Sollte jemand sein iPhone verlieren, ist er gut beraten, sämtliche auf dem Handy vermerkten Passwörter zu ändern. Diesen Rat geben Experten des Fraunhofer-Institut SIT in Darmstadt, die die Geräteverschlüsselung diverser Apple-Geräte mit der neuesten Firmware iOS 4.2.1 unter die Lupe genommen haben. Das Ergebnis: Die Verschlüsselung von iPhone, iPod Touch und iPad auszuhebeln, benötige lediglich "sechs Minuten" und ermögliche den Zugriff auf viele der auf dem Gerät gespeicherten Passwörter. Durch die rasche Durchführbarkeit des würden auch Sicherheitsmechanismen wie die Fernlöschfunktion der Passwörter nicht zu 100 Prozent greifen.

Sicherheitsrisiko

Dem Test nach stellten insbesondere Geräte im Unternehmenseinsatz ein Risiko dar, da sie bei einem Diebstahl auch die Sicherheit des Firmennetzwerks bedrohen könnten. Jens Heider, technischer Leiter im Testlabor IT-Sicherheit am Fraunhofer SIT, betont, dass es ein "Trugschluss" sei zu glauben, dass die Geräteverschlüsselung von Smartphones für ausreichende Sicherheit sorgen würde. "Selbst Geräte die mit hohen Sicherheitseinstellungen betrieben werden, ließen sich in kürzester Zeit knacken."

Denn um an die gesammelten Passwörter zu gelangen, die auf dem Handy oder Tablet in der so genannten "Keychain" gespeichert sind, mussten die Tester die eigentliche 256-Bit-Verschlüsselung gar nicht brechen. Vielmehr machten sie sich eine Schwäche im Sicherheitsdesign zunutze: Das grundlegende Geheimnis, auf dem die Verschlüsselung der angegriffenen Passwörter bei iPhone und iPad basiert, wird im aktuellen Betriebssystem auf dem Gerät gespeichert. Dadurch ist die Verschlüsselung unabhängig vom persönlichen Kennwort, das den Zugang zum Gerät eigentlich schützen soll.

Kein guter Schutz

Der Angriff sei bei jedem Gerät mit dem iOS-Betriebssystem möglich, unabhängig vom verwendeten Kennwort des Benutzers. Sobald ein Angreifer im Besitz eines iPhones oder iPads sei und die SIM-Karte des Geräts entfernt hat, kann er sowohl an E-Mail-Passwörter als auch an Zugangscodes für VPN- und WLAN-Zugänge zu Firmennetzwerken oder Privatnetzwerken gelangen. Durch die Kontrolle des E-Mail-Accounts ließen sich auch zahlreiche weitere Passwörter erbeuten, die etwa bei Webdiensten wie Facebook und Co. gebraucht werden, da der Angreifer einzig das Passwort zurücksetzen lassen müsse.

Schutzmaßnahme vorgesehen, aber großteils ungenutzt

Aus dem Test gehe allerdings auch hervor, dass durch den Angriff nicht sämtliche Daten offengelegt werden. Die sei auf erweitere Sicherheitsvorkehrungen zurückzuführen, die Apple seit iOS 4 ausliefert. Unter anderem sind dadurch die Zugangspasswörter der Mail App geschützt. Das Problem: Nur wenige Apps sonst würden diesen Schutz nützen.
Das Fraunhofer-Institut rät Unternehmen daher, seine Mitarbeiter zu sensibilisieren und entsprechende Notfall-Abläufe einzuführen. (zw)

Der WebStandard auf Facebook