Sie soll es leichter machen Apple Geräte zu finden – aber eben eigentlich nicht für alle. Gemeint ist die App Wo ist? vom Tech-Giganten Apple. Wo ist? ist eine Tracking-App, die vom MacBook bis zum AirPod alle Apple-Geräte einer Benutzerin oder eines Benutzers finden kann. Da die Ortung über Bluetooth läuft, funktioniert sie auch, wenn die Geräte offline oder in den Flugmodus geschaltet sind. Eine praktische Funktion also für alle Apple-Nutzerinnen und Nutzer, um zum Beispiel zu sehen, ob das iPhone vielleicht einfach noch auf dem Bürotisch liegt oder ob es tatsächlich in der U-Bahn aus der Tasche fiel.

Und auch sicher soll Wo ist? sein: Die App arbeitet verschlüsselt, sodass niemand – auch nicht Apple selbst – die generierten Ortungs- und Identitätsdaten auslesen und zurückverfolgen können sollte. Bezüglich der Sicherheit dieser Daten hat nun jedoch das vierköpfige Forschungsteam des Secure Mobile Networking Lab der TU Darmstadt mit Alexander Heinrich, Milan Stute, Tim Kornhuber und Matthias Hollick Schwachstellen gefunden. In ihrem gemeinsam verfassten Paper „Who Can Find My Devices?“, welches auf der internationalen Flaggschiff-Konferenz für Datenschutztechnologien PETS - Privacy Enhancing Technologies Symposium vorgestellt wird, erläutern sie zwei wesentliche Sicherheitslücken.

Mithilfe einer Malware ist es insbesondere im Betriebssystem macOS möglich, heimlich vergangene und aktuelle Ortungsdaten aller Apple-Geräte einer Nutzerin oder eines Nutzers einzusehen. Mit dem Wissen dieser Daten wäre es dann, nach Angaben des Forschungsteams, leicht möglich, beispielsweise Haus oder Arbeitsplatz als oft besuchte Orte der Betroffenen zu identifizieren. Und das mit einer Genauigkeit bis auf zehn Meter. Diese massive Schwachstelle hat das Team Apple bereits gemeldet und Lösungen vorgeschlagen, sodass die Lücke mit einem Softwareupdate für macOS auf die Version 10.15.7 im September 2020 bereits behoben werden konnte.

Doch selbst ohne unbefugte Zugriffe auf dem Rechner könnten Rückschlüsse auf Besitzerinnen und Besitzer von Geräten gezogen werden: Schon wenn zwei oder mehrere Apple-Nutzerinnen und Nutzer sich in der Nähe voneinander befinden und im Anschluss die Daten ihrer Wo ist?-App abrufen, könnte diese Nähe von Apple noch immer belegt werden. Heinrich, Stute, Kornhuber und Hollick geben das Beispielszenario einer Demonstration, auf der die Teilnehmenden ihre iPhones in den Flugmodus schalten, um nicht über das Handynetz von der Polizei geortet werden zu können. Hier würden dann weiterhin die Handys sich gegenseitig als nahe zueinander über die Wo ist?-App registrieren. Apple behauptet zwar, dass diese Daten nicht protokolliert würden – „allerdings bestünde die technische Möglichkeit, entsprechende Begegnungen zentral zu protokollieren“, so das Forschungsteam.

Diese Schwachstellen des Offline Finding Systems überhaupt zu finden, kostete das Team viel Zeit. „Wir haben mehr als ein Jahr gebraucht, um die einzelnen Komponenten von Wo ist? so zu verstehen, dass wir nach Schwachstellen suchen konnten“, erklärt Stute. Denn erst nachdem das Forschungsteam die Funktionsweise der App aufwändig rekonstruiert hatte, konnten sie in Experimenten die Sicherheitslücken im macOS Betriebssystem beweisen. Um weitere Sicherheitsforschung zu ermöglichen und damit langfristig die Sicherheit des geschlossenen Systems zu erhöhen, hat das Team eine offene Implementierung des Offline Finding Systems namens OpenHaystack veröffentlicht. Die Arbeit fand an der Schnittstelle der Forschungszentren LOEWE emergenCITY und ATHENE statt. emergenCITY untersucht, wie die Resilienz digitaler Städte erhöht werden kann – dort spielen solche ortsbasierten Informationen eine zunehmend wichtige Rolle. ATHENE fokussiert sich auf die Sicherheitsaspekte unserer digitalen Gesellschaft.

Die schwere Nachvollziehbarkeit der genauen Funktionsweise von Wo ist? habe dazu geführt, dass Apple-Nutzerinnen und Nutzer bzw. deren Daten mehr als ein Jahr über die beschriebene Schwachstelle potentiell angreifbar waren, beklagt Hollick. Er plädiert deshalb für transparentere Open-Source Lösungen im Bereich kritischer Daten: „Wir verstehen, dass ein Unternehmen sein geistiges Eigentum schützen muss. Wir sind jedoch der Meinung, dass Systeme wie Apples Wo ist?, die mit hochsensiblen Informationen arbeiten, frei zugänglich oder zumindest vollständig dokumentiert sein müssen, um zeitnah unabhängige Analysen zu ermöglichen.“