Feature iOS 7.1.1: Schwachstelle erlaubt Zugriff auf Kontaktliste

[Philipp Schwinn]

Immer wieder tauchen in iOS Schwachstellen auf, die es zumindest teilweise ermöglichen, den aktivierten Passcode zu umgehen. Normalerweise sollte man davon ausgehen, dass das Telefon komplett und sicher gesperrt ist, bis man es über die Eingabe des Codes wieder entsperrt hat. Aufgrund der Vielzahl von Features die mittlerweile über den Lockscreen erreichbar sind, werden immer wieder Work-Arounds bekannt, die Zugriff auf eigentlich unzugängliche Inhalte bieten. Nun ist eine Lücke aufgetaucht, die es in iOS 7.1.1 erlaubt, über den Sprachassistenten Siri die gesamte Kontakliste einzusehen.[prbreak][/prbreak]

Entdeckt wurde diese Möglichkeit von Sherif Hashim, der die Vorgehensweise in einem Video dokumentiert hat. Das Vorgehen ist dabei relativ einfach. Siri erlaubt es, Personen auch aus dem gesperrten Zustand heraus anzurufen. Bringt man den Sprachassistenten nun durch eine unklare Ansage dazu, mehrere Kontakte vorzuschlagen, erscheint der Button ‘Andere…’. Betätigt man diesen stehen alle Adressbucheinträge zur Einsicht. Die jeweiligen Details sind darüber noch nicht einzusehen, Hashim gibt aber an, dass diese mit einer zusätzlichen Manipulation angezeigt werden könnten. Dadurch ließen sich diese bearbeiten oder gar weiterleiten. Aus Sicherheitsgründen demonstrierte er diese Vorgehensweise aber nicht.

Um diese Inhalte anzuzeigen, benötigen wir die Zustimmung zum Setzen von Drittanbieter-Cookies.
Für weitere Informationen siehe die Seite Verwendung von Cookies.

Drittanbieter-Cookies akzeptieren

​

Unklar ist, ob auch frühere Versionen von iOS betroffen sind oder ob sich die Lücke auf iOS 7.1.1 beschränkt. Beheben lässt sich die Schwachstelle ganz einfach indem Siri für den gesperrten Zustand deaktiviert wird. Dies erfolgt über das Einstellungsmenü der Code-Sperre.

Siri sollte man im Sperrzustand deaktivieren​

 

[10tacle]

Manche haben echt zu viel Zeit.


Sent from my iPhone using Apfeltalk mobile app

 

[Cohni]

Mhm...ist das wirklich ein Bug? Wenn ich Siri auch im Sperrzustand benutzen will und mich bei der Sprachwahl zu undeutlich anstelle, ist es doch logisch, dass mir alle Wahlmöglichkeiten angezeigt werden. Wenn mich Siri nicht versteht, bietet sie mir alle möglichen Varianten an. Das heißt natürlich alle möglichen Telefonnummern. Mir geht es jetzt nicht um das Kleinreden einer Sicherheitslücke, aber ich erkenne das Problem nicht. Habe ich jetzt einen Denkfehler?

 

[10tacle]

Im Video sieht man's doch. Und zwar dürften bei aktiver Codesperre gar keine Kontakte angezeigt werden. Deswegen sagt Siri im Video auch nach dem ersten Versuch des Users das Telefonbuch zu öffnen, dass er erst den Code eingeben soll (was auch richtig ist). Über Umwege hat er es dann aber dennoch geschafft ohne den Code einzugeben.


Sent from my iPhone using Apfeltalk mobile app

 

[Cohni]

Stimmt, danke. Kein Denkfehler, sondern zu unaufmerksam zugeschaut.

 

[Farafan]

Und wann wird die Schwachstelle in Whats App beseitigt die ständig und millionenfach täglich Zugriff auf Kontaktdaten nimmt?

 

[Cohni]

Und wann wird die Schwachstelle in Whats App beseitigt die ständig und millionenfach täglich Zugriff auf Kontaktdaten nimmt?

Ist aber nicht unbedingt themenbezogen, oder? Hier geht es um eine Lücke in iOS, die unabhängig von Whatsapp existiert.

Nur weil die es schlecht machen, mindert dies nicht das Problem bei iOS, wobei das ja leicht zu heilen ist, indem man Siri im gesperrten Zustand aussperrt.

 

[TimoR.]

Mein Gott, was ein schlimmer Fehler... wie bei Apple immer das feinste Haar in der Suppe gesucht wird, ist echt zum davonlaufen.

 

[Fratchen]

Bei mir funktioniert das gar nicht, was im Video gezeigt wird. Siri sagt immer "Ich kann a in deinen Kontakten nicht finden.".

 

[Cohni]

Mein Gott, was ein schlimmer Fehler... wie bei Apple immer das feinste Haar in der Suppe gesucht wird, ist echt zum davonlaufen.

