Truc geeft gebruikers toegang tot foto's op vergrendeld iOS-apparaat

Een YouTube-gebruiker heeft een truc gevonden, waarmee kwaadwillenden toegang kunnen krijgen tot alle foto's op een iOS-apparaat zonder het te hoeven ontgrendelen. Tweakers heeft deze lockscreen bypass kunnen reproduceren.

De lockscreen bypass werkt in elk geval op de recentste versie van iOS en dat is iOS 11.1 bèta 3. Voor de truc moet de aanvaller ten minste het telefoonnummer of Apple ID hebben van de eigenaar van het iOS-toestel en bovendien is fysieke toegang tot het apparaat vereist. Daarnaast moet de gebruiker Siri hebben aanstaan en toegang hebben gegeven om bij vergrendeling de digitale assistent aan te roepen. De truc is dus alleen bruikbaar onder specifieke omstandigheden.

Om de truc te laten werken moeten gebruikers een Facetime-oproep krijgen en vervolgens klikken op antwoorden met een aangepast bericht. In dat bericht zet de YouTuber vervolgens drie emoji's. Daarna roept hij Siri op om een app te openen, iets wat de digitale assistent uiteraard weigert, omdat het apparaat vergrendeld is. Vervolgens is er een nieuwe Facetime-oproep nodig, die de aanvaller wil beantwoorden met een aangepast bericht. Op dat moment geeft de telefoon of tablet de gebruiker toegang tot de foto's, om die toe te voegen aan het bericht.

De YouTuber, iDeviceHelp, claimt Apple te hebben ingelicht over het lek. Het is nog onbekend of en wanneer Apple de truc onmogelijk zal maken. Dergelijke lockscreen bypasses komen geregeld voor. Vaak gaat het daarbij om aanvallen die niet op grote schaal in te zetten zijn en dus niet bedreigend zijn voor grote groepen iOS-gebruikers.

Door Arnoud Wokke

Redacteur Tweakers

18-10-2017 • 17:39

93

Submitter: sjonkeesse

Lees meer

Reacties (93)

93
86
37
5
0
28
Wijzig sortering
Hmm, dit nieuwsbericht geeft mij een déjà vu gevoel. De iPhone heeft hier eerder last van gehad en dat is toen destijds gepatched.
Nee nog veel verder terug. 2013 bij iOS 6.

nieuws: Bug in iOS maakt omzeilen lockscreen mogelijk

Maw het is echt een tendens....
Vreemd dat dit om de zoveel tijd lijkt terug te komen bij Apple. Volgens mij had de vorige versie hier ook last van en is er een aantal jaar geleden ook wat over in het nieuws geweest.

Je zou toch zeggen dat ze iets aan die foto's app doen zodat dit niet meer kan. Blijkbaar werkt het lockscreen niet helemaal zoals het moet.
Ik heb het gevoel dat Apple met momenten voor ducktape oplossingen gaat in plaats van echt de oorzaak aan te pakken. Ik kan mij herinneren dat de "Automatic Daylight Saving Time"-bug in de beginjaren een aantal keren is teruggekomen alvorens het echt definitief hebben opgelost.
Dit is de klassieke problematiek tussen user-friendliness en security en geen uit de hand lopende ontwikkelkosten. Choose 2.

100% security zou zijn bij lock-screen geen telefoon kunnen opnemen, geen meldingen retour kunnen etc etc. oftewel het lock-screen locked de hele boel.
100% userfriendly zou zijn dat er geen lock-screen is.

Deze 2 zijn wel te combineren alleen loopt je budget uit de klauwen want in principe heb je dan voor elke functie vanuit je lockscreen een aparte app nodig. Zodat je dus feitelijk 2x FaceTime krijgt (1x lock-screen-facetime app en 1x unlocked-facetime app) en 2x messaging en 2x siri etc. etc. Alle apps ga je dan verdubbelen.

Want vroeger was software simpel, je had functies en die kon je wel of niet aanroepen en dichtzetten etc.
Alleen tegenwoordig is het een heel complex geheel geworden, want je kan vanuit de lock-screen een telefoontje beantwoorden, waarna je vanuit het telefoon beantwoorden weer siri kan aanroepen, waarna siri weer de messaging app kan aanroepen, die weer de camera kan aanroepen, die dan in principe weer siri kan aanroepen, om de messaging app aan te roepen. En die messaging app die nu 8 lagen verwijderd zit van de lock-screen moet toch wel weten of de lock-screen aan staat of niet.

