SMS-Sicherheitslücke:
Apple rät zu iMessage

Eine kürzlich entdeckte Sicherheitslücke im SMS-Protokoll kann dazu führen, dass bei Kurznachrichten eine gefälschte Absenderadresse angezeigt wird. Betroffen ist unter anderem das iPhone, Apple rät, auf iMessage zurückzugreifen. Wie der Hacker pod2g vor wenigen Tagen herausgefunden hatte, ist es möglich, mittels Manipulation des Headers einer SMS im PDU-Format (Protocol Description Unit) eine beliebige Antwortadresse vorzutäuschen, die dann bei Nutzern vieler Handys auch als Absender angezeigt wird, gleichzeitig jedoch nicht als tatsächliche Antwortadresse dient. Der Empfänger würde dann an eine ihm unbekannte Nummer antworten und gegebenenfalls vertrauliche Informationen preisgeben.

Ein Krimineller könnte so beispielsweise die Identität einer Bank annehmen und vertrauliche Informationen erfragen. Der Empfänger würde in diesem Fall lediglich die Absendernummer seiner Bank sehen, jedoch an die ihm unsichtbare Nummer des Angreifers antworten.

Der Hacker hatte die Lücke bei Apples iPhone entdeckt, wo diese bereits bei Geräten der ersten Generation zu finden und auch in der aktuellen Betaversion von iOS 6 noch vorhanden sei. Dementsprechend hoch sei daher die Wahrscheinlichkeit, dass Kriminelle in der Vergangenheit bereits von dieser Lücke Gebrauch gemacht haben.

In einer Stellungnahme gegenüber dem Technikmagazin 'Engadget' erläuterte Apple, die Ursache des Problems sei nicht direkt beim iPhone, sondern im SMS-Protokoll zu suchen. Dieses erlaube es Angreifern, die sichtbare Absenderadresse auszutauschen. Daher sei ausdrücklich nicht nur das iPhone von der Sicherheitslücke betroffen, sondern auch viele Smartphones anderer Hersteller. Den eigenen Kunden rät Apple, auf den sicheren iMessage-Dienst zurückzugreifen, da bei diesem derartige Attacken unmöglich seien.

Ob dennoch eine technisch machbare Schließung der Lücke zu erwarten ist, ließ der Konzern bislang offen. Wie pod2g schreibt, würde eine saubere Umsetzung der SMS-Funktion in iOS sowohl den tatsächlichen als auch den gefälschten Absender anzeigen.