Onderzoeker: bijlages van e-mails in iOS 7 blijken niet versleuteld

Bijlages van e-mails die verstuurd zijn vanaf een iPhone die op iOS 7 draait, zijn niet versleuteld. Dat claimt een Duitse onderzoeker. Apple zegt op zijn website dat alle bijlages van mails juist wel beveiligd zouden zijn.

In zijn test configureerde Kurtz eerst een imap-account op een iPhone 4, waardoor hij een aantal testmails en bijlages had. Vervolgens schakelde hij de telefoon uit en verleende hij zichzelf toegang tot de data van de telefoon. Daar trof hij de bijlages van de testmails aan als platte tekst.

De bijlages waren beschikbaar in platte tekst in iOS 7.0.4, 7.1 en ook de meest recente versie 7.1.1. Kurtz laat ook nog weten dat hoewel hij zijn originele tests gedaan heeft met een iPhone 4, hij hetzelfde resultaat kreeg na een aantal tests met een iPhone 5s en iPad 2 die op iOS 7.0.4 draaiden. Op de website van Apple staat dat bijlages van e-mails versleuteld zijn opgeslagen op de iPhone 3GS en alle nieuwere Apple-producten. Toen Kurtz naar Apple stapte met zijn ontdekkingen, bleek dat het bedrijf al op de hoogte van het probleem was. Apple liet Kurtz niet weten wanneer het probleem opgelost zal zijn.

Reacties (53)

[JayPe]

Ik volg het niet:

De bijlage (data) op de telefoon is niet versleuteld,.

Maar wordt de bijlage ook onversleuteld verstuurd? Dat blijkt (volgens mij) niet uit de test.

Wat is het probleem? Vrijwel al mijn data op mij pc is onversleutel,. vrijwel alle data gaat echter versleuteld de deur uit..

[Kecin]

Dat Apple blijkbaar verkeerde/foute informatie verstrekt, dat is dus eigenlijk het "probleem":
"Op de website van Apple staat dat bijlages van e-mails die verstuurd zijn met de iPhone 3GS en alle nieuwere Apple-producten versleuteld zouden zijn."
http://support.apple.com/kb/ht4175

[Reactie gewijzigd door Kecin op 27 juli 2024 03:09]

[curumir]

Je mag van mij aanwijzen waar dat op die pagina staat...

Het is mij niet duidelijk wat er precies getest is. Wat ik wel opvallend vind is dat de link naar de Apple site wat mij betreft niks zegt over het encrypten van email attachements.

Data protection enhances the built-in hardware encryption by protecting the hardware encryption keys with your passcode. This provides an additional layer of protection for your email messages attachments, and third-party applications.

Als je het handig quote staat er (uit het artikel van de bron):
http://www.andreas-kurtz....ed-to-fix-in-ios-711.html
"provides an additional layer of protection for (..) email messages attachments".

Het origineel zegt volgens mij alleen dat de passcode een extra bescherming is voor de encyptie-keys. Maar in ieder geval helemaal niks over encryptie van emails/attachements.

Om een email encrypted te sturen moet je het volgende doen en dat is heel wat anders dan ik uit dit stuk begrijp:
http://support.apple.com/kb/HT4979

iOS offers support for S/MIME, allowing you to send encrypted email messages. Sending encrypted messages requires the recipient's certificate (public key); Mail accesses this certificate using one of two methods, depending on whether the recipient is in your Exchange environment. This article explains both methods.

[Verwijderd]

Ik volg het niet:

De bijlage (data) op de telefoon is niet versleuteld,.

Maar wordt de bijlage ook onversleuteld verstuurd? Dat blijkt (volgens mij) niet uit de test.

Wat is het probleem? Vrijwel al mijn data op mij pc is onversleutel,. vrijwel alle data gaat echter versleuteld de deur uit..

Dat ligt natuurlijk helemaal aan jezelf. Verstuur je de bijlage over een IMAP verbinding, dan wordt de bijlage onversleuteld over de lijn gestuurd. Verstuur je de bijlage over een IMAPS (secure IMAP) verbinding dan wordt de bijlage wel versleuteld over de lijn gestuurd.

Dit heeft dus meer te maken met een keuze van de iPhone gebruiker: Gebruik ik IMAP of IMAPS.

Daarnaast kan je er natuurlijk ook voor kiezen om de bijlage eerst te versleutelen voordat je 'm aan de email bijvoegt. De bijlage is dan hoe dan ook versleuteld. Nadeel hiervan is dat de ontvanger een sleutel nodig heeft om de bijlage te decrypten.

[Reactie gewijzigd door Verwijderd op 27 juli 2024 03:09]

[Grootstyr]

Het gebruiken van IMAPS zorgt er alleen voor dat gegevens die plain op de server aanwezig zijn versleuteld aan jou worden verzonden. IMAPS word niet gebruikt om email te verzenden en heeft dus ook weinig invloed of bijlage's wel of niet versleuteld zijn.

Daarnaast hebben we versleutelde verbindingen met onze SMTP server, welke wél email verstuurt. Een versleutelde verbinding met je SMTP server houd in de meeste gevallen in dat je email versleuteld naar de SMTP server wordt gestuurd en vervolgens plain-text zijn weg vervolgd. Volledig versleuteld email-verkeer is op het moment eigenlijk alleen mogelijk via S/MIME of GPG.

Dit heeft dus weinig te maken met de keuze van de iPhone gebruiker, maar meer met de huidige technische mogelijkheden.

[Verwijderd]

Ik heb het in mijn reactie ook nergens over "emails verzenden", ik heb het erover hoe de bijlages over de lijn worden gestuurd. IMAP(S) haalt wel degelijk een email inclusief bijlage over de lijn. Dat gaat dus afhankelijk van de keuze van een gebruiker over IMAP of IMAPS (of evt. een ander protocol).

Idd voor SMTP kennen we hetzelfde principe (secure of insecure), ik noemde in mijn reactie alleen IMAP omdat dit als enige in het bericht werd gebruikt. En dit is dus ook weer afhankelijk van de keuze van de gebruiker hoe je dit instelt. Mits natuurlijk de provider (en evt. alle extra hops) dit ondersteund.

Daarnaast hebben we versleutelde verbindingen met onze SMTP server, welke wél email verstuurt. Een versleutelde verbinding met je SMTP server houd in de meeste gevallen in dat je email versleuteld naar de SMTP server wordt gestuurd en vervolgens plain-text zijn weg vervolgd. Volledig versleuteld email-verkeer is op het moment eigenlijk alleen mogelijk via S/MIME of GPG.

Het is prima mogelijk om bij het versturen end-to-end encryptie te hebben, alleen moeten alle tussenliggende partijen dit ondersteunen.
Het gaat er hier dus om dat je je emails niet in plain text over het internet wilt versturen. Je houdt hier geen rekening met het feit dat er als nog iemand kan zijn die jouw emails kan lezen op het moment dat ie toegang verkrijgt tot je inbox. In dit stukje ben je als verzender geen eigenaar van de sleutels over het versleutelde verkeer.
Dit is dus versleuteld email verkeer

S/MIME of GPG heeft eigenlijk niets met versleuteld "verkeer" te maken, maar meer met data encryptie. Je versleuteld de content van je email (body, evt. bijlages).
Dit heeft als voordeel dat jij als verzender eigenaar bent van de sleutel, en hiermee zorg je ervoor dat alleen diegenen de email kunnen lezen die toegang hebben tot jou sleutel.
Wanneer je bv. een S/MIME versleutelde email verstuurd is dus de content van je email versleuteld. Wanneer dit over een niet versleutelde SMTP verbinding wordt verstuurd blijft die content onleesbaar, maar de headers zijn wel leesbaar voor iedereen die de email onderschept wat bij versleuteld email "verkeer" niet zo is.

[Reactie gewijzigd door Verwijderd op 27 juli 2024 03:09]

[Grootstyr]

Ik heb het in mijn reactie ook nergens over "emails verzenden", ik heb het erover hoe de bijlages over de lijn worden gestuurd. IMAP(S) haalt wel degelijk een email inclusief bijlage over de lijn. Dat gaat dus afhankelijk van de keuze van een gebruiker over IMAP of IMAPS (of evt. een ander protocol).