En vanwege die vele lagen en de vele functies (en daarnaast vele instelmogelijkheden voor lockscreen opzich) krijg je uiteindelijk zoveel mogelijkheden dat het bijna niet meer te testen is en dat het bijna onvermijdelijk is dat er wel ergens een rare/aparte combinatie ontstaan is die fout gaat.

Alleen vanwege kostenbesparing mag je niet alle apps 2x uitvoeren zodat je 100% kan garanderen dat er niet ergens een code regel verkeerd is (want die regel is er dan gewoon niet in de lockscreen app)
Hou verhaal klinkt leuk, maar al die apps kunnen vragen aan het systeem of het vergrendeld is, dan maakt het niet uit hoeveel lagen diep je gaat....

Een als dat niet kan, dan moet je misschien niet willen dat Siri van alles kan in vergrendelde toestand...

Al met al niet te ingewikkeld volgens mij...

Apple moet dit gewoon fixen...
Android heeft hier geen last van, wellicht kunnen ze bij Apple nog meer van Android af kijken en een goede implementatie maken
Hou verhaal klinkt leuk, maar al die apps kunnen vragen aan het systeem of het vergrendeld is, dan maakt het niet uit hoeveel lagen diep je gaat....
Dat was leuk in gwbasic oid toen alles nog global was, paar kleine nadeeltjes zijn dan alleen wel dat elke app alles kan vragen over het toestel, dus elke app kan dan ook vragen : Wat is het wachtwoord en de SSID van het huidige wifi-netwerk.

Om de een of andere manier is dat tegenwoordig niet meer zo gewenst.
Een als dat niet kan, dan moet je misschien niet willen dat Siri van alles kan in vergrendelde toestand...
Dat zeg ik dus, als je dat wilt moet je in principe 2 Siri's gaan maken anders ga je simpelweg dingen missen.
Android heeft hier geen last van, wellicht kunnen ze bij Apple nog meer van Android af kijken en een goede implementatie maken
Sinds wanneer heeft Android hier geen last meer van dan? Dat iets niet op t.net gemeld wordt betekent niet dat het er niet is...
Volgens mij is dit bij Android zelfs erger..
Op de S7 van mijn vriendin is het maar een kwestie van rebooten. Soms is het systeem dan al minuten draaiende totdat het zich herinnert dat het een pincode had moeten vragen. In de tussen tijd kan je openen wat je maar wilt.
Volgens mij heb je het hier over de PIN code van de SIM kaart. Deze is niet bedoeld om de telefoon te vergrendelen, maar om je aan te kunnen melden op het netwerk van je provider.
Na elke reboot moet je je security code ingeven, na een reboot werkt je vingerafdrukscanner zelfs niet.
Als je foto's van een Android toestel af wilt halen, gewoon met een kabel aansluiten en je kan overal bij? Of de geheugenkaart eruit halen..
Tja Samsung.....

Als je gewoon aosp draait (wat gelukkig steeds meer fabrikanten doen) heb je hier absoluut geen last van hoor
Of je maakt autorisaties op API niveau. Applicaties hoeven dan helemaal niet op het lockscreeen of de autorisaties te controleren. Dat gebeurt binnen de aangeroepen systeemfuncties die de applicatie verplicht is te gebruiken om de acties uit te voeren (want anders kan deze gewoon geen toegang krijgen tot functies of gegevens).

J
Of je maakt autorisaties op API niveau.
Gefeliciteerd nu maak je het nog complexer want je voegt er weer een extra variant aan toe die voor complexiteit zorgt.

Ipv dat je camera-app eerst een api-call had voor toon foto's ga je er dus nu een api-call naast bouwen toon foto's voor lock-screen en die mag je camera app enkel aanroepen als je camera app gestart is vanuit het lockscreen.
Gelukkig is dit bij Android al zo dat heb je al autorisaties op API niveau..

