Daten auf Bestellung: Apples iMessage brachte man leicht zum Reden

Auch Apples Mobile-System iOS ist trotz seiner hohen Sicherheits-Hürden nicht davor gefeit, mit saftigen Problemen konfrontiert zu sein. Das zeigte die Sicherheitsforscherin Natalie Silvanovich auf der Hacker-Konferenz BlackHat, indem sie über den Kommunikationsdienst iMessage mit einigen manipulierten Nachrichten das jeweilige iPhone knackte. Silanovich ist Teil des Project Zero-Teams beim Apple-Konkurrenten Google und arbeitet dort nach eigenen Angaben gemeinsam mit ihrem Kollegen Samuel Groß an der Suche nach Schwachstellen in diversen wichtigen Kommunikationsdiensten von SMS über MMS bis hin zu Voicemail-Systemen. Im Zuge dessen, so berichtete sie auf der Konferenz, sei man per Reverse Engineering auch in das Innenleben von iMessage vorgedrungen und konnte dort einige Probleme finden.

Allerdings wäre es wohl zu einfach, wenn man den Apple-Entwicklern hier eine schlechte Qualität unterstellen würde. Vielmehr biete iMessage eben ein sehr breites Spektrum an Kommunikationswegen und Schnittstellen zu anderen Anwendungen, wodurch der Dienst letztlich ziemlich komplex und damit auch fehleranfällig wird, da sich die Code-Bestandteile in ihrem komplexen Zusammenwirken nur schwer überblicken lassen.

Bug war sehr wertvoll

Bei einer der Sicherheitslücken, die Silanovich demonstrierte, musste der Angreifer lediglich eine passend manipulierte Nachricht an den Zielnutzer schicken und bekam dann Inhalte aus der Kommunikation des Anwenders zurückgeliefert. Informationen über einen solchen Bug können auf dem Schwarzmarkt einen zweistelligen Millionen-Betrag einbringen - immerhin können sie unter anderem genutzt werden, um Zwei-Wege-Authentifikationen und TANs abzufangen.

Silanovich erklärte während ihres Vortrages, dass sie an dieser Stelle nur die Exploits für iMessage demonstriert hat, ihre Arbeit aber durchaus weiterging. Bugs habe man demnach auch in Apples Facetime, WhatsApp und dem WebRTC-Protokoll gefunden. Auch hier konnten ohne Interaktion mit dem Nutzer über entfernte Zugriffe Daten gestohlen werden. Die Bug-Reports zu iMessage sind bereits vor einiger Zeit an Apple geschickt worden und in den aktuellen Systemversionen iOS 12.4 sowie MacOS 10.14.6 sind die Patches bereits enthalten. Wer noch auf älteren Varianten der Plattformen unterwegs ist, sollte unbedingt ein Update durchführen.

Siehe auch: Windows 10: Microsoft will Anbindung an Apples iMessage schaffen