Einstellungen – Allgemein – Code-Sperre [Update]
Update 02.07.: Heise hat den Artikel mittlerweile kommentarlos editiert.
Seit dem der Heise Zeitschriften Verlag die verkaufsfördernde Wirkung großer Überschriften erkannt hat, die das iPhone – wie auch immer – mit dem Thema „Security“ verbinden, melken die Hannoveraner ihre Kuh.
Unsicheres Online-Banking, angepasste Jailbreaks, schlechter Kennwortschutz. Kurz: Wir sind einiges gewohnt. Die letzte Meldung zum Thema, „iPhone-Sperre nahezu nutzlos„, verwundert jedoch sogar die hartgesottenen c’t-Fans. In einem 2-Minuten Video (MP4 Direkt-Link) demonstriert das Magazin, die Umgehung der Passcode-Sperre des iPhones und attestiert Apples Smartphone lachse Sicherheitsvorkehrungen.
Unter Zuhilfenahme eines Jailbreaks und mit dem physischem Zugriff auf das Gerät, testet man die 10.000 möglichen Kombinationen des vierstelligen PINs und fasst zusammen:
„Schutz bietet zwar die Option, einen längeren Pass-Code zu verwenden, was die Knackzeit auf Monate oder sogar Jahre anwachsen lässt. Allerdings ist die Eingabe so unbequem, dass so gut wie niemand diese Möglichkeit nutzt.“
Vierstellige Passwörter sind also nicht der Weisheit letzter Schluss? Ein Fazit, für das wir keine „Sicherheitsexperten“ benötigen.
Damit wir uns nicht falsch verstehen. Wir schätzen sowohl die c’t als auch Verweise auf Geräte-Schwachstellen. Über einen 20cm hohen Zaun zu steigen, und dann darauf hinzuweisen das „Zäune nahezu nutzlos“ sind, lässt uns jedoch mit dem Kopf schütteln.
Wer sein Gerät gegen billige Bruteforce-Angriffe absichern möchte bedient sich Apples Bordmitteln: Einstellungen – Allgemein – Code-Sperre. Hier den „einfachen Code“ deaktivieren und ein alphanumerisches Kennwort setzen. Fertig.
Hat schon so ein bißchen Bild-Niveau… -.-
Ja, die c’t war mMn die letzte Bastion im Müll der Computerzeitschriften. Aber sie ist inzwischen übelst verkommen.
Ohh ja, Computerbild, Chip, c’t – das ist inzwischen eine Abwasch. Schade eigentlich.
Erst war Windows der erklärte Staatsfeind der c’t, jetzt ist es wohl Apple. Naja, solange die blinden Linux-Fans auf die c’t schwören, wird sich daran auch nichts ändern.
Auf jeden Fall signed. Auch de lieblos und keinesfalls ergonomisch gemachte App bestätigt den Eindruck. Computer Bild hat aber dafür weniger Werbung glaube ich.
Das kann ich überhaupt nicht bestätigen. Ich finde die CT ist die beste Computerzeitschrift. Die Erklären auch mal Sachen, wie man eine App programmiert und liefern gleich die passenden Programm und Lern-Videos dazu. Ich finde man kann die CT nicht mit der Chip oder Computer Bild vergleichen.
Quatsch. Begründe doch deine These erstmal!
Nun, iFun schafft es auch unter diese Messlatte zu schlüpfen. Allein der Einleitungssatz hat eine so erfrischende Ignoranz:
„Seit dem der Heise Zeitschriften Verlag die verkaufsfördernde Wirkung großer Überschriften erkannt hat,…“
Das erinnert daran, wie der Springer-Verlag über die ARD meckert. Aber ich freue mich auf den Tag, an dem Burgerking ruft:
„Kauft nicht bei Alnatura, die haben sauren Joghurt!“
Einer der Zusätze den heise nach unserem Artikel – ohne Kennzeichnung – hinzugefügt hat.
Google hat das Original noch im Cache: http://tinyurl.com/6b9qky8
Meinst Du jetzt hier bei ifun oder bei c’t? Ich tippe auf ersteres …
tja der dicke faule kater kann wohl nur fressen und nicht lesen…dein tip schießt sich von allein ins knie, wenn man nicolas‘ post dann auch verstanden hat…
Mit einem vorhandenen jb und geänderten Root pw kann man das also auch umgehen? Oder ändert sich das pw wieder zu alpine wenn man es neu jailbreakt?
Ja
Auf ne oder-Frage mit ja zu antworten ist entweder sehr sarkastisch oder sehr dämlich
Es ist logisch ;-) (und vollkommen richtig, wenn auch nicht hilfreixh^^)
Naja, alte Security Weißheit.
Hast ein Unbefugter physikalschen Zugriff, dann ist das Computersystem nicht mehr sicher. Ich kann jeden Windows, Linux, Netware (müsste bloß mal suchen wo ich das NLM gelassen habe), Storagesystem, Ciscorouter, etc. mit physikalischem Zugriff entsprechend mir einen neuen Zugriff erstellen. Was meint ihr wieso Serverräume immer hinter verschlossenen Türen sind ;-)
Bruteforce geht grundsätzlich immer sobald man das Gerät in seinem physikalischem Besitz hat. Mal mit mehr oder weniger Aufwand, klar.
