Aktuelles, Branche, Produkte - geschrieben von dp am Donnerstag, November 24, 2011 11:47 - noch keine Kommentare
Siri: TREND MICRO warnt vor kritischer Sicherheitslücke
Apple habe dringenden Handlungsbedarf
[datensicherheit.de, 24.11.2011] Gemäß einer aktuellen Warnmeldung von TREND MICRO soll „Siri“, die Apple-Software für Erkennung und Verarbeitung von natürlich gesprochener Sprache im beliebten „iPhone 4S“, sich unter bestimmten Umständen für Abhöraktionen missbrauchen lassen:
Die potenziellen Angreifer müssten dafür in die Kommunikation zwischen „Siri“ und Apple-Servern eindringen – was im Augenblick leider möglich sei, so TREND MICRO. Wie Forscher der Apple-Design- und Entwicklungsfirma Applidium herausgefunden hätten, schicke das „iPhone 4S“ bei jeder Nutzer-Anfrage diese zuerst als komprimierte Audio-Datei an Apple. Dort werde sie in Text und anschließend in Befehle umgewandelt, die das „iPhone“ verstehen kann, um dann an das Gerät zurückgeschickt zu werden. Es sei zwar nicht ganz leicht, aber diese Kommunikation lasse sich kapern, unter anderem mit einem gültigen SSL-Zertifikat für „guzzoni.apple.com“ oder mit selbst signierten Zertifikaten, von deren Echtzeit das „iPhone“ dann allerdings überzeugt werden müsse. Außerdem müssten die potenziellen Angreifer die Kommunikation zwischen dem „iPhone 4S“ und dem DNS-Server unter ihre Kontrolle bringen, was für die immer professioneller agierenden Cyber-Kriminellen allerdings eher eine Herausforderung als ein Problem darstellen dürfte.
Ist ein Angreifer erst einmal auf diesem Wege in die Kommunikation eingedrungen, ließen sich sämtliche „Siri“-Anfragen und -Antworten abfangen. So könnten Kriminelle zum Beispiel herausfinden, woran der betroffene „iPhone“-Besitzer gerade arbeitet. Antworten, von Börsenkursen bis Telefonnummern, könnten geändert, fingierte Telefonverbindungen aufgebaut und abgehört werden, erklärt Martin Rösler, „Director Threat Research“ bei TREND MICRO. Das Risiko sei real und Apple sollte so schnell wie möglich diese Sicherheitslücke schließen.
Die umfassendste Art und Weise, diese Lücke zu schließen, wäre ein „Challenge-Response“-Authentifizierungssystem. Der Server-SSL-Schlüssel müsste dabei zu einer bestimmten Schlüssel-ID passen oder von einem Schlüssel mit einer gesetzten ID signiert werden. Aber welcher Weg auch immer zur Lösung des Problems eingeschlagen wird – Apple allein könne etwas gegen diese Bedrohung unternehmen.
Kooperation
Schulungsangebot

Partner


Gefragte Themen
- Notfallplanung laut eco-Studie Top-Security-Thema 2018
- Noch noch kurze Übergangszeit: DSGVO auch für Vereine relevant
- Rettungswesen: Software-Sicherheitsleck zeigt Brisanz der Datensicherheit
- In vielen Unternehmen potenziell gefährliche Zugriffsmöglichkeiten auf Daten
- Illegales Krypto-Mining: Missbrauch von Fußball- und VPN-Apps als neuer Trend
- Link11 DDoS-Report für das vierte Quatal 2017 veröffentlicht
- Digitale Taschendiebe: ComboJack-Malware stiehlt Kryptowährungen
- Thales Healthcare Data Threat Report 2018: Mehr Datenschutzverletzungem im Gesundheitswesen
- forum <privatheit>: Demokratie nicht einzelnen Internet-Unternehmen überlassen
- Die sieben häufigsten Fehler der digitalen Kommunikation
- BSA Global Cloud Computing Scorecard: Deutschland auf Platz 1
- Vielen Dank für den Hinweis und Ihren Kommentar....
- Tippfehler:
"Nutzer sollen verleitet werdebn ein PDF-Dokument zu öffnen"
Lei...
- Solange beim Verkauf von Datenträger kein Hinweis auf die Datensicherheitslöschu...
- Ich finde die Punkte von Herrn Backofen sehr gut, denn sie beschreiben die aktue...
- Gibt es dan eigentlich Bestrebungen wie in anderen Bereichen Mindestanforderunge...
- Hallo,
vielen Dank für die Veröffentlichung. Der Transparenz halber wäre noc...
- Hallo,
ich betreibe seit Jahren zwei Webseiten zu diesem Thema (http://socialen...
- Habe heute denselben Brief erhalten, werde auch seit Wochen mit Telefonaten belä...
Aktuelles, Experten, Studien - Apr 18, 2018 23:13 - noch keine Kommentare
Notfallplanung laut eco-Studie Top-Security-Thema 2018
weitere Beiträge in Experten
- forum <privatheit>: Demokratie nicht einzelnen Internet-Unternehmen überlassen
- Eigenes Management ermöglicht größtmögliche Datensicherheit
- Datenverarbeitung durch Cambridge Analytica: Facebook in der Verantwortung
- eco: Internetzugang als Schlüssel für nachhaltige Entwicklung
- DsiNsights Breakfast am 21. März 2018: Hobbyspione im Digitalen Alltag thematisiert
Aktuelles, Branche - Apr 10, 2018 18:19 - noch keine Kommentare
Noch noch kurze Übergangszeit: DSGVO auch für Vereine relevant
weitere Beiträge in Branche
- Rettungswesen: Software-Sicherheitsleck zeigt Brisanz der Datensicherheit
- In vielen Unternehmen potenziell gefährliche Zugriffsmöglichkeiten auf Daten
- Link11 DDoS-Report für das vierte Quatal 2017 veröffentlicht
- Digitale Taschendiebe: ComboJack-Malware stiehlt Kryptowährungen
- Thales Healthcare Data Threat Report 2018: Mehr Datenschutzverletzungem im Gesundheitswesen
Aktuelles, Experten, Umfragen - Mrz 15, 2018 18:58 - ein Kommentar
DIVSI-Umfrage: Netzneutralität soll bleiben
weitere Beiträge in Service
- Black-Hat-Umfrage: Wahlhacks als möglicher Auftakt für einen Cyberkrieg
- Digitalisierung: Deutsche fordern staatliches Engagement für mehr Sicherheit
- Centrify-Umfrage: Große IT-Sicherheitsmängel in den meisten Organisationen
- eco Report: Internet of Things starker Treiber für die IT-Sicherheit
- Telekom-Umfrage: Fast jeder Zweite ist Opfer von Cybercrime
Kommentieren