Beveiligde gegevens op iPhone niet erg veilig

Dat betreft dan niet alleen foto’s en video’s – zoals bij Windows, MacOS, Linux en oudere versies van Ubuntu – maar ook de spraakopnamen, de beveiligde geschiedenis van de Google browser, en andere zaken die men liever vertrouwelijk houdt.

Vanaf de pc onder Ubuntu kan men ook schrijven naar de iPhone; dat maakt het zoeken naar een buffer overflow waarmee software binnengesmokkeld kan worden niet alleen mogelijk, maar ook zeer kansrijk.

Vorig jaar toonde een andere onderzoeker, Jonathan Zdziarski, al aan dat de beveiliging van de inhoud van een iPhone eenvoudig te kraken is met hackertools. Dat heeft volgens hem te maken met de manier waarop Apple de versleuteling heeft geïmplementeerd. Zdziarski’s kraak vergde echter nog wel speciale tools en kennis bij de gebruiker ervan. Marienfeldts vinding vergt niet meer dan een pc met de jongste versie van Linux erop.

Marienfeldt heeft het probleem gemeld bij Apple; medewerkers van Apple hebben naar zijn zeggen tegenover hem bevestigd dat ze zijn kraakmethode konden reproduceren. De Apple-verantwoordelijken zouden ook al een idee hebben wat de oorzaak is dat de iPhone nu juist richting Ubuntu 10.04 zo scheutig is met informatie – iets waar Marienfeldt niet over uitweidt.

Het is nog niet bekend wanneer er een oplossing volgt. Marienfeldt beklemtoont op zijn blog wel dat het probleem in de iPhone schuilt, en niet te wijten is aan oneigenlijke elementen in de Lucid Lynx-variant van Ubuntu.

Zolang het probleem niet wordt geadresseerd, heeft het versleutelen van de inhoud van een iPhone slechts beperkt zin. Een toevallige passant zal er inderdaad door verhinderd worden de inhoud van de iPhone te openen. Maar voor bedrijfsmatige toepassing is de geboden bescherming onvoldoende, laten diverse experts in reactie op Marienfeldts bevinding weten.

Apple belooft voor iPhone OS 4.0 een robuustere methode van versleutelen. Of die ook fundamenteel beter is, staat nog te bezien. Volgens Marienfeldt moet Apple een methode van versleuteling kiezen waarbij de inhoud van de schijf volledig wordt versleuteld. Het is nog niet bekend of dat in iPhone OS 4.0 het geval is.

Marienfeldt heeft zijn bevindingen op zijn eigen blog gepubliceerd.