Dat heeft beveiligings- en IT-blogger Bernd Marienfeldt ontdekt. In een artikel waarin hij het business security framework van de iPhone omschrijft, is hij een kwetsbaarheid in de databeveiliging tegen het lijf gelopen.
Marienfeldt heeft samen met beveiligingsexpert Jim Herbeck het beveiligingslek inmiddels 3 keer kunnen reproduceren met iPhones die niet gejailbreakt waren en waarop verschillende versies van het OS waren geïnstalleerd, de nieuwste incluis. Alle telefoons waren ‘beschermd' met de viercijferige PIN-code.
Ubuntu Lucid Lynx
Wanneer je een iPhone aansluit op besturingssystemen als Mac OS X, Windows 2000 SP2 of Windows 7, heb je beperkte toegang tot de telefoon en kun je slechts de DCIM map bereiken. Dit geldt ook voor Ubuntu versies vóór 10.04 LTS.
Marienfeldt ontdekte echter dat wanneer je hem aankoppelt op een computer met de nieuwste versie van Ubuntu, 10.04 oftewel Lucid Lynx, de toegang plotseling veel uitgebreider is. De iPhone hoeft hiervoor niet eens ingeschakeld te zijn.
Schrijftoegang
Mensen met snode plannen zouden bij alle muziek, foto’s, video’s, podcasts, dictafoon opnames, Google safe browsing databases en spel-content kunnen. De snoodaard zou lees- en schrijftoegang hebben en niet eens sporen achterlaten, volgens Marienfeldt.
Bij misbruik zou “de schrijftoegang ook kunnen leiden tot een buffer overflow”, zegt Marienfeldt. Die zou volgens hem dan weer op zijn beurt kunnen leiden tot volledige schrijftoegang, wat het wellicht zelfs mogelijk maakt voor de hacker om te bellen.
Apple op de hoogte
Marienfeldt acht zijn vinding voornamelijk van belang voor zakelijke gebruikers die “in de overtuiging verkeren dat de content van hun iPhone 3GS goed beveiligd is door encryptie met de PIN-code authenticatie.”
Apple is op de hoogte gesteld en heeft zelf het lek kunnen reproduceren, schrijft Marienfeldt. Het concern heeft nog geen mededeling gedaan wanneer het probleem zal worden opgelost.
Bron: Techworld.nl
Kan ik me inbeelden trol!
wow, de nieuwste lekken.. ik kan bijna niet wachten ;)
Het kan ook gewoon onder Windows.. kijk Heise security..
Wachtwoorden opslaan in clear text.. brrr.. security kent men daa rniet.
Oh nee weer zo'n apple fanboy die alles komt goedpraten.
Apple heeft zijn zaakjes gewoon niet goed voor elkaar. De fout ligt in ieder geval NIET bij Ubuntu. Dat het lukt vanaf Ubuntu zegt niets. Het is gewoon een slot dat beschermt is tegen een Windows sleutel, MAC OS sleutel, en oude Ubuntu (GNU/Linux) sleutels, maar omdat er aanpassingen zijn gedaan aan Ubuntu (lees doorontwikkeling van 9.10 naar 10.04) is er een gaatje gevonden.
Natuurlijk, maar dat geldt ook voor Blackberry's en WinMo-toestellen met Remote Wipe-functionaliteit. Dat is blijkbaar een geaccepteerd risico, gezien het gebruik ervan in de enterprise.
Die G5 is een mail/browse-computer voor mijn schoonmoeder, die staat hooguit een half uurtje per dag op hooguit zo'n 10% van capaciteit groene stroom te gebruiken.
Energiegebruik van een Aspire One? Naaaaahhhhh... alleen zo'n batterij, da's een hoop smerigheid het milieu weer in.
En die cloud-infra, dat gebeurt wel allemaal op hagelnieuwe hardware met volledige support voor energiebeheer.
Ik denk dat je die ouwe bakken aardig lang aan kan laten staan voordat ze evenveel additionele energie hebben verbruikt als nodig is om een vervangend systeem te fabriceren/vermarkten/reclycen. Zou zo maar eens 10 jaar of meer kunnen zijn... Is waarschijnlijk net zo als met oude auto's die je ook beter kunt afrijden totdat je er als een Flintstone mee door de bodem trapt... :) (als je nagaat wat je aan materialen en energie nodig hebt om die zgn. zuinige nieuwe auto te maken).