Nu nog voornamelijk voor notificaties een SD kaart, camera etc...

Dit zal heus wel uitgebreid worden wanneer nodig
Nouja, ik weet niet of dat zo makkelijk is.
Aangezien je vanaf het lockscreen naar rechts kan swypen om een foto te maken. De foto’s die je dan maakt, kan je allemaal terug zien. Behalve de eerdere gemaakte foto’s.

In principe heeft het locksreen beperkte lees rechten. Maar bij deze bug heb je dus geen beperkte lees rechten.
Toch blijf ik me verbazen over hoe mensen hier achter komen..

Bij eerdere dingen was het bijna als "3x de telefoon aan en uit doen, dan 5x op de homebutton klikken, ondersteboven een rondje draaien, 2 foto's maken en 10 keer met de flitser flitsen" en dan unlocked ie 8)7
Dit keer is het gewoon toeval denk ik, dit kan best een keer per ongeluk gebeurt zijn en als dit dan bij iemand gebeurt die op dit soort dingen let kan deze het proberen te reproduceren.
Ik geloof niet dat je bij toeval erachter komt dat je 2 facetime oproepen moet weigeren met specifieke emoji's en tussendoor via Siri een app probeert te openen. Sommige mensen hebben teveel tijd om al dit soort secenario's te testen.
Geen specifieke emojis, maar gewoon 3 willekeurig, iets wat opzich prima ooit een keer voor kan komen tijdens dagelijks gebruik
Ik dacht ook meteen. Deze jongen heeft echt veel te veel tijd. Pfff.
Heb jij een betere optie dan? Aangezien de broncode van Apple alles behalve dan openbaar is en IOS 11 nog geeneens gecrackt is..... De kans is groter dat iemand dit per ongeluk is tegen gekomen dan dat iemand dit vond in een stuk code.
Toch blijf ik me verbazen over hoe mensen hier achter komen..

Bij eerdere dingen was het bijna als "3x de telefoon aan en uit doen, dan 5x op de homebutton klikken, ondersteboven een rondje draaien, 2 foto's maken en 10 keer met de flitser flitsen" en dan unlocked ie 8)7
Het was 4 rondjes, en dat is gelukkig al gepatched in 11.0.3

Wel vraagt mijn vrouw me om het niet meer te proberen .....
* FreshMaker stond net bij de dameskleding ..
Volgens mij is dat de infinity-ammo-cheat? :9
Any iPhone? Niet op de mijne ;)

Mede hierom heb ik bijna alles uit staan op m'n lockscreen (en sowieso enig voice-assistent).

Als je wel Siri wil gebruiken, zet dan inderdaad allow on lockscreen uit, je telefoon is toch al geunlocked voordat je klaar bent met je home-button indrukken.
Helaas reageert “Hé Siri” dan niet meer. Dat gebruiken veel mensen in de auto om handsfree een oproep te plaatsen of berichtje te sturen. En dat is wel wat veiliger dan het toestel te bedienen met de hand :)
Maar als je rijdt staat je navigatie vaak al aan (of je Flitsmeister) en is je telefoon ontgrendelt toch?

Wel een valide punt als je scherm aan staat maar ik heb dat niet zo vaak in de auto.
Ik begrijp dat je hiervoor twee iPhones telefoons moet hebben: een eigen iPhone pardon.. telefoon en een iPhone van een ander?

[Reactie gewijzigd door MedionAkoya op 23 juli 2024 19:11]

