Hacker kritisieren Apples iMessage-Verschlüsselung

Auf einer Hackerkonferenz in Kuala Lumpur wurde Kritik an der Apple-Aussage laut, die Verschlüsselung von iMessages sei sicher und für niemanden zu knacken. Im Rahmen einer Demonstration wurde offenbar aufgezeigt, dass jemand mit Zugang zu den entsprechenden Systemen durchaus in der Lage sei, Nachrichten abzufangen. Man habe zwar keinen Anlass zu vermuten, dass derlei konkret geschehe , die Aussagen von Apple betreffend der Sicherheit des Systems würden jedoch nicht zutreffen.

Apples iMessage-Konzept bietet dabei zunächst keinerlei Angriffspunkte nach außen. Die verschlüsselten Nachrichten werden erst direkt auf dem empfangenden Gerät mit dem privaten Schlüssel des Empfängers entschlüsselt. Dafür muss die iMessage beim Versenden natürlich auch mit dem richtigen Schlüssel codiert werden. Für diesen Zweck greift die iMessage-App nun auf einen speziellen Server bei Apple zu, um sich von dort den zum Empfänger passenden Code zu besorgen.

Hier sehen die iMessage-Kritiker nun eine Schwachstelle. Apple habe ja die komplette Kontrolle über diesen Server und könne somit auch modifizierte Schlüssel ausliefern, ohne dass Sender oder Empfänger Wind davon bekommen.

Faktisch ist diese Annahme sicherlich korrekt. Allerdings setzt dies ein hohes Maß an krimineller Energie innerhalb Apples oder entsprechend hohen Druck durch beispielsweise Regierungsbehörden voraus. Die Schwachstelle ist in diesem Fall dann weniger die technische Umsetzung, sondern die vermutlich immer und überall lauernde Gefahr, dass ein Mensch, aus welchen Motiven auch immer, entsprechend Aufwand betreibt, um Informationen zu erlangen oder weiter zu geben. Und da gibt es neben dem geschilderten Verfahren sicher noch beliebig viele weitere Möglichkeiten, ein System zu kompromittieren.

Apple hat sich bislang zu den Vorwürfen nicht geäußert. Gewissheit darüber, dass Apple keine Daten an staatliche Behörden herausgibt, werden wir schon aufgrund der Tatsache nicht erhalten, dass sämtliche Firmen, die diesbezüglich mit Behörden zusammenarbeiten an eine Strenge Schweigepflicht gebunden sind. Die amerikanische Rauschgiftbehörde DEA jedenfalls hat Anfang des Jahres ihr Scheitern an der iMessage-Verschlüsselung eingestanden:

iMessages between two Apple devices are considered encrypted communication and cannot be intercepted, regardless of the cell phone service provider.

Update

Eine Apple-Sprecherin hat gegenüber dem Technikblog des Wall Street Journal AllThingsD beteuert, dass man die Nachrichten weder mitlesen könne noch wolle.

iMessage is not architected to allow Apple to read messages,” said Apple spokeswoman Trudy Muller said in a statement to AllThingsD. “The research discussed theoretical vulnerabilities that would require Apple to re-engineer the iMessage system to exploit it, and Apple has no plans or intentions to do so.