Die aktuell im Zusammenhang mit Apples AirTags entdeckte Schwachstelle zeigt mir einmal mehr, dass ich nicht als Hacker tauge. Auf eine solche Idee, wie sie aktuell von den Sicherheitsexperten von KrebsOnSecurity präsentiert wird, wäre ich nämlich im Leben nicht gekommen. Für den Fall, dass man einen AirTag verliert und dieser von einem ehrlichen Mitmenschen gefunden wird, hat dieser die Möglichkeit, den AirTag mit seinem iPhone zu scannen, woraufhin er auf eine speziell generierte URL geleitet wird, auf der der Besitzer ihm Kontaktinformationen wie eine Telefonnummer oder eine E-Mail Adresse bereitstellen kann. Diese Webseite ist der Einfachheit halber nicht mit irgendwelchen Zugangsdaten geschützt.

Laut KrebsOnSecurity kann ein Angreifer allerdings Schadcode in die erzeugte Webseite einschleusen, so dass diese sich quasi als gefakte iCloud-Webseite präsentiert, auf der der Finder dann dazu verleitet sein könnte, seine Zugangsdaten einzugeben, die dann wiederum von dem Angreifer ausgelesen werden können. Im Prinzip also eine Art Fishing-Angriff. Entdeckt hat diese Möglichkeit der Sicherheitsforscher Bobby Raunch, der Apple auch bereits am 20. Juni auf das Problem aufmerksam gemacht hat. In der Vergangenheit meldete sich das Unternehmen dann bei Rauch und erklärte, dass man das Problem mit einem kommenden Softwareupdate beheben werde. In der Zwischenzeit wurde der Sicherheitsforscher gebeten, die entdeckte Lücke nicht öffentlich zu machen.

Nachdem Rauch bei Apple nachfragte, ob ihm durch die Meldung über das "Bug Bounty Program" eine Belohnung zustehe, hörte er bislang nichts weiter aus Cupertino, weswegen er die Lücke nun doch öffentlich machte:

"I told them, 'I'm willing to work with you if you can provide some details of when you plan on remediating this, and whether there would be any recognition or bug bounty payout. Their response was basically, 'We'd appreciate it if you didn't leak this.'"

Damit ist die Lücke der nächste Fall von öffentlich gewordenen Sicherheitsproblemen in Apple-Systemen in den vergangenen Wochen. In der Szene regt sich zunehmend Unmut gegenüber Apple, der sich vor allem an der mangelhaften Kommunikation und der langsamen Reaktion im Rahmen des "Bug Bounty Programs" festmacht.

Apple beschenkt auch dieses Jahr wieder eine Mitarbeiter. Während die kleinen Belohnungen für das Schließen der Aktivitätsringe auf der Apple Watch anlässlich einer internen, jährlich stattfindenden Apple Watch Challenge schon Tradition hat, dürfen sich auch die Designer der AirTags über eine kleine Aufmerksamkeit freuen (via 9to5Mac). Doch der Reihe nach. Jahr für Jahr veranstaltet Apple eine spezielle Apple Watch Challenge für seine Mitarbeiter und belohnt sie bei erfolgreichem Absolvieren mit einem kleinen Geschenk. Während es sich hierbei in den vergangenen Jahren oftmals um spezielle Armbänder für die Apple Watch handelte, erhielten die Mitarbeiter in diesem Jahr drei Sport-Handtücher im Stil der Aktivitätsringe, wie inzwischen diverse Posts auf LinkedIn belegen. Auf der zugehörigen Karte ist zu lesen:

"Congratulations on completing the fifth anniversary Close Your Rings challenge. Throw your towels in the air, and wave them around — because you absolutely care about your body, your health, and your teammates. Plus, those healthier habits and human connections you absorbed during the challenge will benefit you long after it’s over. So unroll the possibilities. You earned it."

Darüber hinaus hat das Team, welches die AirTags designt hat, ebenfalls eine kleine Erinnerung von Apple erhalten. In einem Rahmen mit Glasscheibe befinden sich sechs AirTags auf denen jeweils die Unterschriften der Teammitglieder zu lesen sind. In der Mitte der im Kreis angeordneten AirTags befindet sich zudem die Edelstahl-Bodenplatte der Tags. Nice.

Apple hat in der vergangenen Nacht ein neues Firmware-Update für die AirTags veröffentlicht. Die Versionsnummer hört dabei auf die 1.0.291, die neue Buildnummer auf die 1A291a, was lediglich einen kleineren Sprung von der vorherigen 1A287b bedeutet. Was genau in dem Update steckt ist unklar. Möglich ist, dass Apple weiter die Anti-Stalking-Maßnahmen verbessert, die kurz nach der Veröffentlichung der AirTags in der Kritik standen. Manuell den Download und die Installation der neuen Firmware-Version anstoßen kann man allerdings nicht. Man muss also warten, bis dies automatisch geschieht, wenn sich die AirTags längere Zeit in der Nähe eines verbundenen iPhone befinden. Immerhin kann man überprüfen, welche Firmware-Version aktuell auf den AirTags installiert ist. Hierzu öffnet man die "Wo ist" App auf dem verbundenen iPhone, begibt sich in den Bereich "Objekte" und wählt einen AirTag aus. Tippt man anschließend auf die Bezeichnung des AirTags unterhalb der Karte, wird einem die aktuelle Version angezeigt.

