Apple hat eine weitere Sicherheitslücke in seinem Cloud-Speicher-Dienst iCloud behoben. Zu Beginn des Jahres hatte der Hacker Pr0x13 ein Programm namens iDict auf der Software-Plattform GitHub veröffentlicht. Pr0x13 behauptete, dass iDict in der Lage sei, eine Brute-Force-Attacke auf Konten in Apples iCloud ausführen zu können. Auf diese Weise könnten Hacker an die Passwörter verschiedener Apple IDs gelangen und anschließend die in der iCloud gespeicherten Daten, zum Beispiel iMessages oder Foto-Backup-Dateien, auslesen.
Pr0x13 hatte mit iDict kein vollwertiges Hacking-Tool geschrieben, sondern einen Machbarkeitsnachweis. Das Programm probierte lediglich auf eine kurze Liste von 500 oft verwendeten Passwörtern durch und konnte damit eigentlich kein iCloud-Konto knacken. Diese Liste konnte jedoch relativ einfach erweitert werden. iDict wäre dann zu einem ernstzunehmenden Problem für Apples iCloud geworden.
Brute-Force-Programme generieren pro Sekunden mehrere tausend Passwörter und testen diese durch, bis das passende Passwort gefunden wurde. Die meisten Dienste limitieren deshalb die Anzahl falscher Passwörter, die über einen gewissen Zeitraum eingegeben werden kann. Auf diese Weise werden Brute-Force-Attacken unwirksam, da es Jahre dauern kann, bis das richtige Passwort gefunden ist. Alternativ wird das Konto nach einer gewissen Anzahl an Fehlversuchen komplett gesperrt.
Pr0x13 behauptete, dass er einen gefährlichen Bug gefunden habe, der diese Sicherheitsmaßnahme in der iCloud umgehen konnte. Mit seinem Programm iDict wollte er Apple auf die Dringlichkeit dieser Lücke hinweisen. Offnebar ist ihm dies auch gelungen. Apple hat die Sicherheitslücke behoben. Pr0x13 selbst sagt, dass iDict nicht mehr funktioniert.
Diskutiere mit!
Hier kannst du den Artikel "Apple behebt Sicherheitslücke für Brute-Force-Attacken auf die iCloud" kommentieren. Melde dich einfach mit deinem maclife.de-Account an oder fülle die unten stehenden Felder aus.
Vor VIER Tagen hat das ZDNET schon gemeldet, Herr Grabmair!
Nicht nur das. Schon am dem Tag an dem die "Lücke" gemeldet wurde, haben andre Nutzer berichtet, dass das Script nicht funktioniert wenn das gesuchte Password nicht unter den ersten Einträgen in der Datei ist. Ich denke diese Lücke hat es nie gegeben un der Junge wollte sich nur auffpielen. In seiner geposteten Tesdatei war sein Password ja an ca. 12. Stelle.
Richtig ;) Und es war nur ein "schnödes" ausprobieren... also kein BruteForce. Naja