Apple bestätigt: iTunes iOS-10-Backups leichter zu entschlüsseln

[Michael Reimann]

Eine Sicherheitslücke in iOS 10 macht es wesentlich einfacher, Backups von iDevices die per iTunes gemacht wurden, zu entschlüsseln. Wie die Sicherheitsfirma Elcomsoft in ihrem Blog schreibt, könnte das Problem an der veränderten Passwort-Überprüfung von iOS 10 liegen.

Das bekannte russische Unternehmen hat herausgefunden, dass das Backup einige Sicherheitsüberprüfungen überspringt und es somit ermöglicht, Passwörter in viel schnellerer Abfolge zu testen. (Brute Force.) Elcomsoft spricht davon, dass man auf einem System mit einem Intel Core i5 Prozessor über sechs Millionen Passwörter pro Sekunde prüfen konnte, während es bei der alten Backupmethode (bis iOS 9) nur 150.000 gewesen seien und dieses auch nur unter Zuhilfenahme der GPU. (In diesem Fall eine Nvidia GTX 1080.)

Interessanterweise scheint iTunes beide Backupverfahren anzubieten, je nachdem mit welcher iOS Version das zu sichernde Gerät ausgestattet ist.

Mit einem Passwort verschlüsselte iTunes-Backups enthalten sehr viele wichtige Daten des Gerätes. Dazu gehören der Schlüsselbund und die darin gespeicherten Passwörter. Dazu gehören aber natürlich auch allerlei persönliche Daten, wie Adressen, Fotos, Telefonnummern und so weiter. Elcomsoft bietet mit dem Phone-Breaker ein Tool an, dass solche Daten aus verschlüsselten Backups extrahieren kann.

Was im Falle eines vergessenen Passwortes durchaus hilfreich sein kann, ist aber gleichzeitig auch gefährlich. Durch die geringere Sicherheit des iOS-10-Backups könnten auch Dritte diese Daten relativ leicht auslesen und ggf. verwenden. Dennoch hat diese Art des Angriffs auch einen Nachteil. Ein potentieller Hacker muss physischen Zugriff auf den Rechner haben, auf dem das verschlüsselte Backup liegt.

Apple hat die Schwachstelle inzwischen gegenüber dem Forbes Magazin bestätigt und einen Fix angekündigt. Wie üblich aber ohne Termin. Es kann aber wohl davon ausgegangen werden, dass es recht bald ein Update geben wird. Sicherungen in der iCloud sollen weiterhin sicher sein und bis zum Release des Fixes sollten User Ihre Rechner mit starken Passwörtern gegen unberechtigten Zugriff sichern. Außerdem verweist Apple auf die zusätzliche Sicherheit durch das Verschlüsseln des gesamten Laufwerks mit FileVault.

We’re aware of an issue that affects the encryption strength for backups of devices on iOS 10 when backing up to iTunes on the Mac or PC. We are addressing this issue in an upcoming security update. This does not affect iCloud backups. We recommend users ensure their Mac or PC are protected with strong passwords and can only be accessed by authorized users. Additional security is also available with FileVault whole disk encryption.
​

Via: 9To5Mac, Forbes und Elcomsoft

zurück zum Magazin...

 

[GunBound]

We recommend users ensure their Mac or PC are protected with strong passwords

Brüller der Woche.

Naja, zu drei Viertel, immerhin haben sie zusätzlich FileVault erwähnt. Lässt den Windows-Nutzer trotzdem im Regen stehen.

 

[rootie]

@GunBound Und nur weil Apple den Windows-Nutzer nicht erwähnt hat, wird dieser ab sofort massenweise gehackt und deren Backups entschlüsselt?

Windows ist für Apple ungefähr so wichtig wie ein Sack Reis, der in China umfällt. Und sie haben ja faktisch Recht: Wenn der Benutzer ein ausreichend sicheres Passwort wählt, dann ist auch unter Windows nicht wirklich eine Chance da, das per Brute Force zu hacken.

Da Apple ja ohnehin von diesem Problem weiß, kannst Du davon ausgehen, dass es noch im September ein entsprechendes Update geben wird.

 

[Frischluft]

Wie war das in der Keynote?

Man möge die Geräte und Software noch sicherer machen?

Aber bitte ohne derartige Umwege..

 

[rootie]

Ist halt ein Bug. Ja ein mehr oder weniger schwerwiegender, aber einfach nur ein Bug. Ein Update und alles ist wieder gut. Man muss nicht aus jeder Mücke einen Elefanten machen. Wären die Backups jetzt sofort in Echtzeit entschlüsselbar, dann wäre das krass. Aber so ist das bis zum Update wirklich verschmerzbar.