Volgens mij niet specifiek een iPhone, gewoon een tweede telefoon
Het is Apple waar we het over hebben, die staan het je echt niet toe om vanaf een niet Apple telefoon naar een iPhones te Facetimen.
Was overigens wel de bedoeling maar wegens patenten die Apple niet bleek te bezitten kon Apple er geen standaard van maken.
Bedankt voor de info, ik had geen flauw idee. Wel bizar die geschiedenis van die rechtszaken. Super spijtig om te lezen en zien :( .
Zo zie je maar weer dat de hoge bomen de wind blijven vangen, ondanks dat de feiten genuanceerder zijn. Goed, gaat in dit geval om Apple, maar ook Google en MS hebben dit soort hardnekkige attitudes tegen zich (gehad).
Voel me desalniettemin best schuldig, ik probeer altijd een redelijk eerlijke houding te houden tegenover alle bedrijven. En ja, de bedrijfscultuur/mentaliteit van Apple bevalt me niks in het algemeen, maar dat verontschuldigd mijn onwetendheid in deze zaak zeker niet.
Het gebeurt en is ook logisch. (om ff bij Apple te blijven bij wijze van voorbeeld) Apple heeft op vele fora vele "haters" die een deel van het beeld bepalen. Daarnaast is de massa-media ook lang niet altijd secuur genoeg in het controleren van hun berichten. Tel dat de vele willekeurige websites die nieuws pretenderen te brengen bij op (met wederom lang niet altijd betrouwbare berichten) en je hebt een enorm makkelijk klimaat voor negatieve beeldvorming gecreëerd.

Daar tegenover zouden Apple fanboys en neutrale mensen kunnen staan. Echter wordt die laatste groep overschreeuwd door de vele anderen en de eerste groep is al jaren niet meer van het evangeliseren van het heilige Apple-geloof.

Dus dat iemand een "verkeerd" beeld krijgt over bedrijven als Google, Apple en Microsoft (maar ook Shell, Philips, Akzo-Nobel, etc), is niet meer dan logisch.
Kun je met een niet-iPhone een Facetime oproep doen dan?
Target moet een iPhone zijn.
Jouw device kan een iphone, mac of ipad zijn waar je mee kan facetimen.
Genoeg gasten met iPhones en tijd om dit soort dingen uit te blijven proberen. Structureel oplossen blijkt lastig.
Oplossing is vrij simpel blokkeer Siri op de lockscherm..

Settings > Siri & Search -> "Allow Siri When Locked" uit.

[Reactie gewijzigd door 90710 op 23 juli 2024 19:11]

Ja maar das weer niet handig tijdens het autorijden 😉 ik gebruik Siri best vaak om appjes voor te lezen of te beantwoorden..
Ja maar das weer niet handig tijdens het autorijden 😉 ik gebruik Siri best vaak om appjes voor te lezen of te beantwoorden..
Dat is gevaarlijk. Het probleem is niet dat je je handen niet aan het stuur hebt, maar dat je afgeleid bent doordat je communiceert met iemand die niet in de auto aanwezig is.
Siri is er toch? De behulpzame schat. <3

Nee grapje, maar: ik denk niet dat het afleidender is dan praten met een bijrijder.
Het is wel rete handig. Je dreunt in één keer op dat je een (whatsapp-)bericht wil sturen aan <contact> met <bericht>, Siri leest het aan je terug en vraagt of t verzonden mag worden. Hoppa :)
Ja, de bijrijder leidt net zo veel af. Echter kun je niet verbieden dat er meer dan 1 personen plaatsnemen in een voertuig.

Je aandacht vestigen op zaken die niets met autorijden te maken hebben, leiden inherent tot afleiding van het verkeer. En aangezien het verkeer enkel drukker wordt, wordt het inherente gevaar hiervan enkel groter.

Nu ben ik persoonlijk tegen het gebruik van mobiele apparatuur tijdens het rijden, maar ben ook realistisch genoeg om in te zien dat dit nagenoeg onmogelijk is om in te voeren. Dus het komt uiteindelijk neer op persoonlijke verantwoordelijkheid icm praktische uitvoerbare wetgeving.
Mijn ervaring is dat een goed interview op de radio of gesprek op BNR minstens zo afleid. Erger nog wel omdat ik Siri alleen vraag naar Whatsappjes wanneer het m.i. even kan. Een interessant onderwerp op de radio volgen is al helemaal niet ‘on demand’ en vergt meer concentratie. Dus radio ook maar verbieden?
In theorie? Ja. Er zijn door de decennia heen al legio ongelukken (en wss ook wel doden) gebeurt doordat de radio/cd-speler meer aandacht kreeg van de chauffeur dan het verkeer.

In de praktijk? Onmogelijk en daar moeten we blij om zijn. Ondanks mijn mening over dit soort zaken, vind ik mijn principe mbt "eigen verantwoordelijkheid" veel zwaarder wegen. De overheid bepaald al genoeg/veel te veel* voor mij.

