Flo's Weblog | Apple News and more... Alles über Apple und Gadgets

Fehler, Versehen oder Absicht? Wie Sicherheitsforscher des Unternehmens ElcomSoft herausgefunden haben, verwendet iOS 10 eine deutlich schwächere Verschlüsselung wenn man seine Geräte-Backups passwortgeschützt via iTunes auf einem Mac abglegt. Während alle Versionen von iOS 4 bis hin zu iOS 9 das Passwort noch mit dem extrem starken PBKDF2-Verfahren gesichert wurde, verwendet iOS 10 nur noch das SHA2-256 Verfahren. Um das Ganze mal mit Zahlen zu unterfüttern: Bei PBKDF2 kommen 10.000 Berechnungsrunden für die Verschlüsselung zum Einsatz, bei SHA2-256 ist es nur eine. Hierdurch kann dieses Kennwort von einem Angreifer natürlich auch deutlich schneller entschlüsselt werden, als bei der sichereren Variante. Laut ElcomSoft verringert sich der Aufwand um den Faktor 40 und macht das Entschlüsseln des Backups in 80% bis 90% Prozent der Versuche möglich. Statt in einem Brute-Force Angriff nur maximal 150.000 Passwörter pro Sekunde probieren zu können, sind es nun 6 Millionen.

Was genau hinter dem Wechsel von dem sicheren zu dem unsichereren Verfahren steckt, ist unklar. Während Verschwörungstheoretiker einen Deal mit den US-amerikanischen Sicherheitsbehörden vermuten, geht das in Moskau ansässige Unternehmen ElcomSoft eher von einem Fehler oder einem Überbleibsel aus der Beta-Phase aus. Panik ist ohnehin nicht angebracht, denn um den Angriff überhaupt erst starten zu können, braucht der Hacker zunächst einmal Zugriff auf den Rechner, auf dem dieses abgelegt ist.

Auch Apple hat sich zu dem Thema inzwischen gegenüber Forbes, geäußert und die Kenntnis des Problems bestätigt. Dabei weist man zum einen auf den oben genannten Umstand hin, aber auch darauf, dass iCloud-Backups von dem Problem nicht betroffen sind. Man werde das Problem in einem kommenden Update beheben.

"We're aware of an issue that affects the encryption strength for backups of devices on iOS 10 when backing up to iTunes on the Mac or PC. We are addressing this issue in an upcoming security update. This does not affect iCloud backups. We recommend users ensure their Mac or PC are protected with strong passwords and can only be accessed by authorized users. Additional security is also available with FileVault whole disk encryption."