Falsch getestet: Apple reagiert auf Berichte zu Brute-Force-Attacken auf iOS 11-Geräte

Ohne gezählte Fehlversuche auf einem iOS-Geräte alle Code-Kombinationen von 0000 bis 9999 durchprobieren? Ein Sicherheitsexperte meinte, genau dafür eine Methode gefunden zu haben – Apple widerspricht.

Ein ZDNet-Bericht von vergangenem Freitag hat für große Furore gesorgt, inzwischen ist er mit weiteren Details aktualisiert worden. Ursprünglich hatte ein Sicherheitsexperte behauptet, er habe eine simple Lösung gefunden, um mit einem Brute-Force-Angriff über USB das iPhone zu überlisten: Man schickt einfach alle Code-Kombinationen von 0000 bis 9999 ohne Leerzeichen in einem String als Tastaturkommando an das System – fertig. Das verbundene iOS-Gerät zählt nur wenige Fehlversuche und gibt im Idealfall das Gerät frei.

Der Sicherheitsexperte rudert zurück

Einige Stunden nach der Veröffentlichung musste der Sicherheitsexperte selbst zurückrudern: Er habe seine Methode, die er zuvor groß beworben hatte, nochmal getestet und festgestellt, dass längst nicht alle Codes an das Secure Enclave des Geräts gesendet werden – dadurch zählt das Gerät auch deutlich weniger Fehlversuche.

Auch Apples offizielles Statement gegenüber iMore bestätigt diese Vermutung:

The recent report about a passcode bypass on iPhone was in error, and a result of incorrect testing.

Die vermutliche Sicherheitslücke hat also vor allem viel Lärm für wenig Inhalt erzeugt. Gleichzeitig zeigt sich bei dem Bericht jedoch wieder, wie viel Aufmerksamkeit eine entsprechende Lücke unter iOS generieren könnte, Apple selbst weist immer wieder auf die Sicherheit der eigenen Systeme hin. Mit iOS 12 weitet Apple den Schutz gegen mögliche Brute-Force-Attacken nochmal aus, nach einer Stunde Inaktivität wird der Zugriff auf das Gerät über den USB-Port komplett deaktiviert.

Mit Blick auf den anstehenden Marktstart der AirPower-Matte stellt sich zudem die Frage, ob ein iPhone ohne Lightning- oder USB-C-Anschluss für Apple auch ein weiterer Schritt zu einem sichereren Gerät sein könnte. Was haltet ihr davon?