* Doorhalen van niet van toepassing is

[Reactie gewijzigd door MC Taz Man op 23 juli 2024 19:11]

In de praktijk merk ik dat ik wel “op kan gaan” in een goed interview op de radio en aandachtig luister. Niet dat het tot nu toe gevaarlijk is gebleken, maar “onmogelijk” wil ik t niet noemen.
De "onmogelijk" slaat op een verbod ;)
Smartwatch trilt dat ik een WhatsApp heb.

“Hey Siri, lees mn nieuwste (WhatsApp)berichten voor”

“Je hebt een bericht van <x> ontvangen. ‘Blah blah blah’. Wil je antwoorden?”

“Ja”

“Wat is het bericht?”

“Okay, ik bel je straks even”

“Kan het verstuurd worden?”

“Jazeker”

“Het is verstuurd!”
"hey siri, lees mijn whatsapp berichten voor"

"Sorry, daar kan ik je niet mee helpen als je in de auto zit"

|:( 8)7 :(
Asjeblieft niet zeg... 😐
Ja, het gebeurt echt (alhoewel ik t sinds iOS 11 niet meer geprobeerd heb. Binnenkort eens testen).
Nergens last van (iOS 11) maar ik heb die auto-modus expres niet aan staan. Misschien is dat het verschil?
Nee het was dus juist voor dat de do not disturb while driving functie beschikbaar was. Het heeft (had?) denk ik iets te makne met siri eyes free. Een systeem wat in een aantal auto's zit van na 2012, een soort voorloper van carplay dat vervolgens is uitgegroeid tot/ingebakken zit in carplay.
Hmm, dat ken ik niet, maar klinkt aannemelijk dan. Ja, je had het inderdaad over iOS 10 waar geen DnD in zit :) (sorry het is nog vroeg...).

Ik heb zelf een auto van weliswaar rond die tijd, maar met een 'oldskool' radio+navigatie+BT en die trekt zich verder nergens iets van aan - als ik m'n iPhone (6) maar aan een laadkabeltje heb hangen luistert 'ie volcontinu naar "Hey Siri" .. maar zonder laadkabel (ik geloof iPhone 6S of zelfs 7 kunnen dat) luistert ie daar ook niet naar.
Dan moet je ervoor zorgen dat niemand bij je iPhone kan ;)
Maar als ik in mijn tesla op mijn 20inch touchscreen zit te tikken is het geen probleem. Model 3 heeft zelfs geen spiegel knopjes etc meer. Alles via het console.

Ben zelf ook fel tegen mobiel gebruik in het verkeer maar je slaat wel een beetje door. Mag je ook geen navigatie meer gebruiken dan? Die vertelt me waar ik heen moet.
Geloof me, bijrijders en passagiers leiden véél meer af 😉 en ik rij nu zo’n 18 jaar en schadevrij (behalve een keer een paaltje en een total loss omdat een of andere prutser even vergat dat rechts voorrang had).

Dus, bedankt voor je verwensing, maar ik sla ff over
Een paaltje en je auto total loss is nou niet bepaald schadevrij. :D Voor de rest heb ik niks tegen stembediening in de auto. Als zelfs dat ervoor zorgt dat je afgeleid raakt kun je beter helemaal niet deelnemen in het verkeer. Zo veel aspecten die meer afleiden dan dat.
Exact mijn punt dus. Ja dat paaltje was dom maar dat had niks met telefonie, handsfree of afleiding te maken. En die total had daar ook niks mee te maken; iemand die ineens besluit een kruising over te steken terwijl ik van rechts kom en ‘m met 40 in mn zijkant jast had ik op geen enkele manier kunnen voorkomen.
Paaltje, total loss, ehhh... schadevrij? :P Ik heb een andere beleving bij schadevrij. Maar goed, het begrip schadevrij krijgt pas betekenis met een indicatie van tijd waarover het schadevrij zijn geldt. Ik rijd nu zelf bijvoorbeeld 9 jaar schade vrij. Daarvoor wel eens een periode van ruim 20 jaar schadevrij gehad.
Huh?
zeg, maar hoop dat je een keer een groot ongeluk veroorzaakt
Waarom zou je dat willen? Wat nut jou dat? Denk eens aan de consequenties! Dit soort oproepen doen me vermoeden dat je behandlingsfrequentie bij jouw psychiater omhoog moet. Dit soort teksten zijn ongezond.
En het volgende moment speel je opeens de moraalridder "Tijdens het autorijden hoor je jouw telefoon niet te gebruiken", iets wat overigens slechts een mening is, handsfree gebruik is wettelijk gewoon toegestaan. Dus zonder onbeleefd te willen zijn, maar gaat het wel helemaal goed met je?
Reageer je ook op deze manier als je iemand in de auto met z'n bijrijder praat? En wat als die bijrijder nou eens de persoon is die je vraagt om dat laatste SMS'je te lezen?

