Sicherheitslücke bei iTunes entdeckt

Computerbild erwartet Stellungnahme aus dem Hause Apple

Eine Sicherheitslücke im Synchronisations-Programm iTunes für iPhone und iPad macht es möglich, private Daten auszulesen. Im Anschluss an eine Sicherheitsüberprüfung hatten Experten der Fachzeitschrift Computerbild den kalifornischen Hersteller über die Sicherheitslücke informiert. Auch wenn unklar ist, ob das Leck überhaupt ausgenutzt wurde, erbat man bei Apple eine Stellungnahme.

Code-Sperre schützt nicht ausreichend
Experten des Sicherheits-Centers verfolgten einen Hinweis auf das Sicherheitsrisiko. Ein einfacher Trick ermöglicht den unerwünschten Zugang zu Photos, E-Mails, Kalender- und Kontaktdaten, und zwar ungeachtet der vorhandenen Code-Sperre. Tests an mehreren Geräten konnten beweisen, dass bei etwa der Hälfte der Geräte ein unberechtigter Zugriff auf eine Vielzahl persönlicher Daten möglich ist.

Die Backup-Falle
Der Trick ist ebenso simpel wie beängstigend. Der bloße Anschluss eines Docking-Kabels an einen PC mit gestartetem iTunes kann ausreichen, um an gespeicherten Daten zu gelangen. Sofern die Software das fremde iPhone oder iPad akzeptiert, lässt sich über die Speicher-Funktion ein Backup erstellen.

Nach dem Neustart via Home-Button und Power-Knopf erkennt iTunes ein neues Gerät. Die Sicherungsdatei des ursprünglich durch Code-Sperre gesicherten Gerätes lässt sich übertragen. Durch das Zurückspielen des Backups ohne Code-Sperre, ist alsdann ein vollständiger Zugriff auf die gespeicherten Daten möglich. Eine neue SIM-Karte mit bekannter Kartensperre-PIN macht aus einem verlorenen oder gar gestohlenen Gerät somit ein noch vollwertigeres Endgerät.

Diese Backup-Falle lauert nicht nur im Falle von Verlust oder Diebstahl. Wer sein Gerät auch nur kurz aus der Hand gibt - beispielsweise zum Aufladen - muss damit rechnen, dass ein fremdes Backup aufgespielt werden kann. Für kriminell Veranlagte eine Möglichkeit iPhones und iPads regelrecht zu klonen.

Die ausführlichen Informationen zu den Tests sind in Heft 2/2012 nachzulesen.