Schlussendlich ist am Ende nur noch die benötigte Zeit ausschlaggebend und die ist davon abhängig wie lang das Passwort ist und welche Art von Zeichen es enthält.
Jaein. Mit einer Permutationskette die sich bei jedem Versuch ändert funktioniert auch Brute-Force nicht mehr ;) allerdings ist das absolut untauglich da jeder Fehlversuch die Daten quasi vernichtet, wenn man nicht den Schlüssel kennt der für die permutation verwendet wird und was eingegeben wurde. Aber man kann es auch übertreiben. Ich hab die Codesperre zum beispiel einfach ganz ausgeschaltet, da es mich mehr nervt bei jedem Griff zum iPhone den Code einzutippen. Die einzigen sensiblen Daten habe ich in 1Password oder GoodReader selbst verschlüsselt und dort verschiedene Passwörter. Alles andere auf meinem iPhone wäre nicht tragisch bei einem Verlust/Diebstahl. Da würde mich der Verlust des iPhones viel mehr stören als das es jemand einsehen kann…
Gut, korrekt, es gibt durchaus dieses Verfahren. Ich hatte es aber gezielt außen vor gelassen, da es dann doch etwas komplex wird und dieses Verfahren findet bei normalen Anwenderkennwörtern für gewöhnlich sowieso keine Anwendung :o)
Mich persönlich würde auch der Verlust am meisten stören.
Alles wichtige ist auch bei mir gesondert verschlüsselt.
Und dann tippe ich länger am passwort rum, als ich für meine SMS oder was auch immer brauch. Mir reicht die einfache Code Sperre. Bin eurer Meinung, aber eine Überschrift „iPhone unsicher“ verkauft sich besser als „Sack Reis in China umgefallen“ ;)
Mal ganz ehrlich, wer nen iPhone klaut oder findet will eh nicht an die Daten ran, sondern will es formatieren und dann selber nutzen oder verkaufen ;-)
Ich habe noch nicht einmal die Code Sperre drin. Wenn ich mein iPhone verliere oder es geklaut wird, dann sperre ich es über meinen MobileMe Account und lass es orten. Kriege ich es nicht schnellsten zurück wird die Fernlöschung aktiviert. Sollte ich es dennoch zurück bekommen, kann ich es noch aus einem Backup wiederherstellen. Warum sollte ich mich da mit einer Codesperre rumplagen? Welche Sicherheitsvorkehrungen haben denn Android Windows Phone und Co? Sind die absolut abgesichert, wenn die geklaut werden?
Die klaut niemand…
@Cromax
Meinst Du nicht, dass ein „unrechtmäßiger“ Finder Deines iPhones als erstes das „iPhone suchen“ in den Einstellungen deaktivieren wird?
Das geht in 4 Klicks!
1. Einstellungen
2. Mail, Kontakte, Kalender
3. MobileMe Account auswählen
4. iPhone suchen deaktivieren
Und das ganze ist noch nichtmal durch eine Passwort geschützt! Die Funktion ist also ein Witz!
@ Claus: Meinst du, dass jemand der das weiß es nötig hat nen iPhone zu klauen? Der wird entweder selbst eins haben oder wenn er ein anderes Gerät hat und es trotzdem weiß wohl kaum das geringe Niveau haben es zu klauen. ;-)
@Claus
Du kannst das ändern der Mailaccounts auch einschränken…
@claus
Falsch deine Aussage
Mein iPhone kannst du so nicht das Orten abstellen. Bei mir habe ich unter Einstellung/Allgemein/Einschränkung/Accounts deaktiviert. Somit kannst du keine mail Accounts ändern oder ausschalten. Du müsstest das iPhone löschen.
Oh mein altes Nokia hat nur eine Tastensperre..!
Guter Artikel dazu. Die c’t meint es sicher gut, aber klar ist ja auch dass jede Sperre irgendwie umgangen werden kann. Darum gibt es ja so viele Polizei Serien. (Sollten mal den iPhone Twitter Ermittler schaffen;)
Also nicht aufregen liebe iFun Fans über den nützlichen Hinweis der Grundeinstellungen (manche kennen den halt noch nicht)
Das in dem Video sieht echt so aus wie Hacken im Tv: zahlen laufen den bildschirm runter und iwann steht das pw da :D
Ohmann :/ die sollte sich schämen
ich habe ein 7 stelliges alphanumerisches pw dass ich aber nur jede ganze Stunde eingeben muss.
Finde diese Möglichkeit sicher und bequem
Die Sicherheit om iPhone ist immer nur so hoch wie man selber bereit ist beim entsperren Zeit zu investieren. Wer jedesmal ein 16 Ziffer langes Passwort eingeben will, der hat eine hohe Sicherheit, aber auch nach 1 Woche den Verstand verloren.
