Apples AirDrop erlaubte Manipulation von Dateien und Ausschalten von iPhones

Apples AirDrop war bis vor kurzem ein latentes Sicherheitsrisiko. Der Dateiaustausch konnte von Angreifern in der Nähe manipuliert werden. DAs Problem ist jetzt zwar gebannt, war allerdings erschreckend umfangreich.

Apples AirDrop erlaubt den drahtlosen Austausch von Dateien zwischen iPhone und Mac. Schon zuvor gab es Probleme mit AirDrop, diese bestanden aber zumeist in unschönen Dateien, mit denen iPhone-Nutzer zugespamt wurden. Sicherheitsforscher der TU Darmstadt entdeckten jetzt aber eine Schwachstelle im Protokoll AWDL, das AirDrop zugrunde liegt.

Apple dokumentiert AWDL nicht, die Forscher mussten es nachbauen, um dem Problem auf den Grund zu kommen. Dabei stellten sie fest, dass es einem Angreifer erschreckende Möglichkeiten bot.

iPhones konnten ausgeschaltet und Daten manipuliert werden

Den Forschern gelang es, die verschickten Dateien gegen eigene Inhalte auszutauschen. Dabei machten sie sich eine Rückfalloption von AWDL zunutze, die es nach mehreren Fehlversuchen bei der Verbindung erlaubt, auch von unbekannten Geräten Dateien anzunehmen. Die Verbindungen verlaufen zwar verschlüsselt, die Forscher konnten den Schlüsselaustausch aber so stören, dass die Geräte ihre eigenen Dateien annahmen.

Weiterhin war es den Forschern auch möglich, Geräte in Reichweite gezielt außer Gefecht zu setzen, dies gelang mit einem DOS-Angriff, einer Überflutung mit Anfragen.

Zudem konnte AirDrop genutzt werden, um die Bewegungen von Nutzern zu überwachen, da das iPhone mehrmals in der Sekunde nach Geräten in der Nähe sucht und sich dieses Verhalten auswerten lässt.

Apple hat all diese Probleme mit den jüngsten Updates auf iOS 12.3 und macOS 10.14.5 abgestellt, die wie berichtet auch zahlreiche weitere Sicherheitslücken geschlossen hatten, sie machen aber die Risiken hermetisch abgeschlossener Protokolle deutlich. Eine offenherzigere Dokumentation hätte hier wohl schon deutlich früher zu einer Problembeseitigung geführt.

-----
Willst du keine News mehr verpassen? Dann folge uns auf Twitter oder werde Fan auf Facebook. Du kannst natürlich in Ergänzung unsere iPhone und iPad-App mit Push-Benachrichtigungen hier kostenlos laden.