Anzeige

Apple-Geräte

Quelle: mama_mia / Shutterstock.com

Ein internationales Forscherteam unter Beteiligung der TU Darmstadt hat Sicherheits- und Privatheitsprobleme in iOS und macOS entdeckt. Apple hat mittlerweile Updates zur Behebung veröffentlicht.

Jessica will mit ihrem iPhone zu ihrem Flug nach New York einchecken, doch der Bildschirm bleibt schwarz, während das Telefon ständig neu startet. Und sie ist damit nicht alleine: Alle Nutzer von Apple-Geräten in der Nähe haben dasselbe Problem. Was sie nicht weiß: Als sie in der Flughafenlounge Fotos und Firmenpräsentationen von ihrem Handy zu ihrem MacBook übertragen hat, konnte ein Angreifer diese mitlesen, ihren Standort nachverfolgen und diesen sogar mit ihrem Vornamen und einer Geräte-ID assoziieren.

Diese Schwachstellen wurden von Forschern der TU Darmstadt und der Northeastern University Boston entdeckt. Gemeinsam mit dem Apple-Sicherheitsteam arbeiteten die Forscher an der Behebung der Lücken. Sie empfehlen Nutzern von Apple-Geräten dringend, die soeben veröffentlichten Updates iOS 12.3 und macOS 10.14.5 zu installieren, um die Sicherheitsverbesserungen zu erhalten.

Mehr als eine Milliarde Apple-Geräte waren prinzipiell von den Schwachstellen betroffen, da diese in einem gemeinsamen Kernbestandteil aller Apple-Betriebssysteme wie iOS und macOS verborgen waren: ein proprietäres Protokoll namens Apple Wireless Direct Link (AWDL), über das bisher nicht viel bekannt war. Zahlreiche Sicherheits- und Privatheitsprobleme darin ermöglichten es einem Angreifer, Handynutzer zu orten, ihre Geräte abstürzen zu lassen, Kommunikation zu unterbinden und sensible Daten bei der Übermittlung per AirDrop abzufangen.

AWDL macht es möglich Nutzer zu verfolgen, da es die ID und den Gerätenamen preisgibt, der in vielen Fällen den Vornamen des Besitzers enthält. Milan Stute, Forscher an der TU Darmstadt und im Nationalen Forschungszentrum für angewandte Cybersicherheit CRISP, erklärt: „Wir erforschen die Drahtlos-Funktionen von Apple seit 2017, um zu verstehen wie AWDL und die damit zusammenhängenden Dienste funktionieren. Zusätzlich zu den bereits erwähnten Privatheitsproblemen haben wir so auch einige Sicherheitsschwachstellen aufgedeckt.“ Das Forscherteam fand heraus, wie per AirDrop übertragene Dateien abgefangen werden können. AirDrop ist ein Apple-Dienst, der auf AWDL aufbaut. Der potentielle Angreifer nutzt aus, dass die Benutzeroberfläche auch nicht vertrauenswürdige Verbindungen anzeigt. Mit einer solchen kann er eine sogenannte „man-in-the-middle“-Position erlangen und dadurch Dateien während der Übertragung abfangen oder modifizieren.

Die Forscher haben ein Video auf YouTube veröffentlicht, das den Angriff demonstriert (https://youtu.be/5T7Qatoh0Vo).

Um überhaupt an AWDL und AirDrop forschen zu können, mussten die Wissenschaftler die Protokolle zuerst rekonstruieren und selbst implementieren. Ihre Versionen haben sie als Open Source Software veröffentlicht, um sie anderen Forschern zugänglich zu machen (https://owlink.org). Die zugehörige wissenschaftliche Veröffentlichung wird im August auf dem renommierten USENIX Security Symposium 2019 präsentiert.

Professor Matthias Hollick, Forschungsgruppenleiter an der TU Darmstadt und am Nationalen Forschungszentrum für angewandte Cybersicherheit CRISP, fasst die Problematik zusammen: „Apple ist eines der wenigen großen Technologie-Unternehmen, das die Sicherheit und Privatheit seiner Nutzer und die einfache Bedienbarkeit seiner Produkte in den Mittelpunkt stellt. Es wäre schön, wenn sich andere Tech-Riesen dem anschließen würden. Deswegen ist es nahezu ironisch, dass Apple der komplexe Aufbau eines seiner wichtigsten Drahtlosprotokolle zum Verhängnis wurde, das als Basis für die benutzerfreundlichen Features des Apple-Kosmos dient. In diesem Fall ging der Wunsch nach größtmöglicher Funktionalität zu Lasten der Sicherheit. Es wäre viel geholfen, wenn Hersteller sich auf einfache und offene Lösungen fokussieren.“

Wissenschaftliche Veröffentlichung zum Thema:

Milan Stute, Sashank Narain, Alex Mariotto, Alexander Heinrich, David Kreitschmann, Guevara Noubir, and Matthias Hollick. "A Billion Open Interfaces for Eve and Mallory: MitM, DoS, and Tracking Attacks on iOS and macOS Through Apple Wireless Direct Link" in USENIX Security '19.

Weitere Informationen finden Sie hier: https://www.usenix.org/conference/usenixsecurity19/presentation/stute

www.tu-darmstadt.de
 


Weitere Artikel

Bitcoin Smartphone

iPhone-Krypto-Betrug eskaliert nun auch in Europa

Neue Erkenntnisse von Sophos deuten darauf hin, dass der internationale Cyber-Betrug mit Kryptowährung eskaliert. Cyberkriminelle nutzen beliebte Dating-Apps wie Tinder und Bumble, um iPhones von arglosen Nutzern:innen für ihre betrügerischen Machenschaften…
Hacker

Wenn Prometheus das Feuer stiehlt

Moderne Versionen der Open-Source-Lösung Prometheus unterstützen Sicherheitsmechanismen wie Basisauthentifizierung und TLS, die explizit konfiguriert werden müssen und nicht standardmäßig aktiviert sind. Andernfalls können Hacker leicht sensible Informationen…
Hackerangriff

Reaktionszeit auf Cyberangriffe dauert mehr als zwei Arbeitstage

Deep Instinct, Entwickler eines Deep-Learning-Framework für Cybersicherheit, veröffentlicht mit der zweiten Ausgabe des halbjährlichen Voice of SecOps Reports neue Zahlen zur aktuellen Cyber-Bedrohungslage zu der weltweit Cybersicherheitsexperten befragt…
Ransomware

1 von 5 Unternehmen war schon Opfer von Ransomware

Eine kürzlich durchgeführte Umfrage der Cybersecurity-Experten von Hornetsecurity unter mehr als 820 Unternehmen ergab, dass 21 % der Befragten bereits Opfer eines Ransomware-Angriffs wurden. Ransomware ist eine der häufigsten und effektivsten Formen der…
Cybercrime

NSA warnt vor Wildcard-Zertifikaten und Alpaca-Angriffen

Die NSA hat Anfang Oktober eine Warnung und Anleitung herausgegeben, wie sich Unternehmen vor Alpaca-Angriffen schützen können, indem sie ihre Wildcard-Zertifikate besser kontrollieren. Die NSA warnt vor dem neuen Application Layer Protocol Content Confusion…

Anzeige

Jetzt die smarten News aus der IT-Welt abonnieren! 💌

Mit Klick auf den Button "Zum Newsletter anmelden" stimme ich der Datenschutzerklärung zu.