Me dunkt dat je de remote wipes kunt tegengaan door de iPhone direct uit te zetten en je kwalijke kunstjes als dief uit te voeren in een kooi van Faraday... Of niet soms ?
Mac OS X Server.
Wellicht omdat die oude hardware veel energie vreet (zeker in verhouding met performace). Het idle vermogen van een G5 is iets van 120-185W (resp. single 1.6Ghz en quad 2.5Ghz) en de max voor deze machines resp. 450-550W (604W voor een dual 1.8Ghz). Voor de modernere varianten is dit in idle 120W en max 263W. Hoe langer die oude machines aanstaan hoe beter de keuze is om deze toch maar naar de mileustraat te brengen. Nou valt het voor een thuis gebruiker die er een paar uur per dag gebruik van maakt wel mee, maar voor cloud gebruik (24/7?) is het niet verstandigste keuze.
Waarom uitstekend functionerende hardware vol met gevaarlijke chemicaliën en gemaakt ten koste van een aanzienlijke investering in energie en andere hulpbronnen afschrijven als dat niet nodig is?
Die Mac draait weer als een zonnetje en kan nog jaren mee. Idem voor de Aspire One. Scheelt weer een hoop schadelijke materialen..
En noem eens een ander OS waarmee je met een paar drukken op de knop een volledig functionele private cloud in de lucht brengt..
Ik ben blij dat jij bevestigd dat Ubuntu alleen geschikt is voor ouwe stoffige meuk die eigenlijk niemand meer wil gebruiken. ;)
Wat zal ik vandaag eens doen.. een iPhone uitlezen met Ubuntu? of een complete private cloud infrastructuur opzetten met Ubuntu dat daar out-of-the-box op is ingericht? Of de lichtelijke verouderde Aspire One van een vriend van me voorzien van een bruikbaar OS? Of die stoffige oude PowerMac G5 nieuw leven inblazen zodat mijn schoonmoeder weer een bruikbare computer heeft die ondanks het volkomen andere hardwareplatform toch precies werkt zoals ze gewend was? Of nee.. ik denk dat ik toch maar verder ga met mijn hobbyprojectje: een op C++ en QT gebaseerde cross-platform GUI voor een oorspronkelijk webgebaseerd CMS. Later deze week ga ik Ubuntu weer eens inzetten als kosteneffectieve file-, print- en groupwareserver voor een pas gestarte MKB-onderneming..
Maar verder is het natuurlijk allemaal knap nutteloos gefröbel in de marge..
Deze meneer zal vast wel niet de eerste zijn die er tegen aangelopen is.
Aangezien wat hij in zijn artikel omschrijft geld ook gewoon voor Phoneview.
Hiermee kan je ook gewoon de disk uitlezen en fotos openen die op je iPhone staan ook al is de beveiliging ingeschakeld. (net nog even getest).
Is het toch nog ergens nuttig voor :P
Je kunt ook nog undercover
[Link]
Gebruiken
VPN op de iPhone is niet echt een vriendelijke manier om te werken.
We zien hier gewoon wat ieder weldenkend mens al lang weet: elk product dat voldoende kritische massa krijgt zal verhoudingsgewijs exponentieel veel aandacht krijgen van hackers en krakers en zal zo onvermijdelijk gaten gaan vertonen die elk product heeft maar die dan pas boven water komen. Dat geldt evengoed voor een iPhone en verwonderlijk is dat niet - het ding is tenslotte ook gemaakt door mensen en geen uberwezens.
Deze hele discussie is dan ook gezwets, want het gaat voor elk stuk soft- of hardware op. Het enige criteria dat echt geldt is hoe de producent van het product met die security holes omgaat...
Mav.
Volgens jou is gewoonweg alles dat niet-Windows is gewoon lek van nature.
Maar Windows is dan weer fantastisch zeker? Je kletst gewoon uit je nek ubertrolletje! Gewoon een splinter (iPhone) balk (Windowstroep) verhaal.
Maak je toch niet zo weeral belachelijk. Het wordt zielig hoor... Get a life!
