Apple hat eine kritische SSL-Lücke zwar in iOS 6 und 7 geschlossen, aber noch nicht in seinem Desktop-Betriebssystem Mac OS X. Ein Sicherheitsforscher aus Neuseeland hat jetzt bewiesen, dass die Schwachstelle erfolgreiche Man-in-the-middle-Angriffe (MITM) mit weitreichenden Folgen ermöglicht. In weniger als einem Tag modifizierte er vorhandenen Mitmproxy-Code, um die Schwachstelle in OS X Mavericks zu nutzen.
(Bild: Josh Miller/CNET).
„Ich habe damit das vollständig transparente Mitschneiden von HTTPS-Traffic sowohl bei iOS (vor 7.0.6) sowie OS X Mavericks bestätigen können“, schreibt Aldo Cortesi, CEO und Gründer der Sicherheitsberatungsfirma Nullcube, in einem Blogeintrag. „Fast jeder verschlüsselte Traffic ließ sich abfangen – einschließlich Benutzernamen, Passwörtern und selbst Apples App-Updates.“
Auslesbar sind demnach iCloud-Daten einschließlich Schlüsselbund, Kalenderdaten und Erinnerungen, sich auf Zertifikate verlassende Anwendungen wie Twitter sowie nicht zuletzt Traffic zum App Store und selbst Software-Updates. Laut Cortesi ist es kaum möglich, die möglichen Folgen zu übertreiben. „Mit einem Tool wie Mitmproxy in der richtigen Position kann ein Angreifer fast allen sensiblen Traffic abfangen, betrachten und verändern. Das geht bis hin zum Software-Update-Mechanismus selbst, der sich auf HTTPS verlässt.“
Die Schwachstelle geht auf einen relativ simplen, aber schwerwiegenden Fehler in Apples Programmcode zurück. Sie wurde als „Goto fail“-Lücke bekannt, da diese Sprunganweisung versehentlich doppelt eingefügt wurde – was die vorgesehene Überprüfung der digitalen Signatur komplett aushebelte. Zu den davon betroffenen OS X-Anwendungen sollen unter anderem iMessage, Facetime, Mail und iBooks gehören.
Cortesi belegte seine Angaben mit Screenshots von mitgeschnittenem Software-Update-Traffic sowie Schlüsselbund-Übertragung. Seine modifizierte Version von Mitmproxy will er erst veröffentlichen, wenn eine Sicherheitsaktualisierung von Apple bereitsteht. Ein Update auch für OS X hält er für absolut überfällig. „Die Aktualisierungen für iOS und OS X hätten zumindest gleichzeitig veröffentlicht werden müssen“, sagte Cortesi gegenüber ZDNet.com.
Nicht in Erfahrung zu bringen sei, wie lange Apple dieses Problem schon bekannt ist. Klar sei jedoch, dass inzwischen auch andere an Exploits arbeiten. „Ich halte es für gut möglich, dass ich nicht der Erste war, daher sollten wir sicherheitshalber annehmen, dass die Lücke bereits aktiv ausgenützt wird. Außerdem ist natürlich auch wahrscheinlich, dass die Nachrichtendienste schon länger an der Sache dran sind.“
[mit Material von Chris Duckett, ZDNet.com]
Tipp: Wie gut kennen Sie Apple? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.
Neueste Kommentare
4 Kommentare zu Sicherheitsforscher demonstriert Gefährlichkeit von Apples „Goto fail“-Lücke
Kommentar hinzufügenVielen Dank für Ihren Kommentar.
Ihr Kommentar wurde gespeichert und wartet auf Moderation.
Als standhafter Nutzer von IOS 6 kann ich kein Update für mein iPhone 5 und iPad finden. Es wird Softwareseitig nur das aktuelle 7.0.6 angeboten.
Hat jemand ne Idee???
Ich kann es Dir nicht genau sagen (kein Apple hier), habe aber gelesen das es das Update gibt, sich iOS6 User aber vorsehen muessten da (wie schon bemerkt) nur ein komplettes iOS7 Update angeboten wird, was viele anscheinend nicht wollen.
Schau mal hier:
http://support.apple.com/kb/HT6146
PS: Gerade gesehen, dass das Update fuer Mac OS seit gestern Abend bereit steht.
Auch das Update für iOS 6 sollte gestern Abend eingetroffen sein.
Wo bleiben die Leute, die das als „lächerlichen bug“ des sichersten Betriebssystems bezeichnet haben?
Wo bist du Harry?