Seit geraumer Zeit häufen sich Berichte über Diebstähle von iPhones, bei denen die Diebe nicht nur das Gerät an sich nehmen, allerdings ebenfalls den PIN-Code ausspähen um Zugriff auf das gesamte digitale Leben der Besitzer zu erlangen. Apple plant mit dem nächsten Update iOS 17.3 endlich technische Maßnahmen um diesem Problem entgegenzuwirken. Allerdings zeigen sich bereits in der aktuellen Beta-Version Schwachstellen, die welche Wirksamkeit des Diebstahlschutzes infrage stellen.
PIN als Schlüssel zur Übernahme
Das Hauptproblem liegt darin, dass der iPhone-PIN ausreicht um das Apple-ID-Passwort zu ändern. Damit können die Diebe zahlreiche Apple-Dienste übernehmen und den ursprünglichen Besitzer aussperren. Zusätzlich schützt die PIN den iPhone-Passwortmanager und andere sensible Daten. Mit iOS 17.3 zwingt Apple die Nutzer zwar nicht dazu, das alte Passwort zu kennen um es zu ändern, wenn die neue "Stolen Device Protection" aktiv ist. Allerdings wird der Zugriff auf wichtige iPhone-Funktionen nur noch per Biometrie möglich sein. Zudem wird eine einstündige Verzögerung eingeführt, bevor Änderungen an wichtigen Sicherheitsmerkmalen erlaubt sind. Der Fallback auf die iPhone-PIN wird also beendet was für weiterhin Sicherheit sorgen soll.
Die Schwachstelle: "Wichtige Orte"
Apple hat jedoch aus Gründen der Benutzerfreundlichkeit eine Schlupfloch eingebaut: Wenn sich die Nutzer an sogenannten "wichtigen Orten" befinden, soll die einstündige Verzögerung nicht greifen und der Fallback auf die PIN dennoch möglich sein. Betatester berichten, dass ein "wichtiger Ort" beispielsweise die eigene Wohnung oder das Büro sein kann. Das iPhone erfasst diese Orte automatisch um standortbasierte Dienste anbieten zu können. Eine manuelle Konfiguration dieser Orte ist bislang nicht vorgesehen. In der Beta-Version gibt es zudem noch Probleme bei der Erkennung dieser Orte.
Ein mögliches Angriffsszenario
Ein potentielles Szenario bei aktivierter "Stolen Device Protection" könnte wie folgt aussehen: Der Dieb stiehlt das iPhone zusammen mit dem ausgespähten PIN, überprüft im Gerät die Adresse des Besitzers - die die meisten Nutzer vermutlich im Adressbuch hinterlegt haben um verschiedene Systemfunktionen nutzen zu können - und macht sich dann zügig auf den Weg zu dessen Wohnung. Von hier aus könnte der Kriminelle ohne Wartezeit die Apple-ID übernehmen und alle genannten Folgen eintreten lassen. Ob Apple sich dieses Szenarios bewusst ist und ob Maßnahmen dagegen ergriffen werden, bleibt abzuwarten. iOS 17.3 wird voraussichtlich noch im Januar veröffentlicht.
Kommentare
Das neue Diebstahlschutzsystem von Apple ist ein wichtiger Schritt um die Sicherheit von iPhones zu optimieren und Diebstähle zu erschweren. Dennoch zeigen sich bereits in der Betaversion Schwachstellen die von Kriminellen ausgenutzt werden könnten. Es bleibt abzuwarten; ob und wie Apple auf diese Herausforderungen reagieren wird. Bis dahin ist es ratsam, zusätzliche Sicherheitsmaßnahmen zu ergreifen und sensible Daten auf dem iPhone zu schützen.