Mijn kanttekening bij jou reactie was niet een onjuistheid in je reactie, maar dat het versleuteld ophalen van een email met bijlage, die zijn gehele weg tot aan de door jou gebruikte IMAP(S) server onversleuteld heeft gevolgd, in mijn ogen zinloos is.

[itsyaboy]

Goed punt.

Maar een telefoon is een populair item wat betreft diefstal. Het lijkt mij fijn dat als je telefoon gestolen wordt / kwijt raakt, geen zorgen hoeft te maken dat de data van je emails ook op straat komen te liggen.

[JayPe]

Ja maar,.. je foto's die je onderweg maakt, worden toch ook niet versleuteld opgeslagen? Of je sms'jes, of naja: what ever je aan data op je telefoon zet?

Ja, telefoons zijn gevoelig qua diefstal, maar een laptop niet zo goed. Het lijkt mij ook fijn dat als mijn telefoon/laptop/usb-stick gestolen wordt ( of zoek raakt) dat ik mij geen zorgen hoef te maken over de data die erop staat, maar in de praktijk is vrijwel alles om mij heen NIET versleuteld, omdat ik er alleen zelf bij kan. Versleutelde informatie kan ik zelf zo slecht lezen :-)

[itsyaboy]

Ik heb er net voor gekozen om encryptie aan te zetten op mijn telefoon. Sterker nog, hij is er nog mee bezig. Ik heb er voor gekozen om op zowel het toestel als op de SD kaart encryptie toe te passen.

Dus ja, ik vind het wel een fijne gedachte. Hoe sterk deze encryptie is, is natuurlijk een ander verhaal. Ik besef ook wel dat niks 100% garantie geeft.

[SidewalkSuper]

Waarom staat dat standaard niet gewoon aan vraag ik me dan af. Dat is bij alle andere grote platformen wel gewoon zo, iOS, BB, WP.

[mkools24]

Hij gebruikte IMAP, dus hij leest de mails en bijlages rechtstreeks van de server in waarna deze lokaal werden gedownload, daarna zette hij zijn telefoon uit en waren de bijlages onversleuteld beschikbaar.

Kortom, het verzenden van de IMAP server naar zijn iPhone ging onversleuteld, of de bijlages werden onversleuteld opgeslagen na versleuteld verstuurd te zijn?

[Roysten]

De overdracht via internet ging hoogstwaarschijnlijk wel beveiligd ( SSL ) zolang je dat hebt ingesteld wanneer je je account instelt.

De bijlages die dus van de IMAP server werden gedownload worden onbeveiligd opgeslagen, dus in plain tekst. Dus het laatste wat je zegt. wat apple dus wel claimt...

Overigens moet het niet uitmaken of je wel of niet SSL gebruikt bij het downloaden van de IMAP server. Apple zegt dat data versleuteld wordt opgeslagen, dus ook de bijlagen. Dan moet dat ongeacht welke omstandigheid dan ook.

Vind het wel een zeer kwalijk iets van Apple. Vele dank aan de onderzoeker die dit heeft gevonden.

[Reactie gewijzigd door Roysten op 27 juli 2024 03:09]

[Verwijderd]

Het probleem is dat wanneer je jouw telefoon verliest (of gestolen wordt) iemand dus toegang kan krijgen tot die data zonder dat jij daar iets aan kunt doen.

Heel erg groot probleem lijkt het me niet, maar zou toch netjes zijn als ze het even fixen.

[Triple_D]

Als je je telefoon kwijt raakt of hij wordt gestolen kunnen de bijlages dus relatief eenvoduig uitgelezen worden.

Op veel pc's is dit inderdaad ook niet versleuteld maar de noodzaak om dit te doen is kleiner omdat de kans dat je deze kwijt raakt ook kleiner is. Al zou ik ook adviseren truecrypt/bitlocker op je PC te gebruiken.

[Soldaatje]

Klopt maar als Apple claimt dat je mobile device encypted is en dat niet blijkt te zijn, daar gaat het om.
Een PC is een ander verhaal.

[Vexxon]

Het is dus eigenlijk false advertising wat Apple doet.
Het kan best als verkoopargument dienen dat alle e-mails en bijlagen versleuteld zijn, als dat dan niet het geval blijkt te zijn dan komt de koper van dat product toch bedrogen uit.
False advertising is overigens strafbaar, Apple zou hier dus problemen mee kunnen krijgen.
Het iljkt me niet dat het hier om een bug gaat.