Volgende maand komt iPhone OS versie 4. Je zal weer al je krachten nodig hebben om je FUD te kunnen spuwen. Spaar je dus maar een beetje ;-)
Enneuh? nog geen nieuws van WP7? Nog altijd niet uit? en nog altijd jaren achter op de concurrentie? ;-)
Klopt, maar er zijn nog niet zoveel distrobuties die deze tools gebruiken (bleeding edge). Daarom is de keuze voor Ubuntu niet zo raar.
Pas op he... Jesus Phone.
Ik krijg altijd weer een warm gevoel van binnen wanneer SED zich zorgen maakt over het zand dat closed-source vendors mij in de ogen proberen te strooien.
Dit doet me denken aan de roemruchte firewire hack uit 2008.
http://bink.nu/news/hack-into-a-windows-pc-through-firewire-no-password-needed.aspx
Plof...
Ik heb mij vanavond nog wat meer verdiept in de methode van encryptie, en wat je schetst klopt inderdaad.
Daarbij komt ook nog dat de manier dat MobileMe Remote Wipe werkt ook niet eens een echte overschrijving met data is, de data is alleen niet meer toegankelijk:
Dat is een wijziging tegenover de manier dat het tot iPhoneOS 3.0 werkte op de originele iPhone en de iPhone 3G: bij een Remote Wipe werd toen de hele schijf overschreven met 'random' data. Nu zijn computers toch al niet zo goed met het genereren van 'random' data en zelfs na zo'n procedure kan de oorspronkelijke data worden teruggehaald, maar die methode is wel veel veiliger dan hoe het nu gedaan wordt.
Apple heeft bij de MobileMe Remote Wipe duidelijk gekozen voor gebruiksgemak. Wat ik niet kan vinden is of Remote Wipes geinitieerd via Exchange veiliger zijn of dat daar een soortgelijke techniek wordt gebruikt.
PIN en PUK codes op kaart hebben niets met het toestel zelf te maken en zijn door de telco beschikbaar gesteld.
De iPhone is gewoon lek van nature, de simkaart geeft nog een heel klein stukje bescherming. Die zaken zijn dan ook niet door Apple uitgevonden ;) Toevallig.. lijkt me niet..
Bedankt, dat was een punt wat ik al niet helemaal begreep. Ik was al bang dat ze het apparaat hadden opengebroken en rechtstreeks aan het uitlezen waren geslagen. :)
En dat van die pin. Ik neem aan dat data op basis van die pin gecodeerd wordt, dus je hebt 10^4 mogelijkheden om het bestand te decrypten. Als je de versleutelingsmethode kent, hoef je niet meer met de telefoon zelf te werken, maar kan je eigen code gebruiken.
Een code van 4 cijfers geldt hoe dan ook al lang niet meer als zware encryptie. Volgens mij zijn zelfs codes van 8 tekens (cijfers/letters/leestekens) al niet echt meer zwaar genoeg.
Goede vraag, ik kan het antwoord daarop niet vinden. Wel lijkt het er op dat de telco er op afstand niets meer mee kan doen.
"If the wrong PUC (PUK) is entered ten times in a row, the device will become permanently blocked and unrecoverable, requiring a new SIM card." (link)
Er zijn inderdaad twee verschillende 4-cijferige wachtwoorden.
T-Mobile Nederland werkt met een verplichte PIN die gevraagd wordt bij het aanzetten van het toestel. Bij andere providers is zo'n PIN optioneel.
Als aanvulling kun je ook een 'passcode' instellen, die gevraagd wordt (bij awake) als je je toestel een minuut niet hebt gebruikt.
Het artikel gaat over het omzeilen van de 'passcode' van het toestel, op het toestel in kwestie was geen SIM PIN ingesteld. Dat is nooit veilig, en ik geloof niet dat je dat vaak 'in het wild' zult tegenkomen.
NB: Ook bij de 'passcode' is een Brute Force Attack geen optie. Na een 3e foute ingave moet je een minuut wachten. Na een 4e foute ingave moet je 5 minuten wachten. Na een 5e foute ingave moet je 10 minuten wachten. Na 7 mislukte pogingen mag je niet meer proberen en moet je je iPhone aansluiten op iTunes. (Meer info)
Hoezo 'dood'? Zijn de gegevens die er op staan dan meteen helemaal gewist of kan je er gewoon "niet meer bij".
Inderdaad. Als het om bedrijfskritische informatie gaat is het hoe dan ook beter om de data niet lokaal op te slaan op een telefoon of laptop, maar bij elk gebruik handmatig in te loggen via een VPN op applicaties die op eigen servers draaien. IPhone biedt ondersteuning voor allerlei VPNs (o.a. Cisco IPsec), en ook Citrix draait goed.
