einfache Umschreiben von Requests, die Blacklist und die Nur-Text-Darstellung der Server-Antworten, die in der neuen Version noch deutlich übersichtlicher ausfallen als bislang.
Im direkten Vergleich mit Charles kostet der HTTP Catcher übrigens weniger als die Hälfte. Während für Charles 9,99 Euro fällig werden, kostet die Vollversion des HTTP-Catcher 3,99 Euro, einmalig.
Gibt es in diesem Zusammenhang Empfehlungen für Mail-Apps? „Spark“ speichert ja offenbar die Zugangsdaten auf den Anbieter-Servern
Apple Mail.
Eine andere Alternative habe ich bislang auch nicht gefunden.
Wenn Apple Mail mal vernünftig funktionieren würde. Outlook ist immer noch die beste Alternative.
Richtig. Aber Outlook verhält sich wie Spark. Und da Spark vom Hans ausgeschlossen wurde ist auch Outlook somit keine Alternative.
Microsoft verwendet europäische Server für europäische Anwender. Diese Server sind mit höchster Sicherung.
Gab es mal. Bzw ist für die zahlende Kundschaft jenseits von Office 365 Personal und Home.
Wenn ich eine Verbindung zu OneDrive aufbaue zeigt mir eine Mac App dessen Name mir grad nicht einfällt eine Verbindung in die USA.
* Little Snitch meinte ich.
Spark speichert definitiv die Login Daten beim Anbieter.
Das und die ganze Analyse scheisse sind der Grund warum ich wieder Outlook nutze.
Finde spark zwar schicker und besser was den Sync angeht, aber ganz gläsern wollte ich dann doch nicht sein.
Outlook ist auch das kleinste Übel von allen Drittanbieter Apps.
Outlook leitet doch auch alle Daten über deren Server, oder hat sich daran mittlerweile etwas geändert?
https://www.heise.de/mac-and-i/meldung/Microsofts-Outlook-App-schleust-E-Mails-ueber-Fremd-Server-2533240.html
Meines Wissens nicht. Soviel mir bekannt ist verhält sich Outlook wie Spark.
Liest sich hier anders: https://mspoweruser.com/great-news-outlook-mobile-no-longer-stores-your-credentials-on-microsofts-servers/
Der Heise Artikel ist von 2015. Der von mir verlinkte von 2019
Und das alles läuft tatsächlich alles Lokal?
Ist das nachgewiesen? ;-)
Ich hätte da nämlich keine Lust einem online Dienst durch die Nutzung dessen App diesem mitzuteilen wo ich überall unterwegs bin damit diese auch schön meine Benutzerdaten usw. mitschneiden kann.
Du kannst ja mit einem Proxy den anderen testen.
Du kannst es ja mit der Fritzbox loggen und uns das Ergebnis mitteilen ;-)
AdBlock für iOS und AdGuard Pro bieten – wenn ich das richtig verstanden habe – dieselbe Funktionalität wie HTTP Catcher, Charles Proxy und mitmproxy + die Möglichkeit, die entsprechenden Adressen auch gleich noch zu blocken:
https://apps.apple.com/de/app/adblock/id691121579
https://apps.apple.com/de/app/adguard-pro-adblock/id1126386264
Nutze Adguardpro seit Jahren dafür. Volle Empfehlung!
Und ja, die Ergebnisse sind erschreckend. Mit adguard kann ich aber den Zugriff auf einzelne Adressen leicht verbieten und bin damit wieder Herr meiner Daten. Für eine richtig gute Funktion müssen aber die vorhandenen Filter per Hand weiter optimiert werden., d.h. man muss die zu verbietenden Adressen per Klick sperren.
Ist schon echt erschreckend wie viel Google von unserem online Leben mitbekommt, obwohl ich Google als solches absichtlich NICHT verwende.
Fast jede App erstellt im Hintergrund ohne mich darauf hinzuweisen oder gar um mein Einverständnis zu fragen Verbindungen zu googlesyndication.com, gstatic.com, um Fonts zu laden und und und..
Fazit: selbst wenn ich mit irgend einem Unternehmen wie zb. Google nicht einverstanden bin, komme ich nicht drum herum. Auch Apple mit deren iPhones und Anwenderschutz hilft mir zumindest in dieser Richtung nichts.
..und bitte sagt mir nicht ich solle offline versteckt im Wald leben. Es muss doch auch eine freie Entscheidungsmöglichkeit in der online Welt geben, so wie ich sonst im realen Leben auch entscheiden kann, ob ich diese Geschäft oder das andere betrete und was ich wem mitteilen möchte oder nicht. Sorry, ist meine Ansicht die ich nur mal kundtun wollt.
Sollte es geben. Bei einem Quasi-Monopol bedingt durch Bequemlichkeit der Webseitenbetreiber wird es aber nicht möglich sein. So lange diese auf Google Dienste setzen anstatt auf Alternativen, entkommt man Google denke ich mal tatsächlich leider nur, wenn man offline im Wald lebt. :-/
Man kann als Zwischenschritt zumindest die entsprechenden URLs blockieren. Geht zum Beispiel mit:
https://apps.apple.com/de/app/lockdown-apps/id1469783711
Die Kommunikation von Apps, die ihre Zertifikate „pinnen“, können damit nicht mitgeschnitten werden.
Seit dem letzten WhatsApp Update habe ich ständig den Geofencing Pfeil (der mit der outline), auch wenn ich gerade niemand meinen Live Standort teile – hat das noch jemand?