Dieven kunnen Find my iPhone uitschakelen zonder wachtwoord door bug

Kwaadwillenden kunnen voorkomen dat een rechtmatige eigenaar via Find my iPhone een gestolen iPhone traceert en kunnen hem resetten via iTunes zonder wachtwoord. Dat is mogelijk door een bug in iOS 7.1, zo blijkt uit een online verschenen video.

De bug, ontdekt door iDeviceHelpUs maakt het mogelijk om zowel Find my iPhone uit te schakelen als het iCloud-account van het toestel te verwijderen, waardoor de telefoon bij het resetten via iTunes geen wachtwoord vraagt. Dat maakt het mogelijk om op een makkelijke manier een gestolen iPhone bruikbaar te maken; Apple wilde dat juist voorkomen door bij het resetten altijd een wachtwoord te vragen.

De truc werkt door in de iCloud-instellingen precies tegelijkertijd de knoppen voor Find my iPhone en het verwijderen van het iCloud-account in te drukken. Vervolgens kan de dief het toestel uitzetten en weer aan zetten, waarna de software geen wachtwoord vraagt voor het verwijderen van het account.

Tweakers kon de bug repliceren. Wel bleek daarbij dat de bug alleen werkt als er geen pincode op het toestel staat. Wanneer de pincode is ingeschakeld, vraagt de software na de reboot om de code bij het verwijderen van het account. Hoe dan ook voorkomt een pincode dat een dief bij de iCloud-instellingen kan komen. Enige tijd geleden kwam er al een andere methode naar buiten om Find my iPhone te omzeilen.

Reacties (113)

[Bilbo.Balings]

Zojuist geprobeerd dit te reproduceren, bij mij werkt het dus niet om twee redenen.

-reden één is de pincode die nodig is om te unlocken.
-reden twee is de pincode die nodig is om de beperkingen uit te schakelen omdat ik bij beperkingen heb ingesteld dat accounts niet gewijzigd mogen worden.

Dus voor diegenen die geen pincode in willen stellen voor het unlocken kunnen instellen dat accounts niet gewijzigd mogen worden. Daarmee zijn ze toch beschermd tegen deze bug, na deze instelling is de knop "icloud" grayed out.

Instellingen>Algemeen>Beperkingen>Code invoeren(indien ingesteld)>Accounts>"Sta wijzigingen niet toe"

Natuurlijk wel instellen dat er een code gevraagd wordt voor het wijzigen van de beperkingen.

[Reactie gewijzigd door Bilbo.Balings op 23 juli 2024 16:54]

[Hokkie]

Kijk dat is nog eens een tweaker, niet zeiken of trollen, maar gewoon uitproberen en een workaround aandragen +3

[sun0000]

Kijk die optie kende ik niet.
Gelijk ingesteld en dank voor de tip.
+3 gegeven.

[Hydrosine]

Gelukkig is het een feature die ik nog niet nodig heb gehad!

En heb daarnaast altijd een PIN op mijn toestel

[CyBeR]

Een andere simpele manier om deze bug te vermijden is door bij restrictions in te stellen dat accounts niet aangepast mogen worden. Dan kom je überhaubt het 'iCloud' menu niet in.

[thunder8]

Dit heb ik inderdaad sinds iOS 6 standaard aanstaan, waardoor je bepaalde zaken niet uit kan zetten. In 6 kon je op die manier Find My iPhone niet uitzetten zonder de passkey, buiten de telefoon uitzetten natuurlijk of een herstel. Nu met iOS7 moet je dan ook het iCloud-ID bevestigen voor het herstel.

[.Johnny]

Ze zeggen in het artikel PIN code, maar ik neem aan dat ze bedoelen PASS code. Een PIN code zit aan de SIM kaart vast (dus SIM verwisselen en klaar) en een passcode is om het toestel te beveiligen.

[Reactie gewijzigd door .Johnny op 23 juli 2024 16:54]

[Verwijderd]

In de Nederlandse iOS wordt het toegangscode genoemd. Dat is een PIN. PIN wordt niet alleen gebruikt voor de code op de SIM. Ook de toestelpincode is een PIN.