Um mit Jaibreak den Sperrcode auszulesen, muss aber erst JB aufs IPhone was nicht geht da die Codesperre aktiviert ist – also was soll das?
der JB wird installiert, wenn das iPhone ausgeschalten ist…
Zwar hat man anschliessend wieder die Codesperre drin, kann jedoch via PC/Mac SW aufs iPhone packen und offensichtlich auch hacken – und 10000 Kombinationen sollten keine Ewigkeit beanspruchen…
im DFU Modus kommt keine Abfrage
Gut wären zwei
….gut zu wissen wenn ich mal ein finde, nur das iPhone würde mich mehr interessieren als die Daten darauf!
Gut wären zwei Passwörter, kurzer Zeitraum kurzes Passwort, langer Zeitraum langes Passwort
Super formuliert liebes ifun-team! Und schon bleiben die tollen „ihr seid ja so unseriös und im Grunde auch nur fanboys“-Kommentare aus.
Wirklich, toll auf den Punkt gebracht! Das mit dem 20m Zaun hat mir gefallen^^
Und zum Thema: Der Bericht kann es mit der 1&1 Werbung aufnehmen :-D
Per Jailbreak das System knacken geht immer… Keychain löschen & das PW ist weg, alternativ ist auch das Auslesen möglich.
Aber Hauptsache über Apples Restriktionen beschweren…
Nein, das hier ist wirklich etwas Neues. Es ist klar, dass vierstellige Zahlenkombinationen nicht sicher sind, aber Apple gibt uns ein etwas besseres Gefühl, in dem sie eine automatische Löschung nach bspw. 10 Fehlversuchen ermöglichen (wobei das glaube ich keine Löschung der Daten ist, sondern das Löschen eines – dem Benutzer unbekannten, weltweit einmaligen, zufällig generierten Schlüssels – was im Effekt aber das gleiche ist).
Somit waren Bruteforce-Attacken bisher nur sehr eingeschränkt möglich. Wie am Bankomaten, dreimal Falsche PIN – Karte wird eingezogen.
Mit diesem angepassten JB allerdings kann nun in jedem Fall der vierstellige Code geknackt werden, ohne das die automatische Datenlöschung greift.
Die MobileMe-Fernlöschung lässt sich auch leicht aushebeln – SIM raus, kein offenes WLAN anbieten.
Insofern ist das von heise Herausgefundene zwar keine „Sensation“, weil man als durchschnittlich begabter User damit rechnen konnte, aber es zeigt, dass die von Apple vorgegaukelte Sicherheit der eigenen Daten eben nicht gegeben ist.
Danke für diesen Artikel – Ich schließe mich da durchaus an, möchte aber noch ergänzen:
Es ist doch gut zu wissen, dass auch bei der c’t angekommen ist, dass man auf alle Daten auf einer Platte zugreifen kann, wenn man ein eigenes / modifiziertes Betriebssystem bootet. Erstaunlicher Weise sogar bei Computern die wie Handys aussehen. (Vll. wollen Sie nach der Erkenntnis ja mal ne Linux-Live-Rettungs-CD fürs iPhone rausbringen^^)
einfach nur peinlich …
in dem moment in dem Mann ein Telefon jailbreaken kann wird das ja auch viel leichter …
da wäre natürlich das iPhone nciht das einzige Telefon bei dem das leicht geht O.o
Abgesehen davon: Wenn das iPhone mal weg ist, sollte man sowieso direkt alle Passwörter ändern … macht man ja auch wenn die Kreditkarte etc. mal weg ist –> neuer Pin.
echt lächerlich das ganze.
Was ist lächerlich und peinlich? Und für wen? Heise oder Apple?
Ja, in der Tat, weil Apple dem iPhone Restriktionen verpasst, genießt es den Ruf, sicher zu sein. Und weil einigen diese Restriktionen nicht passen, entwickeln sie Jailbreaks. Und diese ermöglichen unter anderem solche Attacken.
Gäbe es die Restriktionen nicht, gäbe es auch nicht so viele, die sich mit für Jailbreaks ausnutzbaren Sicherheitslücken beschäftigen.
Allerdings ist es richtig, dass auch andere Geräte ihre Löcher haben. ABER APPLE EBEN AUCH. Obwohl sie so tun, als hätten sie keine.
Bei mir ist die Option „einfachen Code” deaktivieren “ ausgegraut…?!?
Liegt das vielleicht daran, dass ich mein iPhone mit einem Exchange Account betreibe?
