Beveiligingsonderzoeker: passcode iOS 8 is te omzeilen

Een beveiligingsonderzoeker heeft een manier gevonden om persoonlijke gegevens van een versleuteld apparaat met iOS 8 te halen. Voor het omzeilen van de beveiliging gebruikte hij een computer die eerder was gebruikt om gegevens van en naar een iPhone te schrijven.

De onderzoeker, Jonathan Zdziarski, claimt dat het ondanks de passcodes voor het versleutelen van iPhones en iPads nog steeds mogelijk is om gegevens van het apparaat te halen. Dit is het tegenovergestelde van wat Apple deze week beweerde. Het bedrijf zei niet bij de data te kunnen, omdat daarvoor de code noodzakelijk is.

Zdziarski wist met zelfgeschreven software onder meer camerabeelden en gegevens van applicaties van externe ontwikkelaars buit te maken van zijn iPhone, die op dat moment was versleuteld. Hiervoor gebruikte hij de back-upsleutels die op zijn computer stonden, waarmee hij zijn smartphone had verbonden. De sleutels zijn normaliter bedoeld voor programma's als iTunes, maar hielpen de onderzoeker dus ook om aan andere gegevens te komen. De sleutels voorkomen dat iemand die bijvoorbeeld iTunes gebruikt, niet steeds zijn iPhone of iPad hoeft te ontgrendelen voor het lezen en schrijven van data.

De beveiligingsonderzoeker beweert dat behalve zijn software er nog een aantal commerciële pakketten bestaan die het trucje volgens hem 'zeker' kunnen toepassen. Hiermee zet Zdziarski kanttekeningen bij de suggestie dat opsporingsdiensten door de passcode niet bij de gegevens op bijvoorbeeld een iPhone kunnen. "Ik kan het, en de mannen in pakken van de overheid kunnen het", zo zegt hij stellig. Wel moeten overheidsfunctionarissen voor de methode fysieke toegang hebben tot een computer die eerder ook al werd gebruikt voor het pairen van het iOS-apparaat en mag de iPhone of iPad in de tussentijd niet uit hebben gestaan.

Het is niet vreemd dat juist Zdziarski kritiek uit op de beveiliging van Apple. Hij legde eerder backdoors bloot in iOS 7 en hij toonde in 2008 als eerste onderzoeker aan dat de iPhone-software via een achterdeurtje contact zocht met de servers van Apple. De onderzoeker vindt wel dat het Amerikaanse bedrijf sindsdien vooruit is gegaan met de beveiliging van zijn software.

IOS 8 is sinds woensdagavond te downloaden en biedt gebruikers onder meer een nieuw notificatiecentrum met interactieve notificiaties. Ook heeft iOS 8 een tool aan boord, Health, waarmee gebruikers gegevens over hun gezondheid kunnen bijhouden. Tweakers schreef deze week een uitgebreide review over iOS.

Reacties (83)

apple: "wij kunnen niet meer om de passcode heen"
onderzoekers: "wij kunnen om de passcode heen"

Lekker bezig jongens.

Deze nieuwspost van Tweakers benadrukt niet goed wat het echte probleem hier is (ook al is het wel genoemd). Apple zegt: "wij kunnen het niet omzeilen". Dat klopt gewoon. De belangrijkste delen (contacts, berichten, health data, data van Safari, locatiegegevens, wifi passwords, vpn-passwords, account tokens van sociale netwerken, mail-accounts, exchange-accounts, caldav, carddav, etc) van het OS zijn goed beveiligd.
Het probleem is echter dat er voor gebruiksgemak en goed werkende systemen ook makkelijk toegang moet zijn tot bepaalde delen van het OS, ondanks dat er een lock op zit. Denk hierbij bijvoorbeeld aan VPN certificaten, Bluetooth sleutels, iCloud certificaten, etc.

Alles is dan ook beveiligd, behalve (zoals Zdziarski zelf zegt):

• Your camera reel, videos, and recordings
• Podcasts, Books, and other iTunes media
• All third party application data

Wellicht is er nog een elegante oplossing te bedenken die het veiliger maakt en de gebruiksvriendelijk niet (te veel) aantast (ik ben er wel vrij zeker van dat dit nog mogelijk is), maar dit als nieuwspost brengen in de huidige staat is echt schromelijk overdreven en pure clickbait, vooral met deze titel.

[Reactie gewijzigd door SidewalkSuper op 19 september 2014 22:40]

Die puntjes zijn exact de puntjes waar iTunes bij moet kunnen. De overweging is hier gebruiksgemak tegenover veiligheid zoals je zelf ook al zegt.

De winnaar in deze verhouding is voor mij duidelijk gebruiksgemak. Er kan niets van afstand worden ontpluist, de key staat niet op internet, er kan niet zonder dat jij het zelf weet in je iPhone gekeken worden. Als de overheid dit wil doen en deze functie (ja functie, geen lek) wil misbruiken moet je toch iets goed fout gedaan hebben en bovendien je PC al in beslag hebben genomen.

Deze zogenaamde beveiligingsonderzoeker is overigens puur een sensatiezoeker, zijn vorige 'backdoor' was ook geen backdoor maar een functionaliteit die in een uiterst extreem geval pas misbruikt kan worden (fysieke unlock was nodig).

[Reactie gewijzigd door Tim.k op 19 september 2014 22:38]

En jij moet je iPhone niet opnieuw hebben opgestart nadat deze aan iTunes heeft gehangen.

Heb je het artikel gelezen?

Wel moeten overheidsfunctionarissen voor de methode fysieke toegang hebben tot een computer die eerder ook al werd gebruikt voor het pairen van het iOS-apparaat en mag de iPhone of iPad in de tussentijd niet uit hebben gestaan.

Apple heeft geen toegang tot de iTunes op jouw pc (althans, daar ga ik van uit ), dus...

Apple heeft geen toegang tot de iTunes op jouw pc (althans, daar ga ik van uit ), dus...

Dat vraag ik me dus maar net af; je hebt toegang nodig tot de private keys die worden gebruikt om de communicatie op te zetten tussen iTunes en een verbonden apparaat. Daar is, voor zover ik weet, geen hele fysieke PC voor nodig. Nog niet eens de HDD waar het OS met iTunes op staat maar grofweg 10KB aan data (plus misschien wat andere settings) die ooit op jouw PC bestaan/hebben bestaan.

Zeker in de tijd dat je steeds vaker ziet dat mensen backups maken van hun machines, al dan niet direct naar Dropbox, iCloud of andere online-diensten, is het met de Patriot-act of andere wetgeving omtrent internationaal terrorisme/opsporing, het dus wel degelijk mogelijk dat een overheid aan jouw key-pairs komt zonder dat ze naar je huisadres toe moeten.

Het domste wat je dus als Apple-gebruiker zometeen kan doen (ervanuitgaande dat niets te verbergen hebt maar ook niet de kans wil lopen dat een overijverige douanier jouw spullen gaat napluizen), is om je Apple-spullen tegelijk mee te nemen (zoals je Air en iPhone); de kans dat die 2 apparaten elkaar ooit hebben geinformeerd is vrij groot en dus heb/draag je alle bewijslast en toegang met je mee.

Of het praktisch is op een wereldreis om niet je iPhone en laptop op hetzelfde moment mee te nemen door de douane, dat is een ander verhaal.

Gewoon altijd je elektronica uit zetten voor je de douane door gaat. Dit is voor iedereen die privacy hoog in het vaandel heeft staan sowieso een goede tip. Als ze uit staan en met wachtwoorden zijn beveiligd is er niks te vrezen.

[Reactie gewijzigd door SidewalkSuper op 19 september 2014 22:31]

Je moet je iPad etc aanzetten als je dese meeneemt in je handbagage. Althans dat moest ik toen ik naar Mexico op vakantie ging.

Om te laten zien dat ie het überhaupt doet ja bij vertrek, daarna kan ie toch gelijk weer uit?

Jup. Controle dat je de accu niet door een bom vervangen hebt. Heel logisch trouwens, zulke controles.

Nooit meegemaakt, althans mijn vluchten zijn tot heden altijd binnen europa geweest. Ik dien alleen de ipad los in een bak te leggen en de laptop half open geklapt, alles stond altijd uit.

Volgens mij gaat het voornamelijk over vluchten buiten het Shengen gebied.

Klopt binnen Europa is de controle soms pet, Overigens binnen Amerika ook.

De laatste keer (5 jaar geleden) dat ik naar Amerika vloog, had ik eerst een onderzoekje op Schiphol van een stel amerikanen. (vragen , maar die kijken wel zo dat je je ongemakkelijk voelt). In Amerika moest je je koffer ophalen en op een andere band zetten ( letterlijk 2 meter lopen) omdat ze willen dat jij je koffer op haalt.

Alle schoenen moesten uit (bij iedereen) en alle aparatuur moest aan gezet worden. (aan was voldoende overigens).

Daarna hadden we een binnenlandse vlucht, en daar was zo goed als geen controle meer.

Overigens de overgang naar Canada die we daar twee keer gemaakt hebben verliep zonder enige problemen. Zelfs niet met de engelse die een stukje met ons mee reed. Geen vragen, niks.

Dat wilde ik net duidelijk maken

Gelukkig heeft de NSA wel toegang tot de pc als ze dat willen.

De genoemde overheidsfunctionaris wel.

Vindt het allemaal wat vergezocht. Dus je moet ook de PC hebben van degene die zijn iphone verliest. Dus even waterdicht als thuisbankieren.

Thuis bankieren is veiliger. Ook al heb je mijn PC, mijn reader en mijn pas, dan nog niet kom je erin, je hebt mijn code niet (pin). Heb ik echter jouw PC en jouw iphone, dan kom ik er wel in, zonder dat ik je code weet (en onder bepaalde voorwaarden).

En is mijn iPhone niet opnieuw opgestart nadat deze aan iTunes heeft gehangen, dan kan jij erbij.

Wat Apple zegt is ook mogelijk niet onwaar. Zoals in het artikel ook staat:

Wel moeten overheidsfunctionarissen voor de methode fysieke toegang hebben tot een computer die eerder ook al werd gebruikt voor het pairen van het iOS-apparaat en mag de iPhone of iPad in de tussentijd niet uit hebben gestaan.

Apple zal die fysieke toegang tot een computer welk eerder is gebruikt voor het pairen van een iOS apparaat niet zo snel hebben. Bovendien is ook de notie dat het iOS apparaat in de tussentijd niet uit gestaan mag zijn wel een fraaie. Met enige bekendmaking hiervan zal ieder welk ook maar iets te verbergen heeft en dreigt opgepakt te worden, met een inbeslagname in aanraking te komen, etc. zich er toch wel zeker van maken heimelijk het toestel zo snel mogelijk uit te schakelen.

Ongeacht dat is het natuurlijk niet geheel verrassend dat ook dit niet geheel waterdicht was. Heeft de geschiedenis ons iets geleerd, dan is het wel dat alles te kraken is. Dat het zo snel is gelukt is uiteraard gezien de recente problematiek met iCloud uiteraard wel erg ongelukkig voor Apple, het zal ze zeker niet in een beter daglicht plaatsen.

@addictive: Ik denk dat het voor de gemiddelde consument inderdaad niet veel zal uitmaken wat betreft de aanschaf van een nieuwe iPhone. Maar voor wat betreft het vertrouwen op de beurs e.d. doet herhaaldelijk negatief nieuws het niet altijd even goed.

[Reactie gewijzigd door psychodude op 19 september 2014 21:41]

Maar daar worden echt niet minder iPhones door verkocht

Apple heeft mogelijk wel een manier (en dat is echt puur suggestie) om deze gegevens wel op te halen op hun server. De onderzoekers niet.

Maar deze zaken zijn natuurlijk wel belangrijk, maar in elke software zitten fouten als dit het ergste is in iOS dan zit het wel goed.

Heeft de geschiedenis ons iets geleerd, dan is het wel dat alles te kraken is.

Elk systeem is te omzeilen, niet elke beveiliging is te kraken. Nogal een belangrijk verschil. Tenzij je jaren of decennia de tijd hebt om te wachten op een betere methode en apparatuur om encryptie te breken. Mensen en menselijke interactie (=systeem) is en blijft altijd de zwakste schakel in de keten (ontwikkelaar en/of gebruiker), niet de techniek zelf.

[Reactie gewijzigd door Conzales op 20 september 2014 19:45]

Wel moeten overheidsfunctionarissen voor de methode fysieke toegang hebben tot een computer die eerder ook al werd gebruikt voor het pairen van het iOS-apparaat en mag de iPhone of iPad in de tussentijd niet uit hebben gestaan.

Volgens mij heeft Apple geen toegang tot je computer (als je deze al gebruikt voor backups oid), dus klopt het nog steeds.

[Reactie gewijzigd door Bosmonster op 19 september 2014 23:09]

Deze onderzoeker brengt een open deur als een geweldige security doorbraak. In werkelijkheid is het een volstrekte non-issue.

Hij maakt namelijk gebruik van een PC die als reeds 'trusted' device aangemerkt is, en daardoor toegang heeft tot de telefoon. Het trusted device heeft namelijk de sleutel al reeds. Ipv speciale software schrijven had hij ook gewoon iTunes kunnen opstarten en data van de telefoon trekken, maar dat zou veel minder spannend klinken
Hoogstens kun je via de low-level API's wat meer en andere data eraf halen. Maar dat een trusted device toegang heeft is geen lek, maar een feature die gewoon gedocumenteerd is.

Justitie kan dat dus niet, want heeft geen trusted device. Tenzij ze ook je PC in beslag nemen. Maar dan weer enkel indien je die niet zelf beveiligd hebt. Devies is dus je PC ook beveiligen. Iets wat uberhaupt nodig is, als je data van telefoon en PC syncrhoniseerd.

Overigens is er wel een klein kritiekpuntje op Apple. Namelijk dat dus enkel de opgeslagen sleutel genoeg is. Op bijvoorbeeld Windows Phone moet je als gebruiker nog steeds eenmaal je PIN code intoetsen alvorens de telefoon toegang verleent. Apple heeft dit niet gedaan uit oogpunt van gebruiksgemakt ivm automatische synchronisaties. Dat is eigenlijk het enige zwakke punt dat ik kan bedenken, maar dat is dus nog steeds geen lek.

Misschien is het zo gegaan:

apple: "wij weten hoe we om de passcode heen kunnen"
onderzoekers: "wij weten hoe we om de passcode heen kunnen"

Apple beweert ander stellig dat zij er niet meer bij kunnen

nieuws: Apple: wij kunnen niet langer passcodes omzeilen

Het éénige waar apple nog zegt bij te kunnen is de Cloud diensten die je gebruikt:

"Dat geldt overigens alleen voor data die op het apparaat zelf wordt opgeslagen; als een gebruiker het back-uppen van foto's, e-mails andere gegevens naar iCloud toestaat, kan Apple wel bij die data. Die gegevens zijn dan weliswaar versleuteld, maar in tegenstelling tot bij opslag op het apparaat, heeft Apple wel de encryptiesleutel in handen. Dat geldt ook voor andere cloudopslagdiensten.""

[Reactie gewijzigd door HKLM_ op 19 september 2014 20:16]

Als je goed leest heb je data/computer nodig die eerder met de iPhone is gebruikt. Dat heeft Apple niet. Dat is (meestal) je eigen computer.

Wel moeten overheidsfunctionarissen voor de methode fysieke toegang hebben tot een computer die eerder ook al werd gebruikt voor het pairen van het iOS-apparaat en mag de iPhone of iPad in de tussentijd niet uit hebben gestaan.

Zoals ik het begrijp kun je met de computer, nadat je je Apple ID hebt ingevoerd, bij je bestanden. Lijkt me logisch, Waar de melder over valt is dat je dat later ook nog kan en dat er meer bestanden bereikbaar zijn dan hij verwacht.

Wat ik me dan afvraag, waar komt deze man als volgende mee? Mijn werkcomputer meld zich automatisch aan bij de server waarna die bestanden voor mij bereikbaar blijven totdat ik uitlog. Heb ik dan ook de beveiliging omzeilt?

gewoon weer patchen

Zucht.. dit is een direct duplicaat van de eerder gepubliceerde 'backdoor' die eigenlijk geen backdoor was. De passcode is helemaal niet te omzeilen, je hebt nog steeds autorisatie nodig. En als je die autorisatie hebt (bijvoorbeeld door met je passcode een computer te autoriseren) dan kan die computer inderdaad gebruikt worden om te communiceren met je apparaat.

Typische sensatiepost dit.