 

[naich]

Gut, dass den Leuten hier nochmal aufgezeigt wird, das ein sicheres und ausreichend langes Passwort immer zu wählen ist. In diesem Fall ist ein Wegfall von künstlichen Beschränkungen für die Passwort-Versuche gar kein Problem - man braucht immer noch Jahrzehnte bis man das richtige Passwort probiert hat.
Wenn die Nutzer natürlich nur 4-Stellige Ziffern-Kombinationen gewählt haben, ist das nicht mehr sicher.

Und in diesem Falle ist es sogar recht bequem, ein langes Verschlüsselungspasswort zu wählen - man lässt es im Mac Schlüsselbund speichern, muss es also nicht jedes mal neu eingeben.

 

[Schupunkt]

Ich persönlich finde bugs die physischen Zugriff zu dem Gerät voraussetzen nicht so gravierend.
Denn machen wir uns nix vor, wenn der Mac geklaut und entschlüsselt ist, reichen sicher auch 150K versuche pro Sekunde um an das Passwort zu kommen. Dauert dann halt etwas länger. Diese Mühe macht man sich eh nur bei Zielen bei denen man weiß das es sich lohnt!
Viel blöder finde ich das man für den iCloud Account selbst immer nur Passwörter nutzen kann die man sich tatsächlich merken kann und die nicht zu nervig sind einzutippen. Bei fast allen anderen Sachen können die Passwörter kryptisch sein, da sie eh im Schlüsselbund oder anderen Passwort Managern gespeichert sind.

 

[Benutzer 176034]

An welcher Stelle muß ich überhaupt echte Angst oder Sorgen haben, wenn mein Backup nun entschlüsselt werden kann? Wo ist der Riesen-Nachteil für mich?
Es fällt mir immer schwer, zu verstehen, was mit "iCloud ist zu unsicher" oder "Backup ist entschlüsselbar" für Katastrophen drohen können, die mir einen echten Schaden beibringen.
Hieße ich Barack Obama oder wäre ich die NASA oder das Pentagon, könnte ich weltweite Sicherheitseinbussen erkennen aber wir "Otto-Normalos" besitzen keinerlei Daten, die so viel kriminelle Energien bei Leuten freisetzen, sodass sie dort unbedingt und für jeden Preis herankommen wollten.
Die panikartige Hysterie, meine ach so wichtigen Daten unbedingt geheimhalten zu müssen, übermannt mich gleich Null. Selbst wenn es jemandem gelingt, an meine Dateien zu kommen... Ja bitte. Nimm hin und werde glücklich.

 

[Mitglied 87291]

Nun, nur weil du kein empfinden für Datenschutz hast, muss ja nicht gleichzeitig jeder andere auch so denken.
Ich sehe jede Sicherheitslücke als kritisch an. Und gerade wenn ein Unternehmen in hohen Tönen davon spricht wieder alles sicherer gemacht zu haben ist so ein Fehler doch ärgerlich.
Z.B. wenn ein wichtiger Unternehmer ein iPhone verwendet und nun ein interessiertes Konkurrenzunternehmen eine Hackergruppe engagiert.
Oder frag mal Jennifer Lawrence wie witzig sie iCloud Sicherheit findet.

Wirtschaftsspionage, Politische Spionage oder einfach nur das Ausspähen der Bürger. Alles Dinge die ich nicht haben möchte, dementsprechend mache ich mir Sorgen wenn solche Berichte mal wieder auftauchen.
Es geht hier um die Privatsphäre jeder Person, da gibt es nicht genug Sicherheit!

 

[Mure77]

Ist die Meldung vielleicht extra raus gebracht worden damit mehr die iCloud nutzen ? Ich weiß zwar nicht wann ich das letzte mal ein Backup am Rechner gemacht habe aber es wird diese User ja geben.

 

[rootie]

@Reemo Hier den Leuten kein Empfinden für Datenschutz zu unterstellen, ist schon echt harter Tobak.

Und ein iCloud-Hack ist verglichen zu einem lokalen Hack, wo es physikalischen Zugang zu meiner Wohnung UND zu meinem Rechner braucht, wohl schon etwas ganz anderes.

Also langsam reiten. Hier ist einem jeden bewusst, was Datenschutz bedeutet. Die meisten hier können nämlich unterscheiden zwischen akutem Problem (beispielsweise wie damals beim GotoFail - Bug) und kleiner lokaler Bug, der noch nicht mal die Sicherheit aushebelt, sondern nur ein bisschen weniger sicher macht. Das wäre, als ob Du statt eines 10-stelligen Passwortes nur ein 8-stelliges nimmst. Da ist die Sicherheit keinesfalls kompromittiert.

 

[Fresh_Prince]

Mhm, schön ist es natürlich nicht, aber man müsste erst einmal physisch an meine auf dem Mac liegenden verschlüsselten iTunes Backups heran kommen.
Gut ist das Apple schnell alles bestätigt hat und bald ein Fix veröffentlicht wird.

