iOS 12.1: Schwachstelle im Sperrbildschirm enthüllt Kontakte
Das Hinzufügen von Personen zu FaceTime-Telefonaten gibt Dritten trotz eines gesperrten iPhones freien Zugriff auf das Adressbuch.
Der Bug ermöglicht Zugriff auf die Kontaktliste eines gesperrten iPhones.
(Bild: videosdebarraquito)
Eine wichtige Funktionsneuerung von iOS 12.1 führt eine neue Schwachstelle ein: Über die Option, Personen zu einem FaceTime-Gruppenanruf hinzuzufügen, kann einer unbefugte Person mit physischem Zugriff auf iPhone oder iPad ohne Kenntnis des Gerätecodes das Adressbuch des Besitzers durchforsten.
Im Unterschied zu vorausgehenden Sperrbildschirm-Schwachstellen, lässt sich dies vergleichsweise einfach durchführen, wie der Sicherheitsforscher Jose Rodriguez berichtet. Der Angreifer muss einen ausgehenden Anruf auslösen – etwa per Siri – oder das Ziel-iPhone selbst anrufen, dann auf den FaceTime-Button drücken und das Telefon in den Flugmodus versetzen. Beim iPad muss der Anruf direkt über FaceTime erfolgen.
Einblick in iPhone-Kontaktliste
Anschließend kann man über die Bedienoberfläche mit iOS 12.1 neue Personen zu dem aufgebauten FaceTime-Telefonat hinzufügen, wie Rodriguez in einem Video demonstriert – dadurch wird zugleich das Adressbuch eingeblendet. Ein fester Druck auf den jeweiligen Namenseintrag gebe dann auch den Blick auf die Kontaktdetails frei.
iOS 12.1 stopft zwei andere Bugs zur Umgehung des Sperrbildschirms
Zwei zuvor von Rodriguez entdeckte und publik gemachte Schwachstellen des iPhone-Sperrbildschirms hat Apple gerade erst mit dem Update auf iOS 12.1 beseitigt. In iOS 12.0 und 12.0.1 kann ein Angreifer darüber ebenfalls Einblick in Kontakte nehmen und sogar Fotos des Gerätebesitzers extrahieren. Apple dürfte das nun demonstrierte Problem mit einem weiteren Update schließen, voraussichtlich iOS 12.1.1, das sich inzwischen im Beta-Test befindet.
Eine Vielzahl an Komfortfunktionen, die auch bei gesperrtem iPhone bereitstehen, vergrößern die Angriffsfläche – entsprechend werden immer wieder Lockscreen-Bugs gefunden. Nutzer können verschiedene im Sperrzustand verfügbare Funktionen abschalten, um sich besser abzusichern, darunter auch das Sprachassistenzsystem Siri oder den Zugriff auf Kontrollzentrum und Mitteilungen. Dies ist in den Einstellungen unter Face ID & Code respektive Touch ID & Code möglich. (lbe)