[Reactie gewijzigd door johnkeates op 19 september 2014 21:08]

Ja... Dus de PC waarmee je je iPhone (of ander iOS device) mee unlocked kan gewoon toegang krijgen tot jouw device! WAT een SCHANDE!
Als ik jou mijn code geef kan jij mijn device ook unlocken. (Want dat is feitelijk wat je doet, je geeft je PC toestemming om met je device te communiceren)

Sorry hoor, maar dit is echt 100% non-nieuws. Maar omdat het om Apple gaat....

[Reactie gewijzigd door 90710 op 19 september 2014 21:31]

Oftewel, ik hack je pc op afstand en kan dan mits je je iphone nog niet hebt herstart gewoon bij je gegevens. En hoe vaak worden telefoons nu herstart? Wellicht niet zo'n idioot groot veiligheidslek, maar als Apple roept dat het niet kan, ook niet voor overheden, blijkt dat de enige hobbel om in je iphone te komen, het herstarten van je telefoon is.

Waar ik iphone schrijf, kun je dus ook ipad lezen.

Apple zegt dat ze het zelf niet uit kunnen lezen. Logisch, ze hebben geen toegang tot je PC/Mac.

Je PC of Mac wordt nu echter een schakel in de beveiliging. Als iemand je PC weet te hacken kan hij idd bij jouw iPhone / of ander iOS device. Maar ze kunnen dan ook makkelijk bij de rest van je gegevens. Die staan namelijk gewoon op je PC. Maw. Apple is niet verantwoordelijk voordat jij je PC/Mac goed beveiligd hebt. Beide platformen kennen namelijk soortgelijke beschermingen die je als consument gewoon in kan schakelen.

Simpel: Apple liegt niet als ze zeggen dat zij geen decryptie sleutel hebben. Die staat namelijk enkel op jouw iOS device en trusted computers.
Decryptiesleutel werkt niet als je je device herstart (vermoedelijk heeft dat met de sleutel an sich te maken)
Jij moet ervoor zorgen dat alleen jij / je familie toegang hebt tot je computer heeft.

[Reactie gewijzigd door 90710 op 19 september 2014 23:37]

Of dat je de iPhone herstart nadat deze aan iTunes heeft gehangen.

En zwakte is een zwakte. Het gekoppelde apparaat geeft een extra mogelijkheid om rottigheid uit te halen, als dat gekoppelde apparaat zelf een zwakheid heeft kan dit wellicht gebruikt worden om ook toegang tot een iphone te krijgen. Het is dus geen non-nieuws maar een bug die gefixed mag worden, nu de kans op misbruik nog nihil is een goed moment.

Dit is geen bug maar een functie, een functie die iTunes heet, een functie die zijn werk niet kan doen zonder toegang met een sleutel, een sleutel die overigens enkel bij puntjes kan komen die iTunes ook echt daadwerkelijk nodig heeft. Deze "beveiligingsonderzoeker" (lees: sensatiezoeker) heeft de communicatie tussen iTunes en je iPhone nagebootst, niets meer niets minder, er zijn al lange tijd programma's die op deze manier bij het filesystem kunnen komen, iExplorer bijvoorbeeld.

Het zou pas een bug zijn als jan en alle man toegang konden krijgen tot je iPhone, dat kan niet want de sleutel is nog steeds van jouw en bij jouw. Als je iemand een sleutel geeft en je hut is leeg, tja, kun je dan de slotenmaker de schuld geven? Apple is in dit geval namelijk de slotenmaker.

[Reactie gewijzigd door Tim.k op 19 september 2014 22:56]

In feite is het geen bug evenmin een zwakheid.
- je hebt de sleutels nodig;
- je hebt autorisatie nodig om software te installeren (dus je moet het wachtwoord weten), bij OSX;
- indien je onder windows geen autorisatie hoeft te geven (dus met wachtwoord invoeren ipv alleen op ja klikken), ligt dat meer aan de instellingen van windows;

Kortom totaal niet interessant al helemaal niet om als een media artikel te publiceren.

en 1x je iphone booten en het lukt al niet meer.

Het gaat hierbij om een iPhone die voorheen ook te benaderen was (iOS 7) via een computer. Met andere woorden, dat je de computer als eens als "vertrouwd" hebt gemarkeerd.

Dus voortaan niet alleen de iPhone maar ook alle overige computerspullen in beslag nemen bij een inval.

Je iPhone aan je computer hangen is iets dat tegenwoordig ook niet heel veel meer gebeurd volgens mij. Bijna alles gaat via de cloud of over the air.

Die van mij heeft al jaren niet meer aan een computer gehangen.

[Reactie gewijzigd door Bosmonster op 19 september 2014 23:10]

Tenzij het ding vol foto's staat en je net een update naar IOS 8 hebt uitgevoerd via iTunes

Iets wat volgens mij al lang wordt toegepast, bij de inval i.v.m. Blackshades werd praktisch alles dat data kan bevatten meegenomen.

Via brute force lijkt het mogelijk, vervolgens is het eenvoudig om bij een aantal gegevens te komen. Er wordt momenteel hard aan gewerkt trouwens met digitale spijkers en planken.

Dit verbaast mij niets. Bij elke nieuwe major version is er precies dezelfde bug, die pas bij de eerstvolgende minor wordt opgelost.

Het zou mij niet eens verbazen als de 1 en 2 januari bug terug is in iOS 8.00. In iOS 4.00 en 5.00 werkte de wekker niet op 1 en 2 januari. Telkens na de eerste minor versie werd dat opgelost.

Dit verbaast mij niets. Bij elke nieuwe major version is er precies dezelfde bug, die pas bij de eerstvolgende minor wordt opgelost.

Nee, dit is sensatiezucht. Wat dit artikel zegt is "de computer die je gebruikt om te syncen, kan gebruikt worden om data van je telefoon te halen". Ja duh, dat is het hele fucking punt van dat systeem.

Inderdaad, maar honderden nieuwssites kopieren zonder enige controle of kantekening wel het bericht.

Een gedocumenteerde feature als lek verkopen blijft het goed doen

En daar gaan we weer. Wellicht een idee voor die onderzoekers dit soort nieuws gewoon naar Apple te sturen in plaats van het wereld kundig te maken want dit leid weer tot enorme flamewars.

Hij maakt dit natuurlijk bekend om z'n eigen naamsbekendheid te vergroten, wss in de eerste plaats ook de reden om dit uberhaupt te proberen

Met dit soort domme dingen maak je je als beveiligingsonderzoeker alleen maar belachelijk. Deze "vondst" is maar een klein stapje verwijderd van " ik voerde m'n username / password in en kon opeens bij al m'n bestanden".

Dat snap jij als tweaker, maar voor jan en alleman is deze meneer een hele slimme meneer die dit soort lastige dingen snapt. Je snapt toch wel dat een dergelijke reputatie in dat werk geen kwaad kan hè?

Dit kan dus alleen op een computer die je ooit al een keer als "vertrouwd" hebt gemarkeerd op je iPhone, en in de tussentijd mag je telefoon ook niet uit zijn geweest.

Ik vind dit nauwelijks een echte bug/hack te noemen, net zo iets als zeggen dat je huis niet veilig is omdat je de buren je sleutel hebt gegeven zodat ze in de vakantie je planten water kunnen geven.

Het gaat erom dat hij zwaktes zoekt, vindt en rapporteert. De ernst ervan bepalen en de consequenties laat hij aan de individuele gebruiker. Hij noemt het ook geen hack of bug, maar rapporteert een zwakte in de veiligheid. Zijn artikel is helder, goed geschreven en niet agressief of neerbuigend van toon.

Alleen ziet de grote massa en anti Apple mensen dat weer niet zo.

Die lezen zo'n beetje alleen de titel en zeggen dat iOS helemaal niet veilig is, alsof je er nu zomaar bij kunt.

Het stukje dat je een computer al eerder als vertrouwd moet hebben gemarkeerd etc. leest 90 procent overheen.
Ach, kunnen velen weer lekker Apple bashen. Hebben ze ook weer wat te doen.

Dit gaat apple toch patchen want iOS 8 is nog steeds in de eerste fase er komt al snel een .1.2.3.4 etc.

Deze meneer heeft al vaker de iPhone beveiliging gebroken.

http://youtu.be/5wS3AMbXRLs

Staat ook duidelijk in het nieuwsbericht?

Dit was toch onvermijdelijk?
Zodra Apple - of welk ander fabrikant - roept dat het veilig is, gaat men op zoek naar het lek.