iOS 9: Lockscreen-Bug soll Zugriff auf Fotos und Kontakte ermöglichen

Es scheint eine hohe Kunst zu sein, den Lockscreen von Smartphone-Betriebssystemen sicher zu gestalten. Immer wieder gibt es Meldungen, dass der Sperrbildschirm auch ohne Eingabe eines Zugangscodes überwunden werden kann und so dann Zugriff auf Inhalte ermöglicht, die er eigentlich schützen sollte. Auch mit dem letzte Woche veröffentlichten iOS 9 scheint sich wieder so ein Fehler eingeschlichen zu haben, nachvollziehen konnte ich die Umgehung in mehreren Versuchen allerdings nicht, es resultierte lediglich in einem mehrmals deaktiviertem iPhone. Ein Leser war da etwas erfolgreicher.

Das eingebundene Video verspricht Zugang zu Kontakten und Fotos in 30 Sekunden. Sollte es so funktionieren, wie im Video zu sehen, stimmt das wohl auch. Siri ist wieder einmal das Einfallstor für Angreifer, im richtigen Moment aufgerufen, bekommt man über Siri Zugang zum System und kann dann sogar so weit gehen, dass Kontakte erstellt werden können. Hier hat man dann über die Auswahl des Kontaktbildes Zugriff auf alle gespeicherten Bilder.

Das Ganze funktioniert so, dass man den Passcode viermal hintereinander falsch eingibt. Wichtig ist dabei, das immer ein anderer falscher Code gewählt wird. Beim fünften Versuch gibt man die ersten drei Ziffern ein, und direkt vor der Eingabe der vierten Ziffer drückt man den Homebutton, um Siri aufzurufen. Glücksspiel hier den richtigen Zeitpunkt zu erwischen, möglich ist es aber. Ist man erfolgreich, wird nicht erneut nach einem Passcode gefragt, wenn man etwas über die Nachrichten teilen will.

Ähnlich kommt man auch an die Kontakte. Man wählt in einem vorherigen Schritt einen Text, den man dann per Sharingmenü über SMS / iMessage teilt. Um die Kontakte auszulesen muss man nun nur noch den Anfangsbuchstaben eingeben und erhält alle Kontakte angezeigt (Alphabet durchspielen für alle Kontakte). Beim Antippen dieser kann man so auch alle Kontaktinformationen einsehen.

Es gibt auch einen recht einfachen Schutz gegen dieses Eindringen in das iPhone ohne Passcode. Man muss lediglich Siri im Sperrbildschirm deaktivieren, dann gibt es auch keinen Zugriff mehr auf die Weise, wie sie im Video beschrieben wird. Da doch einige Schritte nötig sind, um erfolgreich zu sein, ist es einmal mehr faszinierend, wie Nutzer überhaupt auf solche Abfolgen kommen. Uncool ist natürlich, dass es jedes Mal wieder ähnliche Fehler gibt, die einen vermeintlichen Schutz einfach so aushebeln.

Die Lücke soll auch in der iOS 9.1 Beta bestehen, vielleicht schafft Apple ja noch den Fix bevor die finale Version ausgeliefert wird. Betroffen ist übrigens nciht nur das iPhone, sondern auch die iPads und der iPod Touch. (Danke @RehydrateDNB!)