Apple hat im Zuge der Veröffentlichung von iOS 7.0.6 in einem Support-Dokument davor gewarnt, dass in allen aktuellen iOS-Versionen eine schwerwiegende Sicherheitslücke klafft. Diese Lücke könnte im schlimmsten Fall zur Folge haben, dass Angreifer persönliche und vertrauliche Daten auf einfache Art und Weise abgreifen, die eigentlich verschlüsselt sein sollten. Inbegriffen sind hierbei vor allem Zugangsdaten für Online-Banking, Kreditkartendaten und Passwörter sowie Nutzernamen für Online-Shops.
Kurz nach dem bekannt wurde, dass mit iOS 7.0.6 ein neues Firmware-Update bereit steht, war erst nicht klar, wie schwer diese Lücke letztlich tatsächlich sein würde. Mittlerweile hat sich Apple aber selbst in einem angehängten Dokument dazu geäußert, sodass das ganze Ausmaß deutlich wird. Laut dem iPhone-Hersteller behebt die neueste iOS-Version ein Problem mit der SSL / TLS Authentifizierung, das es Angreifern ermöglichte Daten trotz vermeintlicher Verschlüsselung unbemerkt abzugreifen.
Meine Empfehlungen für dich
Die 4-Stunden-Woche - Mehr Zeit, mehr Geld, mehr Leben | Der Welt-Besteller für eine geniale Work-Life-Balance, ortsunabhängiges Arbeiten und ein fantastisches Leben.
Bestes iPhone Leder-Case - Eleganter kannst du dein iPhone nicht gegen Schmutz und Kratzer schützen. Das 2in1 Leder-Case von Solo Pelle ist abnehmbar, kommt mit Kartenfächern daher und sieht einfach nur mega aus.
Mein liebster Arbeitsstuhl - Ohne den Swopper Air hätte ich sicherlich mehr Rückenschmerzen. Er fördert trotz Sitzposition eine bewegliche Wirbelsäule und hält mich beim Arbeiten aktiv. Das ist ein riesiger Vorteil zum stink normalen Bürostuhl.
Angreifer müssten sich lediglich im gleichen Netzwerk befinden, um mit einem "Man in the Middle Angriff" persönliche Daten ausspähen zu können. Anfällig dafür sind vor allem öffentliche Netzwerke in Innenstädten, öffentlichen Einrichtungen oder irgendwelchen Veranstaltungen wie aktuell zum Beispiel im olympischen Dorf in Sotschi. Auch wer sein WLAN-Netzwerk unverschlüsselt betreibt, surft somit völlig ungeschützt.
Bei einem "Man in the Middle Angriff" ist immer dann die Rede, wenn Angreifer Schadsoftware dafür verwenden, um vertrauenswürdige Websites mit SSL Verschlüsselung nachzubauen und diese dem User anzuzeigen, statt der echten Website. So können Angreifer alle Daten abfangen, die der Nutzer eingibt oder die Website als Malware-Schleuder verwenden.
Schwerste Lücke seit langem
"Es sind wohl die schlimmsten Tage seit langem für Apple", dass sagte der Sicherheitsexperte und Hacker Pod2g über seinem Twitter-Account. Und auch andere Experten, wie der Software-Ingenieur Adam Langley von Google oder i0n1c, sprechen von einer "Katastrophe".
“Note the two goto fail lines in a row. The first one is correctly bound to the if statement but the second, despite the indentation, isn’t conditional at all. The code will always jump to the end from that second goto, err will contain a successful value because the SHA1 update operation was successful and so the signature verification will never fail.
This signature verification is checking the signature in a ServerKeyExchange message. This is used in DHE and ECDHE ciphersuites to communicate the ephemeral key for the connection. The server is saying “here’s the ephemeral key and here’s a signature, from my certificate, so you know that it’s from meâ€. Now, if the link between the ephemeral key and the certificate chain is broken, then everything falls apart. It’s possible to send a correct certificate chain to the client, but sign the handshake with the wrong private key, or not sign it at all! There’s no proof that the server possesses the private key matching the public key in its certificate.
Since this is in SecureTransport, it affects iOS from some point prior to 7.0.6 (I confirmed on 7.0.4) and also OS X (confirmed on 10.9.1)."
Jeder sollte die Lücke ernst nehmen und sein System entsprechend aktualisieren
Seit wann diese katastrophale Sicherheitslücke in Apples Betriebssystem klafft, ist bislang unklar. Es kann aber von mindestens mehreren Monaten ausgegangen werden, in denen Angreifer die Chance hatten diese Lücke zum Datenmissbrauch auszunutzen. Es sollte jeder Nutzer nicht nur auf Nummer sicher gehen und seine Kontobewegungen auf Unregelmäßigkeiten überprüfen, sondern vor allen Dingen das neueste Firmware-Update auf all seinen Geräten installieren. Dadurch wird zumindest erst einmal die SSL / TLS Lücke geschlossen.
UPDATE: Mittlerweile gibt es einen kleinen Fix, der dieses Sicherheitsleck auch ohne Aktualisierung auf iOS 7.0.6 schließt. Es setzt allerdings einen Jailbreak voraus, wodurch diese Lösung nicht für alle von euch interessant ist. Nichtsdestotrotz nennt sich dieser Fix "SSL Patch" und kann über Cydia bezogen werden. Mehr dazu erfahrt ihr an dieser Stelle.
Auch OS X betroffen
Apples Mac-Betriebssystem ist höchstwahrscheinlich ebenso von diesem Sicherheitsleck betroffen. Ein Fix steht bislang jedoch noch nicht bereit. Laut Apple wird aber immerhin mit Hochdruck daran gearbeitet, eine Veröffentlichung eines Patches sollte somit hoffentlich zeitnahe geschehen.
Für Jailbreak Fans unbedenklich
Mit evasi0n 1.0.6 steht mittlerweile eine aktualisierte Version des kleinen Programms bereit, mit dem wir unkompliziert einen Jailbreak unter Apples neuer iOS 7.0.6 Version durchführen können. Die verwendeten Lücken hat der Apfelkonzern nicht geschlossen, somit ist die Aktualisierung auf 7.0.6 auch für Jailbreak-User unbedenklich. Den Download findet ihr hier.
Tipp: Wer aktuell einen Jailbreak nutzt und eine Menge Tweaks und Themes installiert hat, kann sich mit Tools wie PKG Backup ein sauberes Backup all seiner Cydia-Tweaks anlegen. Mit diesem Backup könnt ihr hinterher alle Tweaks samt Einstellungen wiederherstellen.
Noch kein Fan? Folge WEBLOGIT auf Facebook oder Twitter, um nichts zu verpassen! ↵