[Reactie gewijzigd door Verwijderd op 23 juli 2024 16:54]

[Viriya]

De truc werkt door in de iCloud-instellingen precies tegelijkertijd de knoppen voor Find my iPhone en het verwijderen van het iCloud-account in te drukken.

Ik moest gelijk denken aan allerlei cheat codes op de SNES.

Ik snap niet goed hoe het in drukken van 2 knoppen tegelijkertijd nog een beveiligingsrisico kan zijn vandaag

[sschalkwijk]

In dit geval eigenlijk best wel logisch. Het verwijderen van een iCloud account is gemakkelijk gedaan. Enkel Find My iPhone hiervoor gedeactiveerd zijn waarvoor weer een wachtwoord nodig is.

Na even spelen ermee vermoed ik dat het volgende aan de hand is:
Terwijl je het wachtwoord voor het unlocken van Find My iPhone moet worden ingetypt, is deze functie al gedeactiveerd. Pas als het correcte wachtwoord niet wordt ingevoegd, wordt deze weer geactiveerd. Door de knoppen tegelijk in te drukken, gaat de prioriteit van het account verwijderen blijkbaar voor het in voeren van het wachtwoord bij Find My iPhone, terwijl de telefoon Find My iPhone wel al gedeactiveerd ziet. Hierdoor kan het account verwijderd worden.

Als dit klopt is het een hele kleine bug en gewoon een kwestie van prioriteiten en volgorde van uitvoering.

[maartend]

Mijn dochter is heel blilj dat dit niet 2 weken geleden naar buiten kwam.

Haar iphone was gestolen, via Find My Iphone hebben we hem kunnen blokkeren en er een boodschap op achtergelaten als je hem aanzette, ding is toen ter vinding bij een bushalte achter gelaten. Die avond kregen we een telefoontje van de vader van een meisje die hem bij de bushalte had gevonden. Mijn dochter dus heel erg blij.

[Sneek]

Fijn om een succesverhaal te horen, echter wel jammer dat Tweakers het zo makkelijk maakt voor andere criminelen, Dat het probleem aanwezig is is vervelend en dat een site als Tweakers hier over bericht is prima maar kunnen ze niet beter wachten tot Apple de problemen heeft verholpen of op zijn minst niet de gehele instructie plaatsen?

[CyBeR]

Fijn om een succesverhaal te horen, echter wel jammer dat Tweakers het zo makkelijk maakt voor andere criminelen, Dat het probleem aanwezig is is vervelend en dat een site als Tweakers hier over bericht is prima maar kunnen ze niet beter wachten tot Apple de problemen heeft verholpen of op zijn minst niet de gehele instructie plaatsen?

Als ze het hier niet vandaan halen, dan wel ergens anders. Dit is een duidelijk geval security by obscurity wat niet werkt. En het zelfs erger maakt omdat het gewone publiek het dan ook niet weet en zich niet kan wapenen. Op die manier maak je er zo ongeveer een zero-day van.

[ATS]

Die mening is Tweakers bij veel andere onderwerpen echter niet toegedaan. Links naar streams of hacks of soortgelijke dingen mogen hier over het algemeen niet geplaast worden, dus ik denk dat de opmerking van Sneek terecht is.

[CyBeR]

Daar gaat het om de aansprakelijkheid van Tweakers, iets wat anders ligt bij journalistieke berichtgeving zoals deze. Merk op dat een link naar een torrentsite vanuit de redactie ok is, maar vanuit gebruikers niet.

[MarvinJames]

Of je bekijkt het vanuit een ander perspectief:

Nu Tweakers deze informatie geplaatst heeft, begrijpt iedere iPhone gebruiker dat je simpelweg een pincodeslot op je telefoon moet zetten. Daarmee is deze methode voor iedereen onbruikbaar geworden.

Daarbij moet ik zeggen dat ik sowieso vind dat je een pincodeslot op je toestel moet plaatsen. Anders maak je het dieven wel erg makkelijk.
Een metafoor is zoiets als: je voordeur open laten staan en een kluis in je woonkamer hebben staan om dan vervolgens achteraf te gaan klagen dat je kluis opengebroken is.
Mijn advies, had dan in ieder geval je voordeur ook op slot gedaan.

[Thomas18GT]

Ach, er zit geen boeiende informatie in die kluis en mn telefoon is verzekerd. In 7 jaar nog nooit een kwijtger aakt of gestolen, gewoon op je spullen passen.

