Apple zieht nach fast vier Jahren eine erste Zwischenbilanz zum Blockierungsmodus. Bisher gibt es nach Angaben des Unternehmens keine Hinweise auf erfolgreiche Angriffe, wenn die Funktion aktiv war.
Apple meldet keine erfolgreichen Angriffe im Blockierungsmodus
Apple erklärt, dem Unternehmen sei kein Fall bekannt, in dem ein Gerät mit aktiviertem Blockierungsmodus von Söldner-Spyware erfolgreich kompromittiert wurde. Eine Sprecherin sagte gegenüber TechCrunch, Apple wisse von keinen erfolgreichen Angriffen auf Apple-Geräte, bei denen der Sperrmodus aktiviert gewesen sei. Der 2022 eingeführte, freiwillig aktivierbare Schutz richtet sich an besonders gefährdete Nutzer:innen und soll gezielt gegen hochentwickelte Spionagesoftware schützen, die unter anderem von Firmen wie NSO Group, Intellexa und Paragon Solutions stammt.
Der Blockierungsmodus steht auf iPhone, iPad und Mac zur Verfügung und schränkt Systemfunktionen deutlich ein, die häufig von Söldner-Spyware ausgenutzt werden. Apple hat die Funktion speziell für Personen entwickelt, die gezielten, technisch anspruchsvollen Angriffen auf dem Niveau von Staaten ausgesetzt sein können, darunter Journalist:innen, Aktivist:innen und Rechtsanwält:innen. Parallel dazu verteilt Apple weiterhin Sicherheitsupdates an alle Nutzer:innen, setzt beim Blockierungsmodus aber auf zusätzliche, besonders weitreichende Einschränkungen für Hochrisikozielgruppen.
Unabhängige Forschende bestätigen Wirksamkeit
Unabhängige Sicherheitsexpert:innen berichten von ähnlichen Beobachtungen. Donncha Ó Cearbhaill, Leiter des Sicherheitslabors von Amnesty International, erklärte, sein Team habe keine Belege für ein iPhone gesehen, das von Söldner-Spyware erfolgreich kompromittiert wurde, während der Blockierungsmodus zum Zeitpunkt des Angriffs eingeschaltet war. Digitale Bürgerrechtsorganisationen wie Amnesty International und das Citizen Lab der Universität Toronto haben zwar zahlreiche erfolgreiche Spyware-Angriffe auf iPhone-Nutzer:innen dokumentiert, jedoch keinen bekannten Fall, in dem der Blockierungsmodus umgangen wurde.
Forschende des Citizen Lab haben mindestens zwei konkrete Fälle bestätigt, in denen der Blockierungsmodus Angriffe real blockierte. In einem Fall ging es um Pegasus der NSO Group, im anderen um Predator-Spyware eines Unternehmens, das inzwischen zu Intellexa gehört. In mindestens einem weiteren Fall beobachteten Forschende von Google, dass Spyware den Infektionsversuch abbrach, sobald sie einen aktiven Sperrmodus erkannte, offenbar um keine Spuren zu hinterlassen, die den Angriff hätten aufdecken können.
So begrenzt der Blockierungsmodus die Angriffsfläche
Der Blockierungsmodus reduziert die Angriffsfläche in iOS, iPadOS und macOS deutlich. Ist er aktiv, blockiert er die meisten Arten von Nachrichtenanhängen, schränkt komplexe Webtechnologien ein, die häufig für sogenannte Zero-Klick-Exploits genutzt werden, und verhindert, dass Geräte automatisch unsicheren WLAN-Netzen beitreten. Eingehende FaceTime-Anrufe von unbekannten Kontakten werden beschränkt, Installationen von Konfigurationsprofilen unterbunden und kabelgebundene Verbindungen zu Computern oder Zubehör blockiert, solange das Gerät gesperrt ist.
Wie wichtig solche Schutzmechanismen sein können, zeigte zuletzt die Veröffentlichung des Spähwerkzeugs „DarkSword“, das auf einer Kette von WebKit- und Kernel-Schwachstellen basierte, um Daten von Zielpersonen zu extrahieren. Selbst ohne allein auf Sicherheitsupdates angewiesen zu sein, kann der Sperrmodus Angriffswege stören, auf die solche Werkzeuge angewiesen sind. Apple informiert inzwischen aktiver über mögliche Angriffe und hat bereits Personen in mehr als 150 Ländern vor vermuteter Söldner-Spyware gewarnt. Der Sicherheitsforscher Patrick Wardle bezeichnete den Blockierungsmodus als eine der aggressivsten Härtungsfunktionen für Endnutzer:innen, die bislang ausgeliefert wurden.
