Sicherheitshinweis…

von Wolfgang Kunckel | März 9, 2023 | Allgemein, iOS, Sicherheit

„Bitte lassen Sie Ihr iPhone nicht unbeaufsichtigt…“. Ständige Durchsage am Flughafen, gilt aber tatsächlich auch für das iPhone. In den letzten Tagen gab es etwas Aufregung um die Sicherheit beim iPhone.

Es gibt tatsächlich eine Design-Schwachstelle, die es erlaubt, das Kennwort zur Apple-ID zu ändern, ohne das alte Kennwort zu kennen.

Szenario:

Notwendig dazu: Die Kenntnis der Geräte-PIN und Zugriff auf das Gerät. Der Ablauf ist dann wie folgt:

• Das Opfer wird beim Entsperren des iPhones beobachtet oder heimlich ein Video gemacht.
• Das Telefon wird dem Opfer entwendet
• Der Böse meldet sich sofort an, ruft die iCloud-Einstellungen auf und muss dazu die PIN eingeben. Dann kann er das Kennwort für iCloud durch ein neues ersetzen, ohne das alte Kennwort zu kennen!
• Es erfolgt keine Zwei-Faktor-Abfrage oder die Nutzung eines Sicherheitsschlüssels.
• Anschließend werden alle im Account befindlichen Geräte gesperrt.
• Danach erfolgt die „Ernte“. Der Angreifer startet Banking-Apps und testet die mit der Anmelde-PIN. Klappt das, macht er eine Überweisung. Das Sicherheitsverfahren ist dann meist eine Push-TAN, und die Push-TAN-App ist gesichert mit welcher PIN?

Abhilfe

• Die PIN zum Anmelden am Gerät sollte sich von anderen PINs unterscheiden. Da der Angreifer ja keine Identifizierung mit FaceID oder TouchID machen kann, muss er für Programme, die geschützt sind, immer eine PIN eingeben. Dann ist es schlecht, wenn diese PINs z.B. für die Banking-App oder das intelligente Türschloß zu Haus genau so sind wie die Anmelde-PIN. Also: ändern. Man kann ja gern für diverse Apps eine PIN haben, für die Anmeldung sollte sie 6-stellig und einzigartig sein, also nirgends anders auf dem iPhone genutzt.
• Gehen Sie in die Einstellungen, dort „Bildschirmzeit“. Setzen Sie dort einen Code, der sich vom Anmeldecode unterscheidet.
• Tippen Sie auf „Beschränkungen“, schieben Sie den Hauptschalter auf ein. Sie müssen jetzt die neue PIN eingeben.
• Scrollen Sie nach unten bis auf „Codeänderungen“ und „Account-Änderungen“. Schalten Sie beide auf nicht erlauben.

Das wars. Immer, wenn Sie jetzt Einstellungen an der AppleID oder am Code machen wollen, ist das ausgegraut. Sie müssen dann in die Bildschirmzeit, Beschränkungen ausschalten, PIN eingeben, Ihre gewünschten Änderungen machen, wieder in die Bildschirmzeit, Beschränkungen einschalten, PIN eingeben.

NACHTRAG: Der Punkt in den Einstellungen „Sicherheit & Face ID“ ist mit eingeschalteten Beschränkungen nicht sichtbar! (Der Angreifer kann also nicht, wie irgendwo kolportiert, schnell eine „Alternatives Erscheinungsbild“ anlegen und dann mit FaceID sich anmelden.)