Iphone Spyware Erkennen

Mak & i

Im Interview mit dem deutschen Sicherheitsexperten Stefan Esser über die Maßnahmen, die Apple jetzt im Bereich der Bekämpfung von Spyware wie "Pegasus" ergreifen muss. Er ist einer der renommiertesten IT-Sicherheitsexperten in Deutschland und leitet das Unternehmen SektionEins in Köln. Kürzlich hat er eine neue Version der Apple-Applikation entwickelt, um unbefugte Eingriffe auf iOS-Geräten zu erkennen, die Apple im Apple Store nicht wollte.

In einem Gespräch mit Mac & i erzählt er über die Hintergrundinformationen der neuen iOS-Spyware " Pegasus " - und die konkreten Verteidigungsoptionen von Apple. Mr. Eßer, waren Sie letzte Wochen von der Spyware "Pegasus" erstaunt? Esser: Alle waren erstaunt, weil es ohne Warnung passiert ist. Eßer: Jeder, der sich mit dem Thema des Marktes auseinandersetzt, weiss, dass es nicht nur einen einzigen Hersteller für solche Programme gibt.

Was ist Apples Fehler, dass die Pegasus möglich war? Sind die drei ausgebeuteten Sicherheitslücken auf einfache Programmierfehler zurückzuführen - oder muss Apple an sein grundsätzliches Sicherheits-Konzept herangehen? Eßer: Die bisher vorliegenden Meldungen schildern mehr die Funktion der Spionage und weniger die tatsächlichen Nachteile. Die gesamte Anwendung hat Mängel, so dass ich nur dann über die Fehler von Apple reden würde, wenn sich herausstellen sollte, dass diese Sicherheitslücken bereits seit einiger Zeit bekannt sind oder vorher halbwegs und fehlerhaft behoben wurden - was Apple in den vergangenen Jahren bei Gefängnisausbrüchen bedauerlicherweise mehrfach getan hat.

Eßer: Apple hat dieses Mal anscheinend unheimlich schnelle Patches gemacht. Weil das Betriebssystem über eine Auto-Update-Funktion verfügt und sonst immer wieder nach einer neuen Programmversion sucht, hat Apple gegenüber Android den großen Vorzug, dass seine Nutzer die Aktualisierungen erhalten (und einspielen werden) - und dass dies alles sehr rasch geschieht.

Pegasus ist für den Benutzer vollkommen übersichtlich - er wählt einen Verweis und das System wird nicht einmal neugestartet. Sind Spyware-Entwickler besonders schlau? Eßer: Die in der Regel umständliche Einrichtung öffentlicher Gefängnisausbrüche führt zu der Vermutung, daß solche Drive-by-jailbreaks heute nicht mehr möglich sind.

Mit den Aktualisierungen, die Apple alle paar Wochen für das Betriebssystem veröffentlicht, werden sämtliche für Drive-by-jailbreaks erforderlichen Bauteile aktualisiert. So kann man jederzeit erkennen, dass es genügend Zwischenräume gibt, so dass mehrere getrennte Drive-by-jailbreaks entstehen können. In der Regel sind öffentliche Gefängnisausbrüche aufwändiger, weil sie Sicherheitslücken selektieren und miteinander verbinden, die für einen Drive-by-Jailbreak nicht ausnutzbar wären.

Offiziell heißt es bei den Jailbreakers: "Wir machen solche Unterschiede, weil Apple immer mehr Zeit braucht, um diese auszugleichen. Eßer: Man braucht sich nur die Versionshinweise der iOS Updates anzusehen, um zu erkennen, daß laufend Fehler im Webbrowser, im Betriebssystem, im Kernel usw. korrigiert werden. Entscheidend ist nur, wer diese Lücke entdeckt, sei es bei Apple oder "in der Szene".

Es wird sich nichts so rasch verändern. Sie haben es erwähnt - Apple hat jetzt ein eigenes Programm zur Fehlerbehebung eingeführt. Bis zu 200.000 Dollar werden erwartet, wenn die Lücke an Apple berichtet wird. Hilft das, den Absatzmarkt zu trocknen, oder muss Apple mehr tun?

Es gibt nur für bestimmte Gebiete ein Bug-Bounty-Programm. Am kostspieligsten eingestuft werden von Apple die Abstände, die Schädlinge wie Pegasus überhaupt nicht benötigen. Laut ihrer Aufstellung würde Apple wahrscheinlich höchstens US$ 5.000 für die Pegasus zahlen. Sie wird nur einige Menschen ermutigen, nach versteckten Schlupflöchern zu forschen.

Ihr Unternehmen SektionEins hat im Monat März ein iOS-Tool eingeführt, um verborgene Jailbreaks aufzuspüren. Apfel warf es aus dem App Store. Denkst du, Apple wird darüber nachdenken, es zurückzulassen? Es ist ganz offensichtlich, dass Apple unser Werkzeug nicht im App Store haben will, weil sie etwas gegen unser Unternehmen haben.

An den App Store zu appellieren und darauf hinzuweisen, dass die Funktionen, die sie uns untersagen (und als Regelverletzung bezeichnet werden), von anderen wie Lookout nicht toleriert werden. Sie erhalten von Apple eine Antwort, nur weil es andere Anwendungen tun, dürfen wir es nicht tun, weil es ein Verstoß gegen die Regeln wäre.

Inwiefern kann eine iOS-Anwendung solche Spyware erkennen, wenn man davon ausgehen kann, dass Apples Sandboxen recht schwierig ist? Wie Pegasus klar zeigt, kann selbst iOS Zeroday Malware "in the wild" durch einen einfachen Test erkannt werden. Der Lookout kennt Pegasus, weil es einige Files im Filesystem gibt, die dort nicht hin gehören.

Dies verdeutlicht, dass die Programmierer von Pegasus dafür sorgen, dass die einfache Standard-Jailbreak-Erkennung (die in allen gängigen Anwendungen enthalten ist) nicht funktioniert, aber sonst haben sie es nicht unbemerkt gemacht. Das wird sich natürlich mit der Zeit verändern, wenn mehr Malware-Detektoren in den App Store kommen.