Logo von heise online

Suche
17

iPhone-Apps von Dropbox und Facebook angreifbar

Die Ende März von dem britischen Entwickler Gareth Wright entdeckte Lücke in der iOS-App von Facebook besteht – anders als von Facebook dargestellt – offenbar nicht nur nach einem Jailbreak. Die App speichert alle zur Anmeldung relevanten Zugangsdaten bei der Social-Media-Plattform in einer Textdatei. Kopiert man diese Datei auf ein anderes iPhone, übernimmt dieses die Zugangsdaten. Nicht nur Facebook ist betroffen: Die iOS-App des Online-Speicherdienstes Dropbox soll auf dem selben Weg verwundbar sein.

Anzeige

Facebook erklärte zuerst, die Sicherheitslücke gefährde nur iPhones, deren Besitzer ein Jailbreak durchgeführt hätten. Wright und das Online-Magazin The Next Web konnten jedoch bestätigen, dass sich die Daten über ein kostenloses Werkzeug wie iExplorer auch von iPhones ohne Jailbreak auslesen lassen. Wright mag sogar nicht ausschließen, dass das Problem auch die Android-Versionen der Apps betrifft.

Zum Auslesen der Datei mit den Authentisierungsdaten benötigt der Angreifer direkten Zugriff auf das Gerät. Wright nennt aber mehrere Angriffsmöglichkeiten – von einem Schadprogramm, das die Daten am PC ausliest und weiterversendet über eine modifizierte Ladestation bis zu einem kreditkartengroßen Gerät, mit dem sich die benötigte Datei innerhalb von zwei Sekunden kopieren lässt. Der in der Datei enthaltene Zugriffscode gilt für 60 Tage.

Gareth Wright sieht allerdings keinen Grund zur Panik. Als Sicherheitsmaßnahmen empfiehlt er, das iPhone per Kennwort zu schützen (nicht nur per PIN), die Funktion "Mein iPhone suchen" zu aktivieren und das Gerät nicht zu entsperren, während es an fremden Ladegeräten angeschlossen ist. (ghi)

17 Kommentare

Themen:

  1. Mobile Microsoft-Office-Integration für Dropbox freigegeben

    Microsoft-Office-Integration für Dropbox freigegeben

    Nun ist es möglich, Dropbox-Dokumente in den Mobilversionen von Office unter iOS und Android zu editieren und diese auch wieder online zu speichern. Für Privatnutzer ist das kostenlos.

  2. Dropbox-Server als Phishing-Helfer

    Dropbox-Server als Phishing-Helfer

    Phishing-Mails verweisen meist auf dubiose Domains – nicht so in diesem Fall: Datensammler nutzen eine offizielle Dropbox-Domain, um Zugangsdaten aller Art abzugreifen.

  3. BlackBerry Z10 erlaubte freien Zugriff über das WLAN

    BlackBerry Z10

    Sicherheitsforscher haben eine Lücke öffentlich gemacht, die es einem Angreifer erlaubte, auf Daten auf dem BlackBerry Z10 zuzugreifen. Der eingebaute File-Server erlaubte Zugriff auf den Telefonspeicher, ohne nach einem Passwort zu fragen.

  4. Microsoft dichtet OneDrive-Links ab

    OneDrive-Löcher

    In der Dokument-Freigabe von Microsofts Cloud-Speicher klaffte ein Loch, das es Angreifern erlaubt hätte, unbefugten Zugriff auf Dokumente zu erhalten. Microsoft hat die Lücke nun geschlossen, ältere Freigabe-URLs könnten aber noch verwundbar sein.

Anzeige