Neuer iOS 10-Ärger: Backups bei weitem nicht so sicher wie bei iOS 9

Dass neue Betriebssysteme mehr Sicherheit als ihre Vorgänger-Versionen bieten sollten, ist klar. Wie jetzt Apple bestätigt, macht es das Anfang des Monats veröffentlichte iOS 10 Angreifern aber wesentlich leichter als iOS 9, auf lokal gespeicherte Backups Zugriff zu nehmen.

Einfacher zu knacken

Mit Schlagzeilen wie "Apple iOS10 mit Fehlstart: Update legt Geräte vorübergehend lahm" konnten wir in diesem Monat darüber berichten, dass Apple sein neues Betriebssystem für iPhone und iPad mit einigen Fehlern ausgeliefert hatte. Am Wochenende sorgte die Veröffentlichung von iOS 10.0.2 dafür, dass unter anderem ein Fehler beim Anschluss der neuen Lightning-Kopfhörer behoben wurde. Wie sich jetzt zeigt, muss Apple aber offenbar erneut dringend Hand an iOS 10 anlegen.

Das Problem: Auf Windows-PCs und MACs abgelegte System-Backups sind zwar auch unter iOS 10 verschlüsselt. Dieser Schutz vor Fremdzugriffen fällt aber um ein Vielfaches schwächer aus als bei der Vorgänger-Version iOS 9. Auf diesen Sicherheits-Unterschied machte zuerst die russische Softwarefirma Elcomsoft aufmerksam, die bei der Entwicklung von Tools zum Aushebeln der Sicherheitsmechanismen unter iOS auf die Änderung gestoßen war.


Wie die Entdecker in ihrem Bericht beschreiben, lasse sich die von Apple mit iOS 10 eingeführte Sicherungsmaßnahme für lokal gespeicherte und per Passwort geschützte Backups um das 2.500-fache schneller mit sogenannten Brute-Force-Attacken knacken als das noch bei iOS 9 der Fall war. Laut Elcomsoft seien Änderungen am Schutzalgorithmus durch Apple für diese unwillkommene Änderung verantwortlich.

Konkret soll Apple den älteren Verschlüsselungs-Standard PBKDF2 mit iOS 10 mit dem Algorithmus SHA-2 ersetzt und hier damit erstmals seit iOS 4 einen Wechsel vollzogen haben. Während bei der älteren Methode das Backup-Passwort mit 10.000 Iterationen verschlüsselt wurde, soll der aktuelle Algorithmus nur eine Verschlüsselungs-Iteration verwenden. Dies führe zu einem Schutz, der laut den Experten "selbst mit einem Desktop-Rechner" geknackt werden kann.

Apple will fixen, Gefahr eher gering

Apple hat mittlerweile gegenüber Forbes den Fehler eingestanden und zugesagt, dass an einer Lösung gearbeitet wird. Diese soll in einem baldigen Sicherheitsupdate ausgeliefert werden, Elcomsoft spricht hier allerdings davon, dass auch iTunes auf den neusten Stand gebracht werden müsste. Wie Apple weiter betont, sind von dem Problem keine iCloud-Backups betroffen. Da für die Ausnutzung der schwächeren Sicherheitsmaßnahmen physischer Zugang zum Gerät benötigt wird, sollten Nutzer außerdem starke Zugangsdaten für ihre Geräte verwenden.

iOS 10 im Härtetest Was bietet Apples neues Betriebssystem?