Ein-Klick-Datenübernahme: Massive iMessage-Schwachstelle geschlossen
Wow! Wenn ihr eure Macs noch nicht auf die im März freigegebene OS X-Version El Capitan v10.11.4 aktualisiert habt, dann solltet ihr jetzt keine Zeit mehr verlieren. Mit dem am 21. März veröffentlichten System-Update hat Apple unter anderem eine Sicherheitslücke in der iMessage-Applikation gestopft, die den Zugriff auf eure komplette Nachrichten-History ermöglichte.
Dies geht aus einer Fallbeschreibung hervor, die die Sicherheits-Forscher Joe DeMesy, Shubham Shah und Matthew Bryant jetzt im Blog ihres Security Consulting-Unternehmens Bishop Fox vorgelegt haben. So erklären die Forscher nun die Hintergründe des OS X-Exploits CVE-2016-1764. Wir fassen zusammen.
Ein Javascript-Link reichte aus
Wie viele OS X-Anwendungen, erkennt auch die iMessage-Applikation ausgewählte Informationen und hinterlegt Termine, Adressen und Web-Adresse automatisch mit einer Link-Funktion, die den Kalender, die Apple-Karten oder den in der Nachrichten-App integrierten Browser aktivieren.
Ein Umstand, den die Sicherheitsforscher mit einem Javascript-Schnipsel angegriffen haben und so in der Lage waren, komplette iMessage-Datenbanken zu kopieren. So reichte es bereits aus, dem Opfer einen Javascript-Link per Kurznachricht zu senden. Wurde dieser angeklickt, startete die iMessage-Anwendung den Datei-Upload ihrer kompletten Datenbank (inklusive aller Nachrichten, Anhänge und Bilder) an einen entfernten Server.
Das eingebettete Youtube-Video zeigt den Angriff in Aktion
Eine gravierende Schwachstelle, die sich seit OS X 10.11.4 glücklicherweise nicht mehr ausnutzen lässt. Die Forscher, die Apple beim Ausbessern des Fehlers assistierten, erklären:
Messages (iMessage) for OS X from Apple implements its user interface via an embedded version of WebKit. Additionally, Messages on OS X will render any URI as a clickable HTML <a href=”URI”> link. An attacker can create a simple JavaScript URI (e.g.,javascript:) that when clicked, allows the attacker’s code to gain initial execution (cross-site scripting) in the context of the application DOM. […] The only user interaction required for a successful attack is a single click on a URL. Furthermore, if the victim has the ability to forward text messages from their computer (SMS forwarding) enabled, the attacker can also recover any messages sent to or from the victim’s iPhone.
Würd mich echt mal interessieren ob wir viele iMessage nutzen. Keiner in meinen Bekanntenkreis. Da sich Whatsapp ohnehin mit der End-to-End Verschlüsselung Beliebtheit verschafft.
Ich nutze iMessage immer gerne im Zusammenhang mit Siri (mit meiner Familie und ein paar Freunden), da sich WhatsApp Nachrichten damit nicht verschicken lassen.
Ich nutze iMessage auch nur Familienintern.
Wieso?
Weiß ich selbst nicht.
Bisher hatte es immer das tolle Alleinstellungsmerkmal von Quick reply. Das können die anderen mittlerweile aber auch.
Im Moment sehe ich kaum mehr Vorteile.
Dann kennst du anscheinend nur Leute mit Androiden Geräten ! Ich frage mich Emil Gegenzug wer noch Whatsapp benutzt !! Naja jeden das seine ….
Das sehe ich genauso.
WhatsApp verwende ich nur, weil ich im Verein nicht den Kontakt zu den Mitgliedern blockieren will.
In der Familie und mit Freunden mit Apple-Geräten verwenden wir nur iMessage.
Wer kein iMessage hat, bekommt SMS. Für die Übermittlung von Daten (Kontakte, Dateien, …) nutze ich dann E-Mail, außer E-Mail geht mit meinem Gegenüber nicht.
Alles offizielle (z.B. im Verein) geht nur per E-Mail.
Wow, E-Mail für Dateien und Kontakt Versand, das ist ja so 1990…
Dir ist bewusst das SMS deutlich unsicherer ist wie WhatsApp jemals war oder?
Ich nutze imessage vorallem weil es praktischer ist alles über einen kanal zu machen. Geht am mac, und verschickt im Fall auch mal eine Sms.
Also ich benutz es nur mit zwei Personen
Selbst Familienintern nutzen wir iMessage nicht. Sehe auch darin keinen Sinn da WhatsApp für mich ein Quasistandart ist und ich keinen kenne der etwas anderes nutzt.
