Flo's Weblog | Apple News and more... Alles über Apple und Gadgets

In der vergangenen Woche kamen Berichte auf, wonach Sicherheitsforscher von Google eine schwere Sicherheitslücke in iOS entdeckt hatten, über die sich Angreifer mithilfe einer manipulierten Webseite Zugriff auf ein beliebiges iPhone verschaffen konnten. Das Project Zero Team setzte Apple von dem Problem im Februar dieses Jahres in Kenntnis, woraufhin das Unternehmen die Lücke noch im selben Monat mit der Veröffentlichung von iOS 12.1.4 schloss. Dennoch sorgte die Meldung für einige Unsicherheiten bei den Nutzern, denen sich Apple am heutigen Abend in einer Pressemitteilung zu dem Thema widmet.

Zunächst einmal weist Apple darauf hin, dass es sich bei dem Angriff nicht um eine Attacke handelte, die auf eine breite Masse von Nutzern zielte, sondern auf einen bestimmten Nutzerkreis. Betroffen waren konkret weniger als ein dutzend Webseiten, die Bezug zu den Uiguren haben, auf die der Angriff offenbar auch zielte.

Die Meldung von Googles Project Zero Team erschien zudem (wie oben auch bereits angemerkt) mehr als ein halbes Jahr nachdem die Lücke entdeckt und von Apple auch umgehend gestopft wurde. Dennoch erweckte die Verbreitung in den Massenmedien den Eindruck, als würde es sich um eine aktuelle Problematik handeln. Dies sei ebenso wenig der Fall wie die in Umlauf geratene These, dass sämtliche iPhones hierdurch gefärdet gewesen seien.

Apple schließt seine Pressemitteilung mit dem Hinweis, dass das Thema Cyber-Sicherheit eine nie endende Reise ist und irgendwie auch immer das Spiel zwischen Hase und Igel. Apple nehme die Herausforderungen an die Sicherheit aber sehr ernst und tue alles dafür, seinen Nutzern ein möglichst sicheres Nutzungserlebnis zu bieten. Im Anschluss die Pressemitteilung im Wortlaut:

Last week, Google published a blog about vulnerabilities that Apple fixed for iOS users in February. We’ve heard from customers who were concerned by some of the claims, and we want to make sure all of our customers have the facts.

First, the sophisticated attack was narrowly focused, not a broad-based exploit of iPhones “en masse” as described. The attack affected fewer than a dozen websites that focus on content related to the Uighur community. Regardless of the scale of the attack, we take the safety and security of all users extremely seriously.

Google’s post, issued six months after iOS patches were released, creates the false impression of “mass exploitation” to “monitor the private activities of entire populations in real time,” stoking fear among all iPhone users that their devices had been compromised. This was never the case.

Second, all evidence indicates that these website attacks were only operational for a brief period, roughly two months, not “two years” as Google implies. We fixed the vulnerabilities in question in February — working extremely quickly to resolve the issue just 10 days after we learned about it. When Google approached us, we were already in the process of fixing the exploited bugs.

Security is a never-ending journey and our customers can be confident we are working for them. iOS security is unmatched because we take end-to-end responsibility for the security of our hardware and software. Our product security teams around the world are constantly iterating to introduce new protections and patch vulnerabilities as soon as they’re found. We will never stop our tireless work to keep our users safe.