Daarom ga ik echt niet telkens, misschien wel 50 keer per dag, een achterlijk vormpje maken of code intypen hoor..

[MarvinJames]

Dat is waar, ik snap je standpunt. Mijn reactie was wat te generaliserend.

Als je telefoon een gebruiksvoorwerp is en niet je leven (zoals bij een groeiend aantal mensen het geval is), dan is de afweging natuurlijk heel anders.

In het andere geval gaat klagen wat ver. Natuurlijk moet iedereen gewoon van je spullen afblijven. Evengoed dien je de hand deels in eigen boezem te steken op het moment dat je dure fiets gestolen wordt wanneer deze niet op slot stond.

De beeldspraak is hier wat kort door de bocht, maar het punt lijkt mij duidelijk .

[Thomas18GT]

"Als je telefoon een gebruiksvoorwerp is en niet je leven (zoals bij een groeiend aantal mensen het geval is), dan is de afweging natuurlijk heel anders."

Tsja dat denken vooral de mensen zelf, maar dieven boeit het 99 van de 100 keer totaal niet wat voor Whatsapp gesprekken jij voert. De bank-apps zijn toch nog beveiligd met een aparte code dus daar kunnen ze niets mee.

Het eerste wat een dief doet is alle gegevens van de telefoon af gooien en de telefoon in gebruik nemen of deze verkopen. Daar helpt een code niet aan, ook op iOS niet (als de dief er verstand van heeft, en dat hebben ze van zulke dingen meestal wel).

[Glashelder]

Het eerste wat een dief doet is alle gegevens van de telefoon af gooien en de telefoon in gebruik nemen of deze verkopen. Daar helpt een code niet aan, ook op iOS niet (als de dief er verstand van heeft, en dat hebben ze van zulke dingen meestal wel).

Zucht. Wie gaat er nu een telefoon kopen die onbruikbaar is omdat de telefoon - ook na het wissen - ontgrendeld moet worden met het iCloud wachtwoord?

Een code helpt op iOS wel degelijk.

[Thomas18GT]

Er zijn maar zat manieren om dat te omzeilen hoor

[Kenhas]

Is toch Tweakers niet die het gemakkelijk maakt ? Deze "hack" werd op internet gepubliceerd en tweakers bericht er, net als vele andere site waarschijnlijk, over. Ze hebben ook de "hack" getest en die werkt.
Tweakers test en bericht er over maar de bron van deze hack is niet tweakers

[oef!]

Security through obscurity mag nooit een optie zijn.

[Iblies]

Inderdaad,
deze reacties zijn eigenlijk nog zorgwekkender dan de melding.

Zo zijn er gevallen bekend waarbij een producent ergens op wordt gewezen maar vervolgens net doet alsof zijn neus bloed. En de software-industrie maakt zich hier niet alleen schuldig aan,
http://www.parool.nl/paro...late-terugroepactie.dhtml

Autofabrikant General Motors besloot in 2005 om geen aanpassing aan nieuwe auto's te doen, omdat dat te duur was. De ingreep van 1 dollar per auto zou het contactslot hebben verbeterd. Het slecht functionerende slot zou ten minste aan dertien mensen het leven hebben gekost.

Apple kennende halen ze deze 'feature' er bij de volgende update wel uit.

[maartend]

Dank je Sneek.

En dan had ze ook nog 2 dagen daarvoor haar beveiliging uitgezet.

Ach, meiden!!

[Collaborator]

Dat een paar hackers op het internet het voor elkaar krijgen betekend niet dat de gemiddelde zakkenroller het ook weet en kan. In de praktijk hoef je je nooit echt zorgen te maken om dit soort bugs, als ze maar binnen een redelijk termijn opgelost worden.

[Verwijderd]

Ik ben het met je eens.
Op internet staat zelfs hoe je een atoombom kunt maken en als je aan SIRI vraagt: "where can I hide a body" krijg je gewoon antwoord.

Wat een tijd.....

[Verwijderd]

De criminelen wisten het al. Tweakers informeert de gebruikers zodat er voorzorgsmaatregelen kunnen worden getroffen.

