Anzeige

AirDrop

Bild: Aleksey Khilko / Shutterstock.com

Mittels AirDrop können Apple-User Dateien miteinander teilen. Doch Untersuchungen von TU-Forschenden am Fachbereich Informatik zeigen, dass auch ungebetene Personen Daten abgreifen können.

Das Forschungsteam entwickelte eine Lösung, die das unsichere AirDrop ersetzen könnte. Apple hat die entdeckte Datenschutzlücke bisher noch nicht geschlossen.

Schnappschüsse, Präsentationen, Videos – solche Dateien können Nutzerinnen und Nutzer von iPhones und MacBooks bequem miteinander teilen. Möglich macht es die Funktion AirDrop, mit der Dateien direkt von einem Apple-Gerät zum anderen gesendet werden können. Da vertrauliche Dateien im Regelfall nur an bekannte Personen weitergegeben werden sollen, zeigt AirDrop standardmäßig nur Empfängergeräte von Adressbuchkontakten an. Um festzustellen, ob die andere Partei ein Kontakt ist, verwendet AirDrop ein Authentifizierungsverfahren, das die eigenen Kontaktdaten mit den Einträgen im Adressbuch des anderen Geräts abgleicht. 

Forscher des Secure Mobile Networking Lab (SEEMOO) und der Cryptography and Privacy Engineering Group (ENCRYPTO) der TU Darmstadt haben dieses Verfahren genauer untersucht und ein gravierendes Datenschutzproblem gefunden.

Angreifer können Telefonnummern und E-Mail-Adressen von Apple-Nutzenden abgreifen – ohne jegliches Vorwissen über ihre Opfer. Der Angriff benötigt lediglich ein Wi-Fi-fähiges Gerät und die physische Nähe zu Personen mit Apple-Geräten. Sobald eine Person das ,Teilen‘-Menü öffnet, wird der Erkennungsprozess auf dem Apple-Gerät initiiert und der Angreifer kann sich „einklinken“.

Die entdeckte Datenschutzlücke ist auf die Verwendung von sogenannten Hash-Funktionen zurückzuführen, die Apple nutzt, um Kontaktdaten während der Authentifizierung zu „verschleiern“. Allerdings haben Forschende der TU Darmstadt bereits nachgewiesen, dass das Austauschen von gehashten Telefonnummern unsicher ist, da sie mithilfe von beispielsweise Brute-Force-Angriffen schnell zurückgerechnet werden können.

Neues kryptographisches Protokoll kann Datenschutz garantieren 

Das Forschungsteam entwickelte außerdem eine praktikable Lösung, die das unsichere AirDrop ersetzen könnte. PrivateDrop basiert auf kryptographischen Protokollen für ,Private Set Intersection‘, also zur sicheren Berechnung einer Schnittmenge aus vertraulichen Datensätzen. Mit dieser Methode kann die gegenseitige Authentifizierung durchgeführt werden, ohne angreifbare Hash-Werte austauschen zu müssen. PrivateDrop wurde von den Forschern zu Testzwecken auf Apple-Geräten implementiert. Messungen zeigen, dass die Performance mit der des unsicheren AirDrop konkurrieren kann: Die benötigte Zeit für die Authentifizierung liegt weit unter einer Sekunde. 

Bereits im Mai 2019 informierten die Forscher den Apple-Konzern über die gefundene Datenschutzlücke. Bisher hat Apple die Datenschutzlücke weder bestätigt noch angekündigt, an einer Lösung zu arbeiten, sodass die Nutzenden von mehr als 1,5 Milliarden Apple-Geräten weiterhin anfällig sind. Die einzige Möglichkeit sich zu schützen besteht derzeit darin, die AirDrop-Erkennung in den Systemeinstellungen zu deaktivieren und das ,Teilen‘-Menü nicht zu öffnen.  

www.tu-darmstadt.de

 


Artikel zu diesem Thema

Google authenticator
Apr 21, 2021

Authentifizierungs-Apps: Einfach mehr Sicherheit

Wie sinnvoll eine Zwei-Faktor-Authentifizierung (2FA) ist, zeigt sich mittlerweile…
DSGVO
Apr 19, 2021

Drei Jahre DSGVO: Die fünf größten Fallstricke bei der Umsetzung

Die DSGVO stellt die IT-Verantwortlichen vor die große Herausforderung, einen…

Weitere Artikel

Digital X 2021 im Herzen von Köln

Die Telekom geht neue Wege und angesichts der aktuell rückläufigen Pandemie-Entwicklung ganz bewusst „mitten rein ins echte Leben“: Die Digital X trifft sich am 7. und 8. September 2021 im Herzen der Stadt Köln.
Netflix

Netflix will in Games-Markt einsteigen

Streaming-Gigant Netflix will in den boomenden Markt für Videospiele einsteigen.
Fussball

Fußball-EM: Bot-Attacken auf Sportwetten- und Glücksspielseiten um 96 % gestiegen

Imperva, ein Unternehmen im Bereich Cybersecurity, mit dem Ziel, Daten und alle Zugriffswege auf diese zu schützen, verzeichnete in ganz Europa vor und während der Fußball-Europameisterschaft 2020 einen signifikanten Anstieg des Bot-Traffics auf Sportwetten-…
Streaming

Sportsendungen: Streaming schlägt Pay-TV

Sportsendungen im Pay-TV verlieren an Zuschauern. Die Streaming-Dienste boomen dagegen, wie die Umfrage "Sports Video Trends 2021" im Auftrag des Londoner Videoproduzenten Grabyo zeigt.
Cell Broadcast

Bitkom zur Debatte um Cell-Broadcast

Nach der Hochwasser-Katastrophe in Rheinland-Pfalz und Nordrhein-Westfalen wird in Deutschland die Einführung von Cell-Broadcast für den Versand von Warnnachrichten diskutiert.
Online-Shopping

Olympische Spiele – ein E-Commerce-Killer?

Wenn am Freitag der Fackellauf das Stadion in Tokio erreicht, ist es so weit: Die 32. Olympischen Sommerspiele der Neuzeit sind eröffnet und das Motto lautet erneut: „Dabei sein ist alles.“

Anzeige

Jetzt die smarten News aus der IT-Welt abonnieren! 💌

Mit Klick auf den Button "Zum Newsletter anmelden" stimme ich der Datenschutzerklärung zu.