iPhone 6s - Apple behebt schwere Siri-Sicherheitslücke

Eine Sicherheitlücke, die über Siri und 3D Touch ausgenutzt werden konnte, wurde von Apple schnell geschlossen.

Update: Apple hat sehr schnell auf den beschriebenen Fehler reagiert und von seiner Seite aus ohne iOS-Update dafür gesorgt, dass die Sicherheitslücke nicht mehr ausgenutzt werden kann. Beim Versuch, mit Siri bei Twitter zu suchen, fordert die Sprachassistentin nun zuerst das Entsperren des Smartphones.

Quelle: 9to5Mac

Originalmeldung: Die Sprachassistentin Siri kann bei den aktuellen Apple-Smartphones iPhone 6s und iPhone 6s Plus zu einem Sicherheitsproblem werden, wie der Sicherheitsexperte Jose Rodriguez festgestellt hat. Bei einem gesperrten Gerät, dessen Sprachassistentin aktiv ist, kann über einige Schritte auf die gespeicherten Kontakte und Fotos zugegriffen werden.

Im Sperrbildschirm kann Siri über einen Sprachbefehl oder den Home-Button aufgerufen werden, sofern das nicht explizit durch den Nutzer deaktiviert wurde, was meistens nicht der Fall ist. Über die Suchfunktion von Siri ist es dann möglich, in Twitter nach Daten zu suchen, die eventuell auch in den Kontakten vorkommen. Bei einem Suchergebnis kommt dann die Funktion 3D Touch ins Spiel, die bei einem längeren Druck ein Menü aufruft, durch das Kontakte hinzugefügt oder verändert werden können.

Auf diese Weise ist es beim Anlegen eines neuen Kontakts auch noch möglich, ein Profilbild zuzuordnen. Die entsprechende Suche erlaubt dann das Durchsuchen der Fotos auf dem Smartphone. Die Sicherheitslücke ist aufgrund der Verwendung von 3D Touch auf die aktuellen Smartphones iPhone 6s und iPhone 6s Plus beschränkt, da alle anderen Modelle noch keine entsprechenden druckempfindlichen Displays besitzen. Als Workaround um dieses Sicherheitsproblem kann entweder Siri für den Sperrbildschirm deaktiviert werden oder aber der Zugriff von Siri auf Twitter zu verhindern.

Apple dürfte die nun bekanntgewordene Sicherheitslücke, die auch noch in iOS 9.3.1 vorhanden ist, vermutlich bald beheben. In den Kommentaren zum Video von Jose Rodriguez gibt es einige Nutzer, bei denen der beschriebene Vorgang nicht funktioniert, andere hingegen bestätigen die Sicherheitslücke.

Quelle: Heise

Link zum YouTube-Inhalt