Een beveiligingslek in de encryptie van iMessage maakt het mogelijk om video's en foto's die als versleuteld bericht worden verstuurd te ontsleutelen. Het probleem werd ontdekt door onderzoekers van de Johns Hopkins University, zo meldt de Washington Post.

"Zelfs Apple met al hun kennis, en ze hebben fantastische cryptografen, zijn erin dit geval niet in geslaagd om het goed te doen", aldus informaticaprofessor Matthew Green die het onderzoeksteam leidde. "Ik vind het dan ook beangstigend dat we deze discussie over het toevoegen van backdoors aan encryptie hebben, als we de standaardencryptie niet eens voor elkaar krijgen."

Green vermoedde vorig jaar dat er een kwetsbaarheid in iMessage zat nadat hij een document van Apple over het encryptieproces had gelezen. Hij waarschuwde Apple, maar toen er geen update volgde besloot hij samen met zijn studenten een aanval te ontwikkelen, zodat ze via iMessage verstuurde foto's en video's konden ontsleutelen. Na een paar maanden slaagden ze hier uiteindelijk in.

Voor het onderzoek gebruikten de onderzoekers een server die zich voordeed als de server van Apple. Het versleutelde bericht dat ze probeerden te onderscheppen bevatte een link naar een foto op een iCloudserver van Apple, alsmede de 64-bit sleutel om de foto te ontsleutelen. Hoewel ze de sleutel voor het ontsleutelen van de foto niet konden zien, werd er steeds een cijfer of letter in de encryptiesleutel aangepast en terug naar de aangevallen iPhone gestuurd. Elke keer dat dit correct was werd het door de iPhone geaccepteerd. De onderzoekers bleven dit duizenden keren doen totdat ze de sleutel hadden. Met de sleutel in handen wisten ze de foto van Apple's echte server te halen.

Beveiligingsupdate

Het onderzoeksrapport met details over de kwetsbaarheid wordt pas gegeven als Apple het probleem heeft gepatcht, zo laat één van de onderzoekers via Twitter weten. Apple zou het probleem gedeeltelijk hebben oplost met iOS 9, maar een volledige oplossing wordt in iOS 9.3 uitgerold, die vandaag zal verschijnen. Gebruikers krijgen dan ook het advies deze update meteen te installeren zodra die beschikbaar is.