Dat klopt niet helemaal. Uit het artikel van Marienfeldt:
"The contents sample have been collected off a non jail broken iPhone 3GS by simply connecting it powered off via USB to a Linux Lucid Lynx PC (10.04) and then switched back on"
Ehm. gaat het niet over een PIN van het toestel ipv van de SIM?
Na 3 keer een foute PIN in te toetsen is het nodig om je PUK in te toetsen. Een Personal Unlocking Key (PUK) bestaat uit 8 cijfers. Je hebt 10 kansen om de PUK correct in te vullen, daarna is de SIM-kaart dood en heb je een nieuwe nodig.
Wil je een nieuwe SIM-kaart aanmelden op de iPhone, dan moet je hem aansluiten op iTunes. Als dat niet de computer is waar de iPhone normaliter mee gesynchroniseerd wordt, dan wordt de iPhone eerst gewist door iTunes.
Zit er een hoger doel achter dit eeuwige gezuig?
Dat is waar, maar aangezien de iPhone niet aan hoeft te staan om de data eraf te halen zal een remote wipe ook niet uitgevoerd kunnen worden.
Huis, tuin en keuken dieven zet je met een remote wipe wel een voet dwars, maar als het professionele bedrijfsspionage betreft... Maar goed, ik weet niet zeker of je je daar echt goed tegen kan wapenen.
Volgens mij was al bekend dat de encryptie op de iPhone niet schokkend sterk is. Sowieso een 4 cijferige pincode... Dat lijkt me al redelijk gevoelig voor bruteforce attacks.
Dit vind ik dan wel weer jammer: "Zou kunnen leiden en dan wellicht misschien zelfs wel..." De bevindingen waren nog niet spannend genoeg, dus we gooien er nog wat extra suspense tegenaan. :)
Ik heb zo vaak dat ik via GNU/Linux iets aansluit dat via M$-OS-hppeldepup niet te lezen is en dan gewoon 'er in kan'.
Niets nieuws.
PS tot grote ergernis van mijn zoon de W7 en iPhone fanboy :)
Net of het over Ubuntu gaat zeg :-S
Het werkt volgens het artikel niet met windows en niet met een mac. Oudere Ubuntu's hadden oudere kernel en oudere utilities. Neem je een recente andere Linux-distributie met recente kernel en recente utilities, dan werkt het ook prima. En met een willekeurige BSD-variant waarschijnlijk ook wel. Eigenlijk had de titel dus moeten zijn "Versleuteling iPhone te omzeilen met open-source OSen". Maarja, beetje stemmingmakerij is Webwereld al lang niet vreemd meer ;-)
Ik wordt een beetje misselijk van die Iphone haip... :|
kortom een gapend gat maar er is niet aan de hand..
Let je op voor zand in je ogen ;)
Ja, het kan ook met de consumentendienst MobileMe, maar ik doelde eigenlijk op Exchange server. Marienfeldt had het immers over iPhones in enterprise-omgevingen.
Verder zijn GMail en Google Calendar niet gratis, je voorziet hen een schat aan informatie, waarvan niet duidelijk is hoe die informatie gebruikt zal worden.
..met die nuance dat je wel een MobileMe account moet hebben. 79 Euro per jaar. Ik twijfel daar nog steeds over, aangezien je met Gmail en Google Calendar al een aardig eind (gratis) op weg bent.
IPhoneOS 4, wat over anderhalve week uitkomt, heeft veel meer encryptie-mogelijkheden.
Daarnaast gaat het geschetste scenario er van uit dat een kwaadwillend persoon fysieke toegang tot jouw iPhone heeft. Echter, wanneer je je iPhone kwijt bent, dan heb je de optie om de telefoon te traceren of op afstand te wissen. Laat je dat na, dan geef je blijkbaar zelf ook niets om je data.
Ubuntu rulez :)
Kunnen we er niet gelijk ubuntu opzetten?
Ah dan neem ik m'n woorden terug. Excuses.
Dan moet hij aan staan en geen wachtwoord hebben.
Nou nou wat een ontdekking!
http://www.libimobiledevice.org/ (is al een tijdje bekend / mogelijk)
Reageer
Preview