[Deralte]

Het feit dat veel websites (en media) er over berichten, zet ontwikkelaars en bedrijven als apple aan om snel met een patch te komen. Als iedereen erover zwijgt, bestaat het probleem immers niet...

[kevinwalter]

Na het installeren van de rom krijg je toch de melding dat je alsnog het icloud wachtwoord moet invoeren?
Dat had ik laatst in ieder geval bij een 4.

[Reactie gewijzigd door kevinwalter op 23 juli 2024 16:54]

[supersnathan94]

Het idee achter deze bug is dat het icloud account niet meer "bestaat" voor het toestel dus hiermee vervalt ook het icloud password. Ik vraag me alleen af hoe dit effectief gebruikt kan worden. Een ip5S moet je dus eerst kraken om een fingerscan te faken. Of je moet de code bruteforcen.

[kevinwalter]

Ja, klopt. Echter na het verbinden met Apple, krijg je die melding. De telefoon verbindt altijd met Apple na een restore. Heb je nodig om te activeren.

[CyBeR]

Die melding krijg je alleen als find my iPhone aan staat. Wat, als je dit doet, dus niet het geval is.

[kevinwalter]

Blijft hier gewoon aan staan. Ik kom uiteindelijk ook op het scherm waar je niks aan kan klikken. (password & verwijder account venster) Echter na de herstart staat alles gewoon nog aan. Hier een 4S.

[nils7]

Bij opsporing verzocht kwam een item voorbij over een gestolen iPhone 5s.
Ik neem aan dat 99% van alle 5s gebruikers wel een code en/of fingerprints gebruikt (waardoor de bug van dit nieuws item niet werkt)

Wat hebben dieven dan nog (zonder die code) aan een iPhone 5s?

Ik vraag het me echt af.
Want aan itunes hangen zonder die code lukt niet dus restoren zit er niet in.

[Reactie gewijzigd door nils7 op 23 juli 2024 16:54]

[Tweaker1234]

99%? Ik denk eerder 20%. Van mijn kenniskring is het denk ik ongeveer 5%.

[CyBeR]

Als dat allemaal netjes aanstaat kun je 'm idd alleen voor onderdelen verkopen. Maar onderschat niet de stupiditeit van de gebruiker.

[justin2108]

Zoals je ziet in deze video heeft hij ook geen password voor het unlocken van de iphone. Als een dief deze niet heeft kan hij ook niet bij de desbetreffende instelling. Dus is het risico klein/nihil dat het gebeurd met een password beveiligde Iphone. Password erop en je bent nog steeds veilig totdat Apple met een bug fix komt.

[njitter]

sure? volgens mij kom je dan nog steeds niet voorbij de Activatie.. http://forums.macrumors.com/showthread.php?t=1593844

[Verwijderd]

dit soort dingen zijn alleen bugs voor mensen die inderdaad hun telefoon niet beveiligen en dus inderdaad zoals hierboven word genoemt hun voordeur 'open zetten' (gebruik zelf NIKS van apple maar dat is persoonlijke keus!)

al dit soort 'work arounds' worden tochwel uitgevonden straks hebben ze weer iets om deze 'geef pincode op voor toegang Icloud etc.' te breken/omzeilen. welkom in de technische wereld. met mensen die niks beters/anders te doen hebben als dit soort dingen de hele dag uitzoeken. geef een Iphone aan een persoon die 23 uur per dag opgesloten zit in de cel. en binnen 1 maand heeft hij die hele telefoon van binnen en buiten leren kennen. (voorbeeldje!)

dit soort dingen heb je ook met android OOK met mac. OOK met PC's OOK met playstations.. zowaar alles wat een chip heeft of geschreven software die niet 24/7 gemonitord word/up to date gehouden word zullen er altijd bugs inzitten en zullen er altijd mensen zijn die er een exploit op zullen loslaten als ze iets vinden.

[WhatsappHack]

Het spijt me verschrikkelijk, maar naast "stating the obvious"; wat is nu precies je punt?
Mensen moeten de telefoon beveiligen? Ja.
Of moet er niet meer over bericht worden? Nee oO
Of iets anders...?

[lf2]

Als je code hebt kan dit niet. Dus dan zit je sowieso vast aan een Telefoon die niet geactiveerd kan worden