WDR-Magazin Markt und @-yet GmbH stellen iPhone-Sicherheit in Frage

Am 3. September zeigte das WDR-Magazin MARKT in seinem Technik-Teil Beiträge zur Sicherheit von Smartphones. Darin wurde unter anderem in einem Beitrag von Paul Reifferscheid behauptet, dass man „fabrikneue“ iPhones ausspionieren könne.

Eine IT-Sicherheitsfirma aus Leichlingen, die @-yet GmbH, präsentierte im Rahmen der Sendung MARKT im WDR eine angebliche Sicherheitslücke bei iPhones. Vertreten durch zwei Mitarbeiter, von denen einer Felix L. heißen soll, der andere Rafael S..

Zwei Jugendlichen wurden angeblich „quasi fabrikneue“ iPhones in die Hand gedrückt. Die beiden sollten, während sie in einem Eis-Café saßen, mit den beiden Geräten im Internet surfen. Die beiden Mitarbeiter von @-yet hatten zuvor allerdings einen W-Lan-Hotspot eingerichtet, der frei zugänglich war und den die beiden ITler „Free Hotspot“ genannt hatten, um die Leute auch über die Namensgebung anzulocken.
Die beiden Jugendlichen Panthea und Can gehorchten dieser subtilen Vorgabe sofort, und loggten sich mit den iPhones jeweils ein. Die IT-Spezialisten werden mit ihrem Laptop gezeigt, wie sie den Bildschirminhalt der iPhones scheinbar auslesen können, und sich so u. a. Passwörter für einen iTunes-Account besorgen, SMS mitlesen und geschossene Fotos vom iPhone unbemerkt herunterkopieren können.

SSH-Verbindung?

Im Verlauf des Beitrags kann man auf dem Laptop-Bildschirm der Sicherheitsspezialisten erkennen, dass sie eine SSH-Verbindung zum iPhone aufgebaut haben. Dafür hat das iPhone standardmäßig den Port 22 vorgesehen. Einfluss auf diese Einstellung nehmen kann man als Normalverbraucher nicht. Lediglich, wer sein iPhone mit einem Jailbreak versieht, könnte das. Die Betonung liegt auf könnte. Denn „Jailbreaken“ ist eine Art Volkssport geworden. Neben echten technikbegeisterten Nerds, die wissen, was sie tun, gibt es eine Reihe von Nutzern, die sich durch andere Möglichkeiten angezogen fühlen. Selten werden Warnungen von unbedarften Nutzern wahrgenommen, welche Risiken sie überhaupt damit eingehen, ihr iPhone zu jailbreaken.

Wer eine SSH-Verbindung zu seinem iPhone herstellen will, muss es aber eigentlich nicht nur jailbreaken, sondern auch über die Cydia-Plattform noch zusätzliche Pakete nachinstallieren. Das zumindest ist die einhellige Meinung vieler, die sich damit auskennen. In dem WDR-Bericht wird aber suggeriert, dass der Zugriff relativ simpel klappt. „Quasi fabrikneue“ iPhones sind allerdings weder „jailbroken“, noch sind auf ihnen Dateien vorinstalliert, die von Haus aus den SSH-Zugriff erlauben würden, oder?

Die Nummer mit den Ports

Mir sind durch kurze Recherchen insgesamt drei Ports bekannt, über die man eine Verbindung mit dem iPhone herstellen kann. Da ist einmal der Port 22, der für die SSH-Verbindung reserviert ist. Bei einem Selbstversuch im heimischen W-Lan-Netzwerk liefert die Shell nur ein „connection refused“, also Verbindung zurückgewiesen, zurück, wenn ich probiere eine SSH-Verbindung mit meinem nicht gejailbreakten iPhone herzustellen. Gleiches gilt für den Port 5353, über den man laut Heise UDP-Verbindungen zum iPhone über das Bonjour-Protokoll herstellen kann. Auch dieser liefert ein „connection refused“ bei meinem Verbindungsversuch zurück.

