iPhone: Forscher hebeln Passcode-Schutz aus

Zwei Forscher des 'Fraunhofer-Instituts SIT' haben den verwendeten Passcode-Schutz bei dem iPhone erfolgreich geknackt und zudem die darauf gespeicherten Passwörter ausgelesen. Dies war ihnen in nur sechs Minuten möglich. Mit einer vierstelligen Nummer lässt sich der Zugriff auf das Smartphone von Apple grundsätzlich schützen. Sollte ein iPhone verloren gehen, so soll dieser Mechanismus unter anderem dafür sorgen, dass Dritte keinen direkten Zugriff auf das Gerät erhalten. Alleine mit diesem Schutz sollen sich die Besitzer des iPhones allerdings nicht zu sicher fühlen, warnen die Forscher Jens Heider und Matthias Boll.

Denn immerhin war es ihnen möglich, den Passcode-Schutz erfolgreich auszuhebeln und abgespeicherte Informationen auszulesen. Insofern handelt es sich bei einem verlorenen iPhone nach wie vor um ein ernsthaftes Sicherheitsproblem. Davon sei auch die aktuelle Ausführung des Apple-Smartphones betroffen.

Technisch gesehen verschafften sich die Forscher durch einen angepassten Jailbreak Zugriff auf das Dateisystem eines iPhone 4 mit iOS in der Version 4.2.1. Im Anschluss daran wurde ein SSH-Server installiert, welcher beim Booten des Geräts automatisch startet. In diesem Fall greift der gesetzte Passcode nicht mehr und die Forscher konnten mit einer selbst entwickelten Anwendung bestimmte Daten auslesen.

Grundsätzlich werden die sensiblen Informationen in einer so genannten Keychain in verschlüsselter Form abgelegt. Da das Betriebssystem diese Daten entschlüsselt, können Anwendungen transparent darauf zugreifen. Unter dem Strich konnten Heider und Boll so Passwörter für WLAN-Netzwerke, VPN-Verbindungen und E-Mail-Accounts auslesen.

Ein Zugriff auf alle Passwörter und Informationen war jedoch nicht möglich. Apple hat mit der Veröffentlichung von iOS 4 neue Schutzmechanismen eingeführt. Damit lassen sich die Daten in der Keychain zusätzlich sichern. Wird davon Gebrauch gemacht, so ist ohne die korrekte Eingabe des Passcodes keine Entschlüsselung möglich. Gegenwärtig kommen diese Mechanismen nur bei sehr wenigen Anwendungen zum Einsatz.