iOS 7: Diebe können Remote-Wipe umgehen und Accounts kapern
Der PIN-Code eines iPhones mit iOS 7 schützt nicht davor, dass Diebe den Flugmodus aktivieren können - mit verheerenden Folgen.
Bild: teltarif.de
Apple hat womöglich eine riesige Sicherheitslücke in iOS 7 eingebaut. Dies haben Sicherheitsforscher von SR Labs herausgefunden. Mit wenigen Wischgesten, etwas Geduld und Geschick konnten Sie einen iCloud-Account übernehmen. Dank unglücklich konfigurierter E-Mail-Accounts konnten die Forscher auch auf einen Gmail-Account zugreifen und dort das Passwort ändern.
Nach einem Diebstahl lässt sich der Flugmodus aktivieren
Der PIN-Code eines iPhones mit iOS 7 schützt nicht davor, dass Diebe den Flugmodus aktivieren können - mit verheerenden Folgen.
Bild: teltarif.de
Das neue Kontrollzentrum ist neben dem neuen Design eine willkommene Neuerung von iOS 7 gewesen. Doch Apple hat mit diesem Feature eine Sicherheitslücke eingebaut: Das Kontrollzentrum lässt sich standardmäßig auch auf dem Sperrbildschirm nutzen. Von dort lässt sich also - selbst bei aktivierter PIN-Sperre - auch der Flugmodus einschalten. So kann der Dieb zunächst Apples "Remote-Wipe"- und die "Find my iPhone"-Funktion umgehen. Denn ohne Internet-Zugang funktionieren diese naturgemäß nicht.
Nun haben die Diebe genug Zeit um die Sperre des Display zu umgehen. Hierzu gibt es prinzipiell zwei Möglichkeiten: Entweder ist Touch-ID aktiviert - dann verspricht der Weg, den der Chaos-Computer-Club gefunden hat, den meisten Erfolg. Aber auch wer auf einen Display-Code setzt, könnte Pech haben: Häufig finden sich noch Fingerabdrücke auf dem Display, die Hinweise auf den Sperrcode geben können.
Nach dem Sperrcode: iCloud-Account übernehmen
Ist diese Hürde überwunden - oder gar kein Sperrcode eingerichtet - können Angreifer jetzt auf das iPhone zugreifen. Selbst wenn der Besitzer des iPhones über iCloud versucht, das Gerät aus der Ferne zu löschen, kann der Dieb dies umgehen - denn der iCloud-Account lässt sich kapern und mit einem neuen Passwort versehen - sofern die Passwort-Erinnerung auf das Smartphone geschickt wird.
Update: Der Dieb kann kurzzeitig das Internet aktivieren ohne dass die Fernlöschung ausgelöst wird. Dabei empfängt das iPhone E-Mails - unter anderem auch die Nachricht mit einem Link zu einer Webseite, auf der der iCloud-Account mit einem neuen Passwort versehen werden kann: Der Dieb hat so volle Kontrolle über das Apple-Konto des Opfers. (Ende Update)
Danach lässt sich zum Beispiel das iPhone vom Account des Nutzers trennen - und auch die Fernlöschung des iPhones ist jetzt kein Hindernis mehr: Lässt der Dieb diese über das iPhone ergehen, so kann er dennoch den alten iCloud-Account wieder einrichten - das Passwort ist jetzt ja bekannt - und die Wiederherstellung von Daten auswählen.
Nun kann der Dieb E-Mails im Namen des Opfers verschicken oder Accounts übernehmen - vorausgesetzt, die Passwort-Erinnerung wird auf das iPhone gesendet. Das Risiko betrifft grundsätzlich jeden Online-Account, der anhand des iPhones zu erschließen ist. Nutzer sind nun also in jeder Hinsicht gefährdet.
Das sind die Sicherheitsprobleme
Der Angriff basiert einerseits darauf, dass der Flugmodus auch ohne PIN-Sperre zu aktivieren ist. Aber auch der Sperrcode - möglicherweise die Touch-ID lässt sich unter Umständen umgehen. Schließlich sind auch Passwort-Erinnerungen, die auf dem Smartphone ankommen, eine Gelegenheit, fremde Accounts zu übernehmen.
Den ganzen Angriff sehen Sie im Video, das wir unten eingebunden haben. Glücklicherweise lassen sich Angriffe wie diese recht leicht verhindern.
Maßnahmen gegen Account-Klau: Nicht nur iPhone-Nutzer sollten vorsichtig sein
Zunächst: Das Kontrollzentrum lässt sich in den Einstellungen des iPhones so einstellen, dass es auf dem Sperrbildschirm nicht erscheint. Damit ist zumindest ein großes Sicherheitsproblem entschärft - denn jetzt benötigt der Angreifer deutlich mehr Zeit, um Zugriff auf das iPhone zu erhalten. Und nicht nur für iPhone-Nutzer gilt: Die SIM-Karte sollte stets mit einem PIN-Code versehen sein, sonst stehen SMS dem Angreifer sofort offen. Selbiges gilt auch für den Sperrcode des Handys an sich, der zwar umgangen werden kann - dennoch unverzichtbar ist.
Die Forscher geben weitere Hinweise, wie Nutzer und Hersteller einige der ausgenutzten Sicherheitslücken schließen können. Diese richten sich zwar an Apple, aber sie sind auch für Nutzer anderer Plattformen bedenkenswert.
Eigene E-Mail-Adresse für Passwort-Erinnerungen
Die Forscher empfehlen, auf einem Smartphone keinen E-Mail-Account einzurichten, auf dem möglicherweise Passwort-Erinnerungen eintreffen. Das klingt zunächst unpraktisch - dahinter steckt aber letztlich die Idee, für solche sensiblen Zwecke eine eigene E-Mail-Adresse zu verwenden. So lässt sich weder der iCloud-Account noch das Google Konto übernehmen.
Apple solle außerdem das iPhone sofort löschen, wenn es sich mit dem Internet verbindet - im skizzierten Angriff war es den Forschern möglich, kurzzeitig auf E-Mails zuzugreifen, ohne dass die Fernlöschung greift.