Siri ermöglicht Zugriff auf Kontakte und Fotos ohne Passcode oder TouchID

[Michael Reimann]

Die Kollegen von 9to5Mac berichten über eine Lücke, die es ermöglicht, unter Umgehung von Passcode oder TouchID auf die Kontakte und Fotos des iPhones zuzugreifen. Die Lücke besteht unter iOS 9.3.1. Mit einem kleinen Handgriff kann man sich aber schützen.

Betroffen von der - eigentlich theoretischen - Lücke sind iPhones 6s und 6s Plus. Großer Grund zu Unruhe deswegen besteht nicht, denn der Angriff ist eher theoretischer Natur. Es kann aber auch nicht schaden, sich gegen einen solchen Zugriff auf persönliche Daten wie Kontakte und Fotos zu schützen.

So funktioniert der Zugriff

1. Gerät sperren
2. Siri aktivieren mit "Hey Siri durchsuche Twitter"
3. Auf die Frage "Wonach möchtest Du auf Twitter suchen" mit "at-sign yahoo dot com" antworten. (Prinzipiell geht an dieser Stelle auch jede andere große und bekannte Mail-Domain. Im Test hat es auch mit "at-sign hotmail dot com" funktioniert.
4. In den Suchergebnissen, die Siri anzeigt auf einen Tweet mit einer gültigen E-Mail-Adresse tippen.
5. Die E-Mail-Adresse per 3D-Touch drücken, um das Kontextmenü zu erhalten.
6. Auf "neuen Kontakt erstellen" tippen und dann auf "Foto auswählen anklicken".

Das Kontextmenü ist der Schlüssel zum Zugriff auf Fotos und Kontakte.

Man erhält den vollen Zugriff auf alle Fotos auf dem Gerät. Es kann vorher noch eine Abfrage kommen, ob Siri auf die Fotos zugreifen darf. Wählt man im Kontextmenü stattdessen "Zu bestehendem Kontakt hinzufügen" aus, erhält man Zugriff auf alle Kontakte auf dem Gerät.

So kann man den Zugriff verhindern

Man kann Siri den Zugriff auf die Fotos entziehen und somit verhindern, dass im Schritt 6 der obigen Liste alle Fotos angezeigt werden. Das geht so:

Einstellungen -> Datenschutz -> Fotos Dort dann den Schalter "Siri" deaktivieren. Der Schalter taucht dort möglicherweise erst nach dem Schritt 6 der Liste oben auf. Diese Einstellung verhindert leider nicht den Zugriff auf alle Kontakte über die oben geschilderte Methode. Man kann aber auch gleich Siri die komplette Kontrolle bei gesperrtem Bildschirm entziehen. Dann wird aber naturgemäß auch "Hey Siri" nicht mehr funktionieren.

Mit diesem Schalter wird Siri der Zugriff auf die Fotos entzogen.

Hier kann man Siri im Lockscreen komplett sperren.

via 9to5Mac


zurück zum Magazin...

 

[Mitglied 105235]

Wieder einmal bin ich nicht über die Lücke an sich erstaunt sondern eher wie man auf solche Workarounds kommt um eine Lücke zu finden.

 

[Cohni]

Mhm...bei mir geht das nicht. Siri antwortet mir auf diesen Befehl, dass dies leider nicht möglich wäre, ich müsste erst mein iPhone entsperren.

 

[Michael Reimann]

Haste ein 6s und "Hey Siri aktiviert"?

 

[Mitglied 105235]

Mhm...bei mir geht das nicht. Siri antwortet mir auf diesen Befehl, dass dies leider nicht möglich wäre, ich müsste erst mein iPhone entsperren.

Entsperr dein iPhone mal und lass dann Siri Twitter durchsuchen, dann kommt vermutlich eine Abfrage ob du das erlauben willst. Erlaubst du es, kannst du Siri auch Twitter im Sperrbildschirm durchsuchen lassen.

 

[Cohni]

Haste ein 6s und "Hey Siri aktiviert"?

Na aber natürlich!

Edit: @m4d-maNu, probiere ich sodann.

 

[double_d]

denn der Angriff ist eher theoretischer Natur.

Aber sehr theoretischer Natur, denn außer auf meine Stimme hört Siri niemandem zu, der "Hey Siri" spricht.
Somit kann ich nur mich selbst "hacken".

