ElcomSoft Phone Breaker
Für 799€: Software ermöglicht iCloud-Zugriff ohne Password
Als die Nacktbilder von über 40 prominenten Hollywood-Sternchen Anfang September das Internet überschwemmten und sich die Hinweise verdichteten, Apples Online-Ablage iCloud bzw. die dort gesicherten iPhone-Backups könnten die Quelle der intimen Schnappschüsse gewesen sein, meldete sich der russische Software-Entwickler ElcomSoft mit einer Pressemitteilung zu Wort.
In der Stellungnahme des 1990 gegründeten, in Moskau ansässigen Unternehmens hieß es damals:
[…] Apple dementiert bisher, dass ein unberechtigter Zugriff auf die iCloud-Server stattgefunden hat und geht bislang davon aus, dass in großem Umfang Benutzerdaten und Passwörter der Prominenten ausspioniert wurden. Im Zuge der Ermittlungen wurden nun erstmals auch Details bekannt, wie diese Passwords ausspioniert werden konnten und wie anschließend die Daten von den Apple-Servern geladen wurden. An dieser Stelle wurden in den vergangenen zwei Tagen auch von Ermittler-Seite die Software EPPB genannt, die maßgeblich beteiligt gewesen sein soll. EPPB steht für ‚Elcomsoft Phone Password Breaker‘ und ist eine forensische Software die den Zugang zu Online-Backups von iOS-, Blackberry- und Mobile Phone-Daten ermöglicht.
Heute hat ElcomSoft seinen Phone Breaker auf Version 3.2 aktualisiert und verspricht mit der überarbeiteten Version der Security-Applikation den Zugriff auf iCloud-Inhalte ohne Password zu ermöglichen.
Der Phone Breaker ist eine Windows-Software die in den Versionen Home, Professional und Forensic verfügbar ist. Das komplette Auslesen von Online-Backups auf einen Computer ist nur in der Professional- und Forensic-Version möglich. Der Zugriff mittels Sicherheitstoken ist auf die Forensic-Version beschränkt. Die Preise liegen bei 79,- EUR für die Home-, 199,- EUR für die Professional und 799,- EUR für die Forensic-Version.
Der ElcomSoft Phone Breaker kann in der neuesten Version mit iOS 8.1 umgehen und auch auf iCloud-Konten zugreifen. Speziell für iCloud setzt die Software dabei auf das Auslesen von lokal gespeicherten Sicherheitstokens, mit denen der Zugriff auch ohne Kenntnis des Passworts erfolgen kann.
Laut Hersteller werden damit werden erstmalig alle großen Cloud-Lösungen für mobile Endgeräte unterstützt. Ebenso ist die neue Version eine Reaktion auf Apples Zwei-Faktor-Authentisierung für Zugriffe auf online hinterlegte Daten:
„Bei Apple wird zusätzlich zu Apple-ID und Password nun eine SMS an das betreffende Gerät gesendet, mit der genau das verhindert soll, was Elcomsoft Phone Breaker ermöglicht, nämlich das Auslesen von online hinterlegten Daten ohne in Besitz des entsprechenden Endgerätes zu sein.“
Laut Selbstbeschreibung der russischen Entwickler ist der ElcomSoft Phone Breaker „eine Software, die für IT-Forensiker, Strafverfolgungsbehörden und Nachrichtendienste entwickelt wurde“.
Scheisse.
+1
Schade, kein Free2Play. :( ;)
Ja Supermarkt
Da hat jemand den Artikel nicht in der Gänze verstanden
Genau. Nur für Windows …
… und ohne vernünftiger Podcastunterstütung. ;)
:’D
Aber wenigstens keine Freemium-Abzocke!
Hab etwas komische Gefühle in Anbetracht dieses Artikels!
einfach mal kräftig drücken, sollte helfen
YMMD :DDD
Ich verstehe das System nicht aber ich frage mich was Apple dagegen tut.
Wenn es nicht zu tun gib, tut Apple da auch nichts ;) ich mag „tut“ Satz nicht xD sry und mfg
Tut, war das nicht ein Pharao?
Jaa xD verdammt, das könnte ruhig eine Minute früher kommen
Zwei-Faktor-Authentisierung
klasse gleich gekauft
Laut einer selbstbeschreibung, ist der Rubel auch eine starke Währung…..
(Ironie sollte erkennbar sein)
Versteht hier aber keiner.
was heißt das für mich?
Nicht alles glauben ;)
Eigentlich nichts! Alles beim Alten.
Nur weiß man jetzt wo es das gibt und was es kostet…
Na ja, man kann es mit dem „Hightech Tool“ der „Nacktscanner“ in eine Schublade stecken. Funktioniert beides top xD
@Fire: ich würde das nicht zu sehr runterspielen, was eine private russische Firma öffentlich so günstig Vertreibt, lässt nur erahnen das es da auch professionellere Tools für mehr Dollars gibt, welche das auch perfektioniert haben (die 2 Wege auth. ist auch nur augenwischerei).
Man sollte eben nicht alles auf irgend welche Server laden und das Apple nicht unfehlbar ist, beweisen sie seit iOS 1 (durch die möglichkeit der JB) und in letzter Zeit sogar vermehrt und öffentlichwirksamer.
Also wenn das system von denen wirklich so gut sein soll wie sie sagen, dann finde ich 799,- einen Spottpreis. Denke eher nur heiße Luft.
Richtig, warum öffentlich verkaufen und riskieren das Apple das „probkem“ behebt ;) alles nur Murks.
Zu fix getippt, „Problem“ soll es sein.
Weil Apple bei sowas immer eine neue Lücke öffnet, löcher mit löchern stopfen passt da ;)
Aber das geht doch nur wenn man physischen Zugriff auf ein Gerät hat, oder? Sonst kommt man doch gar nicht an das „lokal gespeicherte Sicherheitstoken“.