Any hint?
um die sicherheitssperre zu umgehen braucht man weder code noch passwort.
man nehme ein iphone, gebe den sperrcode so oft falsch ein bis das iphone „mit itunes verbinden“ anzeigt.
man schliesse es an itunes an (egal welcher rechner!) und mache ein backup.
man stelle das iphone via itunes wieder her und gebe dem gerät einen neuen namen – also als neues iphone in itunes aktivieren.
man spiele das vorher (mit codesperre!) gemachte backup auf das „jungfräuliche“ soeben neu aufgesetzte iphone.
was passiert? itunes fragt, ob man den passcode vom backup übernehmen will oder nicht.
wenn man ihn nicht übernimmt, hat man ein iphone mit allen daten, die beim backup mit codesperre am gerät waren – aber eben OHNE sperre! nach dem ursprünglichen sicherheitscode wird man nicht gefragt!
sehr sehr fahrlässig von apple.
hab ich erfolgreich an meinem eigenen iphone 4 (4.3.3) getestet, weil jemand „lustiger“ mir einen passcode gesetzt und ihn vergessen hat.
Habe das nicht selbst getestet. Gehe aber davon aus, dass du die Option zur automatischen Datenlösung nach X Fehleingaben nicht aktiviert hattest. Denn ansonsten wäre ein Backup der alten Daten nicht mehr möglich gewesen.
Also mal ehrlich. Wer geht denn bitteschön davon aus, dass die Codesperre so sicher ist, dass sie das Gerät auch im Ernstfall schützt? Also ich nicht. Ich aktiviers nur, damit nicht jeder , der grad mein Handy am Tisch liegen sieht so einfach alles durchstöbern kann. Aber nen professionellen Schutz hätt ich sowieso nicht erwartet. Zudem ist ja klar, dass per Jailbreak alles umgangen werden kann. CT ist unglaublich lächerlich. Das ist genauso, als würde man schreiben, abschließbare öffentliche Toilettenkabinen sind nicht sicher…
Apple geht davon aus. Zumindest erwecken sie den Eindruck, die Daten seien bei Verlust des Gerätes sicher.
Also auch mal ehrlich: Klar ist das kein sehr hochwertiger Schutz, mit dem PIN. Aber dass er auf so einfache Art und Weise nicht nur aufgehoben, sondern einem die PIN noch im Klartext angezeigt wird, ist auch nicht besonders schön.
Es ist zwar sehr fahrlässig, fürs Handy den gleichen Code wie beispielsweise für die EC-Karte zu verwenden, aber wetten, dass eine Großzahl der Nutzer so bequem ist?
Also, Handtäschchen in der Disco abgegriffen, iPhone kurz an nen Laptop in der Karre vor der Tür, PIN knacken, am Bankomaten schön das Auszahlungslimit ausnutzen, und, wenn der Kollege in der Disco nicht anruft und sagt, die Schnecke hätte es bemerkt, die Handtasche samt Karte und Handy wieder zurücklegen. Und die Überraschung kommt dann erst beim nächsten EC-Bezahlvorgang oder so. Nicht gut…
„Aber dass er auf so einfache Art und Weise nicht nur aufgehoben, sondern einem die PIN noch im Klartext angezeigt wird, ist auch nicht besonders schön.“
Natürlich wird die PIN im Klartext angezeigt, es handelt sich hierbei um einen Bruteforceangriff. Es werden also alle erdenklichen Schlüssel einfach bei einem Abbild durchprobiert. Zuerst probiert er 0001, dann 0002, dann 0003…0123 hat dann schließlich funktioniert. Und das Bruteforceprogramm weiß ja welchen Schlüssel es verwendet hat :o)
Und, ja, wenn ein Passwort beispielweise “ $AGe4£ÅF4∑36GÏ™cSx73$“wSX “ lautet kann es somit mit Bruteforce durchaus einige Generationen dauern bis das Passswort geknackt ist. Bruteforce = recht stumpfsinniges Durchprobieren.
—
Wer eine PIN oder ein Passwort doppelt verwendet ist ein dummer Mensch. Seit dem es PINs und Passwörter gibt wird gepredigt genau das nicht zu tun. Wer es immer noch nicht geschnallt hat, dem ist einfach nicht zu helfen :o/ Trotzdem ein sehr schönes Szenario. Gibt potentiell bestimmt welche die so bescheuert sind^^
Ja, liegt am Exchange.
Ist eine Vorgabe des Admins.
Sobald ich ein Exchange Konto eingerichtet habe,
ist kein einfaches PW mehr möglich.
Konto deaktivieren reicht auch nicht,
Der Account muss gelöscht werden.
Bugs
Erstaunt mich persönlich kein bisschen.
Sobald ein Gerät in meinen physikalischen Besitz übergeht kann ich es mit Bruteforce knacken.
Das kann je nach Schlüssellänge und verwendeten Zeichen zwar nur einige Sekunden dauern oder hunderte von Jahren, aber theoretisch geht es. Ein Passcode der aus 4 Zahlen besteht lässt sich natürlich problemlos via Bruteforce in kürzester Zeit knacken.
So…bei folgenden Geräten funktioniert so etwas auch:
Alle Smartphones, alle Computer…Liste beliebig erweiterbar.