Manchmal kann man kaum glauben, was für "Probleme" mit dem technologischen Fortschritt einhergehen. So warnen australische Behörden vor Apples AirTags, weil die darin enthaltenen CR2032 Knopfzellen leicht von Kleinkindern verschluckt werden könnten. Anders als bei anderen Apple-Produkten können die Batterien in den AirtTags ausgetauscht werden, was in etwa nach einem Jahr erstmals der Fall sein soll. Einige Batteriehersteller, wie beispielsweise Duracell haben inzwischen auf das Problem dahingehend reagiert, dass sie ihre Knopfzellen mit einer Schicht überziehen, die im Mund mit dem Speichel reagiert und einen bitteren Geschmack erzeugt. Dieser soll dazu führen, dass die Kinder die Batterien wieder ausspucken.

Wie die Kollegen von The Loop berichten hat Apple nun in einem aktualisierten Support-Dokument davon abgeraten, derlei beschichtete Knopfzellen in den AirTags zu verwenden. Als Grund wird angeführt, dass die Beschichtung dazu führen kann, dass die Batterien nicht korrekt in den AirTags funktionieren könnten, wenn sie an den Stellen aufgebracht ist, an denen die Kontakte der AirTags die Knopfzelle berühren. Entsprechend empfiehlt Apple, CR2032 Knopfzellen zu verwenden, die keine derartige Beschichtung aufweisen.

Bereits als erste Diskussionen zu den Anti-Stalking-Maßnahmen bei Apples AirTags auftauchten teilte das Unternehmen mit, dass man weiterhin Daten auswerten und auf das Feedback der Nutzer hören werde, um diese in Zukunft weiter zu verfeinern. Einen ersten Schritt ist man nun offenbar bereits gegangen. So teilte Apple den Kollegen von CNET mit, dass man dabei ist, Firmware-Updates für die AirTags zu verteilen, die unter anderem dafür sorgen, dass die Zeit verkürzt wird, bis sich ein AirTag meldet, der sich mutmaßlich unberechtigterweise in der Nähe einer Person befindet. Aktuell meldet sich ein AirTag mit einem akustischen Signal, wenn er länger als drei Tage von seinem eigentlichen Besitzer entfernt ist. Nachdem das Update installiert wurde, geschieht dies fortan innerhalb von 24 Stunden, frühestens jedoch nach acht Stunden.

Ähnlich wie beispielsweise bei den AirPods ist auch bei den AirTags ein manuelles Anstoßen des Updates nicht möglich. Stattdessen wird dieses automatisch geladen und installiert, wenn sich die AirTags längere Zeit in der Nähe eines verbundenen iPhone befinden. Die neue Buildnummer lautet 1A276d, die neue Versionsnummer 1.0.276, was einen durchaus größeren Sprung von der bisherigen Version 1.0.225 darstellt, die auf den AirTags bei ihrer Veröffentlichung installiert war. Immerhin kann man überprüfen, welche Firmware-Version aktuell auf den AirTags installiert ist. Hierzu öffnet man die "Wo ist" App auf dem verbundenen iPhone, begibt sich in den Bereich "Objekte" und wählt einen AirTag aus. Tippt man anschließend auf die Bezeichnung des AirTags unterhalb der Karte, wird einem die aktuelle Version angezeigt.

Darüber hinaus entwickelt man in Cupertino aktuell eine Android-App, die in der Lage ist, einen unbekannten AirTag oder ein anderes Gadget aus Apples "Wo ist" Netzwerk zu entdecken, welches sich mutmaßlich unberechtigterweise in der Nähe einer Person und entfernt von seinem Besitzer befindet. Auf diese Weise würden die Anti-Stalking-Maßnahmen künftig auch für Android zur Verfügung stehen. Die neue App soll noch im Laufe des Jahres veröffentlicht werden.

In der schönen modernen Welt, in der wir alle leben, ist heutzutage so gut wie alles vernetzt. Als jemand, der aus dem Bereich Netzwerke kommt, beobachte ich die Entwicklung durchaus mit einer gewissen Skepsis, da mit einer wachsenden Vernetzung auch immer die Gefahr von Angriffen auf diese Netzwerke einhergeht. Dies sollte die Entwicklung allerdings natürlich nicht bremsen, es braucht lediglich sichere Konzepte und Protokolle, die die Netzwerke schützen. Dass auch Apple vor solchen Angriffen nicht gefeit ist, zeigt ein aktuelles Beispiel. So ist es dem Sicherheitsexperten Fabian Bräunlein gelungen, in Apples aktuell vor allem wegen der AirTags vielbeachtetes "Wo ist" Netzwerk einzudringen.