Trotzdem frage ich mich langsam wie viele Sicherheitslücken noch in iCloud auftauchen. Nimmt ja scheinbar kein Ende…
Sicher bist du nirgends, es geht nur darum es so schwer wie möglich zu machen ;) und wie interessiert der „hersteller“ an deiner Sicherheit ist. Mfg
Naja: „Die Fähigkeit, Authentifizierungstoken aus dem Computer des Verdächtigen anstelle der Klartext-Anmeldeinformationen zu verwenden, ist von großer Bedeutung für die forensischen Ermittler. Das Authentifizierungstoken wird vom Computer des Verdächtigen erlangt, auf dem iCloud Control Panel installiert ist. Um das Token zu erlangen, muss der Benutzer auf dem iCloud Control Panel auf diesem PC während des Abrufs angemeldet sein.“ -> Also einfach so ein Backup aus der Cloud wechschnappen geht nun auch nicht. Und ansonsten muss man noch das passende Handy klauen damit man die SMS schnappen kann… Einfach mal eben ne Nummer eingeben und sich das Backup angucken geht nicht, man braucht entweder den PC oder das Handy… Oder ich habe es nun komplett falsch verstanden (was ich auch nicht ausschließen will) ;-)
Genau so sehe ich das auch. Eigentlich kein Wunder dass man mit einem gültigen Token auf die iCloud zugreifen kann.
Alles Vertrauliche, hat in digitaler Form auf Speichermedien, die in irgendeiner Form ans Internet angebunden sind, nichts zu suchen.
Auf jeden Fall die höchstmögliche Sicherheit.
Sicher ist auch das die Apple Aktie eine noch größere Delle nach unten bekommt
Top! Wollte eh welche kaufen
Die Software nutzt Wörterbücher mit Mutationen und/oder Brute Force Angriffe… Funktioniert also „sehr gut“.
ich frag mich was das soll, wenn ich eh Zugriff auf den Rechner habe kann ich doch gleich das Passwort mit loggen.
Nein, das hast du falsch verstanden. Es geht ja nicht darum das diese programm auf einem Rechner im Hintergrund läuft und so Backups abgräbt.
Diese Software soll eingesetzt werden auf von der Justiz beschlagnahmten Computern!
Wie kommst Du darauf? Eigentlich ist dieser Satz eindeutig:
Um das Token zu erlangen, muss der Benutzer auf dem iCloud Control Panel auf diesem PC während des Abrufs angemeldet sein.
Naja… Das iCloud Control Panel legt dieses Token auf deinem Computer ab sobald du dich darin mit deinem iCloud Account anmeldest.
Die software ist in der Lage dieses Token zu benutzen und damit Zugriff auf deinen iCloud Account zu erlangen.
–
Solange du im iCloud Control Panel angemeldet bist, ist auch dieses Token vorhanden. Wird dein Rechner nun beschlagnahmt oder geklaut, kann man mit der software deine Backups runter laden.
Wenn du dich aber im Panel abmeldest, kommt auch diese software ohne dein iPhone/iPad nicht mehr dran.
Gut gibt noch FileVault.
Mac Festplatte verschlüsseln, Timemachine Backup verschlüsseln.
Dann dürft man ja nicht an das Token kommen.
Ach ja mit 1Passwort wichtige Passwörter nochmals verschlüsselen statt in Safari speichern.
Ext. HDDs mit verschlüsseltem Dmg versehen….
Die Software ist für Windows
So wie ich es verstehe, ist dafür ein iDevice notwendig, wo der iCloud Account drauf gespeichert ist. Also ist es ohne das ein solches iDevice vorliegt ist es mit der Software nicht möglich, auf die iCloud Daten zuzugreifen.
Als wieder unnötige Panikmache.
STeht doch auch schon weiter oben:
Du brauchst Zugriff auf den Computer, entweder physikalisch oder per böser Trojaner und Co.
Du brauchst das Handy nicht.
Mit der Software kommst Du dann an das Cloudbackup und entpackst es auf deinen Rechner.
Die Forensische Version von Phone Password Breaker ermöglicht den Over-the-Air-Zugriff auf iCloud-Daten ohne ursprüngliches Apple ID und Passwort. Kennwort-freien Zugang zu iCloud-Daten wird über die Verwendung eines binären Authentifizierungstoken ermöglicht, der aus dem Computer des Benutzers ausgelesen wird.
Die Fähigkeit, Authentifizierungstoken aus dem Computer des Verdächtigen anstelle der Klartext-Anmeldeinformationen zu verwenden, ist von großer Bedeutung für die forensischen Ermittler. Das Authentifizierungstoken wird vom Computer des Verdächtigen erlangt, auf dem iCloud Control Panel installiert ist. Um das Token zu erlangen, muss der Benutzer auf dem iCloud Control Panel auf diesem PC während des Abrufs angemeldet sein.
Mir ist egal, ich habe alles verschlüsselt.
Na, meine „vertraulichen“ Familienfoto sind in der Cloud, andere posten ihre sowieso direkt öffentlich bei FB….von daher
Äh… moment mal … lt. Dokumentation geht das aber nur wenn man im Besitz des Gerätes (für den Token) oder des Wiederherstellungsschlüssel ist…
Dh. kein iOS Device oder kein Mac -> kein iCloud
gäääähnnn….. nicht wirklich überraschend!
Irgendwann kommt noch die Meldung, dass iMessage doch nicht so End- to End- verschlüsselt ist …
Den Aussagen von Apple habe ich bisher so viel vertraut, wie denen unseren Politiker ;-)
„die Rente ist sicher…“ „mit mir wird es keine PKW-Maut geben …“
Man muss halt nicht alles glauben !