Hele ding is nou net dat voice control 1 van de veiligiste interfaces zijn in de auto.
Het gaat niet om beledigen, maar kennelijk om verwensen. Om goed excuses te kunnen maken moet je eerst snappen waarvoor eigenlijk.
Iemand een ernstig ongeluk wensen was prima?

Ik zag trouwens nergens een bedreiging ook geen halve....

[Reactie gewijzigd door Flagg op 23 juli 2024 19:11]

Hopen dat iemand geschept wordt is ook een bedreiging. Dat hij het deed, wil nog niet zeggen dat het ok is het terug te zeggen.

Ik snap het wel hoor.
Iedere keer dat zoiets gebeurt gaat het via siri. Waarom is die bereikbaar vanuit de lockscreen. Waarom zou uberhaupt iets bereikbaar moeten zijn vanuit je lockscreen.
Dit is een opt-in functie en is zeker handig. Als ik Siri niet kan gebruiken wanneer de telefoon vergrendeld is vergaat een groot deel van mijn gebruik, als ik in de auto zit of hij ergens op tafel ligt is hij vergrendelt. Dit is zal pas worden opgelost als stemherkenning betrouwbaar is of je met iets anders van een afstand je telefoon kan ontgrendelen, bijv face ID lost nu het probleem al in de auto op maar niet als deze op de tafel ligt.
Ik heb eens aan Apple gevraagd of ze iig de optie willen maken om op het lockscherm Siri enkel te laten reageren op Hé Siri, maar niet op de homeknop ingedrukt houden. Dat zou al een stukje schelen, zeker als de stemherkenning beter wordt of in combinatie met bijvoorbeeld FaceID.
Omdat je niet eerst je telefoon wilt pakken om je assistent iets te vragen. Heerlijk om 's avonds in bed te duiken en enkel nog even snel 'okay google, set alarm in 7 hours' te zeggen.
Tja je kan ook gewoon een wekker doorplannen voor de hele week als een pleb.
Niet iedereen heeft zo 'n geregeld leventje als jij ;)
Ik heb dagen waar ik om 07u eruit moet, maar ook dagen dat ik pas om 11u uit m'n bed moet..
In de weekends kan dat zomaar 14u zijn...
Voor mij is het belangrijker dezelfde hoeveelheid te slapen dan op exact hetzelfde moment wakker te worden (flexibele werktijden :D ), dus ja, soms duik ik om 11 uur m'n bed in, soms pas om 1 uur... dus het moment dat ik daadwerkelijk een boek wegleg ofzo is handig om door te geven aan m'n wekker app :) .
Mooi, dat cursieve!
Hoe kom je er op, jezelf steeds te facetimen om proberen een bug te vinden. Dan heb je echt geen leven. Beetje nutteloos om een beta bug te melden op YouTube. Deze builds zijn sowieso alleen voor developers.
Dus iemand die mijn appleID of telefoonnummer weet EN best wel lang fysieke toegang tot mijn apparaat heeft EN ezlf een iPhone heeft, kan mijn foto's zien? Hoe erg is dat nou? Het is niet heel erg netjes, maar kom op...zo'n groot gat is dit nou ook weer niet.

Zodra iemand (lang genoeg) fysieke toegang heeft tot je apparaat (maakt niet uit welk) is de security-battle al verloren. Hoe hard je ook je best doet.

[Reactie gewijzigd door Prullenbak84 op 23 juli 2024 19:11]

Op dit item kan niet meer gereageerd worden.