Ist bei mir ähnlich und das obwohl überwiegend meiner Freunde, Bekannte und Familie ein iPhone haben.
Jedoch passen die sich halt ihren Kontakten auch auch, sprich wenn sie überwiegend WhatsApp Nachrichten empfangen, so versenden sie Automatisch auch an die Theoretischen iMessage User eine WhatsApp. Denn die App ist ja eh schon auf, da man die eine Nachricht gelesen hat und geantwortet hat.
Bei mir nutzt nur noch 1 Person im Adressbuch iMessage, alle anderen nur WhatsApp.
Es ist gegenüber WhatsApp seit vielen Jahren Ende zu Ende verschlüsselt. Und es ist immer verschlüsselt. Bei WhatsApp muss man beim Erzeugen des Chats immer auf den Hinweis achten, dass dieser Chat verschlüsselt ist. Bei WhatsApp fallen eindeutig Metadaten an. Bei iMessage weiß ich es nicht. Aber Facebook ist unfreundlicher. Bei WhatsApp kann man zwar vor plötzlichem Wechsel des öffentlichen Schlüssels des Gesprächpartners vorgewarnt werden (wodurch Fremde doch mitlauschen oder sogar den Text ändern könnten), aber vermutlich stellen dies viele nicht um. Threema scheint bei hoher Nutzerzahl die Metadaten weitestgehend verschleiern zu können. Signal hoffentlich auch, wobei ich von dort weniger weiß.
Metadaten fallen überall an, wo eine Verbindung mit irgendeinem Endpunkt stattfindet.
Du kannst z.B. durch Beobachten des Netzwerkverkehrs Rückschlüsse darauf machen, ob und wer miteinander kommuniziert – nicht aber Rückschlüsse auf den Inhalt (abgesehen von der Länge).
Metadaten können verschleiert werden. Beispiel: jemand schickt Nachricht per Threema. Threema Server erfährt zwar Sender, aber für Empfänger nur Push ID der App Threema. Threema schickt Nachricht und Versender verschlüsselt an Push-Server mit der App-Push-ID. Der Push Server kennt nur Push ID. Wenn schlecht programmiert, kann man erfahren, welche Apple ID mit dieser Push ID verbunden ist. Aber als Versender kennt es nur den Threema-Server. => Verschleierung ist somit möglich. Und Threema ist Schweiz, worauf die USA keinen Zugriff haben kann (auch die Regierung Schweiz selbst nicht).
Geht mir ebenso. Ja, es wurden seit dem iPhone 6 wieder mehr Apple User, nachdem diese seit 2011 immer weniger wurden. Dennoch. Auch diese haben meist Leute die kein WA nutzen. Und ich möchte auch nicht auf x Diensten schreiben müssen, wenn es einen gibt, der sie alle hat. Auch wenn er nicht der beste ist, ich hatte damals auch auf einen anderen Dienst aus Groß Britannien gesetzt (Palringo).
Da ich weniger als 10 SMS im Jahr schreibe (und diese kommen nur wegen Siri zustande, bzw. Anmeldung von FaceTime auf iPhones) brauche ich da keine Flat oder ähnliches. Bei iMessege ist man nie ganz sicher was es nun wird, da gehe ich auch kein Risiko mehr ein.
Es gibt in Deinen Einstellungen dafür einen Schalter. Du kennst Dein iOS also nicht sehr gut…
Ich benutze NUR iMessage. Ab und zu SMS. Kostet ja nix mehr. So gut wie alle in meiner erweiterten Familie haben iPhones.
Whatsapp hab ich gelöscht wegen FB und weil nur Müll verschickt wurde (wie früher die „lustigen“ PowerPoints per Mail).
Ich nutze iMessage vor allem, da Fotos in voller Auflösung geschickt werden ohne wenn und aber (auch inkl. EXIF-Daten).
Darüberhinaus mit den meisten Apple-Nutzern auch, bei Android-Nutzern geht’s über WA
iMessage hat doch schon immer End-to-End Verschlüsselt?! Jetzt nehm ich für Android/Windows Nutzer neben Threema auch mal WhatsApp.
Was ist eigentlich mit den Leuten, die noh auf älteren OS laufen?
benutze nur iM und Threema und wenn es sein muss mal Skype. Alle die, die mich erreichen wollen können das.
Zum Glück habe ich Windows
Da laufen auch von Haus aus schon Trojaner.
Nutze nur iMessage. Muss nicht jede beliebige App Zugriff auf meine Kontakte haben. Es reicht wenn Apple sie hat.