Magazin Ins0mnia: Kürzlich geschlossene iOS-Sicherheitslücke ermöglichte dauerhafte Hintergrund-Überwachung

[Martin Wendel]

Die Sicherheitsforscher von FireEye informieren in ihrem Blog über eine Sicherheitslücke in iOS, die Apple mit dem kürzlich veröffentlichten Update auf iOS 8.4.1 geschlossen hat. Über die auf den Namen Ins0mnia getaufte Lücke war es möglich, dass eine App dauerhaft im Hintergrund ausgeführt wird – selbst wenn sie nach einem Doppelklick über den Homebutton aus dem App-Switcher geworfen wird. In einem Video demonstrieren die Sicherheitsforscher das Schlupfloch und sendeten über eine vermeintlich geschlossene App GPS-Daten an einen Server.[prbreak][/prbreak]

Für gewöhnlich sind durch das ausgeklügelte iOS-Multitasking die Hintergrundaktivitäten von Apps sehr eingeschränkt. Ein Großteil von Apps wird nach einem Klick auf den Homebutton schlafen geschickt und verbraucht keine weiteren Systemressourcen. Nur gewisse Multitasking-Funktionen dürfen im Hintergrund weiter ausgeführt werden – darunter etwa GPS-Tracking oder Musikwiedergabe. Für einen gewissen Zeitraum, laut FireEye in der Regel bis zu drei Minuten, dürfen Apps zur Erledigung von Aufgaben auch im Hintergrund weiterlaufen.

​

Bild von Kārlis Dambrāns (flickr), bestimmte Rechte vorbehalten

Nachdem eine App über einen Doppelklick auf dem Homebutton aus dem App-Switcher geschlossen wird, sollten aber eigentlich jegliche Hintergrundaktivitäten eingestellt werden. Über einen Trick konnten die Sicherheitsforscher dies jedoch umgehen. Lässt man eine präparierte App im Debug-Modus laufen, wird die Anwendung von iOS nicht geschlossen sondern weiterhin ausgeführt. So war es den Sicherheitsforschern möglich, kontinuierlich GPS-Daten an einen Server zu übermitteln.

Ein Jailbreak war für die Ausnutzung der Sicherheitslücke nicht notwendig. FireEye geht außerdem davon aus, dass eine so präparierte App auch vom Review-Team von Apple nicht erkannt worden wäre und im App Store hätte landen können. Tatsächlich passiert soll das aber nicht sein – zumindest ist nichts darüber bekannt.

Um diese Inhalte anzuzeigen, benötigen wir die Zustimmung zum Setzen von Drittanbieter-Cookies.
Für weitere Informationen siehe die Seite Verwendung von Cookies.

Drittanbieter-Cookies akzeptieren

​

Via Mac & i

 

[MarcNRW]

Und wieso wird das dann jetzt veröffentlich, wo die Lücke doch schon längst geschlossen ist?

 

[Martin Wendel]

Und wieso wird das dann jetzt veröffentlich, wo die Lücke doch schon längst geschlossen ist?

Weil man dem Software-Hersteller in der Regel eine gewisse Zeit gibt, eine Sicherheitslücke zu schließen, bevor man die Informationen dazu veröffentlicht. Ansonsten könnten andere ja auf die Idee kommen, entsprechende Malware zu veröffentlichen.

 

[MarcNRW]

Ah okay. Das macht Sinn

 

[iMerkopf]

Edit: Martin war schneller

 

[maddi06]

Also sollte man die Ortung doch nur dann aktivieren wenn man sie wirklich benötigt. =)

Schade das iOS zwingend die Ortung für die Wetter Daten benötigt. Warum das so ist versteh ich sowieso nicht.

 

[Paganethos]

Schade das iOS zwingend die Ortung für die Wetter Daten benötigt. Warum das so ist versteh ich sowieso nicht.

Woher soll der Wetterdienst denn wissen, von welcher Region er dir Daten übertragen soll?

Einfach allen Apps die Berechtigung entziehen bzw. nicht erteilen den Standort zu ermitteln und alles ist gut.

 

[maddi06]

Woher soll der Wetterdienst denn wissen, von welcher Region er dir Daten übertragen soll?

Einfach allen Apps die Berechtigung entziehen bzw. nicht erteilen den Standort zu ermitteln und alles ist gut.

Weil ich zum Beispiel nicht wissen will das Wetter bei mir ist (sieht man ja meistens) sonder selbst definieren mag von wo welcher Gegend ich informiert werden mag.