 

[Mitglied 105235]

Aber sehr theoretischer Natur, denn außer auf meine Stimme hört Siri niemandem zu, der "Hey Siri" spricht.
Somit kann ich nur mich selbst "hacken".

Kannst aber auch einfach auch länger den Home Button drücken, der aktiviert ja Siri auch ^^

 

[Cohni]

Entsperr dein iPhone mal und lass dann Siri Twitter durchsuchen, dann kommt vermutlich eine Abfrage ob du das erlauben willst. Erlaubst du es, kannst du Siri auch Twitter im Sperrbildschirm durchsuchen lassen.

Jo, jetzt funktioniert es auch bei mir.

Allerdings muss ich auch sagen, dass ich da kein Sicherheitsproblem sehe. Es ist eher ein Feature, denn ich muss bei dem schon entsperrten Telefon Siri erlauben, auf den Twitter-Account zuzugreifen und wie @double_d schon richtigerweise anmerkte, hört Siri ja eigentlich nur auf meine Stimme.

Edit:

Kannst aber auch einfach auch länger den Home Button drücken, der aktiviert ja Siri auch ^^

Mhm...ja, das stimmt auch wieder. Gerade getestet.

 

[Mitglied 105235]

Jo, jetzt funktioniert es auch bei mir.

Allerdings muss ich auch sagen, dass ich da kein Sicherheitsproblem sehe. Es ist eher ein Feature, denn ich muss bei dem schon entsperrten Telefon Siri erlauben, auf den Twitter-Account zuzugreifen und wie @double_d schon richtigerweise anmerkte, hört Siri ja eigentlich nur auf meine Stimme.

Ja nur kann man es nun nicht mehr deaktiveren, ich habe es bei mir nämlich nun deaktiviert und es geht trotzdem noch...

 

[Cohni]

Ja nur kann man es nun nicht mehr deaktiveren, ich habe es bei mir nämlich nun deaktiviert und es geht trotzdem noch...

Musst Du alle meine Versuche das Problem kleinzureden, derart effektiv zunichte machen?

Okay, wenn man es nicht mehr deaktivieren kann, finde ich, dass man von einem Problem reden kann.

 

[Mitglied 105235]

Musst Du alle meine Versuche, das Problem kleinzureden, derart effektiv zunichte machen?

Ich gebe mir dabei besonders viel mühe

Okay, wenn man es nicht mehr deaktivieren kann, finde ich, dass man von einem Problem reden kann.

Aber nur wenn man es vorher extra aktiviert hat. Hätte ich nicht gesagt, das man es erst aktivieren muss im entsperrten zustand, hätten wir beide das "Problem" nun nicht mal bzw. ich hab nur das Problem, das mein Siri nun Twitter im gesperrten Zustand durchsuchen darf, den Rest habe ich nicht mangelndes 3D Touch

 

[double_d]

Kannst aber auch einfach auch länger den Home Button drücken, der aktiviert ja Siri auch ^^

Tut er, aber auch dann reagiert Siri nur auf meine Stimme.

Entsperr dein iPhone mal und lass dann Siri Twitter durchsuchen, dann kommt vermutlich eine Abfrage ob du das erlauben willst.

Das ist nicht notwendig. Man kann, sobald Siri den Hinweis gibt, dass dafür das iPhone entsperrt sein muss, einfach auf Abbrechen klicken und anschließend erneut den Befehl "Durchsuche Twitter" geben. Diesmal funktioniert es. Wartet man dann, bzw. entsperrt man sein iPhone und sperrt es wieder, ist alles wie vorher.

 

[Mitglied 105235]

Tut er, aber auch dann reagiert Siri nur auf meine Stimme.

Sicher?

Auf Mac Welt steht folgednes:

Seit iOS 9 kann man bei "Hey, Siri" einen zusätzlichen Schutz aktivieren – dem Assistenten die eigene Stimme beibringen, so dass er auf keine andere reagiert.

