Skip to content

Schwere Sicherheitslücke in iOS und OS X entdeckt

Geschrieben von Florian Schimanke am

Ein Team von Wissenschaftlern der Indiana University, Georgia Tech und Peking University hat eine Sicherheitslücke in iOS und OS X entdeckt, die Apple bislang nicht schließen konnte, obwohl man bereits vor neun Monaten hierüber in Kenntnis gesetzt wurde. Demnach kann es mit einer manipulierten App gelingen, Zugangsdaten aus Apples Passwortverwaltung zu entwenden. Unter anderem sind hiervon sowohl der iCloud-Schlüsselbund und die Zugangsdaten zu den Mailprogrammen unter und OS X betroffen, aber auch externe Apps, wie beispielsweise Googles Chrome-Browser.

Die Forschungsergebnisse wurden in einer wissenschaftlichen Veröffentlichung zusammengetragen und Apple informiert. Dort nahm man die Sicherheitslücke zur Kenntnis und bat die Wissenschaftler um eine sechsmonatige Geheimhaltung. Nachdem diese abgelaufen ist ohne das Apple die Lücke gestopft hat, wurden die Ergebnisse nun veröffentlicht. Das 13-seitige Paper mit dem Titel "Unauthorized Cross-App Resource Access on Mac OS X and iOS" beschreibt dabei, wie die Kommunikation zwischen Apps und Diensten wie dem Schlüsselbund und WebSocket abgehört und dabei Zugangsdaten abgegriffen werden können.



YouTube Direktlink

Zu den hierdurch betroffenen Apps gehören unter anderem so populäre Anwendungen wie 1Password, iCloud, Gmail, Google Drive, Facebook, Twitter, Chrome, Evernote, Pushbullet, Dropbox, Instagram, WhatsApp, Pinterest, Dashlane, AnyDo, Pocket und diverse andere. Offenbar ist Apple nicht in der Lage, die manipulierten Apps für den Angriff zu entdecken. Jedenfalls haben es die Forscher geschafft, diese diverse Male durch Apples AppStore-Zugangskontrolle zu schleusen.

Der Nutzer kann sich aktuell nicht gegen den Angriff schützen. Die Forscher empfehlen jedoch, vorrangig Apps von vertrauenswürdigen Entwicklern aus dem AppStore zu laden bis Apple die Lücke gestopft hat. Von den Entwicklern betroffener Apps hat Google bereits Konsequenzen gezogen. Die bislang in Chrome verwendete Speicherung von Daten und Kennwörtern im Schlüsselbund wurde inzwischen deaktiviert.

Trackbacks

Keine Trackbacks

Kommentare

Ansicht der Kommentare: Linear | Verschachtelt

Thomas am :

????

Ulf am :

Vor 9 Monaten Apple informiert?
Nach 9 Monaten immer noch nicht geschlossen? Das bei einem so massiven Bug?

So langsam verliere ich das Vertrauen in Apple. Das ist doch Nachlässigkeit!
Aber die AppleWatch zu veröffentlichen war wohl wichtiger...

Jsan am :

Das ist in IOS 9 bereinigt. Wird in den Security-Videos der WWDC auch kurz angesprochen (nicht direkt, aber dass Entwickler andere Apps nichts angehen, die auf Geräten installiert sind, und daher Änderungen in den Zugriffsrechten auf Systemkomponenten durchgeführt wurden).

Ist halt schwierig - einerseits wollen die User die Interoperabilität (Beispiele: Anbindung an Facebook, Zugriff auf Fotos/Lokation/Adressbuch erlauben), andererseits kompromittiert das natürlich die Sicherheit.

Wobei ich persönlich den Zugriff auf die Kontakte genauso schlimm finde, und das ist nicht einmal ein Security-Leck, sondern gewollt. Keiner sollte das Recht haben, persönliche Daten anderer Menschen weiterzugeben.

Chris Isaak am :

Ganz ähnlich verlief es ja vor wenigen Wochen mit der Möglichkeit, durch ein Popup in Mail die Apple-ID abzugreifen. Auch dort passierte drei Monate lang nichts, dann ging der Entdecker des 'Bugs' an die Öffentlichkeit.

Ispeedy am :

(Kommentar entfernt)

Stefan R. am :

Nur gut, dass BND und amerikanische Geheimdienste brave Schaferl sind, die sich nirgends "reinhacken". Hauptsache, man kann's auf die "Anderen" schieben und das eigene Weltbild bleibt einfach strukturiert und überschaubar.

Ispeedy am :

(Kommentar entfernt)

Stefan R. am :

„Wer die Freiheit aufgibt um Sicherheit zu gewinnen, der wird am Ende beides verlieren.“

Benjamin Franklin

Ispeedy am :

(Kommentar entfernt)

Stefan R. am :

Ja, die Welt verändert sich. Und gerade die technologische Entwicklung macht den Schutz der Freiheit umso wichtiger, weil die Totalüberwachung dadurch um so vieles einfacher oder überhaupt erst möglich geworden ist. Nicht der Bürger sollte gläsern für den Staat sein, sondern genau andersherum. Der Staat sollte gläsern für den Bürger sein. Wenn Misstrauen zwischen dem Staat und den eigenen Bürgern herrscht, dann beginnt ein Wettrüsten, das kein gutes Ende nehmen kann.

Ulf am :

"Die anderen Siegermächte" haben 40 Jahre lang den Ostteil Deuschlands "behandelt". Du weißt schon, dass es zwischen 1949 und 1990 zwei deutsche Staaten gab, oder?

Anonym am :

Bei dir hat die Gehirnwäsche der westlichen Medien wohl prächtig funktioniert!

