Apple kommer mandag kveld med iOS 9.3, som blant annet skal inkludere én eller flere oppdateringer som fjerner en alvorlig sårbarhet som kan gjøre det mulig for angripere å dekryptere fotografier og videoer som har blitt sendt som vedlegg til meldinger i iMessage.
Dekryptering av vedlegg
Det er en gruppe forskere ved Johns Hopkins University, med professor Matthew D. Green i spissen, som har oppdaget sårbarheten. Detaljene om sårbarhetene har ennå ikke blitt offentliggjort, men til Washington Post forteller Green at forskerne greide å avskjære filer ved å lage programvare som etterligner en Apple-server.
De kunne da fange opp en lenke til et bilde lagret på en iCloud-server hos Apple, samt en 64-tegns nøkkel (256 bit) for å dekryptere bildet.
Riktignok skal ikke studentene til Green ha kunnet se sifrene i nøkkelen, så de måtte gjette hvert av sifrene. Men for hvert siffer de gjettet riktig, fikk de beskjed om dette fra iPhonen de testet med. Dermed ble antallet mulig kombinasjoner de måtte teste, kraftig redusert.
Dette forsøket ble riktignok gjort med en eldre utgave av iOS, men en modifisert versjon av angrepet skal fungere med nyere versjoner av iOS. Det antydes dog at dette vil krevere ressurser som bare nasjonalstater vanligvis har tilgang til.
Skremmende
– Selv Apple med all deres kompetanse – og de har noe fantastiske kryptografer – var ikke i stand til å gjøre dette riktig, sier Green til Washington Post.
– Så det skremmer meg at vi har denne diskusjonen om å legge inn bakdører i krypteringen, når vi ikke engang greier å gjøre grunnleggende kryptering riktig, sier Green.
I en uttalse til den amerikanske avisen sier Apple at selskapet setter pris på at gruppen av sikkerhetsforskere har identifisert feilen og gjort selskapet kjent med den.
Flere apper
Ian Miers, en doktorgradsstudent som har vært med på arbeidet, skriver dog i en twittermelding at angrepet ikke bare dreier seg om vedlegg, og at det berører flere apper enn iMessage. Det skal være nødvendig for Apple å rette feil i flere andre apper også, men så langt er det ikke klart hvilke dette gjelder.
I en annen twittermelding skriver Miers at sårbarheten ikke er knyttet til hvordan Apple lagrer eller krypterer vedlegg.
Flere detaljer om sårbarheten og angrepet skal bli offentliggjort etter at iOS 9.3 har blitt tilgjengelig.
Saken har blitt oppdatert med en korreksjon av nøkkellengden.
