Apple kommentiert angeblichen iPhone Brute Force Passcode-Hack

Ein Sicherheitsforscher muss seine Aussage über eine Schwachstelle in Apples Passcode-Sperre zurücknehmen. Die von ihm ursprünglich gemeldete Sicherheitslücke soll doch gar keine sein, Apple hat sich ebenfalls schon ähnlich zu Wort gemeldet. Einen iPhone Passcode "Hack", der gar keiner ist: Nach einem Bericht der Newsseite ZDNet hatte der Sicherheitsforscher Matthew Hickey eine Umgehung von Apples Passcode-Sperre gefunden und das aufgeregt getwittert. Mit Hilfe einer Brute Force Attacke hatte er nach eigenen Angaben die Sicherheitsfunktion selbst in iOS 11.3 umgehen können. Wie es mit dem kürzlich veröffentlichten iOS 11.4 aussieht ist nicht bekannt. Doch nun stellt sich raus, dass es wohl mehr heiße Luft war als ein echter Hack.

Kombinationen von 0000 bis 9999 auf einmal schicken

Eigentlich verarbeitet das iPhone oder iPad immer nur eine Passcode-Eingabe nach der anderen. Nach mehreren falschen Codes ist dann erst einmal Schluss, Apple sperrt solche Geräte automatisch und lässt keine weiteren Eingaben zu. Der Bypass, den Hickey entdeckt haben will, lief, indem er einfach alle seine Kombinationen von 0000 bis 9999 auf einmal und ohne Leerzeichen schickte, einfach als eine lange Zeichenkette. Laut Hickey bearbeite das iOS-Gerät alle auf einmal, umgeht dabei die normale Sperre und deaktiviert das Gerät nicht wie eigentlich vorgesehen.

Das scheint aber gar nicht so zu sein, wie Hickey dann selbst noch nach weiteren Test klarstellte. Nicht die gesamten gesendeten Codes wurden überhaupt als Eingabe gewertet. So zählt Apple dann auch anders bis zur Sperre des Geräts.

Kein Vorteil

Er prüfte noch einmal seine Codes und die Testdurchläufe und kam zu dem Ergebnis, dass nicht alle in Apple Security-Enklave verarbeitet wurden. Wie es scheint, so Hickey, habe die Serien-Eingabe damit doch gar keinen Vorteil gegenüber den einzelnen Eingaben, womit sein Bypass auch gar keiner ist.

Nun meldete sich ein offizieller Apple-Sprecher gestern gleich zu Wort und entgegnete, dass dieser Hack-Versuch irreführend war. "Der jüngste Bericht über einen Passcode-Bypass auf dem iPhone war ein Fehler und ein Ergebnis falsch gestalteter Tests", sagte Apple am Samstag in einer Stellungnahme per Mail.

Dritte konnten den Brute Force Passcode Hack bisher wohl auch nicht reproduzieren. Infografik: Im Schatten des iPhones Siehe auch: