Onderzoekers kraken iPhone-encryptie
Een beveiligingsprobleem in de iPhone zorgt ervoor dat wachtwoorden op een verloren toestel eenvoudig zijn te achterhalen, zo hebben onderzoekers van het Fraunhofer Instituut ontdekt. Binnen zes minuten wisten de onderzoekers de encryptie van de iPhone te kraken en veel van de opgeslagen wachtwoorden te achterhalen. Als een iPhone voor zakelijke doeleinden wordt gebruikt, dan loopt ook de veiligheid van het bedrijfsnetwerk gevaar, zo laten de onderzoekers weten. De ontwerpfout is in alle iPhones en iPads met de laatste firmware aanwezig. "Alleen bedrijven die op zo'n aanval zijn voorbereid kunnen hun risico verkleinen."
Veel eindgebruikers en bedrijven denken dat de encryptie van de iPhone of iPad voldoende is, maar dit blijkt niet zo te zijn, merken de onderzoekers op. "We wisten de beveiligde apparaten in een korte tijd te kraken." Het was daarbij niet nodig om de 256-bit encryptie te kraken om toegang tot de in de keychain opgeslagen wachtwoorden te krijgen. Het volstond om de encryptie van de wachtwoorden in het Apple iOS aan te vallen. "Dit betekent dat de encryptie onafhankelijk is van het persoonlijke wachtwoord, dat eigenlijk de toegang tot het apparaat moet beschermen."
Jailbreak
Alle apparaten die iOS gebruiken zijn op deze manier aan te vallen. De aanval bestaat uit een aangepaste jailbreaking-techniek en de installatie van een SSH-server, waardoor de passcode volledig wordt omzeild. Het script van de onderzoekers ontsleutelt de keychain met behulp van functies die het besturingssysteem zelf aanbiedt. Sommige wachtwoorden blijven echter beschermd en sommige zijn alleen toegankelijk als de aanvaller de passcode weet. Gebruikers die een iPhone of iPad verliezen krijgen dan ook het advies om al hun wachtwoorden meteen te wijzigen.
Maar het gaat m.i. nog steeds om een zeer serieuze issue, vooral omdat Apple nalaat gebruikers te informeren dat niet alle security-critcal gegevens met degelijke versleuteling worden opgeslagen.
Als ik de PDF (http://www.sit.fraunhofer.de/en/Images/sc_iPhone%20Passwords_tcm502-80443.pdf) goed begrijp kan een vinder/dief binnen 6 minuten van de volgende services de volledige toegangsgegevens uitlezen (voor zover de gebruiker daar accounts voor heeft):
Apple Push
Apple-token-sync (mobile me)
CalDav
Google Mail as MS Exchange Account
iChat.VeniceRegistrationAgent
LDAP
Lockdown Daemon
MS Exchange
Voicemail
VPN IPsec Shared Secret
VPN XAuth Password
VPN PPP Password
WiFi (Company WPA with LEAP)
WiFi WPA
De reden hiervoor is naar verluidt gebruiksgemak, namelijk dat iOS deze diensten ook kan gebruiken op het moment dat de iPhone/iPad (nog) vergendeld is.
Bovendien geldt voor elk device waarop alle data perfect versleuteld is, dat fysieke toegang in principe betekent dat je een memory dump kunt maken - zonder dat de CPU daarbij geactiveerd wordt en data kan wissen (een fabrikant kan dit wel heel moeilijk maken, maar in een goed lab kan veel). Op zo'n memory dump kun je een brute force aanval loslaten.
Kennen jullie mensen met smartphones die elke keer als ze er iets mee willen doen, een toegangscode invoeren met tenminste de moeilijkheidsgraad van een 12-karakter lang wachtwoord (dat niet in woordenboeken voorkomt en cijfers, leestekens alsmede kleine en grote letters kan bevatten)?
Je hebt 'alleen' de beschikking over de passwords van (thnx 4 da list Bitwiper)
Apple Push
Apple-token-sync (mobile me)
CalDav
Google Mail as MS Exchange Account
iChat.VeniceRegistrationAgent
LDAP
Lockdown Daemon
MS Exchange
Voicemail
VPN IPsec Shared Secret
VPN XAuth Password
VPN PPP Password
WiFi (Company WPA with LEAP)
WiFi WPA
Je hebt echter geen toegang tot de encrypted files op het filesystem van iOS en de encrypted data files van apps.
Die zijn namelijk alleen te decrypten OP het device met een password wat niet in bovenstaand lijstje staat.
Voor de geïnteresseerden: Zie WWDC2010 session 209.
Maar dat maakt de FAIL niet minder EPIC. Deze passwrds zouden ook bij een JB niet te lezen moeten zijn.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer
Grijp deze unieke kans voor carrière-ontwikkeling in informatiebeveiliging! Bij Esri bouw je vertrouwensrelaties op en help je zowel ons als onze klanten veiligere technologie te gebruiken. Ben jij de ervaren Security Officer die energie krijgt van werken in 'twee werelden'? Solliciteer dan nu!
Security Specialist Malware
NCSC
Zit cybersecurity diep in je DNA? Heb jij het in je om op het moment dat het er echt toe doet samen met je collega’s tot de juiste (technische) oplossing te komen? Als security specialist malware bij het Nationaal Cyber Security Centrum (NCSC) doe jij er alles aan om de impact van digitale dreigingen te verminderen en incidenten tegen te gaan.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
No more ransomware!
De nieuwe Ransomware Awareness Experience training biedt een realistische maar vooral leuke introductie in de wereld van ransomware. De deelnemers ervaren hoe eenvoudig een organisatie het slachtoffer kan worden van ransomware en leren meteen hoe een besmetting kan worden voorkomen!