I sommer, rett etter at PRISM-programmet ble avslørt, skrev Apple at samtaler som finner sted i selskapets iMessage- og FaceTime-tjenester er beskyttet med ende-til-ende-kryptering, noe som skal kunne sikre at ingen andre enn sendere og mottakeren skal kunne lese meldingene, heller ikke selskapet selv.
Men under Hack in the Box-konferansen i forrige uke la to sikkerhetsspesialister ved Quarkslab fram bevis på at slik avlytting vil være mulig, i alle fall for Apple. Presentasjon og flere detaljer er tilgjengelige her.
– Som Apple hevder, er det ende-til-ende-kryptering. Svakheten er i nøkkelinfrastrukturen som er kontrollert av Apple. De kan bytte en nøkkel når de måtte ønske, og derfor lese innholdet i våre iMessage-meldinger, skriver Quarkslab-ekspertene.
De understreker at metodene som presenteres, vil være svært vanskelige å bruke for utenforstående hackere, men ikke for Apple.
Apple avviser i alle fall delvis disse påstandene.
– iMessage er ikke bygd for å la Apple lese meldinger. Forskningen diskuterer teoretiske sårbarheter som ville kreve at Apple bygger om iMessage-systemet for å utnytte det, og Apple har ingen planer eller hensikt om å gjøre dette, sier en talskvinne for Apple til All Things D.
– Vi sier ikke at Apple leser dine iMessage-meldinger. Vi sier at Apple kan lese dine iMessage-meldinger dersom de velger å gjøre det, eller dersom de beordres til å gjøre dette av myndighetene, skriver Quarkslab-ekspertene.
Det er dette siste som er det avgjørende. I likhet med andre amerikanske selskaper vil Apple i mange tilfeller ikke ha lov til å fortelle hva amerikanske etterretningstjenester har tilgang til av data hos selskapet. I den første lekkasjen fra Edward Snowden om PRISM-programmet blir det hevdet at NSA har direkte adgang til serverne til blant annet Facebook, Google, Microsoft, Yahoo og Apple. Samtlige selskaper har avvist dette, men ville heller ikke ha fått lov til å bekrefte det selv om de hadde ønsket. Det hele står og faller på hvilken tillit man har til lekkasjene fra Snowden, men mye har vist seg å stemme.
Quarkslab-forskerne mener likevel at personvernsikkerheten i iMessage er god nok for gjennomsnittsbrukeren fordi de beskrevne metodene er lite gjennomførbare for vanlige hacker. Men de mener samtidig at man ikke bør utveksle sensitiv informasjon via iMessage dersom man ikke ønsker at myndighetene skal kunne se dem.
Les også:
- [25.09.2013] Falsk iMessage kastet ut
- [07.06.2013] Hemmelige «PRISM» avslørt
