Contact Key Verification - Die Details zur neuen iMessage Funktion

[Jan Gruber]

Jan Gruber
Mit dem neuen iOS bringt Apple jetzt auch die Contact Key Verification für iMessage. Passend dazu hat der Konzern die Funktion in seinem Sicherheitsblog im Detail erklärt.

Du hast vielleicht gehört, dass Apple gestern eine Beta-Version einer neuen iMessage-Sicherheitsfunktion namens Contact Key Verification vorgestellt hat. Heute tauchen wir tiefer in das Thema ein. Apple hat nämlich technische Details zur Funktionsweise dieser Innovation veröffentlicht.

Schutz vor unbekannten Bedrohungen​

Diese neue Sicherheitsfunktion ist einzigartig. Sie schützt vor Bedrohungen, die bisher noch nicht aufgetreten sind. Apple hat also proaktiv gehandelt. Die Funktionsweise? Wenn aktiviert, sendet die Kontaktschlüsselverifizierung automatische Warnungen aus. Dies passiert, wenn die iMessage-Schlüsselverteilungsdienste Geräteschlüssel zurücksenden, die nicht verifiziert wurden. Ein Beispiel: Einem iMessage-Konto wird ein nicht erkanntes Gerät hinzugefügt. Noch sicherer wird es, wenn CKV persönlich, per FaceTime oder einem anderen sicheren Kanal verwendet wird.

Ein Blick zurück und nach vorn​

Apple hat über die Jahre zahlreiche Sicherheitsfunktionen in iMessage integriert. Es war der erste weit verbreitete Messaging-Dienst, der standardmäßig Ende-zu-Ende-Verschlüsselung bot. Das war 2011. Seitdem hat sich viel getan. Das Protokoll wurde stärker, die Schlüsselverwaltung robuster. Die Secure Enclave bietet heute zusätzlichen Hardwareschutz. BlastDoor, eingeführt in iOS 14, machte es Angreifern schwerer, das Gerät über die Nachrichten-App anzugreifen. Und iOS 16 brachte den Lockdown-Modus. Er bietet zusätzlichen Schutz für Nutzer:innen, die schwerwiegenden Bedrohungen ausgesetzt sind. Heute werfen wir einen Blick auf den nächsten großen Schritt: Contact Key Verification.

Die Funktionsweise der Kontaktschlüsselverifizierung​

Die Kontaktschlüsselverifizierung setzt auf Ende-zu-Ende-Verschlüsselung. Jedes Gerät im iMessage-Konto eines Benutzers generiert seine eigenen Verschlüsselungsschlüssel. Die privaten Schlüssel verlassen niemals das Gerät. Der Identity Directory Service (IDS) von Apple hilft bei der Erkennung von Schlüsseln. Aber, das System hat Schwachstellen. Ein Angreifer könnte den Schlüsselverzeichnisdienst kompromittieren. Dann könnte er verschlüsselte Nachrichten abfangen oder überwachen. Die Lösung? Ein Verifizierungsschritt. Aber auch hier gibt es Herausforderungen. Bei neuen Geräten müssen Schlüssel erneut verifiziert werden.

Apple hat das Problem gelöst. Die Contact Key Discovery erfüllt sechs Anforderungen. Sie sichert das Schlüsselerkennungsprotokoll und bietet gleichzeitig eine großartige Benutzererfahrung in iMessage. Eine Wahrheitsquelle für Schlüsselmaterial und Metadaten, automatische Verifizierung, Synchronisierung über alle Geräte, Erkennung geteilter Ansichten, Skalierbarkeit und Benachrichtigungen nur bei unerwarteten Sicherheitslagen sind die Eckpfeiler dieser Lösung.

In Kürze wird Apple eine "vollständige technische Anleitung" für diese Funktion veröffentlichen. Mehr Details findest du auf dem Security Research Blog von Apple.

Via Apple

Den Artikel im Magazin lesen.

 

[Balkenende]

Ernstgemeinte Frage, ist das technisch hochtrabender als das, was Signal anbietet?

M.E. führt Apple doch nur die Art der Verifizierung ein, die anderweitig schon verwendet wird. Ich habe mich aber nur schnell durch den Text gemogelt und die Systeme nicht wirklich verglichen.