Finde ich ehrlich gesagt nicht, solange Apple die gefundenen Haare entfernt. Die meisten User (wie auch mich) tangiert dieser Fehler zwar gar nicht, aber ein Geschäftsmann mag sicher nicht, dass Hinz und Kunz theoretisch sein Kontaktbuch auslesen kann.

Apple kann froh sein, dass es die Typen gibt, die so etwas herauskratzen. Das macht im Endeffekt das OS noch sicherer.

Ich kann es übrigens reproduzieren.


Sent from my iPad using Apfeltalk mobile app

 

[Semih91]

Es gibt noch einen gravierenden Fehler, in dem du komplett umgehen kannst. Hat leider kein Zeit gehabt wegen Video, werd ich auch noch bringen


Gesendet von meinem iPhone mit Apfeltalk

 

[d.riegger]

Es funktioniert nur, wenn der "Datendieb" einen Namen weiß, den du mehr als drei mal in deinem Adressbuch hast, damit dir Siri die Option "Andere Kontakte" anzeigt

 

[Cohni]

Bei mir funktioniert das gar nicht, was im Video gezeigt wird. Siri sagt immer "Ich kann a in deinen Kontakten nicht finden.".

Jetzt wird es aber komisch. Bei mir klappt es auch nicht mehr. Verstehe ich nicht...Stilles Update? So schnell?

 

[iMerkopf]

Gut möglich, dass sie den Algorithmus serverseitig entfernt haben, bis das iOS-Update für den Bugfix soweit ist...
Wenn es so wäre: vorbildlich.
Insbesondere, da der Bug jetzt eher einer der Gähn-Sorte ist.

 

[scharti]

Bei mir funktioniert der Bug nach wie vor unter iOS 7.0.6

 

[Philipp Schwinn]

Bei mir funktioniert es auch nicht mehr. Er zeigt mir zwar noch mehrere Kontakte, der "Andere"-Button ist allerdings verschwunden.


Sent from my iPhone using Apfeltalk mobile app

 

[TimoR.]

Finde ich ehrlich gesagt nicht, solange Apple die gefundenen Haare entfernt.

Das Problem sehe ich eben in der Berichterstattung, hier wird ein eher halbgares Bild über das insgesamt sehr sehr sehr sichere iOS vermittelt, was gerade für Einsteiger etc. sicher "abschreckend" sein kann.

Die Relation stimmt einfach nicht. Hier z.B. mal eine android-Malware Meldung von HEUTE (!)

http://www.heise.de/newsticker/meldung/Erpressungstrojaner-drohen-Android-Nutzern-2183800.html

Und auf Softwareupdates kannst da zu 98% lange warten...

Oft ist es ja, dass in den Mainstreammedien dann jeder Apple-Furz bis aufs letzte ausgekocht wird, und Meldungen wie obige von heise zu android werden garnicht gebracht, obwohl es wegen dem Marktanteil mehr als angebracht wäre. Apple hat es wirklich nicht leicht was das öffentliche Bild angeht...

 

[10tacle]

Auch wenn du mit dem letzten Absatz Recht haben magst, so geht es hier doch nicht um den Vergleich mit Android. Das wäre unangebracht und so würde man sich nur in die selbe Schublade stecken wie die Medien oder eben die typischen Apple-Hasser, die du indirekt damit ansprichst.
Ein Artikel muss neutral bleiben ohne dass die Meinung des Autors mit eingebracht wird. Und das tut dieser Artikel meiner Meinung nach. Es werden schließlich nur Fakten aufgezählt, ganz ohne Wertung. Und sowas berichtet man unabhängig davon, wie gut oder schlecht es bei Android aussieht.

Für Seitenhiebe oder Bashing sind die User zuständig.

 

[Cohni]

Das Problem sehe ich eben in der Berichterstattung, hier wird ein eher halbgares Bild über das insgesamt sehr sehr sehr sichere iOS vermittelt, was gerade für Einsteiger etc. sicher "abschreckend" sein kann...

Ich verstehe schon, was Du meinst, aber mag auch gerne 10tacle zustimmen.

Es ist ja nun mal so, dass es sicherheitsmäßig weniger Meldungen bezüglich Apple gibt. Insofern wird natürlich diesen Highlights eine gewisse und besondere Aufmerksamkeit geschenkt.

Aber auch einem Einsteiger ist zuzumuten, dass er Nachrichten und Fakten selbst beurteilen kann. Wer sich nicht informiert und auf jedes Nachrichten-Pferd voller Hysterie aufspringt, ist selber schuld.

Also ich möchte schon alle sicherheitsrelevanten Nachrichten bekommen, die es über Apple-Produkte gibt. Ja, auch den letzten Furz....
Dann kann ich mir selbst ein Bild machen, ob eine Sicherheitslücke (die es immer wieder geben wird) für mich relevant ist oder nicht.

Das halbgare Bild über das sehr sichere iOS vermitteln nicht die Medien, sondern dieses bildet sich der wenig bis gar nicht informierte User selbst.

Ich finde es gut, wie schnell Apple in diesem Fall reagiert hat.