Die Sicherheit von iOS-Geräten gilt seit längerem als eine der besten. Schon oft hörte man in den Nachrichten, dass sich auch Behörden über diese starke Absicherung beschwert haben. Nun scheint sich das Blatt (kurzzeitig) zu wenden. Es ist jedoch verwunderlich, warum dies keine Wellen in der Community schlägt.

Der Auslöser: Die US-amerikanische Forensik-Firma mit dem Namen Grayshift (https://graykey.grayshift.com) bietet seit einiger Zeit eine kleine Box im Internet an, die es (Sicherheitsbehörden) erlauben soll, Zugang zu iOS-Geräten zu erlangen. Ein Blick auf die Homepage verrät noch nicht viel über diese kleine Box. Die Homepage zeigt lediglich ein Registrierungsformular und einem Login, um mehr zu erfahren.

Die kleine Wunderbox

Die mit dem Produktnamen GrayKey angebotene Box könnte nicht nur für die PR Abteilung von Apple eine enorme Herausforderung darstellen. Das Gerät erlaubt es anscheinend, bis zu zwei iOS-Geräte parallel zu entsperren. Entsperren bedeutet in diesem Fall die Möglichkeit, sich den kompletten Zugang zu den Daten und dem Gerät selbst zu verschaffen, auch wenn das iOS-Gerät vorher ausgeschaltet wurde.

Hierzu bräuchten die iOS-Geräte Presseberichten zufolge nur kurz angeschlossen werden, um einen Prozess auf ihnen in Gang zu setzen. Ist die Box mit dem Gerät fertig, erscheint am Ende der ermittelte Entsperr-Code auf dem jeweiligen iOS-Gerät. Je nach Komplexität kann dies Sekunden, Minuten, Stunden oder gar Tage dauern. So soll diese Box für einen sechsstelligen PIN innerhalb von 11 Stunden eine Antwort liefern. Besitzt ein iOS-Gerät nur einen vierstelligen PIN, darf sich der Angreifer bereits nach ca. 13 Minuten über eine Lösung seiner Probleme freuen.

Mit Kenntnis des Entsperr-Codes kann der Anwender nicht nur Zugriff auf das iOS-Gerät erlangen. Er kann es auch auf die Box dumpen (herunterladen). Die Box, mit einer Größe von 10 × 10 Zentimeter, selbst bietet dafür ein eigenes Web-basiertes Interface an. Dieses offeriert dem Anwender nicht nur die gepumpten Daten, sondern auch den Inhalt des Schlüsselbundes (KeyChain).

Kleine Box zum günstigen Preis

GreyShift bietet diese "Hacker" Box in mindestens zwei Varianten an. Für umgerechnet 12.500 Euro kann es losgehen. Der Käufer erhält eine Box, die er maximal 300 Mal nutzen kann. Die Box kann ferner nur dem Netzwerk betrieben werden, in dem diese erstmalig ihren Einsatz gefunden hat (IP-Geofencing). Ferner ist eine stetige Internet-Verbindung notwendig.

Für umgerechnet 25.000 Euro erhält der interessierte Käufer eine unlimitierte Version des Gerätes, die auch offline funktioniert. Diese stellt damit eine leicht zu transportierende Lösung da, die sich überall schnell einsetzen lässt. In der Nutzung gibt es einen weiteren Unterscheid. Das Offline-Modell erfordert eine Token-basierte Zwei-Faktor-Authentifizierung als Ersatz für Geofencing, um die Sicherheit zu gewährleisten. Es bleibt hier nur die Hoffnung, dass die Zugangsdaten nicht auf einem Postit, am nächst gelegenen Monitor oder der Box selbst angebracht sind.

Kunde: Sicherheitsbehörden

Interessant ist, dass scheinbar (nur) Sicherheitsbehörden der USA Zugriff auf das Gerät haben sollen. Aber egal, wo auf der Welt das Gerät im Einsatz ist, die Gefahren der genutzten Sicherheitslücken sind enorm.

Es gibt aktuell keine Verteidigung gegen Angriffe mit dieser Box. Ferner ist das Vorgehen der Box höchst umstritten. Ohne dass Details bekannt sind, ist davon auszugehen, dass diese einen Jailbreak bis auf die SecureEnclave hinunter durchführt. Anders kann ich mir nicht erklären, warum die Code Ermittlung auf dem iOS-Gerät samt optischer Ausgabe, erfolgt. Wenn dem so ist, dann wird ein potentiell zu untersuchendes Gerät "aktiv manipuliert". Die Beweiskraft dessen, was man nun auf dem Gerät vorfindet, darf mit Fug und Recht stark angezweifelt werden.

Kleiner Schutz in Aussicht! Oder auch nicht ?

Während Apple scheinbar noch im Dunklen tappt, was die Suche nach den zugrundeliegenden Sicherheitslücken angeht, muss eine schnelle Zwischenlösung her. Mit den Betas von iOS 11.3 hatte Apple genau so eine Zwischenlösung mit dem Namen "USB Restricted Mode" vorgesehen. Die Beta Versionen von iOS überprüften, wann ein Gerät letztmalig korrekt eingeschaltet wurde (per TouchID, FaceID oder PIN-Eingabe). Lag dies länger als 7 Tage in der Vergangenheit, deaktivierte iOS einfach den Lightning-Anschluss. Das iOS-Gerät lässt sich dann zwar noch laden, bei einer Datenverbindung verlangt es den Passcode. Da die GrayKey Box auf genau diesen Lightning-Anschluss setzt, wäre diese wirkungslos (nach 7 Tagen). Leider hat Apple in letzter Sekunde dieses Feature (anscheinend) entfernt/deaktiviert. Auch die aktuell laufende 11.4 Beta enthält diese Funktion (anscheinend) nicht. Ein offizielles Statement von Apple habe ich nicht gefunden.

Fazit

Richten Sie ein möglichst langes Kennwort inkl. Zahlen, Zeichen und Sonderzeichen auf Ihrem iOS-Endgerät ein. Dies schützt zwar nicht ewig, aber eine lange Zeit. Behalten Sie ein Auge auf Ihr iOS-Gerät. Ich hoffe sehr, dass es bald eine saubere Lösung für das Problem gibt. (mb)