Wie die Washington Post berichtet, hat ein Team von Sicherheitsforschern um den Verschlüsselungsexperten Matthew Green an der John Hopkins University in Baltimore die Schwachstelle entdeckt. Die Experten hatten per selbstentwickelter Software einen Apple-Server imitiert und dann eine in der iCloud hinterlegte verschlüsselte Bilddatei angegriffen, die als Link innerhalb einer iMessage versendet wurde. Das für die Entschlüsselung nötige Passwort habe zwar 64 Stellen gehabt, eine Zeichen-für-Zeichen-Bruteforce-Attacke habe aber einen Erfolg gebracht, weil das Apple-Programm jedes richtige Zeichen einzeln bestätigt habe, berichtet die Zeitung. Weitergehende technische Details wurden nicht genannt.
iMessage setzt auf Ende-zu-Ende-Verschlüsselung, sämtliche Sicherheitsschlüssel befinden sich also auf den Endgeräten der Nutzer und nicht auf Apple-Servern. Das führt aber auch dazu, dass bei einer Sicherheitslücke im Verschlüsselungsalgorithmus sofort alle privaten Daten von Nutzern für Angreifer einsehbar sind.
Nachdem die Washington Post die Geschichte - offensichtlich aus Versehen zu früh - am gestrigen Sonntag veröffentlicht hatte, überschlugen sich bereits die Reaktionen im Social Web. Die Zeitung nahm das Ganze dann erst einmal wieder offline und veröffentlichte es in der Nacht zum Montag erneut. In der neuen Version des Beitrags heißt es, dass Apple die Sicherheitslücke kenne und mit iOS 9.3 beheben werde, das bereits heute erscheinen soll.
Keine Hilfe für das FBI
Weitere Informationen zu der Sicherheitslücke soll es geben, sobald das Update veröffentlicht ist, schrieb Ian Miers, einer der Security-Forscher der John Hopkins University, bei Twitter. Mit der Forderung des FBI an Apple, eine Hintertür in die iPhone-Verschlüsselung einzubauen, soll diese Schwachstelle laut Miers aber nichts zu tun haben.