Eine wichtige Funktionsneuerung von iOS 12.1 führt eine neue Schwachstelle ein. Unbefugte Personen mit physischem Zugriff auf iPhone oder iPad können über die Option, Personen zu einem FaceTime-Gruppenanruf hinzuzufügen, ohne Kenntnis des Gerätecodes das Adressbuch des Besitzers durchforsten.

Dies lässt sich, im Unterschied zu vorausgehenden Sperrbildschirm-Schwachstellen, vergleichsweise einfach durchführen, wie der Sicherheitsforscher Jose Rodriguez berichtet. Über Siri kann der Angreifer einen ausgehenden Anruf auslösen oder das Ziel-iPhone selbst anrufen, dann auf den FaceTime-Button drücken und das Telefon in den Flugmodus versetzen. Der Anruf beim iPad muss direkt über FaceTime erfolgen.

Über die Bedienoberfläche können anschließend mit iOS 12.1 neue Personen zu dem aufgebauten FaceTime-Telefonat hinzufügen werden, wie Rodriguez in einem Video demonstriert, dadurch wird zugleich das Adressbuch eingeblendet. Der jeweilige Namenseintrag würde durch einen festen Druck dann auch den Blick auf die Kontaktdetails freigeben.

Apple hat gerade erst mit dem Update auf iOS 12.1 zwei zuvor von Rodriguez entdeckte und publik gemachte Schwachstellen des iPhone-Sperrbildschirms beseitigt. Ein Angreifer kann in iOS 12.0 und 12.0.1 darüber ebenfalls Einblick in Kontakte nehmen und sogar Fotos des Gerätebesitzers extrahieren. Apple dürfte das nun demonstrierte Problem mit einem weiteren Update schließen, voraussichtlich iOS 12.1.1, das sich inzwischen im Beta-Test befindet.

Die Angriffsfläche wird durch eine Vielzahl an Komfortfunktionen, die auch bei gesperrtem iPhone bereitstehen, vergrößert. Entsprechend werden immer wieder Lockscreen-Bugs gefunden. Um sich besser absichern zu können, können Nutzer verschiedene im Sperrzustand verfügbare Funktionen abschalten, darunter auch das Sprachassistenzsystem Siri oder den Zugriff auf Kontrollzentrum und Mitteilungen. Dies ist in den Einstellungen unter Face ID & Code respektive Touch ID & Code möglich.

(jf, hannover)

(siehe auch Heise News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE