iOS-Sicherheit: Apple widerlegt erfolgreichen Brute-Force-Angriff

Nachdem Apple mit dem Restricted Mode eine Abwehrmaßnahme gegen Unlock-Geräte, wie die GrayKey-Box, entwickelt hatte, dauerte es nicht lange, bis ein Sicherheitsforscher von einer neuen Schwachstelle berichtete. Nun hat sich Apple zu dem Thema geäußert und erklärt, dass die vermeintliche Schwachstelle nur das Ergebnis fehlerhafter Tests sei.

Apple gibt Entwarnung

Am Freitag hatte der Sicherheitsforscher Matthew Hickey eine Methode zur Umgehung der eingebauten Schutzmaßnahmen von iOS beschrieben, um Brute-Force-Passcode-Hacks zu nutzen. Insbesondere sagte Hickey, dass ein gleichzeitiges Senden von sehr vielen Passcodes bei einem gesperrten iPhone oder iPad eine Interrupt-Anforderung auslöst, die Vorrang vor anderen Geräteoperationen hat. In einem solchen Szenario würde ein Hacker alle möglichen Passcode-Kombinationen als eine fortlaufende Zeichenfolge ohne Leerzeichen eingeben. Mit dieser Methode soll es angeblich möglich sein Apples Schutzmaßnahmen zu umgehen, einschließlich der Verzögerungen zwischen falschen Passworteingaben.

Apple gibt jedoch Entwarnung und lässt AppleInsider wissen, dass Hickeys Behauptungen falsch sind:

„Der jüngste Bericht über einen Passcode-Bypass auf dem iPhone war ein Fehler und ein Ergebnis falscher Tests.“

Die Aussage wird durch einen Twitter-Post von Hickey untermauert, der am Samstag seine ursprüngliche Behauptung geändert hat.

It seems @i0n1c maybe right, the pins don’t always goto the SEP in some instances (due to pocket dialing / overly fast inputs) so although it „looks“ like pins are being tested they aren’t always sent and so they don’t count, the devices register less counts than visible @Apple

— Hacker Fantastic (@hackerfantastic) 23. Juni 2018

Fakt ist jedoch, dass der Hersteller der GrayKey-Box weiterhin behauptet, den Schutz umgehen zu können. Hickey untersucht das Problem somit weiterhin. Apple hat sich derweil als Ziel gesetzt alle USB-bezogenen iPhone- und iPad-Exploits mit einem kommenden Software-Update in diesem Herbst unbrauchbar zu machen.