 

[Michael Reimann]

Mhm, schön ist es natürlich nicht, aber man müsste erst einmal physisch an meine auf dem Mac liegenden verschlüsselten iTunes Backups heran kommen.
Gut ist das Apple schnell alles bestätigt hat und bald ein Fix veröffentlicht wird.

Dein Mac hängt am Netz. Damit ist schon mal ein Zugriff - wenn auch nicht einfach - nicht ausgeschlossen.

 

[Fresh_Prince]

Ja gut. Dann müsste jemand eben Fernzugriff auf mein physisches Gerät bekommen und meine beiden iTunes Backups herunterladen. Das kann natürlich vorfallen. Mit der "Angst" muss ich bis zum Fix eben leben.

Für mich stellt sich die Frage wie lange es vorher gebraucht hätte zu entschlüsseln und wie lange es jetzt noch dauern würde. Eine solche Information finde ich zu dem Thema nirgends. Alles viel zu Allgemein gehalten und verbreitet mal wieder mehr Angst und Schrecken als vielleicht notwendig wäre.

 

[Benutzer 176034]

Nun, nur weil du kein empfinden für Datenschutz hast, muss ja nicht gleichzeitig jeder andere auch so denken.

Wenn Du mir bitte auf die Sprünge hilfst, und mir sagst, wann und wo ich mein "fehlendes Empfinden für Datenschutz" zum Ausdruck gebracht habe, kann ich vielleicht hierauf antworten. Bis es soweit ist, höre ich KRAFTKLUB mit dem Titel "3 Schüsse in die Luft" und denke dabei an Dich...

 

[NorbertM]

Wenn jemand übers Netz auf eure Rechner zugreifen kann, würde ich mir über die Backups zuallerletzt Gedanken machen.

 

[Benutzer 176034]

Auf der TITANIC hat sich auch keiner Gedanken darüber gemacht, dass seine Geldscheine bald nass werden... Im Angesicht einer Katastrophe werden vermeintlich wichtige Dinge so klein wie eine Amöbe...

 

[Fresh_Prince]

Fakt ist es ist unsicherer geworden, in welchem Ausmaß jedoch ist nicht bekannt. Fakt ist zudem auch das Apple schon Bescheid weiß, Bescheid gegeben hat und ein Fix in Arbeit ist. Es sollte also nicht lange dauern bist das nächste iTunes Update unterwegs ist.

 

[Mitglied 87291]

Wo ist der Riesen-Nachteil für mich?

...Katastrophen drohen können, die mir einen echten Schaden beibringen.

...besitzen keinerlei Daten, die so viel kriminelle Energien bei Leuten freisetzen, sodass sie dort unbedingt und für jeden Preis herankommen wollten.

Die panikartige Hysterie, meine ach so wichtigen Daten unbedingt geheimhalten zu müssen, übermannt mich gleich Null. Selbst wenn es jemandem gelingt, an meine Dateien zu kommen... Ja bitte.

Aus diesen Aussagen habe ich geschlossen, das Datenschutz bei dir eher einen geringen Stellenwert aufweist. Anscheinend habe ich damit falsch gelegen?

Kraftklub... Live sehr zu empfehlen, wieso aber ein Lied welches die Protestkultur in unserem Land, besonders Pegida und deren Ableger kritisiert, jetzt deine Gedanken auf mich lenkt bleibt mir schleierhaft, würdest du das erklären?

Ist die Meldung vielleicht extra raus gebracht worden damit mehr die iCloud nutzen ? Ich weiß zwar nicht wann ich das letzte mal ein Backup am Rechner gemacht habe aber es wird diese User ja geben.

Ich zum Beispiel. Die kostenlosen 5GB Speicher sind ein Witz und so schnell voll, dass die andauernden Fehlermeldungen mich derart gestört haben, das ich diese Methode der Sicherung seit der Möglichkeit deaktiviert habe. Ich sichere ausschließlich über iTunes, auf eine mit File-Vault verschlüsselte Festplatte.

 

[Benutzer 176034]

Anscheinend habe ich damit falsch gelegen?

Du bist sehr gründlich - das ist gut...
Du unterstellst mir, ich hätte kein Empfinden für Datenschutz... Ich habe das Empfinden dafür. Nur liegt meine Schmerzgrenze scheinbar höher, als bei vielen anderen. Während einige Leute bei der Schlagzeile alleine Schweißperlen auf die Stirn bekommen, werde ich erst nervös, wenn Dateien verschwunden sind. Und auch dann bin ich entspannt, weil: ich habe ja TimeMachine.

habe ich geschlossen, das Datenschutz bei dir eher einen geringen Stellenwert aufweist.

Ich sichere auf 3 unterschiedlichen Platten. TimeMachine sichert Tag und Nacht, jede Stunde. Datensicherheit nimmt einen sehr hohen Stellenwert ein. Nur die Panik über einen drohenden Missbrauch stufe ich sehr niedrig ein.