(Das Anwenden von Bruteforce als „hacking“ zu bezeichnen dürfte übrigens die meisten Hacker beleidigen. Bruteforce ist in etwa so „meisterhaft“ wie einen Server via DDoS lahmzulegen)
Was CT sagen möchte, ist, dass bei einem geklauten iPhone der physische Zugriff ohne weiteres möglich ist, und einfache numerische Passwörter schnell geknackt sind.
Das das iPhone nicht das sicherste Teil der Welt ist, weiss jeder! Ich erinnere nur an den Codesperren/Favoriten-Hack!
Umso schlimmer das Apple alte Geräte nicht mal mehr mit Sicherheitsupdates versorgt!
Mit Bruteforce lässt sich doch sowieso jedes Smartphone knacken. Das unterscheidet sich nur in der gebrauchten Zeit in Abhängigkeit der Länge und gewählten Zeichen des Passwort/Passcode (schlussendlich also Nutzerabhängig).
—
Es ist erfreulich, dass Apple überhaupt seine Smartphones zweieinhalb Jahre lang mit Updates versorgt. Mehr wäre zwar immer wünschenswert, aber Apple ist trotzdem hierbei ein Vorbild für alle anderen Hersteller.
Und Android ist aufgrund seiner Fragmentierung und Updatepolitik der Buhmann. Über 95% der aktiven Geräte nutzen veraltete Software. Da Android bis Version 2.3 veröffentlichte kritische Exploits in Browser und Co vorweist sind somit 95% der aktiven Android-Geräte über präparierte Webseiten angreifbar. (Seit nun 8 Monaten oder so sind die Exploits veröffentlicht)
Wenn ist also quasi die komplette Mobilfunkbranche peinlich. Smartphones soll man wohl nur einen Vertrags-zyklus lang nutzen. (Wobei die Verträge bei Android auf maximal 6 Monate beschränkt sein sollten…)
Und morgen lesen wir in der ‚Heimwerker‘ „Achtung! iPhone mit Hammer geknackt! Apples Glasfronten zu unsicher!“
Es wäre cool, wenn man die Sperre mit einem Fingerscan machen könnte.
Fingerabdrücke sind überhaupt nicht geeignet zur Zugangskontrolle. Es ist bequem, nutze es auch an meinem Laptop. Aber sicher ist es nicht. Meinen Fingerabdruck hinterlasse ich an Hunderten von Gegenständen jeden Tag. Das ist, als ob ich überall mein Passwort hinschreiben würde. Denn jeder kann sich meinen Fingerabdruck von einer Oberfläche nehmen, und es ist auch möglich (hat der CCC vor Jahren bewiesen), diesen Fingerabdruck nachzubauen und damit Fingerabdruckscanner zu täuschen. Höherwertige Scanner sind schwerer zu täuschen, weil sie tiefer nachschauen und kucken, ob der Finger „lebt“. Trotzdem – es ist, wie das Passwort überall hinzuschreiben.
Wenn es schön einfach und trotzdem sicher sein soll, dann bitte einen Iris-Scanner. Meine Iris bleibt hoffentlich in meinem Auge, die drücke ich nicht überall gegen.
Ein Nachteil bleibt gegenüber einem sicheren Passwort: auch die Iris lässt sich ohne oder gegen den Willen des „Inhabers“ auslesen, durch Zwang (Fesselung etc.). Für ein Passwort braucht man noch eine Stufe mehr – man muss den Willen des Inhabers brechen – Erpressung, Folter, Drogen.
Wobei das jetzt dann doch ein wenig weit führt :) – wir sprechen ja glaubich immer noch über ein iPhone und nicht die Koffer mit den roten Knöpfen im Innern…
das sicherste bleibt immernoch ein passwort! es wird im gehirn gespeichert, und es ist relativ schwer dieses zu extrahieren… man kann sich notfalls auch noch selbst umbringen um das passwort zu vernichten. das ist ziemlich effektiv… den finger kann man abtrennen, und auch das augo lässt sich entfernen, um sich zugang zu verschaffen…
liegt an den Einstellungen deines Exchange-Server-Admins
Irgendwie scheint hier jeder nach dem Wort Apple den Verstand auf Standby zu schalten. Das was uns der Artikel sagt, ist ,dass jeder Troll mit Internetzugang in der Lage ist, ein mit einfachem Code verschlüsseltes iPhone auszulesen. Nix Spezialwerkzeug oder Monster Hardware. Kann ich in der Mittagspause schnell machen, wenn der nebendran sein iPhone liegen lassen hat. Wenn es einer drauf hat, reicht auch kurz auf’s Klo gehen. Aber stimmt, das tut ein iJünger ja ohnehin nicht, ohne sein iPhone.
Wenn jemand weiß, dass dein Laptop ein vierstelliges Passwort hat und du es kurz unbeaufsichtigt lässt kann er das dort ebenso machen.
Ebenso mit einem Android Smartphone.
Oder ein anderes Smartphone. Symbian, MeeGo, WebOs, whatsoever…
(Es geht natürlich auch mit Passwörtern anderer Länge, nur wenn sie länger sind und auch andere Zeichen besitzen dauert es länger. Deswegen kommt man durch Bruteforce bei Passwörtern einer gewissen Länge irgendwann nicht weiter – es sei denn einem ist egal, dass das Passwort erst lange nach dem eigenem Dahinscheiden geknackt sein wird. Aber was bringt es einem einen Schlüssel geknackt zu haben wenn man schon längst tot ist…?)
Bruteforce ist quasi so als hättest du einen Schlüsselbund mit allen Schlüsseln der Welt und würdest jetzt vor einer Tür stehen und würdest nach und nach jeden Schlüssel ausprobieren bis du den richtigen findest.
(Bevor jetzt wer mit „nur 10 Versuche“ kommt: Spiel hierbei keine Rolle, ist ja nur ein Abbild)
Je größer die Anzahl der möglichen Kombinationen, desto länger dauert es potentiell den korrekten Schlüssel zu finden.
(Suche hierzu nach: Bruteforce, Permutation)
—
Wozu also der Aufreger? Bzw. was ist daran neu? Bzw. wer hat bitte nicht gewusst, dass das möglich ist? Langer Passcode hilft, auch wenns nervig ist. „Kurzes Passwort“ und „Sicher bei Diebstahl“ gibt es bei keinem Smartphone. Nichtmal bei Blackberry.
Mensch, jetzt kapier doch endlich mal, dass normalerweise nach 10 Fehlversuchen das iPhone gelöscht wird, wenn es so eingestellt ist. Und das hier eben nicht passiert. Außerdem war bisher eine BruteForce-Attacke nur „manuell“ möglich – indem du dich durch die Codes durchgetippt hast.
Jetzt macht das ein Computer.
Keiner behauptet, Apple sei schuld, dass vierstellige Passcodes unsicher sind.
Keiner behauptet, nur Apple sei anfällig für BruteForce-Attacken.
Aber du behauptest, die von der c’t gefundene Möglichkeit sei nichts Neues, nichts anderes als das manuelle ausprobieren von 10.000 Codes per Hand?
„Mensch, jetzt kapier doch endlich mal, dass normalerweise nach 10 Fehlversuchen das iPhone gelöscht wird, wenn es so eingestellt ist.“
Oh Gott, muss ich mich wirklich wiederholen?
Der Bruteforce-Angriff wird auf ein Abbild projiziert. Hierbei hast du unendlich viele Versuche. Und das kann ich bei jedem Computer/Smartphone mit jedem Betriebssystem machen sobald ich das Teil in meinem physikalischem Besitz habe.
Und das ist in der Tat nichts neues. Bruteforce wurde schon in den 80zigern genutzt. Ach was sage ich. In den 70zigern.
„(Bevor jetzt wer mit “nur 10 Versuche” kommt: Spiel hierbei keine Rolle, ist ja nur ein Abbild)“
–> Das ist, was du zuerst von einem Abbild geschrieben hast. Wie du da rankommen willst, erklärst du nicht.
Gut, also Erstellen wir ein Abbild, also ein Backup, wie du wohl meinst. Schließen ein – gelocktes – iPhone an ein – fremdes – iTunes an. Was passiert? „iTunes konnte sich nicht mit dem iPhone verbinden, da es mit einem Passcode geschützt ist. Bitte geben Sie den Passcode auf dem iPhone an“.
Dass es Wege gibt, auch ohne Passcode oder den passenden iTunes-Account (Apple ID) an ein Image zu kommen, bestreitet ja keiner. Im Gegenteil: Die c’t hat einen (noch dazu recht einfach durchführbaren) davon gezeigt.
Und jetzt kommst du wieder.
Und um dich in einem weiteren Punkt zu korrigieren: Brute Force, also das Durchprobieren aller möglichen Schlüssel, wurde mit allerhöchster Wahrscheinlichkeit schon kurz nach der „Erfindung“ der Verschlüsselung eingesetzt – was Jahrhunderte zurückliegt. Auf jeden Fall länger als erst seit 40 Jahren…
Zum Bleistift kommst du so daran:
Das iPhone wird im DFU-Mode mit einer custom recovery ramdisk gebooted, dann root/user gemountet und damit lässt sich eine Bitkopie durchführen (via dd command ; dd ist ein Unix Programm für low-level Kopien). Und damit hast du das Image.
Ich hoffe das beantwortet die Frage :o)
—
Bis iOS 3 ließ sich der Kram mit dd unverschlüsselt kopieren. Jetzt bleiben die Daten bei der Kopie verschlüsselt und mit Bruteforce ist das ganze nur zu knacken wenn man einen Passcode hat der nur aus ein paar Zahlen besteht. Wer einen langen Passcode hat braucht sich darum auch keine Gedanken machen. (Erneut: Mathe Grundkurs, Permutation)
Und die AES-Verschlüsselung ist mit Bruteforce sowieso nicht zu knacken (es würde jahrtausende dauern).
Bei anderen Betriebssystemen kann man das so oder so ähnlich genau so machen. Bzw. bei manchen braucht man es gar nicht, weil sie die Daten nicht verschlüsseln (Android)
Aber was ist daran jetzt so erstaunlich?
