Eine Sicherheitslücke in iOS 10 macht es wesentlich einfacher, Backups von iDevices die per iTunes gemacht wurden, zu entschlüsseln. Wie die Sicherheitsfirma Elcomsoft in ihrem Blog schreibt, könnte das Problem an der veränderten Passwort-Überprüfung von iOS 10 liegen.
Das bekannte russische Unternehmen hat herausgefunden, dass das Backup einige Sicherheitsüberprüfungen überspringt und es somit ermöglicht, Passwörter in viel schnellerer Abfolge zu testen. (Brute Force.) Elcomsoft spricht davon, dass man auf einem System mit einem Intel Core i5 Prozessor über sechs Millionen Passwörter pro Sekunde prüfen konnte, während es bei der alten Backupmethode (bis iOS 9) nur 150.000 gewesen seien und dieses auch nur unter Zuhilfenahme der GPU. (In diesem Fall eine Nvidia GTX 1080.)
Interessanterweise scheint iTunes beide Backupverfahren anzubieten, je nachdem mit welcher iOS Version das zu sichernde Gerät ausgestattet ist.
Mit einem Passwort verschlüsselte iTunes-Backups enthalten sehr viele wichtige Daten des Gerätes. Dazu gehören der Schlüsselbund und die darin gespeicherten Passwörter. Dazu gehören aber natürlich auch allerlei persönliche Daten, wie Adressen, Fotos, Telefonnummern und so weiter. Elcomsoft bietet mit dem Phone-Breaker ein Tool an, dass solche Daten aus verschlüsselten Backups extrahieren kann.
Was im Falle eines vergessenen Passwortes durchaus hilfreich sein kann, ist aber gleichzeitig auch gefährlich. Durch die geringere Sicherheit des iOS-10-Backups könnten auch Dritte diese Daten relativ leicht auslesen und ggf. verwenden. Dennoch hat diese Art des Angriffs auch einen Nachteil. Ein potentieller Hacker muss physischen Zugriff auf den Rechner haben, auf dem das verschlüsselte Backup liegt.
Apple hat die Schwachstelle inzwischen gegenüber dem Forbes Magazin bestätigt und einen Fix angekündigt. Wie üblich aber ohne Termin. Es kann aber wohl davon ausgegangen werden, dass es recht bald ein Update geben wird. Sicherungen in der iCloud sollen weiterhin sicher sein und bis zum Release des Fixes sollten User Ihre Rechner mit starken Passwörtern gegen unberechtigten Zugriff sichern. Außerdem verweist Apple auf die zusätzliche Sicherheit durch das Verschlüsseln des gesamten Laufwerks mit FileVault.
We’re aware of an issue that affects the encryption strength for backups of devices on iOS 10 when backing up to iTunes on the Mac or PC. We are addressing this issue in an upcoming security update. This does not affect iCloud backups. We recommend users ensure their Mac or PC are protected with strong passwords and can only be accessed by authorized users. Additional security is also available with FileVault whole disk encryption.
Via: 9To5Mac, Forbes und Elcomsoft
