Foto: Fraunhofer SIT
Sechs Minuten. So lange dauert es in etwa, eine Zigarette zu rauchen. Exakt so lange benötigten Mitarbeiter des Fraunhofer-Instituts für Sichere Informationstechnologie SIT in Darmstadt, um die Geräteverschlüsselung eines iPhones knacken und eine Reihe von Passwörtern zu entschlüsseln. Nicht anzunehmen, dass geübte Hacker für das Aushebeln der Sicherheitsschranken sehr viel länger brauchen.
Ein iPhone sollte also nicht in die Hände von Kriminellen fallen – vor allem dann nicht, wenn der Nutzer damit Zugriff aufs Firmennetzwerk hat. Geht ein iPhone verloren, rät das Institut zu schnellen Reaktionen. Wer alleine auf die Verschlüsselung vertraut, setzt sich unnötigen Risiken aus – genau das gleiche gilt übrigens für iPads. Deshalb sollten die Netzwerk-Kennungen so schnell wie möglich geändert werden. „Hier zeigt sich, wie gut das Sicherheitskonzept auf die mobile Herausforderung eingestellt ist“, sagt Jens Heider, der am Fraunhofer SIT das Testlabor IT-Sicherheit leitet.
„Selbst Geräte, die mit hohen Sicherheitseinstellungen betrieben werden, ließen sich in kürzester Zeit knacken“, so Heider weiter. Deshalb sei es ein Trugschluss zu glauben, die Geräteverschlüsselung von Smartphones sorge alleine für ausreichende Sicherheit. Der Sicherheitsexperte bemängelt, dass genau diese Einstellung in vielen Unternehmen verbreitet sei.
Die Tester des Fraunhofer SIT mussten die eigentliche 256-Bit-Verschlüsselung überhaupt nicht brechen, um an die auf der Keychain gespeicherten Passwörter zu entschlüsseln. Sie nutzten viel einfacher eine Schwäche des Sicherheitsdesigns aus: Die Basis der Verschlüsselung aller Passwörter auf einem iPhone oder iPad sei im aktuellen Betriebssystem der Geräte gespeichert, so das Institut. Deshalb sei die Verschlüsselung unabhängig vom persönlichen Kennwort, mit dem die Nutzer den Zugang zum Gerät schützen.
Ein Angriff sei deshalb prinzipiell bei jedem Gerät mit iOS-Betriebssystem möglich. Sobald ein Hacker die SIM-Karte entfernt habe, könne er an E-Mail-Passwörter ebenso einfach gelangen wie an Zugangscodes für VPN- und WLAN-Zugänge zum Firmennetzwerk.
Sensibilisierung der Mitarbeiter unabdingbar
Keinen Deut schwieriger ist es offenbar, über den Mail-Account in soziale Netzwerke einzudringen und andere Webdienste auszunutzen. Es genüge, das jeweilige Passwort via E-Mail zurücksetzen zu lassen, so das Institut – und schon sei man drin.
Alles in allem halten iPhone und iPad laut Fraunhofer SIT einem Vergleich mit voll verschlüsselten Notebook-Festplatten nicht stand, die mit Pre-Boot-Authentifizierung arbeiten. Der bei den Tests mit den Smartphones von Apple sei eher gering gewesen. Die verwendeten Jailbreaking-Tools seien frei verfügbar, die weiteren Schritte zur Entschlüsselung der Passwörter mit moderaten Programmierfertigkeiten zu bewältigen.
Neben einer raschen Änderung der Netzkennung empfehlen Heider und Co-Autor Matthias Boll organisatorische Maßnahmen. Es gelte, die Mitarbeiter für die Problemlage zu sensibilisieren und Notfall-Abläufe einzuführen.
Die kurze Studie „Lost iPhone? Lost Passwords!“ ist ebenso auf der Website des Fraunhofer SIT erhältlich wie ein erläuterndes Video.