Riesen Sicherheitslücke: Apple ID Passwort mit Passcode ändern

[jensche]

Apple setzt so viel auf Sicherheit und Privatsphäre. 2-Faktor authentifizieren usw.

Aber Warum ist es möglich mit dem einfachen 4 stelligen Passcode auf dem IPhone das PW der AppleID zu ändern?

Passwort für Apple Account ändern - Apple Support (CH)

Gehe wie folgt vor, um das Passwort deines Apple Accounts zu ändern.

support.apple.com

Apple:
Use a complex password, it's more secure

User:
OK

Apple:
Make sure to enable 2FA. It's more secure.

User:
OK

Apple:
Make a 6 digit numeric passcode to lock down your device.

User:
Can I also use this passcode to reset my account/access all my data and bypass my password and 2FA?

Apple:
OK

Paradox das Ganze…

 

[jensche]

Eine riesen Sicherheitslücke. Null Privacy. Mit einem 4-6 stelligen Code kann einfach das PW ändern und vollen Zugriff auf das iPhone und die komplette iCloud bekommen. Einfacher gehts nicht mehr.

Jedes Kinder-iPad mit Passcode kann so benutzt werden um das Passwort des iCloud Accounts zu ändern.

 

[Aravanadi]

Und da gibt es User, die nicht mal ein Passcode nutzen! Aber auch hier gilt: Jeder ist für seine Sicherheit selber verantwortlich. Wer kein min. 8-stelliges Passcode auf seinen iPhone/iPad/Mac verwendet und auch komplexe Zeichen nutzt, der ist leichtsinnig.

 

[Hendrik Ruoff]

hö um überhaupt das Passwort ändern zu können brauchst doch erstmal das Passwort oder wenns vergessen hast den Recovery Schlüssel?!
Verstehe jetzt das Problem nicht so ganz
Die Identifikation über ein WEITERES nicht das gleiche Gerät ist nur zusätzliche Sicherheit

 

[jensche]

Nein. Einfach den einfachen Passcode eingeben und schon kommt die maske für das neue Passwort.

_____
Apple: Verwenden Sie ein komplexes Passwort, es ist sicherer.
Benutzer: OK

Apple: Stellen Sie sicher, dass Sie die Zwei-Faktor-Authentifizierung (2FA) aktivieren. Es ist sicherer.
Benutzer: OK

Apple: Erstellen Sie einen sechsstelligen numerischen Code, um Ihr Gerät zu sperren.

Benutzer: Kann ich diesen Code auch verwenden, um mein Konto zurückzusetzen, auf alle meine Daten zuzugreifen, mein Passwort zu umgehen und die 2FA zu umgehen?
Apple: OK

 

[Hendrik Ruoff]

Nein. Einfach den einfachen Passcode eingeben und schon kommt die maske für das neue Passwort.

Ja dann bist du auf dem Gerät bereits mit der Apple ID EIngeloggt und verifiziert, und trotzdem brauchst du noch ein 2tes Verifiziertes Gerät

 

[jensche]

Ja dann bist du auf dem Gerät bereits mit der Apple ID EIngeloggt und verifiziert, und trotzdem brauchst du noch ein 2tes Verifiziertes Gerät

nein. Probier es aus. Kannst ohne verifizierung einfach mit dem Passcode das Passwort ändern.

Hier in den ersten minute erklärt:

Um diese Inhalte anzuzeigen, benötigen wir die Zustimmung zum Setzen von Drittanbieter-Cookies.
Für weitere Informationen siehe die Seite Verwendung von Cookies.

Drittanbieter-Cookies akzeptieren

Sogar im Apple support Dokument so beschrieben:

Passwort für Apple Account ändern - Apple Support (CH)

Gehe wie folgt vor, um das Passwort deines Apple Accounts zu ändern.

support.apple.com

Um diese Inhalte anzuzeigen, benötigen wir die Zustimmung zum Setzen von Drittanbieter-Cookies.
Für weitere Informationen siehe die Seite Verwendung von Cookies.

Drittanbieter-Cookies akzeptieren

 

[Gelöschtes Mitglied 252346]

Das Thema hatten wir im Frühjahr hier schon ausgiebig:

https://www.apfeltalk.de/community/threads/apple-id-stehlen-etwas-sicherheit.573706

https://www.apfeltalk.de/community/threads/passcode-ausspioniert-apple-reagiert-auf-bericht.573448/

 

[jensche]

ah stimmt. Trotzdem traurig dass es da keine Lösung gibt.

 

[Gelöschtes Mitglied 252346]

ah stimmt. Trotzdem traurig dass es da keine Lösung gibt.

Das ist absolut richtig! Verbesserungen von Apple hat es seither nicht gegeben.

