iCloud-Schlüsselbund: Schwachstelle ermöglichte Fremdzugriff auf Passwörter
Ein Sicherheitsforscher hat Details zu einer Lücke in Apples Ende-zu-Ende-Verschlüsselung genannt, die den zentralen iCloud-Schlüsselbund eigentlich vor Zugriffen durch Unbefugte absichern soll. Der Fehler ist bereits behoben.
(Bild: dpa, Karl-Josef Hildenbrand)
Ein Fehler in Apples Verschlüsselungsprotokoll für iCloud-Keychain ermöglichte versierten Angreifern, auf die dort gespeicherten Nutzerdaten zuzugreifen – dazu gehören gewöhnlich Zugangsdaten, Passwörter und Kreditkartendaten. Durch Ausnutzung des Bugs könne ein Unbefugter alle in der Passwort-Verwaltung gespeicherten Zugangsdaten "im Klartext" einsehen, wie der Sicherheitsforscher Alex Radocea auf der Sicherheitskonferenz Black Hat ausführte.
Der Angriff erfolge für den Nutzer lautlos, dieser merke also nicht, dass ein neues Gerät auf seine iCloud-Keychain Zugriff erhält. Eigentlich müssen Nutzer jedes neue Gerät, das den iCloud-Schlüsselbund abgleichen will, erst von einem bereits bestätigten iPhone, iPad oder Mac aus autorisieren. Die Zugangsdaten werden laut Apple für jedes bestätigte Gerät speziell verschlüsselt, so dass ein anderer Computer – oder Apple – die Daten nicht einsehen kann.
Ein Fehler bei der Signatur-Verifikation in Apples angepasster Version des quelloffenen Verschlüsselungsprotokolls Off-the-Record (OTR) ermöglichte dem Angreifer aber, eine speziell manipulierte Signatur einzusetzen, die eigentlich abgelehnt werden sollte – durch den Bug aber akzeptiert wird, wie der Sicherheitsforscher erklärt. Auf diese Weise könne der Angreifer zwar kein neues iPhone für die Synchronisation anmelden, sich aber als ein bereits autorisiertes Gerät ausgeben und so die verschlüsselten Zugangsdaten auslesen. Der Fehler hat "auffällige Ähnlichkeiten" mit dem goto-Fail-Bug, erläuterte Radocea.
Angriff auf iCloud-Keychain komplex
Das Ausnutzen des Fehlers ist allerdings komplex, schränkte der Sicherheitsforscher gegenüber Mac & i ein: Der Angreifer benötige entweder Zugriff auf den iCloud-Account des Opfers, sprich durch Kenntnis der Zugangsdaten zu einem Benutzerkonto, das nicht durch Zwei-Faktor-Authentifizierung geschützt ist. Oder der Angreifer müsse durch einen Man-in-the-Middle-Angriff in der Lage sein, die TLS-Verbindungen des Nutzers auszuspionieren. Ein böswilliger Apple-Mitarbeiter mit Zugriff auf das Backend sei durch den OTR-Bug außerdem in einer Position, die eigentlich Ende-zu-Ende-verschlüsselten Keychain-Daten von Nutzern einzusehen.
Der iCloud-Keychain gehört zu den bislang wenigen iCloud-Diensten mit einer Ende-zu-Ende-Verschlüsselung, die generell verhindern soll, dass Dritte auf die Daten zugreifen können – darunter auch der Hersteller selbst. Viele andere iCloud-Dienste versenden und speichern ihre Daten zwar verschlüsselt, Apple hat dafür aber einen Schlüssel und rückt diese auf gerichtlich abgesegnete Anfragen mitunter auch heraus.
Schwachstelle seit iOS 10.3 im März geschlossen
Apple hat die von Radocea schon im Januar gemeldete Lücke mit iOS 10.3 im März 2017 “durch eine verbesserte Überprüfung” geschlossen. Dies gilt zumindest für Geräte, die das Update installieren können, sprich mindestens ein iPhone 5. In macOS respektive OS X wurde die Schwachstelle zu diesem Zeitpunkt ebenfalls beseitigt, hier gibt es – neben macOS 10.12. Sierra – auch ein Update für die älteren Versionen OS X 10.11 El Capitan und 10.10 Yosemite.
Der iCloud-Keychain-Bug hatte bislang wenig Aufmerksamkeit erhalten, da lange Zeit keine Details bekannt waren und es sich nur um einen Fehler unter insgesamt 70 Sicherheitslücken handelt, die iOS 10.3 beseitigt hat – darunter auch andere gravierende Schwachstellen. (lbe)