Frisch gebackene Inhaber von iPhone 6S und iPhone 6S Plus haben den Schritt bei der Erst-Konfiguration des iPhones durchgemacht, für alle anderen iPhone- und iPad-Besitzer lohnt sich die Einstellung auf jeden Fall ebenso: Mit dem neuen System kann man dem intelligenten Personalassistenten die eigene Stimme beibringen, so dass er bei "Hey, Siri" nur auf die eigenen Befehle reagiert. Für diesen Schritt muss das Gerät ans Netz, danach wechselt man in die Einstellungen-App zum Bereich "Allgemein". Ziemlich weit oben ist der Eintrag "Siri" – der Regler "Hey, Siri" ist für das Sprachtraining zuständig. War "Hey, Siri" am iPhone bereits aktiviert, muss man sie kurz ausschalten und wieder einschalten. Danach startet ein Training-Dialog aus fünf Schritten. Dreimal muss man nur "Hey, Siri" sagen, zwei letzte Schritte beinhalten dann komplexere Phrasen wie "Hey, Siri, wie wird das Wetter morgen". Hat das Gerät die Stimmeingaben erfolgreich erkannt und gespeichert, lässt es sich nun nicht mehr mit fremden Stimme per "Hey, Siri" aktivieren. Die Stimme-Erkennung gilt aber nur für den Anfangsbefehl. Ist das iPhone entsperrt und der intelligente Assistent gestartet, reagiert Siri noch auf jede beliebige Stimme.

Das liest sich für mich eigentlich so, das nur Hey Siri auf eine stimme reagiert. Ist Siri gestartet, so reagiert es auf jede Stimme-

Das ist nicht notwendig. Man kann, sobald Siri den Hinweis gibt, dass dafür das iPhone entsperrt sein muss, einfach auf Abbrechen klicken und anschließend erneut den Befehl "Durchsuche Twitter" geben. Diesmal funktioniert es. Wartet man dann, bzw. entsperrt man sein iPhone und sperrt es wieder, ist alles wie vorher.

Das ist eigentlich ein viel größeres Problem, als das ich nun die Siri Twitter durchsuche nicht mehr deaktivieren kann.

 

[double_d]

Das liest sich für mich eigentlich so, das nur Hey Siri auf eine stimme reagiert.

Das ist eigentlich ein viel größeres Problem, als das ich nun die Siri Twitter durchsuche nicht mehr deaktivieren kann.

Das macht natürlich in diesem Zusammenhang viel mehr Sinn.
Sollte "Hey Siri" ausschließlich auf die eigene Stimme reagieren, dann benötigt es über diesen Sprachbefehl auch keine Deaktivierung der Twittersuche mehr, denn dann kannst nur Du diesen Befehl ausführen.
Mit einem langen Druck auf den Homebutton, ohne das iPhone zu entsperren, dürfte dann auch "durchsuche Twitter" nicht mehr gehen, außer Siri reagiert auf die eigene Stimme auch außerhalb von "Hey Siri".
Müsste man mal ausprobieren, ob ein Fremder mit Siri Befehl das machen darf oder nicht.

Bin nur grad alleine im Büro. Keine zweite Stimme.

 

[Mitglied 105235]

Bin nur grad alleine im Büro. Keine zweite Stimme.

Nutz halt google Translate und lass es dir vorlesen
https://translate.google.de/?hl=de&tab=wT#de/en/suche auf Twitter nach @yahoo.com

edit:
Bei mir hat Siri so gesucht, aber ich habe Siri per Knopf aktiviert und nicht per "Hey Siri"

 

[giesbert]

Hey Siri funktioniert auch mit anderen Stimmen, braucht mehrere Versuche, klappt auch nicht immer, aber es geht.

 

[Mitglied 87291]

Hmh, ich finde solche Probleme häufen sich bei iOS in letzter Zeit.
Vor allem das umgehen des LockScreens um an irgendwelche Daten zu kommen passiert ja fast bei jeder iOS version.

 

[double_d]

Bei mir hat Siri so gesucht, aber ich habe Siri per Knopf aktiviert und nicht per "Hey Siri"

Ja, dann weiß ich auch nicht.
Werde aber aus dem "Hey Siri" Quatsch auch nicht schlau.
Grundsätzlich sagt mir die Dame ja eh, dass sie mir nicht helfen kann und ich erst mein iPhone entsperren muss.
Konnte die Funktion, bis auf den nun "unerlaubten" Zugriff auf meine Fotos noch nie sinnvoll nutzen. Zumindest nicht ohne, dass ich eh nen Finger am iPhone habe.

 

[bicycle race]

Geht der Zugriff auch, wenn Twitter nicht aktiv bzw. installiert ist?