goto fail und Keylogger - iOS 7.1

Update: iOS 7.1

Apple veröffentlicht iOS 7.1, und schliesst damit nicht nur Schwachstellen die für den aktuellen Jailbreak ausgenutzt wurden, sondern behebt auch weitere Sicherheitslücken - zum Beispiel auch den unten beschriebenen Keylogger Angriff. Eine komplette Auflistung aller beseitigten Lücken ist hier zu finden.

Zu beachten sind auch die erweiterten Einstellungsmöglichkeiten für TouchID. Geändert hat sich das verhalten der Ortungsdienste, auch bei geschlossenen Apps können diese auf die Ortungsdienste zugreifen. Der Anwender sollte hier in den Einstellungen (Settings > Privacy > Location Servies) granular steuern ob er dies auch möchte.

goto fail

Ende Februar behob Apple mit der Veröffentlichung von iOS 7.0.6 (sowie OS X 10.9.2) einen schwerwiegenden Fehler bei der Validierung von SSL Zertifikaten.

Der sogenannte goto fail Bug wurde in Apple’s SSL/TLS Bibliothek entdeckt, ein zusätzliches goto fail im Programmcode hebelte alle nachfolgenden Validierungsmethoden aus. Einem Angreifer war es so möglich SSL (HTTPS) Verbindungen mitzulesen, ein gemeinsames Netzwerk (z.B. W-Lan) vorausgesetzt. Ein lesenswerter Artikel zu den Empfehlungen und Maßnahmen um einen solchen Fehler aus Sicht der Softwareentwicklung zukünftig zu vermeiden, findet sich hier.

Keylogger

Auch von dem Sicherheitsdienstleister Fireeye gab es im Februar eine interessante Veröffentlichung. Darin wird ein Angriff beschrieben, durch den es möglich ist beliebige Eingaben auf der Touch-Tastatur der iOS-Geräte mitzulesen (Keylogger) und an einen Server zu senden. Hierzu ist kein Jailbreak nötig, lediglich eine speziell präperierte App die im Hintergrund laufen muss. Dies ist der Fall wenn diese einmal gestartet und dann nicht explizit wieder beendet wurde.

Technische Details zu dem Angriff wurden nicht bekanntgegeben, wahrscheinlich wird die realtiv neue Funktion Background App Refresh dafür missbraucht. Dies lässt sich zumindest aus der Empfehlung ableiten, den Background App Refresh für Apps zu deaktivieren die man nicht kennt (Settings > General > Background App Refresh). Umgehen kann ein Angreifer diese Vorsichtsmaßnahme dennoch. Bestimmte Apps, wie zum Beispiel Musik Apps, können auch weiterhin im Hintergrund Musik abspielen. Ein Angreifer müsste also nur eine entsprechend präperierte App einschleusen und könnte so alle Tastatureingaben mitlesen.

Laut Fireeye wurde dieser Angriff bereits an Apple kommuniziert, noch funktioniert er bis einschließlich iOS 7.0.6!

Security Whitepaper Aktualisierung

Abschließend sei noch auf das von Apple kürzlich aktualisierte iOS Security Whitepaper verwiesen. Hier finden sich durchaus interessanten Einblicken in verschiedene Sicherheitsmechanismen von iOS. Mehr Details als üblich werden über Touch ID, Data Protection, Netzwerk oder App Sicherheit bekanntgegeben und sollten dem geneigten Leser einen Blick Wert sein.

2014

2013

2012