Snowden-Dokument: GCHQ trackte iPhones per UDID

Unter den vom Nachrichtenmagazin „Der Spiegel“ am Wochenende veröffentlichten Unterlagen aus dem Fundus von Edward Snowden findet sich ein Dokument des britischen Geheimdiensts GCHQ (PDF), das über die Möglichkeit des iPhone-Trackings aufklärt. Demnach war er Stand November 2010 in der Lage, bei einer Synchronisierung mit einem kompromittierten Computer beliebige Daten zu entwenden. Der GCHQ konnte die Aktivitäten des Besitzers auch über die Gerätenummer UDID über Dienste hinweg verfolgen.

Apple hat das UDID-System inzwischen aufgegeben – mit gutem Grund, wie der Bericht des GCHQ zeigt. Die UDID konnte der Geheimdienst bei Synchronisierung mit einem präparierten Desktop ebenso auslesen wie über einen Safari-Exploit und zudem immer dann, wenn Daten an das selbst auf Nutzertracking basierende Anzeigennetz AdMob übertragen werden. Da die UDID, „anscheinend ein SHA-1-Hash aus IMEI, Seriennummer, Bluetooth- und Mac-Adresse“, immer gleich bleibt, konnte der Geheimdienst umfassende Profile erstellen. Im Fazit seines Papiers bedauert er nur, aus der UDID nicht auf MAC-Adresse und IMEI rückschließen zu können.

In ähnlicher Weise nutzt der US-Auslandsgeheimdienst NSA Cookies, wie seit Dezember 2013 bekannt ist. Insbesondere Googles PREF-Cookies enthalten statt persönlicher Daten wie Nutzername oder E-Mail-Adresse eine eindeutige ID, um einen Nutzer zur verfolgen. Die PREF-Cookies sind eigentlich Bestandteil von Googles Safe-Browsing-Dienst, der Verbraucher vor Malware und Phishing schützen soll. Laut Google speichern sie auch persönliche Einstellungen eines Internetnutzers wie Sprache oder die Zahl der Suchergebnisse.

Dass Apples iPhone nicht vor Malware und Tracking der Geheimdienste gefeit ist, war schon durch frühere Snowden-Dokumente bekannt geworden. Darin ging es um von der NSA eingesetzte Exploits, um das Apple-Smartphone zu kompromittieren. Die Tracking-Methode des GCHQ beschäftigt sich hingegen mit nicht kompromittierten iPhones. Vorerst muss offen bleiben, ob die Abschaffung der UDID dem Programm komplett einen Riegel vorschieben konnte.

UDID steht für Unique Device Identifier. Apple akzeptiert seit Mai 2013 keine Anwendungen mehr für seinen App Store, die auf diese Geräte-ID zugreifen wollen. Außerdem führte es mit iOS 6 neue APIs ein, die die UDIDs ersetzen. Bei einer Untersuchung der 550 beliebtesten iOS-Apps fand das Sicherheitsunternehmen Zscaler aber im Juli 2014 heraus, dass 38 Prozent von ihnen weiterhin auf die UDID zugreifen.

Apples neuer Ansatz, die UUID (Universally Unique Identifier), ist theoretisch sicherer, lässt sich aber auch austricksen. Die UUID ist pro App und Gerät einmalig. Wird die App auf dem Gerät gelöscht und später neu installiert, entsteht auch eine neue UUID. So lässt sich das Nutzerverhalten aus mehreren Apps nicht zusammenführen – theoretisch zumindest. Denn wie Zscaler erklärt, speichern Entwickler die UUID einfach in der Keychain des Nutzers und retten sie so über die Installation mehrerer Apps hinweg.

Der Spiegel-Bericht vom Wochenende beschäftigt sich in der Hauptsache mit vorbereitenden Maßnahmen für einen Cyberkrieg durch die NSA-Abteilung Tailored Access Operation (TAO). Zu den neun genannten Autoren zählen Jacob Appelbaum, Andy Müller-Maguhn und Laura Poitras.

Tipp: Wissen Sie alles über Edward Snowden und die NSA? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.