Stefan R. am :

Seit wann liegen Goergia und Indiana in Asien?!

Ispeedy am :

(Kommentar entfernt)

Stefan R. am :

https://de.wikipedia.org/wiki/Selektive_Wahrnehmung

Ispeedy am :

(Kommentar entfernt)

Fred am :

Dann guck doch mal was die Presse in den von dir genannten Ländern über Cyberangriffe und deren Ursprung berichten.

Marek am :

Rassismus gehört nicht hier her. Apple hat hier einfach Nachhol Bedarf. Wer die Fehler findet ist doch gleich. Hauptsache die Fehler werden aufgedeckt und Apple bewegt sich dann auch mal schneller was die Behebung selbiger angeht.

Chris Isaak am :

@iSpeedys Kommentar verstößt gegen jede Netiquette und ist zutiefst menschenverachtend und rassistisch. Muss das sein?

Herri am :

Russenpack also, wird hier denn garnix zensiert.?

Volker am :

Auf heise.de wird etwas genauer beschrieben wo die Lücken liegen und wie sie genutzt werden können. Das Hauptproblem ist OSX, nicht iOS.

Bei Agilebits (den Machern von 1Password) findet man im Blog eine sehr ausführliche und ehrliche Beschreibung:
https://blog.agilebits.com/2015/06/17/1password-inter-process-communication-discussion/
Wer des Englischen soweit mächtig ist, sollte den Artikel mal lesen.

Anonym am :

Google hT bereits reagiert, Apfel nicht. Komisch... ;)

Tobias am :

Erst der riessen WLAN Bug und jetzt noch sowas. Unfassbar aber Hauptsache ne Apple Watch auf den Markt schmeissen

Jsan am :

Wieso kann ich Volker nicht direkt antworten, sondern krieg die Option, seinen Kommentar als Datei weiterzusenden?

Wie auch immer, @Volker:
Das Hauptproblem sind alle Plattformen, auf denen es eine Passwortveraltung gibt. Also IOS genauso wie Mac OS X (oder Android).

Apple sollte die Apps besser testen, bevor es sie genehmigt. Ein Walled Garden ist eine gute Sache, wenn er die Leute, die drin sind, vor denen, die rein wollen, schützt. Derzeit sieht es aber eher so aus, als ob jeder rein dürfte und diejenigen, die drin sind, nicht mehr raus.

Volker am :

Der Walled Garden (Sandbox) ist nicht das Problem sondern die gewollten Tore, die man einbaut.
Um im Bild zu bleiben: Diejenigen die man eingelassen hat, können z.T. auch Dinge mitnehmen, die sie nicht sollten. Außer ist es schwer festzustellen ob ich überhaupt am richtigen Garten stehe und so dem falschen mein Geheimnis anvertraue.
Der angebliche Fehler bei 1Password ist ein Witz. Warum soll ich ein Programm bauen, das die Kommunikation zwischen dem Browser-Plugin und 1Password abhört, wenn ein Plugin heute schon den Browser abhören kann.

Ja, Kommunikation ist ein Risiko und ja das kann und sollte man besser machen. Aber die gemachte Empörung ist doch reichlich übertrieben.

Theodor am :

Ich verstehe die ganze Aufregung um diesen ach so schlimmen Bug überhaupt nicht. Jede noch so winzige Bagatelle wird hochgespielt, als wäre sie das Ende der Welt. Solange meine Privatsphäre gewährt und meine persönlichen Daten sicher sind, gehen mir solche Bugs am Allerwertesten vorbei. Und das sind sie! Das hat uns Tim Cook persönlich mehr als nur einmal versprochen.

Chris am :

Das mögliche ausspionieren von Passwörtern auf deinem Telefon findest du ok solange niemand mit diesen Passwörtern dein in Facebook Account geht (oder whatsapp mit ließt, oder oder oder) ?
Ok. Dann stell mal deine Passwörter hier ein. Ich benutze sie auch nicht. Versprochen!

Theodor am :

Lieber Chris, deine Blauäugigkeit amüsiert mich. Geh doch nicht diesen leicht durchschaubaren Intriganten so dermaßen naiv auf den Leim! Bei Apple sind unsere Daten sicher; da ist nichts mit Passwörtern auslesen, in Accounts einhacken etc.

Theodor am :

Das ist nicht putzig, das ist fair! Wieso sollte ich einen Ehrenmann wie Tim Cook der Lüge bezichtigen? Das kann sich ein Mann in seiner Position doch gar nicht erlauben. Ich glaube vielmehr, dass das Ganze verleumderische Stimmungsmache gegen Apple ist, um den Absatz der Apple Watch zu sabotieren. Zum Glück lässt sich die große Mehrheit der Konsumenten davon nicht beeinflussen und setzt weiter auf das sicherste Betriebssystem der Welt.

Ben am :

@ispeedy
Ich glaube ich habe hier noch nie so einen rassistischen und dummen Schwachsinn von einer Person gehört. Da läuft es einem eiskalt den Rücken runter.
...

Chris am :

iDisko !

Es gibt jede menge Leute mit latentem stumpfsinnigem Rassismus. Leider.

Der Typ gehört aber wohl zur Gattung :
des aggressivem und sich auf stereotypen beziehenden Rassisten.

Ich bin umzingelt von Idioten, denken ist verboten....




In der Regel aus bildungsfernen Schichten.

Kommentar schreiben

Die angegebene E-Mail-Adresse wird nicht dargestellt, sondern nur für eventuelle Benachrichtigungen verwendet.
Umschließende Sterne heben ein Wort hervor (*wort*), per _wort_ kann ein Wort unterstrichen werden.
Formular-Optionen