[Aschtra]

Vraag me vaak af hoe mensen erbij komen om zoiets te gaan onderzoeken. "Hey laat ik kijken of mij bijlages versleuteld verstuurd worden.."

[Verwijderd]

Even wat uitleg over dit nieuwsbericht:

De bijlages worden alleen onversleuteld opgeslagen als er geen toegangscode op de iPhone staat, óf als de toegangscode al is ingevuld wanneer je toegang krijgt tot het apparaat; dit zorgt er namelijk voor dat de iPhone deze bestanden 'ontsleutelt'. De informatie die op de Apple-website staat klopt dus gewoon, en er is geen beveiligingsrisico (er vanuit gaande dat je een toegangscode hebt).

Of de bijlages onversleuteld worden verstuurd hangt af van je e-mailservice, niet van de iPhone.

[Verwijderd]

Als ik de bron erbij pak zie ik toch staan dat er juist een toegangscode opzit en dat dataversleuteling aanstaat.

To verify that data protection was actually enabled, I also tried to access the Protected Index file (email message database). As expected, access to that file was not permitted.

# xxd Protected\ Index
xxd: Protected Index: Operation not permitted

En hij heeft de toegangscode echt niet hoeven te gebruiken om bij de bijlages te komen door via DFU een custom ramdisk te uploaden

[SidewalkSuper]

Hij heeft de toegangscode gebruteforcet, wat met een 4-cijferige pincode inderdaad wel te doen is. Een 5-karakter of hoger wachtwoord is al weer heel wat anders

De data is dus zeker wel beveiligd, alleen de bijlagen horen inderdaad ook nog onder die extra encryptie te vallen, en niet alleen met de toegangscode beveiligd te zijn. In principe een klein foutje, want als je kritieke mail hebt, dan ook een degelijke (lange) toegangscode, maar het is inderdaad goed dat dit opgemerkt is en verholpen kan worden.

[Reactie gewijzigd door SidewalkSuper op 27 juli 2024 03:09]

[Barryke]

Het gaat niet over verstuurd worden, het gaat over onversleuteld bewaard worden lokaal in het apparaat.

[rduinmayer]

Jij haalt je vreugde uit spelletjes spelen en die onderzoeker uit het onderzoeken van dingen die bedrijven zeggen.

[Verwijderd]

Vraag me vaak af hoe mensen erbij komen om zoiets te gaan onderzoeken.

Nou, ... gewoon Nieuwsgierigheid. Ik las toevallig gisteren iets over een oude kwetsbaarheid in d-link routers, die te maken had met de user-agent string die je browser erheen stuurt. Dan denk je iets verder, en bedenk je iets als "Hey, zou het mogelijk zijn een server over de zeik te krijgen met rare user agent strings?" Ik heb er verder niks mee gedaan, maar iets in elkaar freubelen waarmee je dat zou kunnen checken is niet echt rocket-science. En als er dan wat uitkomt krijg je een artikel op tweakers.net

[Reactie gewijzigd door Verwijderd op 27 juli 2024 03:09]

[Alphyraz]

Dat zijn beveiligingsonderzoekers. Die doen dit soort dingen om kenbaar te maken dat een OS niet helemaal goed beveiligd is.

[Reactie gewijzigd door Alphyraz op 27 juli 2024 03:09]

[Quacka]

Dat staat niet in je quote. In je quote staat hoe hij het gedaan heeft. Niet hoe hij erop is gekomen om het te onderzoeken.

[latka]

Ik lees meestal de Duitse C'T en daar nemen ze ook USB stick met zogenaamde encryptie onder de loep (lees: blijkt het XOR te zijn ipv. AES wat geclaimed wordt). Lijkt wel in het bloed te zitten: als een fabrikant iets claimt op security gebied is het meestal een Duitser die vrolijk meld dat de fabrikant uit zijn nekt kletst (en dit gebeurt vrij vaak alleen niet altijd bij grote vissen als Apple).