 

[Aravanadi]

Gerüchteweise sollte es was neues mit iOS/iPadOS 17 geben, aber vielleicht muss man erst mal die kommende Keynote abwarten.

 

[Wuchtbrumme]

warum jetzt? Das Scheunentor ist doch schon seit Monaten offen. Letztes Jahr Urlaubszeit mit Banden, die Gerätecodes ausspionieren durchs Dorf getrieben.

 

[_macminimal]

Mal teils unabhängig vom Problem hier. Gibt es eine Statistik wie viele User einen Code nutzen, statt biometrischer Anmeldungen?

 

[Aravanadi]

Mal teils unabhängig vom Problem hier. Gibt es eine Statistik wie viele User einen Code nutzen, statt biometrischer Anmeldungen?

Ich denke nicht, dass es dazu eine Statistik gibt. Wie sollten solche Daten denn zu erheben sein? Ich kenne aber einen Arbeitskollegen, der ein iPhone SE hat und Touch ID nicht nutzt, weil Er den Glauben hat, dass sein Fingerabdruck dann bei Apple liegt und seit Snowden vertraut er keinen amerikanischen Unternehmen mehr. Der tippt also jedes Mal sein Passcode ein, wenn Er sein iPhone entsperren will. Aus meiner Sicht ist der Kollege paranoid und dazu noch etwas dumm, weil Er noch nicht mal verstanden hat wie Touch-ID oder auch Face-ID funktioniert. Aber dumme Menschen gibt es eben auch. Ach so, die (Self-)Kamera vom iPhone SE hat er mit schwarzen Klebeband zudem auch noch abgeklebt LOL

 

[_macminimal]

Hmmm. Warum soll es einer solche Statistik nicht geben? Rein theoretisch könnte Apple das auswerten. Es wären auch keine personenbezogenen Daten und ich sehe da keine Ausschlusskriterien sowas nicht auszuwerten. Aber es kann natürlich sein, das nie eine solche Auswertung angestrebt wurde und so auch die Mechanismen dazu fehlen.

 

[Aravanadi]

Hmmm. Warum soll es einer solche Statistik nicht geben? Rein theoretisch könnte Apple das auswerten. Es wären auch keine personenbezogenen Daten und ich sehe da keine Ausschlusskriterien sowas nicht auszuwerten. Aber es kann natürlich sein, das nie eine solche Auswertung angestrebt wurde und so auch die Mechanismen dazu fehlen.

Dann frag Apple doch, ob die so eine Statistik haben. Vorstellbar ist alles, aber ob das auch in der Praxis gemacht wird ist hier die Frage.

 

[_macminimal]

Apple antwortet oft nicht ganz themenbezogen. Mehr so allgemein. Deshalb habe ich ja hier gefragt.

Dann frag Apple doch, ob die so eine Statistik haben. Vorstellbar ist alles, aber ob das auch in der Praxis gemacht wird ist hier die Frage.

 

[jensche]

Mal teils unabhängig vom Problem hier. Gibt es eine Statistik wie viele User einen Code nutzen, statt biometrischer Anmeldungen?

Die Statistik ist einfach 100% nutzt einen Code.
Der wird nämlich verlangt wenn z.b. die biometrische Anmeldung fehlschlägt.

Und genau da liegt das Problem.

 

[_macminimal]

Die Statistik ist einfach 100% nutzt einen Code.
Der wird nämlich verlangt wenn z.b. die biometrische Anmeldung fehlschlägt.

Und genau da liegt das Problem.

Soll das jetzt irgendwie witzig sein?

Ich beziehe mich auf die Argumentation, dass "Betrüger den Passcode ausspähen" (indem sie zusehen während man diesen eingibt) und später, wie hier kritisiert, damit sogar A-IDs (PWs) ändern könnten.

Inwiefern kommt da nun relevanter Weise "wenn biometrische Anmeldung fehl schlägt" zum Tragen?

Natürlich kann das mal passieren, wenn ich allerdings 99% der Anmeldungen (erfolgreich) biometrisch tätige, muss es schon mit dem Teufel zugehen, dass genau dann wenn ich von Betrügern beobachtet werde, mein biometrisches Verfahren fehl schlägt UND ich dann sichtbar für den/die Betrüger, meinen numerischen Passcode eingebe UND anschließend mein iPhone/iPad auch noch von genau denen geklaut wird...

 

[Joh1]

Inwiefern kommt da nun relevanter Weise "wenn biometrische Anmeldung fehl schlägt" zum Tragen?

Weil man dann wenn es fehlschlägt was ja durchaus mal sein kann dann auch in der Öffentlichkeit den Code eingeben muss...