Bräunlein ist es dabei gelungen das Netzwerk als Vehikel für einen Datentransfer zu nutzen. Einfach ausgedrückt können sich in seinem Experiment nicht direkt mit dem Internet verbundene Geräte mit einem in der Nähe befindlichen Apple-Gerät verbinden und dieses über das "Wo ist" Netzwerk dazu bringen, beliebige Daten für sie zu übertragen. Der Sicherheitsexperte macht sich dabei das Konzept von Apples Netzwerk zunutze, in dem sämtliche kompatiblen Apple-Geräte als sogenannte Nodes dienen, um ihre Standortdaten in verschlüsselten Nachrichten untereinander auszutauschen. Apple nutzt dies ja bekanntermaßen unter anderem für das Auffinden von Geräten oder Objekten, die mit einem AirTag versehen sind.

Apples Idee dahinter ist, dass die Geräte oder die AirTags die Standortdaten in einem verschlüsselten Broadcast versenden. Ersetzt man die Standortdaten nun durch beliebige andere Daten, werden auch diese von der Verschlüsselung erfasst und über das "Wo ist" Netzwerk übertragen. In Bräunleins Beispiel werden dabei kurze Textnachrichten verschickt, die er über einen selbstgebauten Microcontroller in das Netzwerk geschmuggelt hat. Die Nachricht wurde letzten Endes von einer ebenfalls selbstgebauten Mac-App empfangen, entschlüsselt und auf dem Display in Klartext wieder angezeigt.

Zum aktuellen Zeitpunkt ist noch nicht ganz klar, ob dieser Missbrauch des "Wo ist" Netzwerks zu einem größeren Sicherheitsproblem werden könnte. Apple wird sich der Sache sicherlich annehmen, allerdings dürfte es schwierig werden, aufgrund des Datenschutzansatzes und der Ende-zu-Ende-Verschlüsselung des Systems größere Maßnahmen dagegen zu ergreifen. Wer sich für die technischen Details interessiert, sei auf den Blogpost von Fabian Bräunlein verwiesen. Wirklich hochinteressant!

Am gestrigen Abend hat Apple die inzwischen dritten Betaversionen von iOS und iPadOS 14.6 veröffentlicht. Während bislang noch keine bahnbrechenden Neuerungen darin entdeckt wurden, haben die Kollegen von 9to5Mac immerhin eine kleine aber feine Kleinigkeit gefunden, die sich mit iOS 14.6 ändern wird. So wird es künftig eine weitere Kontaktinformation geben, die sich für einen verlorenen AirTag hinterlegen lässt. War es bislang so, dass man lediglich eine Telefonnummer hinterlegen konnte, die dem Finder auf einer Webseite angezeigt wurde, wenn er einen verlorenen AirTag gefunden hat, kann man alternativ nun auch eine E-Mail Adresse hinterlegen.

Bei der Konfiguration wird der Nutzer wie auch schon bei der Angabe der Telefonnummer darüber informiert, dass die E-Mail Adresse jedem angezeigt wird, der einen AirTag findet, der sich im "Verloren Modus" befindet. Wörtlich heißt es dort:

"Nachdem du den Modus "Verloren" aktiviert hast, wird diese E-Mail-Adresse für die Person sichtbar, die dein Objekt findet. So können dich andere kontaktieren, wenn sie dein verlorenes Objekt gefunden haben."

Aktuell hat man lediglich die Wahl, eine Telefonnummer oder eine E-Mail-Adresse zu hinterlegen, nicht jedoch beide Informationen. Dennoch wird die Neuerung vor allem für all diejenigen willkommen sein, die ihre Telefonnummer ungern an Fremde herausgeben.

Die AirTags sind noch nicht mal zwei Wochen auf dem Markt erhältlich und wurden dennoch bereits auf die verschiedensten Arten malträtiert. Manch Nutzer bohrte ein Loch in das Gehäuse, um sie so auch ohne teuren Anhänger an Gegenständen befestigen zu können, die Reparaturspezialisten von iFixit zerlegten sie in ihre Einzelteile und nun ist es einem Sicherheitsexperten sogar gelungen, sich in den Microcontroller seines AirTags zu hacken und beispielsweise die darauf  gespeicherte NFC URL für den "Verloren Modus" zu verändern (via The 8-bit). Im Wesentlichen handelt es sich dabei also um eine Art Jailbreak.

Als Anwendungsbeispiel zeigt der Sicherheitsexperte, dass man die URL für den "Verloren Modus" verändern kann. Normalerweise öffnet der AirTag per NFC die "Wo ist" iCloud-Webseite, dank des Jailbreaks lässt sich jedoch jede beliebige andere URL im Microcontroller zu diesem Zweck hinterlegen. Dies öffnet natürlich potenziell die Tür für Phishing-Webseiten oder ähnliche Szenarien. Es muss also abgewartet werden, ob Apple künftig weiterführende Maßnahmen ergreift, um solche Manipulationen zu vermeiden.

Yesss!!! After hours of trying (and bricking 2 AirTags) I managed to break into the microcontroller of the AirTag! ????????????

/cc @colinoflynn @LennertWo pic.twitter.com/zGALc2S2Ph

— stacksmashing (@ghidraninja) May 8, 2021