[fantafriday]

Enig argument? Voor bb, ios en android is malware niet alleen voor android

https://www.security.nl/p...ste+malware+uit+App+Store

[SidewalkSuper]

Dat onder de noemer malware scharen is wel een stretch in mijn opinie. Het maakte gebruik van de toestemming die je als gebruiker gaf.
Met andere woorden, je telefoonlijst werd verkregen en daarna werd er vanuit een server spam verstuurd naar die telefoonlijst.

Er is geen sprake van dat de app onrechtmatig bij bepaalde onderdelen van de telefoon kon en daar rare dingen mee deed. Het is ook alweer 2 jaar geleden. Dus al met al kun je gewoon zeggen dat er inderdaad geen malware is voor iOS (voor niet-gejailbreakte devices).

[Reactie gewijzigd door SidewalkSuper op 27 juli 2024 03:09]

[fantafriday]

je hebt inderdaad gelijk maar het valt nog (net) onder malware was het eerste dat ik tegen kwam op google had geen zin om een perfect bericht te zoeken vandaar

edit: tevens zou je virusscanner op android na het installeren de app zijn gaan scannen en meteen hebben aangegeven dat het bijvoorbeeld adware is of je gegevens binnen haalt naar een spam server

[Reactie gewijzigd door fantafriday op 27 juli 2024 03:09]

[SidewalkSuper]

Een virusscanner op Android weet ook niet van tevoren dat iets een spamserver is, en weet ook niet dat je telefoonlijst gebruikt gaat worden voor foute doeleinden.

Je virusscanner gaat toch ook niet af bij het installeren van Whatsapp of Telegram? Die sturen je telefoonlijst ook gewoon, met instemming, door naar hun eigen servers. En ook al zou ie afgaan, dan zou je nog denken, ja die informatie hebben ze nodig om de app te laten werken.

[To_Tall]

Een virus is een stukje software dat iets doet op je device of het een telefoon of computer is. Waar jij niet van op de hoogte bent of wilt dat het gebeurd. Zoals bestanden defect maken. of je telefoon gebruiken als remote toegang om gegevens te verkrijgen.

Bij applicaties als WhatsApp wordt netjes melding gemaakt dat de gegevens van je telefoon lijst wordt gebruikt om gebruikers uit je telefoon lijst te indentificeren als WhatsApp gebruikers.

Er zijn voor iOS wel virussen, maar die hebben als doel te jailbraeken van het toestel. in de App Store worden de applicaties zo goed mogelijk getest op frauduleuze applicaties.

Voor Android zijn er in de offixele store ook geen virussen te vinden zo ver ik weet. Maar buiten de officieel store zijn er genoeg applicaties die geïnstalleerd kunnen worden. Die dingen op het toestel doen waarvan jij niet wilt dat het gebeurd. Zoals de Bitcoin harverster app..

[itsyaboy]

Toch wel belangrijk om versleutelde e-mail service te hebben. Wie heeft er nu niet een arbeidsgerelateerde email acocount op diens persoonlijke toestel staan? Kan vaak best aardig cruciale informatie in bijlages staan. En ook jammer dat Apple dan claimt dat het wel versleuteld is.

Ik ben niet heel technisch onderlegd, maar de methode klinkt vrij simpel maar ook een beetje vaag. Hoe zit dat precies?

Benieuwd hoe het met overige email diensten staat..

[Tarabass]

Dat is precies de reden waarom Windows Phone een hele wijze keuze is om in te zetten voor je bedrijf. Out-of-the-box alles geencrypt

http://www.microsoft.com/...logies/windows-phone.aspx

[Reactie gewijzigd door Tarabass op 27 juli 2024 03:09]

[Grootstyr]

Op de website van Apple staat ook dat de gegevens op een iPhone out of the box versleuteld zijn. De website van Microsoft aanhalen als bron is met oog op het artikel dus niet toereikend. Een security audit op het platform van Microsoft zou hun gelijk, of ongelijk, kunnen aantonen.

[CyBeR]

Dat geldt voor iOS ook. Heel je iPhone/iPod/iPad's filesystem is versleuteld opgeslagen in het flashgeheugen, al sinds de 3GS.

[ImpaileR]

Dat is precies de reden waarom Windows Phone een hele wijze keuze is om in te zetten voor je bedrijf. Out-of-the-box alles geencrypt

Alles behalve de SD kaart dan. Precies de reden dat hij bij ons bedrijf niet door de exchange policy komt.