Wenn ich auf Arbeit bin interessiert mich das Wetter von draußen recht wenig. ^^

 

[-_ Dissidia _-]

Weil ich zum Beispiel nicht wissen will das Wetter bei mir ist (sieht man ja meistens) sonder selbst definieren mag von wo welcher Gegend ich informiert werden mag.

Wenn ich auf Arbeit bin interessiert mich das Wetter von draußen recht wenig. ^^

Deaktiviere einfach die Ortungsdienste für Wetter und füge manuelle Orte hinzu.

So hast du nur jenes Wetter welches dich auch interessiert, ohne GPS

 

[maddi06]

Und das wird unter "heute" mit angezeigt?

....nicht das es mich massiv Stören würde aber ein Beinbruch ist es ja nicht. Also das einpflegen.

 

[Dario von Apfel]

Und das wird unter "heute" mit angezeigt?

Nein, das geht dann nicht, aber ich nutze das eh nicht, weil man sich nicht die Vorhersage nach Stunden anzeigen kann ...

 

[MacbookPro@Olli]

Woher soll der Wetterdienst denn wissen, von welcher Region er dir Daten übertragen soll?

Indem ich – wait for it – meinen Standort selbst eintragen kann, Revolution! Können zig der Wetterapps im Store, aber für Apple ist das natürlich zu komplex. Allein schon, weil Ortungsdienste mächtig Akku saugen, sollte man die immer ausgeschaltet lassen, wenn man sie nicht braucht.

 

[smoe]

Du kannst ja in Apples eigener Wetter-App deine Lieblingsorte fest eintragen. Nur der Heute-Bildschirm zeigt dir eben das was für den aktuellen Ort von Interesse ist, und dafür braucht er Ortungsdienste.

Und so sehr am Akku zieht das gar nicht.

 

[KALLT]

Du kannst ja in Apples eigener Wetter-App deine Lieblingsorte fest eintragen. Nur der Heute-Bildschirm zeigt dir eben das was für den aktuellen Ort von Interesse ist, und dafür braucht er Ortungsdienste.

Und so sehr am Akku zieht das gar nicht.

Also ich sehe auch ohne GPS die Wetteranzeige in der Mitteilungszentrale.

 

[smoe]

Interessant. Hast du es nur kurz zum Test ausgemacht? Ich glaube es bleibt dann noch eine Weile und verschwindet erst bei der nächsten Aktualisierung?

 

[MacMark]

Also sollte man die Ortung doch nur dann aktivieren wenn man sie wirklich benötigt. =)

Schade das iOS zwingend die Ortung für die Wetter Daten benötigt. Warum das so ist versteh ich sowieso nicht.

Das ist nicht so. Es läßt sich unter Settings -> Privacy -> Location Services -> Weather -> Never / Always ein- und ausschalten.

Benötigt wird es, um Dir Dein Wetter anzuzeigen und nicht das Wetter in Timbuktu.

 

[MacMark]

Die Sicherheitsforscher von FireEye informieren in ihrem Blog über eine Sicherheitslücke in iOS, die Apple mit dem kürzlich veröffentlichten Update auf iOS 8.4.1 geschlossen hat.

Andere Sicherheitsforscher wie Joshua Drake (Stagefright) finden die Bechreibung von FireEye völlig übertrieben. Für mich ist ein großer Teil davon auch schlicht an den Haaren herbeigezogen. Der Punkt mit dem "heimlich Ausspionieren" ist völliger Käse. Einzig Akkuverbrauch und Abwärme sind die echten Probleme. http://www.macmark.de/blog/osx_blog_2015-08-c.php

 

[maddi06]

Das ist nicht so. Es läßt sich unter Settings -> Privacy -> Location Services -> Weather -> Never / Always ein- und ausschalten.

Benötigt wird es, um Dir Dein Wetter anzuzeigen und nicht das Wetter in Timbuktu.

Ja, ich weiß schon. Mit dem deaktivieren entfällt allerdings die Wetteransicht unter "heute".

Ich meinte nur dass das ja kein Problem darstellen sollte da einen beliebigen Ort Anzeigen zu lassen.

 

[MacMark]

Ja, ich weiß schon. Mit dem deaktivieren entfällt allerdings die Wetteransicht unter "heute".

Ich meinte nur dass das ja kein Problem darstellen sollte da einen beliebigen Ort Anzeigen zu lassen.

Das Wetter von irgendwo (Timbuktu, Nordpol) wäre doch ziemlich witzlos für Dich, oder?

 

[maddi06]

Das ist iwie typisches Apple denken. Was nicht geht braucht demzufolge auch keiner >.<

Ich würde es durchaus nutzen. Mir nützt es weniger wenn ich am iPhone sehe was draußen für ein Wetter ist.