—
Ich meinte nur das Bruteforcing auf Computern.
Analog gibt es das natürlich schon viel, viel länger. Völlig richtig :o)
Krypttographie gibt es schon seit vielen tausend Jahren und damit sicher auch die Versuche den Schlüssel durch wildes rumprobieren zu knacken :o)
Gut. Mal abgesehen davon, dass du deine Custom Ramdisk nur deshalb überhaupt geladen bekommst, weil die Signierung von Apple durch die BootROM-Lücke, die auch für Jailbreaks genutzt wird, umgangen werden kann, brauchst du also für die Erstellung deines Images eine Sicherheitslücke, einen Programmierfehler. Der ist _momentan_ bei iDevices gegeben. Der von dir dargestellte Weg ist im Prinzip nichts Anderes als der heise-Weg – nur dass sich heise den Zwischenschritt „Image-Erstellung“ spart. Das ganze war natürlich notwendigerweise auch schon möglich, bevor die c’t es „entdeckt“ hat – aber warum die Kritik an heise? Sie haben es nun nochmal verständlich und auf deutsch veröffentlicht und zeigen auf, dass die von Apple (iOS 4 verschlüsselt eure Daten!) vorgegaukelte Sicherheit immer nicht gegeben ist – bei Nutzung eines schwachen Passcodes. Das fördert bei vielen, jedoch gemessen an der Gesamtzahl der User natürlich trotzdem noch verschwindend wenigen, vielleicht ein Wenig die Sensibilität für das in der Allgemeinheit unterbewertete Thema „Datensicherheit“.
_Viele_ tausend Jahre halte ich jetzt hingegen wieder für übertrieben – aber gut, in dem Punkt scheinen wir uns relativ einig zu sein ;-)
Krytografie kannte man bereits „im altem Ägypten“ (so um den Dreh 3000, 2000 v.Chr.). „Ein paar tausend Jahre“ ist hier also nicht unbedingt übertrieben :o)
—
Natürlich wird hier eine Lücke im Bootrom ausgenutzt. (Das Bootrom ist auf einem Chip, diesen könnte ich übrigens durch einen entsprechend präparierten Chip ersetzen falls er keinen Exploit bei einem kommendem iOS Device hat (und ich keinen anderen Weg wählen möchte). Somit kann ich diese Lücke theoretisch auch in kommende Geräte wieder einfügen. Das iOS Gerät befindet sich ja im physikalischem Besitz. Wie gesagt, alles was in den eigenen physikalischen Besitz übergeht lässt sich auseinandernehmen und auch mit Bruteforce angreifen (was nicht bedeutet, dass Bruteforce erfolgreich sein muss))
(Und dieser Exploit im Bruteforce ist lange bekannt, auch der Weg den dd command anzuwenden. Vor der AES-Verschlüsselung bekam man die Daten damit sofort im Klartext – und das war bekannt. Der Passcode fiel dabei ja eh weg. Den braucht man ja jetzt nur um an den AES-Schlüssel zu gelangen. Neu ist daran also eigentlich nicht viel)
—
Heise hat in sofern schlecht gearbeitet, weil sie nur diese reißerische Überschrift wollten und im Artikel haben sie dann nur eine recht lapidare, unbefriedigende Erklärung geliefert.
Und dann der letzte Absatz:
„Das grundlegende Problem ist auch nicht der vierstellige Passcode; der würde im Prinzip durchaus genügen. Schließlich schützt auch EC-Karten nur eine PIN aus vier Ziffern. Die Details zu den Sicherheitsmechanismen von iOS und wie sie sich umgehen lassen, beschreibt ein Artikel in c’t 15/11, die Abonnenten am Wochenende erhalten.“
Was soll der Vergleich mit einer EC-Karten PIN? Hat ein Cracker physikalischen Zugriff auf den Server? Nein.
Die Behauptung ein 4stelliger PIN würde theoretisch ausreichen – ja, aber nicht wenn jemand physikalischen Zugriff auf das Gerät hat, weil er die Hardware verändern kann.
Und dann noch das „kauft unser Magazin wenn ihr wissen wollt ob wir selbst überhaupt wissen wovon wir reden“.
—
Mich stört es nicht das Heise warnt, mich stört es wie unbefriedigend recherchiert wurde. Und wie hierbei Sensibilisierung geschaffen werden soll ist mir auch ein Rätsel. Eine Empfehlung für eine Lösung des Problems gibt Heise nämlich nicht.
Der Artikel ist in der Form ein Trollpost. Hätte auch schizophrener ein Android-Troll schreiben können, dem es egal ist, dass sein eigenes System nicht verschlüsselt aber der es für kritisch hält, dass man bei iOS kurze Passcodes knacken kann um schlussendlich an den Schlüssel der AES-Verschlüsselung zu kommen.