[Verwijderd]

Let op dat het hier niet gaat om het verzenden van bijlagen, het gaat om de opslag van bijlagen op de telefoon zelf.

[Daniel.]

Mm, ik vind dit een gevalletje van laten we roepen dat onze mails veilig zijn. Apple die had dan gewoon moeten weten dat dat er nog niet was en zodra iemand het ging onderzoeken zijn ze natuurlijk al bekend van het probleem. Ze hebben het niet eerst getest, of het zat er gewoon niet in en dan zeggen van kijk we beveiligen alles. Ik weet niet wat ik hiervan moet vinden, maar ik vindt dit eerder voorliegen tegen je klanten. Een normale gebruiker controleert het toch niet en gelooft op het woord van de fabrikant.

[Verwijderd]

Data op telefoons zou standaard versleuteld opgeslagen moeten zijn.
Er is apparatuur telefoons uit te lezen, alles wat niet versleuteld opgeslagen is, kan je lezen.
Dat is overigens een stuk meer dan je zou denken, veel zaken die al "gewist" zijn op de telefoon zijn nog gewoon voor handen, alsook data die bewaard blijft waar je geen enkele weet van hebt.

[blorf]

Als je op hardware-niveau toegang hebt tot een storagedevice kan je die naar mijn idee gewoon van begin tot eind kopieren naar een bestand op bijv. een netwerklocatie. Alleen is die toegang er nooit wat een vrij hardnekkig "technisch probleempje" blijft voor alles wat er aan mobiele apparaten in de winkel ligt.

[Deem]

"Data protection is available for devices that offer hardware encryption, including iPhone 3GS and later, all iPad models, and iPod touch (3rd generation and later). Data protection enhances the built-in hardware encryption by protecting the hardware encryption keys with your passcode. This provides an additional layer of protection for your email messages attachments, and third-party applications."
Bron

[Reactie gewijzigd door Deem op 27 juli 2024 03:09]

[mae-t.net]

Versleutelen is nogal een brede definitie... Mijn bijlages zijn standaard BASE64 versleuteld, maar dat zullen ze dan wel niet bedoelen.

De vraag is ook wat ze bedoelen met een bijlage die als "platte tekst" leesbaar is, aangezien de meeste bijlages bij mail toch op zijn minst HTML en vaak zelfs binary zijn.

Neemt natuurlijk niet weg dat je met dat soort dingen op een telefoon iets zorgvuldiger om moet gaan dan op een vast apparaat, in verband met diefstal.

[Reactie gewijzigd door mae-t.net op 27 juli 2024 03:09]

[mutley69]

Pijnlijke fout van Apple - gevolgd door pijnlijke stilte in Cupertino.
Het zal niet de eerste bug zijn in een software - en het zal niet de laatste zijn - leer daar gewoon mee leven, en besef ook dat als je alles bij één leverancier koopt - je dan ook door één softwarefout ultra-hard getroffen kan worden.
Het advies is zoals elke beleggingsadviseur zou geven - verdelen, helpt het risico te beperkten.

[Verwijderd]

besef ook dat als je alles bij één leverancier koopt - je dan ook door één softwarefout ultra-hard getroffen kan worden.
Het advies is zoals elke beleggingsadviseur zou geven - verdelen, helpt het risico te beperkten.

Wat heeft dat er nou weer mee te maken? Ultra hard getroffen worden vergeleken met wat?
Leg mij eens uit waarom dit probleem gebruikers harder treft omdat ze alles bij één leverancier kopen? Ja het is slordig maar dit kan in elke mail app voorkomen ongeacht het platform.
Verdelen heeft geen enkele zin, sterker nog het maakt kans op fouten zoals deze alleen maar groter.

PS: lees de reactie van ItsMatsy ook even door.

[Reactie gewijzigd door Verwijderd op 27 juli 2024 03:09]

[Dr.Root]

Is niet zo heel moeilijk. tcpdump & wireshark. Weet waar je moet kijken en je kunt plain tekst inlezen

Dat hier een beveiligings bedrijf naar heeft moeten kijken... shame on you apple.