Sicherheitslücke in der iCloud

Forscher knacken Apple iMessage

Simon verantwortet auf Computerwoche online redaktionell leitend überwiegend alle Themen rund um IT-Sicherheit, Risiko-Management, Compliance und Datenschutz. Er entwickelt darüber hinaus innovative Darstellungsformate, beschäftigt sich besonders gerne mit Datenanalyse und -visualisierung und steht für Reportagen und Interviews vor der Kamera. Außerdem betreut der studierte Media Producer den täglichen Früh-Newsletter der Computerwoche. Aufgaben in der Traffic- und Keyword-Analyse, dem Content Management sowie die inoffizielle Funktion "redaktioneller Fußballexperte" runden sein Profil ab.
Dateien, die in der iCloud gespeichert sind, lassen sich durch eine Sicherheitslücke in Apples iMessage für unberechtigte Dritte auslesen. Apple will bereits heute patchen.

Wie die Washington Post berichtet, hat ein Team von Sicherheitsforschern um den Verschlüsselungsexperten Matthew Green an der John Hopkins University in Baltimore die Schwachstelle entdeckt. Die Experten hatten per selbstentwickelter Software einen Apple-Server imitiert und dann eine in der iCloud hinterlegte verschlüsselte Bilddatei angegriffen, die als Link innerhalb einer iMessage versendet wurde. Das für die Entschlüsselung nötige Passwort habe zwar 64 Stellen gehabt, eine Zeichen-für-Zeichen-Bruteforce-Attacke habe aber einen Erfolg gebracht, weil das Apple-Programm jedes richtige Zeichen einzeln bestätigt habe, berichtet die Zeitung. Weitergehende technische Details wurden nicht genannt.

Apples Kurznachrichtendienst iMessage hat eine gravierende Sicherheitslücke. iOS 9.3 soll diese beheben.
Apples Kurznachrichtendienst iMessage hat eine gravierende Sicherheitslücke. iOS 9.3 soll diese beheben.
Foto: Apple

iMessage setzt auf Ende-zu-Ende-Verschlüsselung, sämtliche Sicherheitsschlüssel befinden sich also auf den Endgeräten der Nutzer und nicht auf Apple-Servern. Das führt aber auch dazu, dass bei einer Sicherheitslücke im Verschlüsselungsalgorithmus sofort alle privaten Daten von Nutzern für Angreifer einsehbar sind.

Datenzugriff mobil - aber bitte geschützt - Foto: ArtFamily - shutterstock.com

Datenzugriff mobil - aber bitte geschützt

Nachdem die Washington Post die Geschichte - offensichtlich aus Versehen zu früh - am gestrigen Sonntag veröffentlicht hatte, überschlugen sich bereits die Reaktionen im Social Web. Die Zeitung nahm das Ganze dann erst einmal wieder offline und veröffentlichte es in der Nacht zum Montag erneut. In der neuen Version des Beitrags heißt es, dass Apple die Sicherheitslücke kenne und mit iOS 9.3 beheben werde, das bereits heute erscheinen soll.

Keine Hilfe für das FBI

Weitere Informationen zu der Sicherheitslücke soll es geben, sobald das Update veröffentlicht ist, schrieb Ian Miers, einer der Security-Forscher der John Hopkins University, bei Twitter. Mit der Forderung des FBI an Apple, eine Hintertür in die iPhone-Verschlüsselung einzubauen, soll diese Schwachstelle laut Miers aber nichts zu tun haben.