36C3-Vortrag: Google-Sicherheitsforscher erläutert iMessage-Schwachstelle

Ihr erinnert euch vielleicht noch an die mit iOS 12.4 behobene iMessage-Sicherheitslücke, auf deren Basis ein Angreifer Schadsoftware auf einem iPhone oder anderen mit iMessage kompatiblen Geräten ausführen konnte. Die Schwachstelle wurde von Google-Sicherheitsforschern entdeckt und an Apple gemeldet und soweit bekannt davor auch nicht aktiv ausgenutzt. Auf dem Jahreskongress des Chaos Computer Club hat mit Samuel Groß einer der Entdecker der Schwachstelle nun Details dazu erläutert und Apple zudem aufgefordert, iOS besser gegen derartige Angriffsszenarien zu schützen.

Zunächst einmal kritisiert Groß, dass iMessage mit dem Einrichten eines neuen iOS-Geräts mehr oder weniger automatisch aktiviert wird und es nicht möglich ist, Nachrichten von unbekannten Absendern generell zu unterdrücken. Die standardmäßige Zustellung auch von Nachrichten unbekannter Herkunft öffne derartigen Angriffen überhaupt erstmal Tür und Tor.

Apple selbst hat laut Groß keinerlei Möglichkeit, Angriffe wie den in seinem Vortrag beschriebenen zu filtern oder serverseitig zu blockieren. Hier komme Apple die iMessage-Verschlüsselung in die Quere – die zweifellos positive Tatsache, dass Apple die Inhalte der über iMessage verschickten Nachrichten nicht kennt, bedeutet eben auch, dass auf diesem Weg verschickte Schadsoftware nicht erkannt werden kann. Groß zufolge sei der von seinem Team aufgedeckte Fehler zwar korrigiert, grundsätzlich bestehe jedoch jederzeit die Gefahr, dass vergleichbare Schwachstellen neues Angriffspotenzial bieten.

Der 60 Minuten lange, im Original englischsprachige Vortrag gewährt auch ein wenig Einblick in die Arbeitsweise von Googles Sicherheitsteam. Nicht nur mit Blick auf die Herangehensweise bei der Suche nach solchen Schwachstellen, sondern auch die grundlegende Philosophie betreffend. So erzählt Groß, dass Apple selbstverständlich sofort und umfassend über die Entdeckungen informiert wurde, während die Details für sonst niemand zugänglich gemacht wurden. Auf Nachfrage bestätigte Groß, dass sein Team von Apple keine Entschädigung oder Prämie erhalten, allerdings auch nicht verlangt habe.

Apple wurde in der Vergangenheit oft dafür kritisiert, keine oder nur geringe Belohnungen für aufgedeckte Schwachstellen bezahlen. Erst kurz vor Weihnachten wurden diese Prämien nun deutlich aufgestockt.

Alternativ zu dem auch hier abrufbaren Video ist der Mitschnitt des Vortrags auch als MP3 verfügbar.