Sicherheit: Smartphones:
Hacker können Konfigurationsdateien des iPhone manipulieren

von Bernd Reder (bernd.reder@networkcomputing.de)

03.02.2010

Auf einem iPhone können Angreifer eigene Konfigurationsdateien platzieren und sich damit Zugang zu dem Smartphone verschaffen. Eine entsprechende Anleitung kursiert im Internet.

(Fortsetzung des Artikels von Seite 1)

Nach Informationen des IT-News-Portals The Register [1] sind in Weblogs Anleitungen aufgetaucht, in denen beschrieben wird, wie ein Hacker aus der Ferne die Konfigurationseinstellungen eines iPhone manipulieren kann. Die Angreifer bedienen sich dabei einer Funktion, die es eigentlich Firmen erleichtern sollte, die hauseigenen IT-Sicherheitsregeln auf die Smartphones von Apple [2] zu übermitteln.

Angreifer können über SSL-Verbindungen Schadcode auf einem iPhone platzieren.

Der Trick: Der Angreifer erzeugt eine Konfigurationsdatei auf Basis von XML und signiert diese mit einem SSL-Zertifikat. Dieses wird einer fiktiven Firma namens »Apple Computer« zugeordnet. Bei dieser handelt es sich allerdings nicht um den iPhone-Hersteller. Der firmiert unter Apple, Inc.

Das iPhone prüft beim Empfang des Files nur, ob dieser von einer bekannten Zertifizierungsstelle (Certificate Authority) signiert wurde. Wenn ja, wird die Datei akzeptiert und auf dem mobilen Gerät ausgeführt.

Massive Vorarbeiten notwendig

Nach Angaben des unbekannten Autors der Anleitung kann ein Angreifer anschließend die Proxy-Einstellungen des iPhone »umbiegen«. Damit lässt sich Datenverkehr vom iPhone auf Server des Cyberkriminellen umleiten.

Allerdings erfordert ein solcher Angriff nach Angaben des Sicherheitsexperten Charlie Miller von der US-Firma Independent Security Evaluators [3] erhebliche Vorarbeiten. So muss der Nutzer des iPhones mittels einer Spam-E-Mail oder Twitter-Nachricht dazu gebracht werden, auf eine bestimmte Web-Seite mit dem »neuen« Konfigurations-File zu gehen.

Anschließend ist es notwendig, den Nutzer dazu zu bringen, diese Datei auch zu installieren. Bedenken des Anwenders könnten sich jedoch mithilfe von Meldungen zerstreuen lassen, die Datei sei »verifiziert« worden. Somit eignet sich diese Angriffsform eher für gezielte Attacken auf einzelne Personen (»Spear Phishing«) als für den Masseneinsatz.

[1] http://www.theregister.co.uk/
[2] http://www.apple.de/
[3] http://securityevaluators.com/

Verwandte Artikel