Neue Sicherheitslecks in iOS 7 von deutschen Forschern entdeckt

Weiteres Leck in iOS. Quelle: Security Research Labs GmbH

Experten der deutschen SR Labs haben einen Fehler in iOS 7 entdeckt, über den Hacker das Löschen des Geräts aus der Ferne verhindern können. In einem Video zeigen sie, dass sich auch bei einem gesperrten Gerät ohne Eingabe eines Passworts über das neue Kontrollzentrum der Flugmodus aktivieren lässt.

Der Flugmodus schaltet jegliche Verbindung zum Internet wie WLAN und Mobilfunk ab. Somit verhindert er, dass das gestohlene Smartphone mithilfe der Funktion “Mein iPhone suchen” geortet werden kann.

Die Schwachstelle gibt SR Labs zufolge Dieben auch genug Zeit, um einen gefälschten Fingerabdruck herzustellen und den biometrischen Scanner des iPhone 5S auszutricksen. Danach könne die Funktion zum Zurücksetzen von Passwörtern verwendet werden, um die iCloud- und iTunes-Konten sowie alle anderen mit dem gestohlenen Gerät verbundenen Konten des Opfers zu knacken.

“Die Fehler, die wir am Ende des Videos auflisten, umreißen die Schritte, die Apple in Betracht ziehen sollte, um die durch neue Funktionen in iOS und/oder den Fingerabdruckscanner des iPhone 5S eingeführten oder verstärkten Schwachstellen zu minimieren”, erklärte SR Labs in einem Interview mit ZDNet.com. Priorität habe ein Fehler in der Implementierung von “Mein iPhone suchen”, der es einem Dieb erlaube, mit einem gestohlenen iPhone auf das Internet und E-Mails zuzugreifen, obwohl der eigentliche Besitzer schon die Löschung des Geräts veranlasst habe. “Das ist der Fehler, der es dem Dieb in dem Video ermöglichte, die Apple-ID des Opfers zu übernehmen.”

Unter iOS 6 war der Flugmodus erst nach dem Entsperren des Geräts zugänglich. SR Labs fordert von Apple nun, den Zugriff auf den Flugmodus aus dem Kontrollzentrum zu entfernen und das Abschalten der Funkverbindungen mit einer PIN-Abfrage zu verknüpfen.

Darüber hinaus solle Apple seinen Kunden bei der Einrichtung einer Apple-ID empfehlen, keine E-Mail-Konten auf einem iOS-Gerät zu hinterlegen, die bei irgendwelchen Online-Diensten für die Wiederherstellung von Anmeldedaten hinterlegt seien, ergänzte SR Labs. Nach der Wiederherstellung der Internetverbindung solle iOS vor dem Abrufen von E-Mails zudem zuerst mit iCloud Kontakt aufnehmen, um herauszufinden, ob eine Löschung des Geräts aus der Ferne veranlasst wurde.

Wie sich die von Apple mit dem iPhone 5S eingeführte biometrische Sicherheitsfunktion Touch ID aushebeln lässt, hatte ein Mitglied des Chaos Computer Club schon am 21. September vorgeführt. Er folgerte daraus, “dass biometrische Daten zur Verhinderung eines unberechtigten Zugriffs vollkommen ungeeignet sind”.

[mit Material von Stefan Beiersmann, ZDNet.de]

Redaktion

Recent Posts

IT 2025: IT-Führungskräfte erwarten massiven KI-Ruck

Einsatz von KI-Lösungen wirbelt auch in deutschen Unternehmen die Liste der Top-Technologieanbieter durcheinander.

2 Tagen ago

Sofortzahlungen im Wandel: Sicherheit und KI als treibende Kräfte

Echtzeitüberweisungen erfüllen die Erwartungen der Nutzer an Geschwindigkeit, sind jedoch anfällig für spezifische Sicherheits- und…

2 Tagen ago

Blockaden und Risiken bei APM-Projekten vermeiden

Application Portfolio Management (APM) verspricht Transparenz, mehr IT-Leistung und Effizienz – theoretisch.

4 Tagen ago

BSI-Bericht: Sicherheitslage im Cyberraum bleibt angespannt

Im Berichtszeitraum Mitte 2023 bis Mitte 2024 wurden täglich durchschnittlich 309.000 neue Schadprogramm-Varianten bekannt.

4 Tagen ago

KI-Hype in der Cybersicherheit – oder besser doch nicht?

KI kommt in der Cybersicherheit zum Einsatz, etwa um Abweichungen im Netzwerkverkehr zu identifizieren. Ist…

5 Tagen ago

Netzwerksegementierung schützt vor Angriffen über die OT

Ungepatchte und veraltetete Maschinen-Software ist ein beliebtes Einfallstor für Hacker, warnt Nils Ullmann von Zscaler…

5 Tagen ago