iCloud Hack: Apple weißt Schuld von sich

Am Wochenende sorgte ein ziemlich groß angelegter Angriff auf die iCloud von Apple für einiges Aufsehen. Von geschätzt über 100 Prominenten wurden am Sonntag über diverse Kanäle zahlreiche Nacktfotos veröffentlicht, wofür die Betroffenen und auch Außenstehende Apple verantwortlich machten. Allerdings kommt der Konzern zu einem ganz anderen Ergebnis.

Mit einem ganzen Heer an Technikern und Ingenieuren hat Apple den Vorfall mit der iCloud untersucht und ist zu dem Schluss gekommen, dass der Cloud-Dienst von Apple selbst nicht das Einfallstor gewesen sein kann. Mehr als 40 Stunden dauerte die Suche nach einem möglichen Einfallstor und kein einziger der untersuchten Fälle hätte ernste Hinweise auf eine Lücke in der iCloud selbst ergeben. Vielmehr erfolgte der Angriff auf die Konten der betroffenen Prominenten auf die ganz klassische Brute-Force-Art.

iCloud und zweifelhafte Sicherheit

Bei einem Brute-Force-Angriff werden mit immenser Rechenkraft solange Kombinationen aus Benutzername und Passwort ausprobiert bis ein Treffer dabei ist und der Angreifer Zugriff auf das Konto des Opfers erlangt. Daher ist der Rat von Apple für die Geschädigten fast schon ein wenig wie Hohn: Man solle doch in Zukunft besser sein Konto noch stärker schützen, indem zum Beispiel ein noch stärkeres Passwort genutzt wird und die zwei-Faktor-Authentifizierung von Apple.

Dabei handelt es sich um ein System, welches den Login mit Benutzername, Passwort und einem zusätzlichen dynamisch generierten Code umfasst. Den nötigen Code bekommt man bei einem Login-Versuch an die im iCloud-Konto hinterlegte Handynummer zugeschickt. Allerdings ist die Zwei-Faktor-Authentifizierung (zum Beitrag) für die iCloud auch nicht das Mittel der Wahl. Denn die zwei-Faktor-Methode kommt nur in wenigen Situationen tatsächlich zum Einsatz:

• Bei der Anmeldung mit der Apple ID in der Management Konsole
• Kauf von Inhalten in iTunes, iBooks oder dem App Store von einem neuen Gerät aus
• Support von Apple über die Apple ID kontaktieren

In den restlichen Situationen springt die eigentlich als sicher eingestufte Zwei-Faktor-Authentifizierung nicht an und es reicht lediglich das Passwort des Kontos aus, um auf die Daten zugreifen zu können. Das gilt auch für den Foto-Stream in der iCloud sowie die komplette Synchronisation mit der Apple-Cloud. Insofern zeigt der Vorfall lediglich, dass Apple dennoch weiter an der Sicherheit für seine Cloud-Nutzer arbeiten muss.