Heise hätte explizit lange Passcodes empfehlen sollen oder allen denen das zu viel Stress ist empfehlen sollen keine all zu sensiblen Daten auf dem Gerät zu speichern wenn ein Verlust der Hardware wahrscheinlich ist.
Außerdem hätten sie anmerken sollen, dass ein Wechsel auf ein anderes OS keine Lösung bietet, da dort gleiche bzw. ähnliche Probleme bestehen, bzw. manche Systeme garkeine Datenverschlüsselung integriert haben.
:o/ :o)
Man kann auch ein mehrstelliges Zahlenpasswort so erstellen:
-einfache Codesperre ausschalten
-bei der Tastatur nur Zahlen eingeben (egal wieviele)
-iPhone zeigt den gleichen Zahlenblock, nur halt dass man mehr zahlen eingeben muss.
Das geht? Wenn das klappt schon mal ein danke? Nix gegen 8 Zahlen. Aber nicht auf ner QWERZ im Suff oder Halbschlaf.
Super. Und das beste ist das der Unehrliche Finder jetzt nicht mal sehen wie viele Zahlen man überhaupt eingeben muss.
Wenn hier einer Ahnung von Bruteforce hat, ist es wichtig zu wissen wie viele stellen vom Passwort belegt sind?
Jaein.
Wenn man weiß wie viele Zeichen es sind wird einfach nur die Suchdauer erheblich verringert.
Viel gravierender fand ich das Problem bei meinem alten HTC Magic. Android hat (oder hatte) da so ein schönes Muster, was man mit den Finger auf den Touchscreen malen musste. Dieses Muster konnte man Dank der Fettspuren auf den Display immer sehen. Sogar die genaue Wischreihenfolge sieht man dabei. Irgendwann habe ich dann mal meinen 6 jährigen Sohn beim Spielen „erwischt“. Als ich fragte, wie er da rein gekommen ist, sagte er mir: „Mensch Papa, wenn man das Handy schräg hält, dann sieht man doch das Muster was du immer malst.“
Das finde ich viel schlimmer. Weiß aber jetzt nicht, ob es bei aktuellen Android Versionen immer noch das Muster gibt.
Ja gibt es :)
Da fällt mir gerade ein…
…bei Android kann man sich das alles sowieso schenken.
Erst bei Android 3.0 wurde eine Verschlüsselung eingeführt und das gilt ergo nur für Tablets. Bei den Smartphones liegt alles offen.
Wenn man an die Daten eines gefundenen Android Phones möchte spiegelt man sie einfach auf den Rechner falls das Android Phone einen Passcode hat. Dann kann man sich den Passcode schenken, bei Android wird der Speicher nämlich nicht verschlüsselt und ergo liegen die Daten sofort alle offen.
Was für Apple Fans die sind …..
…na dann hätten sie als Sidekick druntergeschrieben:
„Bei Android kann man es sich den Aufwand schenken. Da der Speicher nicht verschlüsselt wird reicht es die Daten auf den PC zu spiegeln um den Passcode zu umgehen“
(Bei iOS braucht man den Passcode um an den Schlüssel der AES-Verschlüsselung zu gelangen (mit Bruteforce bräuchte man hier mehr als ein Menschenleben um den Schlüssel zu knacken. Was waren es nochmal? 2^128 Permutationen? Oder 2^256? Naja, egal). Bei Android wird nichts verschlüsselt, ergo braucht man keinen Schlüssel und der Passcode ist nur nötig um die Daten auf dem Smartphone einzusehen)
Das wäre dann auch passend zum ct/heise Freitag gewesen…
…Futter für die fanboiz beider Seiten^^
Ach, und @ifun: Lachs ist nicht lax, und die heise-Foren haben schon viel länger das gleiche Problem wie Ihr mit den Trolls. Die Kommentatoren dort als „hartgesottene c’t-Fans“ zu bezeichnen lässt vermuten, ihr geht auch davon aus, dass eure Kommentatoren alle Fans von euch wären?
Einfacher Zusatzschutz für Jailbraker: Loctopus. Damit lässt sich jedes Programm auf dem Iphone zusätzlich gegen Zugriff sperren, auch die Einstellungen. Wer meinen Tastencode knackt kommt trotzdem nicht an persönliches. Er kann es nur platt machen und dann sind meine Daten sicher, weil weg . Iphone futsch, aber Daten sicher .
War es nicht so, dass Locktopus nur Programme auf dem iPhone sperrt und man entsprechend zur Verwendung einen Passcode braucht? Also keine Verschlüsselung?
Und das schützt dich jetzt wie genau davor, dass ein Angreifer Daten kopieren kann?
Er knackt deinen Passcode, kommt an den AES-Verschlüssel und speichert alle deine Daten im Klartext auf seinem Computer.
Außerdem ist Locktopus nur ein softwareseitiger Schutz, würde mich nicht wundern wenn er sich nicht im safe mode über ssh aushebeln ließe.
Hey Leute das ist ja ein Interessantes video wie heißen die Programme denn die man dafür braucht würde das gern mal austesten . Danke im Vorraus