Inhaltsverzeichnis iOS 6 stopft Konfigurationsloch SSL-Knacker Auf einer Seite lesen

Das jüngste iOS-Update stopft eine seit Jahren bekannte Schwachstelle, die es in sich hat.

Das iPhone-Konfigurationprogramm ist ein mächtiges Werkzeug, das in den falschen Händen auch zur Waffe werden kann.

Kaum etwas deutet auf der Apple-Webseite auf die Existenz des sogenannten iPhone-Konfigurationsprogramms hin. Man findet es nur über den Support-Bereich für Firmenkunden. Es erlaubt das Verteilen definierter Systemeinstellungen an viele iOS-Geräte. So kann etwa ein Unternehmen nach der Anschaffung neuer Diensthandys alle Geräte zeitsparend mit den WLAN-Einstellungen fürs Firmennetz versorgen oder aber auch bestimmte Sicherheitsrichtlinien, wie eine Mindestlänge das Passcodes, durchsetzen.

Freilich lässt sich mit einem solchen Profil auch viel Schindluder treiben. iOS prüft daher, ob die exportierten Konfigrationsdateien (.mobileconfig) mit dem Zertifikat eines vertrauenswürdigen Herausgebers signiert wurde. In Firmenumgebungen können Mitarbeiter so sicherstellen, dass die bevorstehenden Eingriffe ins System tatsächlich von der IT-Abteilung abgesegnet wurden. War die Zertifikatsprüfung erfolgreich, signalisiert iOS dies mit einem Häkchen und dem Schriftzug "Überprüft" in dicken, grünen Lettern.

Die vertrauenswürdige Optik täuscht jedoch: Wie heise Security bei den Recherchen zu der c't-Artikelstrecke Die Hotspot-Falle herausfand, lassen sich die Konfigurationsprofile im Namen jeder beliebigen Person oder Firma signieren – sogar Apple. Und das wirkt sich auch auf die Sicherheit von Privatnutzern aus, die zumeist gar nicht von der Existenz der Konfigurationsprofile wissen. Da die angezeigten Texte weitgehend frei änderbar sind, sind der Phantasie eines Angreifers kaum Grenzen gesetzt.

Das Profil kann etwa wie ein vom Netzbetreiber angeordnetes Update der Systemeinstellungen aussehen:

Würden Sie bei dieser Abfrage skeptisch werden?

Ein solches Konfigurationsprofil kann überall lauern: Ein Angreifer könnte es etwa an eine E-Mail anhängen, die vermeintlich von der Telekom-Kundenbetreuung stammt. Aber auch beim Surfen kann sich ein solcher Dialog ohne das Zutun des Nutzers öffnen – die aufgerufene Webseite muss lediglich auf die online gehostete Konfigurationsdatei umleiten.

Unser Profil stammt anscheinend von der Telekom Deutschland GmbH und wurde "Überprüft". Signiert wurde es von Apple. Eigentlich besteht kein Anlass, dahinter einen Schwindel zu vermuten. Tatsächlich sind jedoch sämtliche Angaben gefälscht. Wer diesen Dialog abnickt, fügt seinen Netzwerkeinstellungen ungewollt einen Proxy hinzu, durch den künftig der gesamte Datenverkehr geschleust wird. Wer auch immer diesen Proxy betreibt, kann fortan alles mitlesen.