Siri ermöglicht Zugriff auf Kontakte und Fotos ohne Passcode oder TouchID

[Cohni]

Die Tür kannst Du selber schließen, indem Du Siri und Programme für den Sperrbildschirm generell unterbindest.

Ich sehe das ähnlich wie mit der Cloud. Wenn man die Bequemlichkeiten nutzen mag, geht man auch bewußt ein paar Risiken ein. Wenn man besonderen Wert auf Sicherheit legt, vermeidet man derartige Funktionen sowieso.

Insofern habe ich für mich persönlich ehrlich gesagt hier kein großes Problem vorliegen.

 

[.holger]

Die Tür kannst Du selber schließen, indem Du Siri und Programme für den Sperrbildschirm generell unterbindest.

Ich sehe das ähnlich wie mit der Cloud. Wenn man die Bequemlichkeiten nutzen mag, geht man auch bewußt ein paar Risiken ein. Wenn man besonderen Wert auf Sicherheit legt, vermeidet man derartige Funktionen sowieso.

Insofern habe ich für mich persönlich ehrlich gesagt hier kein großes Problem vorliegen.

Eben nicht. Woher bekommen Siri und die anderen Programme den Schlüssel zum entsperren des Datenspeichers bzw. warum haben sie Zugriff auf diesen ohne dass ich meinen Sperrcode (oder Fingerabdruck) hergeben muss? Da ist glaube ich echt ein systematisches Sicherheitsproblem in iOS.

 

[Cohni]

Man lässt doch den Zugriff auf den gesperrten Bildschirm bewußt zu. Das ist ein Feature, welches man nutzen kann (und somit weniger Sicherheit hat) oder nicht. Wenn man es nicht zulässt, erfolgt normalerweise kein Entsperren. Oder quasseln wir gerade aufgrund eines Denkfehlers meinerseits aneinander vorbei?

 

[Magic1111]

Oder quasseln wir gerade aufgrund eines Denkfehlers meinerseits aneinander vorbei?

Nein, Du hast schon recht.

Man kann unter Einstellungen > Touch ID & Code > weiter unten: Im Sperrzustand Zugriff erlauben explizit an- oder abwählen, was im Sperrzustand alles erlaubt ist oder nicht. U.a. kann man an dieser Stelle Siri für den Sperrzustand deaktivieren, somit funktioniert "Hey Siri" bei gesperrten iPhone nicht mehr.

 

[prostetnik]

Laut Golem wurde die Lücke geschlossen:

http://www.golem.de/news/3d-touch-a...rheitsluecke-ohne-ios-update-1604-120159.html

Das Problem konnte serverseitig behoben werden.

 

[.holger]

Man lässt doch den Zugriff auf den gesperrten Bildschirm bewußt zu. Das ist ein Feature, welches man nutzen kann (und somit weniger Sicherheit hat) oder nicht. Wenn man es nicht zulässt, erfolgt normalerweise kein Entsperren. Oder quasseln wir gerade aufgrund eines Denkfehlers meinerseits aneinander vorbei?

Vielleicht habe ich auch den Denkfehler. Aber meiner Meinung nach müsste jeder Zugriff auf die Daten die im Userspace abgelegt sind das Entschlüsselungspasswort zwingend erfordern. Dieser ist in der Secure Enclave abgelegt. Der Zugriff dadrauf dürfte nur mit dem Entsperrcode oder Fingerabdruck erfolgen (sonst könnte theoretisch jede Software drauf zugreifen).
Wenn also Siri bzw. der Lockscreen auf das Entschlüsselungspasswort (des Userspaces) zugreifen kann und Apple das mit einem Serverseitigen Flag in der Siri-Antwort (z.B. "requestpasscode=YES") für gewissen Fragen deaktivieren kann, was hindert andere Programme dann drauf zuzugreifen?
Ich bin kein Securityexperte, ich habe echt keine Antwort drauf. Nach meinem Verständnis ist da aber eine gewaltige Sicherheitslücke innerhalb von iOS. Wenn ich da nen Denkfehler habe und mich da jemand aufklären kann damit ich heute Nacht beruhigter schlafen kann, bin ich sehr glücklich.

Nein, Du hast schon recht.

Man kann unter Einstellungen > Touch ID & Code > weiter unten: Im Sperrzustand Zugriff erlauben explizit an- oder abwählen, was im Sperrzustand alles erlaubt ist oder nicht. U.a. kann man an dieser Stelle Siri für den Sperrzustand deaktivieren, somit funktioniert "Hey Siri" bei gesperrten iPhone nicht mehr.

Das behebt aber nicht das Problem was ich sehe, sondern behandelt nur eines der Symptome.

 

[Mitglied 105235]

Es geht noch viel schlimmer. Siri (bzw der Bug..) kann das iPhone auch KOMPLETT entsperren. Funktioniert bei mir am iPhone 6 128GB als auch am iPhone 6 Plus jeweils mit iOS 9.3.1:

Siri am gesperrten Handy aktivieren, Fragen wie spät es ist. Dann auf die Uhr tippen und beim Plus eine neue Stadt hinzufügen. Im Suchfeld "unlockiphone" eingeben, dann zwei drei mal auf Suchen klicken. Findet natürlich nichts. Dann auf Abbrechen klicken und dann auf den Homebutton..... alles entsperrt.
Es sollten nicht mehr als 4-5 Weltzeituhren bereits hinzugefügt sein.

