Vielen Dank für die Antworten, es scheint ja so, als hätte Apple doch einiges richtig gemacht.

Es gibt einen Angriff auf 128-Bit-AES, der schneller ist als Bruteforce (systematisches Ausprobieren aller denkbaren Kombinationen bis eine passt). Es gibt ihn seit 2011 und er ist nur 4x schneller als Bruteforce. Was also mit Bruteforce 400 Jahre dauern würde, dauert mit dem Key-Angriff immer noch 100 Jahre.

An der Stelle sollte man die Kirche im Dorf lassen und festhalten, dass wir über Programme für Otto Normal reden und keine, deren einziger Zweck es ist, unbefugten Zugriff zu unterbinden. So gesehen würde jeder simpler Passwort-Schutz ausreichen und im Falle von 128-Bit-AES ist es eben relativ schwierig (bzw. zeitaufwändig), das Passwort zu knacken. In solchen Fällen wird idR ohnehin Social Engineering angewandt – ähnlich wie es im XKCD-Comic beschrieben ist ;-)
http://xkcd.com/538/

Auf die Art und Weise, wie Apple die PW speichert, ist es für „Normalsterbliche“ mit den üblichen Methoden nicht mit vertretbarem Zeitaufwand zu hacken. Wenn du natürlich Zugriff auf Supercomputer oder Botnetzwerke hättest, dann sind u. U. auch andere Verschlüsselungen nicht sicher. Ich denke aber, dass Apple (und auch andere) ihrer Standards erhöhen werden, sobald es notwendig sein wird.

Gilt 128 Bit AES wirklich noch als sicher? Ich glaube zu erinnern, dass es aktuell mindestens 256 Bit sein sollten.