iPhone verloren, Passwörter weg
Zwei Forschern vom Fraunhofer SIT ist es gelungen, trotz Passcode-Sperre unter anderem abgespeicherte Passwörter aus einem iPhone auszulesen. Somit bedeutet ein verlorenes oder geklautes iPhone nach wie vor ein ernsthaftes Sicherheitsproblem.
Den Fraunhofer-Mitarbeitern Jens Heider und Matthias Boll ist es gelungen, trotz Passcode-Sperre unter anderem abgespeicherte Passwörter aus einem iPhone auszulesen. Somit bedeutet ein verlorenes oder geklautes iPhone nach wie vor ein ernsthaftes Sicherheitsproblem – auch bei der aktuellen iPhone-Generation.
Im Prinzip setzten die beiden Forscher des Fraunhofer-Institut für Sichere Informationstechnologie (SIT) dabei ein Szenario um, das heise Security bereits beim Test von Online-Banking-Apps skizziert hatte: Durch einen modifizierten Jailbreak verschafften sie sich Zugang zum Dateisystem eines iPhone 4 mit iOS 4.2.1 und installierten dort einen SSH-Server, der beim Booten automatisch gestartet wird. Da selbst für aktuelle iOS-Versionen Jailbreaks verfügbar sind, die bereits während des Boot-Prozesses aktiv werden, schützt ein Passcode vor derartigen Eingriffen nicht. Und wenn man sich auf dem einmal aktiven System anmelden kann, hilft auch die Verschlüsselung des iPhones nicht mehr – denn das System entschlüsselt transparent alle Daten, die nicht zusätzlich gesichert wurden.
(Bild: Fraunhofer SIT)
Im nächsten Schritt entlockten Heider und Boll Zugang dem System die abgespeicherten Passwörter. Diese sind zwar in der sogenannten Keychain verschlüsselt abgelegt, aber Applikationen können transparent darauf zugreifen – iOS entschlüsselt dazu praktischerweise die Daten. Somit war es gar nicht erforderlich, die Verschlüsselung zu knacken oder den verwendeten Schlüssel zu ermitteln. Statt dessen kopierten die Forscher eine selbstgeschriebene App auf das gejailbreakte iPhone, die ihnen die Passwörter auf dem Silbertablett präsentierte. Auf diesem Weg fanden sie unter anderem Passwörter für gesicherte WLANs und VPN-Zugänge.
Es lagen aber nicht alle Daten offen. Mit iOS 4 hat Apple nämlich erweiterte Schutzmechanismen eingeführt, über die Apps Daten im Dateisystem und in der Keychain zusätzlich sichern können, indem sie sie mit Attributen wie NSFileProtectionComplete beziehungsweise kSecAttrAccessibleWhenUnlocked versehen. Damit werden die Daten so verschlüsselt, dass sie das iPhone ohne den Passcode des Anwenders nicht entschlüsseln kann.
Allerdings benutzen bislang nur sehr wenige Anwendungen dieses Feature, das nur mit iOS 4 verfügbar ist; selbst Apples eigene Apps nutzen es bislang kaum. Prominente Ausnahme ist das Vorzeigeobjekt Mail App, die unter anderem Mail-Zugangs-Passwörter mit kSecAttrAccessibleWhenUnlocked abspeichert. Die Passwortklau-Demo konnte sie auch prompt nicht entschlüsseln. Ungeschützt war das Passwort allerdings interessanterweise, wenn man etwa ein Google-Mail-Konto als MS-Exchange-Account anspricht. Auf Passwörter, die Safari abgespeichert hatte, konnten die Forscher wiederum nicht zugreifen.
Somit kann man sich also nicht auf die Verschlüsselung der Daten auf dem iPhone verlassen. Auch das Löschen der Daten via Remote Wipe schafft keine Sicherheit, da man nicht wissen kann, ob es noch rechtzeitig passiert ist. Schließlich dauert der Angriff nur wenige Minuten. Wenn ein iPhone also tatsächlich in falsche Hände gerät, sollten die Besitzer schleunigst alle Passwörter ändern, die auch auf dem verlorenen iPhone gespeichert sind, empfehlen Heider und Boll im Fazit ihrer Analyse Practical Consideration of iOS Device Encryption Security (PDF). (ju)
