Nein, wenn ich Otto-Normal-Mac-Nutzer bin, und mich nur wenig auskenne, dann hat Apple für diesen Fall Vorkehrungen getroffen.

Apple hat unter OS X genau aus diesem Grund die Sandbox eingerichtet, die es nicht erlaubt Software von Drittanbietern zu installieren. Wenn man doch Software von Drittanbietern einrichten möchte, dann muss man zunächst in den Einstellungen das Admin-Passwort angeben und die Nutzung von fremder Software explizit zulassen. Das gibt es unter iOS so nicht.

Darüber hinaus kannst du vielleicht besser sagen, wenn Du dich auskennst, ob es unter OS X funktioniert, eine vorhandene App durch eine Fake-App zu ersetzen, weil das Betriebssystem die Signatur-Zertifikate nicht gegeneinander abgleicht.

Denn darum ging es ja bei Masque Attack: Im Beispiel hat FireEye die „offizielle“ GMail-App durch eine eigene, manipulierte Version ersetzt, weil man dieselben Bundle IDs nutzte. An die notwendigen Informationen kommt jeder, der sich die Programmpakete auf einem jailbroken Device herunterlädt. Wenn der Nutzer dann aufgefordert wird, Angry Birds zu installieren, weil er irgendwo nach dem Spiel im Web gesucht hat, aber auf einer präparierten Webseite landet, und dann nicht Angry Birds installiert wird, sondern die eigene Gmail, Facebook, oder oder App mit Malware ersetzt wird, ist das durchaus ein Problem.

Du kannst auf deinem Computer software installieren die böse Dinge macht ohne das Zertifikate abgeglichen werden. Ist das eine Sicherheitslücke?

Das bezeichnet die Sicherheitsfirma FireEye als Sicherheitslücke, ja. Eine Sicherheitslücke ist nicht definiert durch ihren Gebrauch, sondern durch ihre mögliche Verwendung. IdR werden Lücken ja erst gepatcht und dann darüber berichtet. Entsprechend entsteht kaum Schaden.

Natürlich kann Apple die Zertifikate deaktivieren, und hat es bei WireLurker getan. Aber wenn Apple immer nur nachträglich die Zertifikate deaktiviert, kommt immer auch vorher jemand zu Schaden, weil man anders ja nicht darüber erfährt. Das wäre so, als würde ich ein Feuer immer erst löschen, wenn es schon gebrannt hat.

Dabei ist die Vermeidung möglich, indem Apple die Zertifikate vorher gegeneinander abgleicht.

Dazu kommt das durchaus relevante Beispiel mit vertrauenswürdiger Software, wie ich sie im Artikel am Beispiel von Emulatoren genannt habe. Natürlich klicken Nutzer dann gerne auf ja, wenn sie das Gefühl haben, das, was sie dort bekommen, wollen sie gerne haben. Auf diese Weise funktionieren ja auch Phishing-Attacken.