iPhone-Schwachstelle: Zugriff ohne PIN unter Ubuntu möglich

Sicherheitsspezialist Bernd Marienfeldt hat eine Schwachstelle der iPhone-Verschlüsselung aufgedeckt. Eigentlich sollte das iPhone 3GS hardwareseitig mit 256-bit AES verschlüsselt sein. Doch Marienfeldt entdeckte zufällig, dass der Automounter unter Ubuntu den Zugriff auf das iPhone-Dateisystem ermöglicht – ohne irgendwelche Hacks.

Die entdeckte Schwachstelle ist folgende: Normalerweise dürfte ein Computer, der zuvor nicht mit dem iPhone verbunden wurde, keinerlei Zugriff auf das iPhone haben. Im Fall von Marienfeldt war das aber anders. Er schloss ein abgeschaltetes iPhone 3GS erstmalig an seinen Rechner. Er startete das iPhone, es war aber weiterhin gesperrt, es erfolgte nicht die übliche PIN-Eingabe.

Der Automounter von Ubuntu erkannte das Gerät trotzdem und gewährte sofort einen Einblick auf diverse Ordner. Bilder und Audiodateien waren unter dem Linux-System frei zugänglich, von einer Verschlüsselung war nichts zu bemerken.

Das bedeutet im Klartext: Wenn das iPhone verloren geht oder gestohlen wird, kann jeder mit einem Ubuntu-Rechner auf den persönlichen Inhalt zugreifen. Die Daten sind damit quasi frei verfügbar – ein ernsthaftes Problem.

Bernd Marienfeldt informierte das Security-Team bei Apple, welches allerdings zuerst den Fehler nicht nachvollziehen konnte. Ein nicht reproduzierbarer Fehler, war die Antwort auf Marienfeldts Hinweis. Heute gab es dann eine neue Information von Apple:

„Apple could reproduce the described serious issue and believes to understand why this can happen but cannot provide timing or further details on the release of a fix.“
Apple

Sinngemäß: Apple verstehe jetzt das Problem, könne aber weder eine zeitliche noch inhaltliche Angabe zur Schwachstelle machen, beziehungsweise zur Fehlerbehebung. Den gesamten Vorgang hat Bernd Marienfeldt in seinem Blog dokumentiert.

Ähnliche Nachrichten