iphone-hack per Webseitenaufruf
Es ist zwar nicht der 1. April, aber dennoch klingt es wie ein schlechter Scherz für viele iphone-nutzer: Apples Smartphones, angeblich ausgestattet mit höchsten Datenschutzstandards, vielen ausgeklügelten Sicherheitsmechanismen und starken Zugriffsbeschränkungen, ließen sich beinahe zwei Jahre lang durch den simplen Besuch von Webseiten hacken. Auf diese Schwachstelle im ios-betriebssystem stießen Forscher von Googles „Project Zero“, die im Rahmen Ihrer Arbeit Sicherheitslücken ausfindig machen, die sich (nahezu) ohne Interaktionen der Nutzer ausnutzen lassen.
Google erklärt den Hack
In einem umfassenden Blogpost führt Googles Project-zero-team aus, dass man auf eine kleine Ansammlung von gehackten Websites stieß, die auf Angriffe auf iphone-nutzer spezialisiert sind. Den Sicherheitsforschern zufolge wählten die Websites die Ziele ohne Bevorzugung aus. Es reichte dabei aus, wenn ein Nutzer eine der gehackten Seiten im mobilen Browser aufrief, um das Endgerät zu attackieren und mit einer Malware zu infizieren.
Laut Google haben die Websites dazu mehrere Sicherheitslücken zu einer sogenannten „Exploit Chain“verbunden und waren dadurch in der Lage, verschiedene Ebenen in den IOS-SIcherheitssystemen auszuhebeln. Bis zu 14 Lücken nutzten die Hacker, um das geschlossene Sandbox-system des Browsers zu umgehen und bis zum Kern des Betriebssystems vorzudringen, welcher die vollständige Kontrolle über das iphone erlaubt.
Mehrere tausend iphone-nutzer sollen innerhalb von zwei Jahren diese Websites besucht haben.
In einer öffentlichen Stellungnahme reagierte Apple auf die Vorwürfe und warf Google eine unberechtigte Panikmache vor, „die bei allen iphone-nutzern die Angst schürt, dass ihre Geräte kompromittiert wurden“. Apple zufolge handelt es sich jedoch um einen Angriff, der „eng begrenzt“sei und nur für „etwa zwei Monate“stattfand. Der Fokus der betroffenen Seiten lag dabei auf Inhalten zur uigurischen Gemeinschaft. Trotz dieser Einwände nimmt Apple den Vorfall nach eigenem Bekunden sehr ernst und schloss die Schwachstellen innerhalb von zehn Tagen nach dem Bekanntwerden. Als Google an Apple herantrat, soll die Problemlösung bereits in vollem Gange gewesen sein. Ein ios-update entfernte die Lücken laut Apple bereits im Februar.
Mehr Geld für gefundene Sicherheitslücken
Noch vor dem Bekanntwerden des iphone-hacks durch Web
seitenaufrufe brachte sich Apple in eine bessere Position. Lange musste sich Apple nämlich die Kritik gefallen lassen, dass man nur wenig und selten für gefundene Sicherheitslücken zahlen würde. Im Rahmen der diesjährigen Blackhat-sicherheitskonferenz änderte das Unternehmen seinen Kurs und kündigte eine deutliche Ausweitung des „Bug Bounty“-programms an.
Bislang ließ das Unternehmen nur ausgewählte Personen und Forschungskreise für das Programm zu. Dieses umfasste lediglich IOS und lag mit einer maximalen Auszahlungshöhe von 200.000 Us-dollar weit unter dem, was andere Unternehmen für Fehlermeldungen zahlen. Wie Apples „Head of Security for Engineering and Architecture“, Ivan Krstić, auf der Blackhat 2019 bekanntgab, wird das Programm auf alle Betriebssysteme ausgeweitet. Dazu zählen nun auch macos, tvos, ipados, watchos und sogar der Onlinespeicher icloud.
Als weiteren Fortschritt nannte Krstić, dass man das Programm im Herbst für alle Sicherheitsforscher freigegeben will und man dadurch mehr Zulauf erwarte.
Für zusätzliches Engagement könnte allerdings auch der Umstand sorgen, dass Apple bis zu eine Million Us-dollar für besonders schwerwiegende, aufgedeckte Sicherheitslücken zahlen will. Für Lücken, die zu einem nicht autorisierten Zugriff auf icloud-daten führen könnten, will Apple 100.000 Us-dollar zahlen. Gleiches gilt auch für Möglichkeiten, den Sperrbildschirm zu umgehen.
Das Unternehmen will zudem Boni einführen, wenn Teilnehmer etwa einen Fehler noch vor der offiziellen Veröffentlichung eines Betriebssystems entdecken. Finden sie hingegen eine Lücke während einer Betaphase, gibt es bis zu 50 Prozent extra.
Es bleibt abzuwarten, ob Apple durch die neuen Maßnahmen weitere „interaktionslose“Angriffsmöglichkeiten rechtzeitig verhindern kann.