Apple nennt Sicherheits-Details zum Fingerabdruck-Sensor Touch ID und zu iMessage

Apple hat das White Paper zu Sicherheitsfunktionen von iOS auf den jüngsten Stand gebracht. Das PDF-Dokument lässt sich über die "iPhone-in-Unternehmen"-Seiten herunterladen, eine deutsche Fassung liegt weiterhin nicht vor.

Neu darin sind Passagen zum Fingerabdruckscanner Touch ID und der "Secure Enclave" des A7-Chips im iPhone 5s. Neben bekannten Details zur Funktionsweise von Touch ID betont Apple nochmals, der durch den 500-ppi-Sensor angelegte Rasterscan des Fingerabdrucks werde nur temporär verschlüsselt in der Secure Enclave abgelegt, zur Analyse vektorisiert und anschließend verworfen. Der Analyseprozess erstelle eine mathematische Repräsentation des Fingerabdruckes, schreibt der IT-Konzern – es fehlen die Detail-Daten, um den Fingerabdruck wieder rekonstruieren zu können.

Secure Enclave ist ein Koprozessor im A7-Chip, der die Fingerabdruck-Daten verwaltet, erklärt Apple. Die Kommunikation zwischen Touch ID und A7 erfolge über ein Serial-Peripheral-Interface – der A7-Chip leite die Daten verschlüsselt an die Secure Enclave weiter und könne diese selbst nicht lesen.

Dem hauseigenen Messenger-Dienst iMessage hat Apple ebenfalls einen Abschnitt gewidmet: Der Konzern zeichnet nach eigener Angabe weder Textnachrichten noch verschickte Anhänge wie Fotos auf – die Kommunikation sei Ende-zu-Ende verschlüsselt und könne nur von Sender und Empfänger gelesen werden, Apple sei nicht in der Lage, diese zu entschlüsseln – dies gilt auch für Video- und Audio-Kommunikation per FaceTime. Metadaten wie der Zeitstempel und Routing-Angaben zu Absender und Empfänger seien aber nicht verschlüsselt. Leider bietet Apple keine Möglichkeit, die dabei eingesetzten Schlüssel der Nutzer zu überprüfen – man muss Apples Directory Server als Schlüsselzentrale blind vertrauen.

Alle iMessage-Nachrichten werden nach ihrer Auslieferung gelöscht, betont der iPhone-Hersteller – allerdings hält iMessage Nachrichten für bis zu sieben Tage vor, wenn das Empfangsgerät nicht zu erreichen ist. Anhänge wie Fotos werden nach Angabe des Unternehmens mit einem Zufalls-Key verschlüsselt und auf iCloud abgelegt. Als Speicherplatz für verschlüsselte Dateien kommen auch Dritt-Dienste wie Amazon S3 und Microsoft Windows Azure zum Einsatz, schreibt Apple.

Weitere neue Passagen des White Paper gehen auf Sicherheitsaspekte beim iCloud-Schlüsselbund, der Datenübertragung per AirDrop sowie bei der Kommunikation mit Siri ein. Nicht neu, aber im Zuge der NSA-Enthüllungen interessant: Viele Krypto-Experten misstrauen derzeit den von der NSA beeinflussten Spezifikationen für Elliptic Curve Cryptography. Als viel versprechende Alternative gilt ein Vorschlag des renommierten Kryptologen Daniel J. Bernstein namens Curve25519. Der wird bislang aber wenig genutzt; erst kürzlich hat OpenSSH verkündet, dass man Curve25519 einsetzt. Apple setzt Curve25519 offenbar ebenfalls etwa bei iCloud-Backup ein. (lbe)