Connection established…

Mehr Glück habe ich, wenn ich mich über den TCP-Port 62078 versuche einzuloggen. Der „verbose“-Parameter gibt ein „Connection established“ zurück, also ein Verbindung hergestellt. Dann scheint das Gerät nach den auf meinem Rechner vorhandenen Key-Files zu suchen, um die Verbindung zu verifizieren. Darin befinden sich aber andere Informationen zur SSH-Kommunikation mit Webservern meiner Wahl und keine Daten vom iPhone. Letztlich schlägt deshalb auch dieser Versuch fehl, und es heißt „Connection closed by remote host“. Mein iPhone hat also die Verbindung gekappt. Doch immerhin bestand für kurze Zeit eine Verbindung.

Passwort statt Key-Files…

Statt der Key-Files hätte ich lieber ein Passwort direkt übergeben. SSH kann dies offenbar nicht. Es gibt aber ein Kommandzeilen-Tool namens „sshpass“, das man nachinstallieren kann, mit dem man dies bewerkstelligen kann. Zum Zeitpunkt, da ich den Artikel schreibe, habe ich diese Option noch nicht ausgelotet. Ich bin allerdings zu wenig mit der Shell vertraut.
Meine Recherche ließ mich noch einen „expect“-Befehl über die Kommandozeile ausführen, mit dem ich hoffte statt der Keyfiles das allseits bekannte Root-Passwort am iPhone, „alpine“, irgendwie übermitteln zu können.

„[…] Und tatsächlich finden unsere Testpersonen auf der Suche nach einer schnellen Datenverbindung den Hotspot sofort und loggen sich ein. Dabei überspielen die beiden Mitarbeiter der Sicherheitsfirma unbemerkt eine selbstprogrammierte Schadsoftware auf die Smartphones. Zwei Minuten später haben sie vollen Zugriff auf beide Geräte. Sie können die Handys komplett bedienen und kommen an sämtliche Daten. […]“
WDR

Im WDR-Beitrag von Journalist Paul Reifferscheid, der seine Schwerpunkte bei Wirtschaft, Recht und Autothemen setzt, wird über die Erzähl-Stimme zusammengefasst, dass die Mitarbeiter von @-yet eine „selbstprogrammierte Schadsoftware überspielen, und dann Zugriff auf die beiden Smartphones haben. Anstelle der normalen Prozeduren kann man aber auch eigene Scripte ausführen, wenn man über die SSH-Shell eine Verbindung erhält. „Vielleicht“ haben die IT-Sicherheitsdienstleister ja tatsächlich eine Lücke aufgetan?

Nur mit Jailbreak?

Dieser Selbstversuch sollte mir vor allem zeigen, ob die Mitarbeiter von @-yet nicht doch eventuell Mittel und Wege haben, die ein Szenario, wie es in dem WDR-Beitrag gezeigt wurde, möglich erscheinen lässt. Zum Beispiel bei den Kollegen von iFun, oder unter deren YouTube-Videoaufzeichnung des Beitrags in den Kommentaren finden sich immer wieder Hinweise von Nutzern, die der Überzeugung sind, dass dieses „Hijacking“, das die @-yet-Mitarbeiter betrieben haben, ohne Jailbreak nicht möglich ist.

Scripted Reality?

Ein wenig Spanisch kommt einem aber neben anderen Ungereimtheiten auch die Gesprächssituation zwischen IT-Spezialisten und Panthea sowie Can vor, den beiden „Opfern“. Man wird an „Scripted Reality“ erinnert, die heutzutage im TV beinahe überall auftaucht außer in Spielfilmen.

Can erfährt von den „Hackern“ (ca. Minute 6:39), dass man eine teure Service-SMS ins Ausland über „sein“ Smartphone verschickt hat, und Panthea bekommt zu hören, dass man eine teure App über ihren iTunes-Account gekauft hat. Die „gespielte“ Aufregung der beiden Betroffenen hält sich merklich in Grenzen.

Kann das sein?

Die Frage bleibt, ob der Journalist Reifferscheid und der WDR hier auf die „Plausibilitäts-Keule“ von @-yet hereingefallen sind, die ihnen auf Kosten der GEZ-Gebührenzahler – ich bin einer -, ein X für ein U vorgemacht haben. Hersteller von Antiviren-Software veröffentlichen auch immer neue Informationen, warum man ihre Software unbedingt einsetzen sollte. „Manchmal“ kann man die geschürten Sorgen aber durch einfache Gegenfragen entlarven als Panikmache, wie ich es mal im Zwiegespräch des Kollegen Keller mit einem „Experten“ von Kaspersky Lab auf der GamesCom live miterlebt habe.

Ähnliche Nachrichten