Apples iCloud-Protokoll ist gehackt

Apples proprietäre Protokolle für iCloud und Find My iPhone sind nicht durch die Zwei-Faktor-Authentifizierung des Herstellers geschützt. Daher ist es möglich, ohne Wissen eines Nutzers dessen iCloud-Daten herunterzuladen. Das hat Vladimir Katalov, CEO des russischen Sicherheitsanbieters Elcomsoft, nach einer Analyse vergangene Woche auf der Konferenz Hack In The Box in Kuala Lumpur, der Hauptstadt Malaysias, mitgeteilt. Ein Angreifer muss zwar die Apple-ID und das Passwort seines Opfers kennen, um beispielsweise ein iCloud-Backup durchzuführen – das mit dem iCloud-Konto verbundene iOS-Gerät wird aber nicht benötigt.

Katalov zufolge werden auf iCloud abgelegte Daten verschlüsselt, aber der Schlüssel zusammen mit den Daten gespeichert. Zudem sei Apple im Besitz der Schlüssel. Apple kann demnach trotz gegenteiliger Beteuerungen offenbar doch auf Informationen und Daten seiner Nutzer zugreifen. Zusätzlich habe er festgestellt, dass Apple iCloud-Daten auf Servern von Microsoft und Amazon speichere.

Da die Storage-Provider Amazon und Microsoft vollständigen Zugriff auf die Daten hätten, könne Apple die Daten auf Anfrage auch Behörden zur Verfügung stellen. In einer Stellungnahme zu PRISM hatte der Hersteller im Juli versichert, Regierungsbehörden keinen Zugriff zu gewähren.

Aus seiner Analyse folgert Katalov jedoch, dass dies zumindest möglich ist. Lädt ein Nutzer ein iCloud-Backup herunter, erhält er eine E-Mail, die ihn über den Abschluss des Vorgangs informiert. Erfolgt der Download jedoch nicht auf das Gerät des Nutzers, wird auch keine Benachrichtigung verschickt. Ruft also ein Dritter diese Daten ab, bemerkt der Nutzer das nicht.

Katalov untersuchte die Apple-Protokolle anhand des HTTP-Datenverkehrs von Geräten mit Jailbreak. Die entdeckten Schwächen fänden sich aber auch bei nicht entsperrten iPhones und iPads. Durch einfache Abfragen sei es auch möglich, Authentifizierungs-Token für den Zugriff auf ein iCloud-Backup, die Backup-IDs und die Schlüssel zu erhalten. Damit wiederum sei es möglich, die Dateien von Windows Azure oder Amazon AWS herunterzuladen.

Im Gespräch mit ZDNet USA sagte Katalov, es sei nicht möglich, die Zwei-Faktor-Authentifizierung auf iCloud und Mein iPhone suchen auszuweiten. Apples Implementierung der Technik sei wahrscheinlich “nur ein nachträglicher Einfall”. Nutzer könnten sich nur schützen, indem sie auf iCloud verzichteten. Er selber nutze iCloud aber weiterhin als Backup-Dienst für seine iOS-Geräte.

[mit Material von Stefan Beiersmann, ZDNet.de]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de