Apple betont immer wieder, beim Thema Privatsphäre keine Kompromisse einzugehen, doch die letzten Erkenntnisse über die Funktionsweise von iMessage sprechen eine andere Sprache.
iMessage-Check
Mit seinem end-zu-end-verschlüsselten SMS-Ersatz, iMessage, wollte Apple die Kommunikation seiner Nutzer eigentlich sicherer machen – doch das Gegenteil könnte der Fall sein. Laut einem Bericht von The Intercept werden alle Telefonnummern bereits bei der Eingabe in die Empfängerliste der Nachrichten-App an Apple gesendet, um zu überprüfen, ob der Gesprächspartner iMessage benutzt. Wenn nicht, werden die Nachrichten als herkömmliche SMS mit einer grünen Sprechblase verschickt.
Unabhängig davon werden die Telefonnummern beider potentieller Kommunikationsteilnehmer zusammen mit dem Datum, der Uhrzeit und der IP-Adresse des Nutzers für 30 Tage gespeichert. Daten, die – abhängig von den nationalen Gesetzen – auch von Strafverfolgungsbehörden abgefragt werden könnten. Entgegen Apples Behauptung aus dem Jahr 2013, keine Daten zu speichern, die Rückschlüsse auf den Standort der Kunden erlauben, ist dies anhand der IP-Adresse durchaus möglich.
Neue Funktionen = neue Schwachstellen
Als wäre das noch nicht genug, hat der Entwickler Ross McKillop eine weitere Schwachstelle des Messangers aufgedeckt, die jedem Angreifer jederzeit eine Menge Daten liefern kann.
Wer einen Link zugeschickt bekommt, kann sich seit iOS 10 über eine Link-Vorschau freuen. Diese Funktion kennt man z.B. bereits von Facebook: Wird ein Link gepostet, lädt Facebook eine Reihe von Metadaten von der Seite, sodass nicht nur ein schnöder Link, sondern auch ein Vorschaubild, der Titel und der Beginn des Textes angezeigt werden.
Doch in den iMessages werden diese Metadaten nicht über einen Proxy-Server von Apple abgefragt, sondern vom Endgerät selbst. Dabei werden u.a. die IP-Adresse des Empfängers, der Gerätetyp (iPhone, iPad, Mac) und die exakte Version des Betriebssystems an die Website geschickt – und zwar von sämtlichen Geräten des Nutzers, auf denen iMessage aktiviert wurde.
Wenn der Mac und das iPhone eines Nutzers von zwei verschiedenen IP-Adressen antworten, lässt dies den Schluss zu, dass sich der Nutzer vermutlich gerade nicht zu Hause befindet.
Da die Anfrage offensichtlich von Safari und ohne Zutun des Nutzers durchgeführt wird, könnten Angreifer potentielle Sicherheitslücken des Browsers mit einer infizierten Website ausnutzen. Die Frage, wie man Nutzer auf die infizierte Seite leitet, entfällt, da man ihnen nur den Link per iMessage zuschicken muss. Die App folgt dem Link automatisch. Eine Möglichkeit, diese Funktion abzuschalten, existiert derweil nicht.
Es bleibt zu hoffen, dass Apple das Problem in einem der nächsten Updates behebt, indem die Daten über einen Proxy-Server geleitet werden. McKillop schlägt noch einen besseren Weg vor: Da der Absender der Website offensichtlich vertraut, spricht nichts dagegen, dass die Metadaten (Vorschaubild, Titel, usw.) der Website von seinem Gerät geladen und zusammen mit der iMessage verschickt werden.
32 Gedanken zu „Linkvorschau als Lücke: iMessage verrät Nutzerdaten“
Die Kommentare sind geschlossen.