MelSchon Ende Oktober 2017 entdeckte der Entwickler Khaos Tian eine Schwachstelle in Apples HomeKit-System.
Mit dieser Sicherheitslücke wurde es jeder beliebigen Person erlaubt, fremde Geräte unberechtigt zu kontrollieren. Der Entwickler Khaos Tian, der diese Schwachstelle bereits am 28. Oktober 2017 entdeckte, handelte verantwortungsvoll und setzte Apple gleich am nächsten Tag von diesem Problem in Kenntnis. Wie Tian nun gegenüber dem Magazin 9to5Mac erklärte, wurde bis Mitte November von Seiten Apples nichts unternommen – und das darauffolgende iOS-Release habe die Situation sogar deutlich verschlimmert.
„Die Probleme bei der Handhabung von Nachrichten im HomeKit wurden Ende Oktober entdeckt und am nächsten Tag dem Apple-Produktsicherheitsteam mitgeteilt (28. Oktober)“, berichtet Khaos Tian. „Ich habe eine E-Mail (am 30. Oktober) vom Apple-Produktsicherheitsteam erhalten, in der stand, dass sie sich des Problems im November annehmen werden. Während dieser Zeit schickte ich mehrere E-Mails (31. Oktober, 2. November und 16. November, zusätzlich wurde am 27. November eine an Federighi geschickt), um sicherzustellen, dass das Entwicklerteam das Problem verstand. Darauf erhielt ich keine Antwort. Ich stellte fest, dass Apple den WatchOS-Server repariert hat, also nahm ich an, dass Apple nur typischerweise nicht auf E-Mails antworten würde. Ich dachte also, das Entwicklerteam sollte das Problem ausreichend verstehen und hoffte, dass das Problem mit iOS 11.2 behoben werden würde. Als dann iOS 11.2 offiziell freigegeben wurde, sind einige Probleme in meinem Bericht behoben worden, allerdings wurde keine vollständige Sicherheitsüberprüfung durchgeführt, um sicherzustellen, dass alle HomeKit-Nachrichten ordnungsgemäß behandelt werden. Stattdessen wurde eine neue Nachricht eingeführt, die den gesamten Angriff noch einfacher macht.“
Kontaktaufnahme mit Apples PR-Team bringt Stein ins Rollen
Laut Tian besteht die Sicherheitslücke aus zwei Problemen: Erstens sollte es für niemanden möglich sein, die eindeutigen Identifikatoren für ein HomeKit-Gerät einzusehen. Aufgrund von zwei verschiedenen Bugs war es möglich, diese herauszufinden – allerdings ohne die Erlaubnis, auf das Heim zuzugreifen.
Wenn dann zweitens eine nicht autorisierte Person einen Befehl an ein HomeKit-Gerät gesendet hat, unternahm HomeKit nichts, um den Absender zu verifizieren – der Befehl wurde einfach durchgelassen. Dieses Problem war besonders besorgniserregend, da es unter anderem auch die volle Kontrolle über intelligente Schlösser ermöglichte.
Besonders enttäuscht zeigte sich Khaos Tian von der Behandlung dieser Schwachstelle seitens Apple: Erst als das Magazin 9to5Mac das PR-Team von Apple kontaktierte, wurde das Problem priorisiert. „Es stellte sich heraus, dass der Apple PR-Kanal viel reaktionsschneller ist als die Produktsicherheit“, so Tian. „Von der ersten Kontaktaufnahme des Apple-PR-Teams bis zum vorläufigen Bugfix vergingen gerade einmal 48 Stunden. Kein Wunder also, dass Leute heutzutage Sicherheitsprobleme einfach bei Twitter verbreiten.“ Sowohl Khaos Tian als auch 9to5Mac hielten sich bis zum Patch der HomeKit-Sicherheitslücke öffentlich zurück. Mit der Veröffentlichung von iOS 11.2.1 wurde ein kompletter Bugfix für das Problem ausgerollt.
Der englischsprachige Artikel zu diesem Thema kann bei 9to5Mac nachgelesen werden, beim Nachrichtenportal Medium findet sich zudem eine ausführliche technische Erklärung des HomeKit-Bugs vom Entwickler Khaos Tian.
Och … das ist natürlich heftig und ein Aufstand muss jetzt her. Wäre ja noch schöner wenn jeder so mir nichts, dir nichts mein Licht steuern könnte – obwohl schon seit bestehen von HomeKit & Co. bekannt ist wie unsicher der Kram ist. Wäre nicht schlecht wenn man etwas gründlicher über Themen wie HomeKit & Co. recherchiert und nicht das verbreitet was der Hersteller vorgibt oder was auf der Verpackung steht.
Und scheiß auf das ver.ickte Windoof-Update von vor ca. 2 Wochen, dass unseren und auch andere Betrieb(e) in Chaos stürzte. Smartphone-Fummelei geht schließlich vor.