Sicherheitslücke: iOS 7 speichert E-Mail Anhänge unverschlüsselt

Im Allgemeinen gelten Geräte mit iOS als sehr sicher, was an dem geschlossenen System von Apple und dessen App Store liegt. Dennoch bleibt auch das Betriebssystem für mobile Geräte nicht zwangsläufig vor Sicherheitslücken verschont, wie ein Problem unter iOS 7 in Verbindung mit Anhängen aus E-Mails einmal mehr sehr deutlich zeigt.

Das Problem in der Geräte-Sicherheit selbst ist zwar nicht gerade erfreulich, aber der Schutz vor der Lücke dafür recht einfach. Denn um die Lücke ausnutzen zu können braucht es für einen etwaigen Angreifer den physischen Zugriff auf das Gerät mit iOS7. Apple wurde über den Fehler vom Entdecker der Lücke bereits informiert, sodass im nächsten Update für iOS 7 und iOS 7.1 die Lücke in der E-Mail-App geschlossen sein dürfte.

iOS 7 speichert unverschlüsselt

Konkret geht es darum, dass iOS eigentlich heruntergeladene Anhänge von E-Mails verschlüsselt auf dem Gerät speichert. Mit iOS 7.0.4 und iOS 7.1.1 ist aber genau das nicht der Fall: Anhänge landen vollkommen unverschlüsselt auf dem Speicher des iPhone, iPad und iPod Touch. Seit dem iPhone 3GS beherrschen die Geräte von Apple das Hardware-gestützte Verschlüsseln von Dateien, sodass ein Entschlüsseln nur auf dem jeweiligen Gerät, dessen einmaligen Sicherheitsschlüssel und einem vom Nutzer eingerichteten Passcode selbst möglich ist. Ohne dem Passcode ist über das Dateisystem kein herankommen an die verschlüsselten Dateien.

Der Entdecker der Sicherheitslücke in iOS 7, Andreas Kurtz, konnte auf einem iPhone 4, iPhone 5s und einem iPad 2 mit installiertem iOS 7.0.4 und iOS 7.1.1 jedes Mal die Fehlfunktion reproduzieren. Mit Hilfe der in den fortgeschritteneren Kreisen bekannten Methoden wie DFU-Modus, SSH-Zugriff über usbmux oder eine modifizierte ramdisk konnte Kurtz die von iOS 7 gespeicherten Dateianhänge lokalisieren und ohne zugehörigem Passcode direkt öffnen. Das zeigt, dass die Dateien in keinster Weise verschlüsselt auf dem jeweiligen Gerät vorliegen, obwohl genau das Apple verspricht.

Apple hat mittlerweile bestätigt, dass man über die Lücke im E-Mail-Client von iOS 7 und dessen fehlende Verschlüsselung informiert sei. Wann jedoch mit einem Update zu rechnen ist hat der Konzern nicht verraten.