Zugriff auf Fotos, Kontakte, Mails, Kalender, Nachrichten, Apps. Alles. Wie wenn es normal entsperrt worden wäre...

Ich war wirklich geschockt, als ich das das erste Mal ausprobiert hab..

Nimm mal einen Finger der nicht in Touch ID hinterlegt ist wenn du auf den Homebutton drückst.

Mit Kleinenfinger habe ich es nun getestet bei mir und das funktioniert nicht, nutze ich den Zeige Finger geht es, dieser ist aber auch in Touch ID Hinterlegt.

 

[Cohni]

@.holger
Okay, jetzt verstehe ich erst richtig, was Du meinst. Sorry.

Wenn eine Änderung serverseitig ausreichen sollte, per Siri die Passwortsperre im Gerät umgehen zu können, dann empfände ich dies auch als durchaus problematisch. Zumindest der umgekehrte Weg scheint zu funktionieren. Vor dem Fix war es ja so, dass ich zwar Siri explizit erlauben musste, bei Twitter suchen zu dürfen, um diese Umgehung zu aktivieren, aber die Rücknahme funktionierte nicht und wurde erst angeblich mit dem servierseitigen Fix behoben.

Die eine Frage ist nun hierbei, ob es sich tatsächlich um eine Korrektur auf der Serverseite handelte oder vielleicht ein "Silent Update" am iPhone vorgenommen wurde. Die andere Frage wäre, ob man zwar serverseitig ein Loch stopfen kann, aber ob jenes auch umgekehrt funktionieren kann, nämlich die Öffnung eines Loches per Fernzugriff. Letzteres wäre in der Tat bedenklich.

Wie immer bei Apple...man weiß es nicht genau und es kursieren nur Vermutungen.

 

[Fresh_Prince]

Laut Golem wurde die Lücke geschlossen:

http://www.golem.de/news/3d-touch-a...rheitsluecke-ohne-ios-update-1604-120159.html

Das Problem konnte serverseitig behoben werden.

Gute Sache das es so schnell behoben wurde.

 

[Verlon]

Vielleicht habe ich auch den Denkfehler. Aber meiner Meinung nach müsste jeder Zugriff auf die Daten die im Userspace abgelegt sind das Entschlüsselungspasswort zwingend erfordern. Dieser ist in der Secure Enclave abgelegt. Der Zugriff dadrauf dürfte nur mit dem Entsperrcode oder Fingerabdruck erfolgen (sonst könnte theoretisch jede Software drauf zugreifen).
Wenn also Siri bzw. der Lockscreen auf das Entschlüsselungspasswort (des Userspaces) zugreifen kann und Apple das mit einem Serverseitigen Flag in der Siri-Antwort (z.B. "requestpasscode=YES") für gewissen Fragen deaktivieren kann, was hindert andere Programme dann drauf zuzugreifen?

Genau die Frage habe ich mir auch gestellt. Ich hatte auch gedacht, dass Fotos in der "Complete Protection" Klasse sind. Da wäre ein Zugriff, wie hier beschrieben, gar nicht möglich, da der Entschlüsselungskey beim Sperren verworfen wird und ohne passcode nicht neu erzeugt werden kann.

Ich hatte immer erwartet, dass Fotos auch in dieser Klasse sind. Sind sie offenbar aber nicht.

 

[Paddy2590]

Nimm mal einen Finger der nicht in Touch ID hinterlegt ist wenn du auf den Homebutton drückst.

Mit Kleinenfinger habe ich es nun getestet bei mir und das funktioniert nicht, nutze ich den Zeige Finger geht es, dieser ist aber auch in Touch ID Hinterlegt.

Bei mir ebenso, kann das Entsperren auf diesem Wege bei mir nicht nachstellen, trotz mehrerer Versuche.

 

[Michael Reimann]

Schnell reagiert von Apple.
Ich wage aber zu Bezweifeln, dass der Fix und vor allem die Reaktions-Geschwindigkeit von Apple ein ähnliches Echo in der Medienlandschaft erzeugt

Jap, Apple macht da einen guten Job.
Wo allerdings da hier ein paar mal erwähnte Medienecho zu diesem Bug zu erleben ist, frage ich mich. Außer ein paar Meldungen in den einschlägigen Portalen, habe ich nichts davon gelesen, gesehen oder gehört.

 

[uwered]

Jap, Apple macht da einen guten Job.
Wo allerdings da hier ein paar mal erwähnte Medienecho zu diesem Bug zu erleben ist, frage ich mich. Außer ein paar Meldungen in den einschlägigen Portalen, habe ich nichts davon gelesen, gesehen oder gehört.

Gestern : n-tv, N24, RTL in Printmedien heute : Westfalenblatt & Neue Westfälische

 

[giesbert]

Gestern : n-tv, N24, RTL in Printmedien heute : Westfalenblatt & Neue Westfälische

plus: Spiegel, SZ

 

[Schillerphone]

Ist doch gut. Die Medien sollen nur schön auf die Pauke hauen, wenn es um Apple geht. Umso schneller werden die Bugs gefixt.

 

[Michael Reimann]

Gestern : n-tv, N24, RTL in Printmedien heute : Westfalenblatt & Neue Westfälische

Haben alle bei uns abgeschrieben! Okay dann haben ja die Top-Medien berichtet!