iCloud: Apple stopft iDict Sicherheitslücke (Update)

Auf GitHub ist ein neues Hackerwerkzeug zum Knacken von iCloud-Passwörtern aufgetaucht. Das Programm soll in der Lage sein, Apples Sicherheitsvorkehrungen erfolgreich zu umgehen. Normalerweise sind einfache Angriffstechniken wie der Wörterbuchangriff nicht möglich. Erst im September hatte Apple ein Sicherheitsloch geschlossen, durch das Angreifer mit Brute Force Attacken in die iCloud einbrechen konnten.

Der Programmcode des Werkzeugs wurde der Netzgemeinschaft auf dem Softwareportal GitHub zur Verfügung gestellt. Damit können nun alle Hacker ihr Glück an der iCloud versuchen. Das Tool ist auch nicht besonders kompliziert konstruiert. Vorausgesetzt wird, dass der Angreifer eine korrekte Emailadresse eingibt, danach wird der Durchlauf durch eine 500 Wörter umfassende Passwortliste gestartet.

Dieses Angriffszenario erscheint also auf den ersten Blick als nicht besonders bedrohlich, es scheint den Entwicklern wohl eher um ein Proof-of-concept zu gehen, welches demonstriert, dass Apple keine ausreichenden Sicherheitsvorkehrungen getroffen hat. Andererseits lässt sich die 500-Wort-Liste wohl leicht durch alternative Listen ersetzen.

Wann Apple für Abhilfe sorgen wird, lässt sich nicht genau sagen. Nach dem iCloud-Skandal vom August 2014 mit etlichen gestohlenen Promi-Fotos ist Apple heute bestimmt wenig daran interessiert, dass sich ein solcher Fehlschlag wiederholt. Ein Patch ist bestimmt in Kürze zu erwarten.

Wir können euch nach wie vor nur dringend empfehlen die zwei-stufige Bestätigung für euren iCloud-Account zu aktivieren. (via)

Update 06.01.2015 16:56Uhr: Erst vor wenigen Tagen haben wir mit iDict ein Tool thematisiert, welches versprach, sich mit Hilfe der sogenannten Brute-Force-Attacke Zugriff auf iCloud Konten zu verschaffen. Jetzt die gute Nachricht: Apple hat reagiert und die vermeintliche Sicherheitslücke gestopft.

iDict funktionierte wie folgt: Zu einem iCloud-Benutzernamen wurden der Reihe nach verschiedene Passwörter ausprobiert, so lange bis das Tool Erfolg und Zugriff auf das angegriffene iCloud-Konto hatte. Genau diese Lücke hat Apple nun gestopft. Nach mehreren iDict-Fehlversuchen sperrt Apple vorübergehend den Account, so dass keine weiteren Login-Versuche mehr möglich sind. Wir können euch nach wie vor nur raten, die zweistufige Bestätigung für euren iCloud zu aktivieren.