News Verschlüsselung: US-Ermittler knacken das iPhone 11 mit Forensik

[maikwars]

Mich interessiert nicht was im Artikel steht, ich weiss es von meinem Arbeitgeber.

Wer ist denn dein Arbeitgeber?

 

[davidnet]

bitte löschen

 

[luckysh0t]

Wenn man sich den Artikel durchgelesen hat, kommt einem dass "Verschlüsselung" in der Überschrift doch falsch vor, oder ?

Diese ist ja ungebrochen.Wenn ich per Brute Force dass PW rausfinde hilft auch die beste Verschlüsselung nichts.

Würde nicht eher
Brute Force : US-Ermittler knacken das iPhone 11 mit Forensiksoftware
besser passen ?

 

[holdes]

Also ich habe auch ein mehr als 20 Zeichen langen alphanumerischen Sperrcode, durch Face ID gebe ich den aber nicht so oft ein als dass es mich stören würde. Maximal 1-2 pro Tag.

 

[Chiaki]

Na wer hätte das gedacht. Weg von den White Hat und poser kidz hin zu den Leuten, die lieber mehrere Mio $$$ für Lücken kassieren.
Laufen halt nicht nur Idealisten rum...

Welchen Bezug hat deine Aussage zu meiner Semantik? Wo habe ich naiv angenommen, dass es keine Berufshacker gibt, die Lücken suchen um daraus Profit zu schlagen? Interpretierst du gerne einfach irgendwelche Dinge in die Worte anderer hinein, um dich omniszient zu fühlen und die Verfasser zu belehren?

Das Interessante hierbei ist, dass spätestens jetzt klar ist, dass iOS 13 offenbar geknackt werden kann, und dass das Ganze etwa 2 Monate gedauert hat. Irgendwelche sonstige Semantik hast du dir komplett aus den Fingernägeln gesaugt; herzlichen Glückwunsch.

 

[Dezor]

Und den gibst du dann tagein tagaus ein, am Tag locker 50-60x mindestens. Als ich entsperre mein Telefon locker 100x am Tag.

Ich fange jetzt nicht an zu zählen, wie oft ich mein Handy am Tag entsperre. Kostet mich ja auch keine Zeit dank Touch-ID. Den 8 stelligen Code gebe ich vielleicht 2x pro Woche ein. Da würden mich auch 15 Stellen nicht stören.

 

[cruse]

Ich denke es lief unter "Plausible Deniability".

Las ich jedenfalls in Zusammenhang mit Truecrypt. Da legt man Container im Container. Mit dem ersten Passwort kommt man scheinbar an Daten, die richtigen Daten werden in einem weiteren Container im Container versteckt. Man hat keine Möglichkeit zu erkennen ob man im richtigen Container ist oder ein weiteres Passwort für einen weiteren Container braucht.

Je nach Sicherheitsbedürfnis, Vorbereitung und Durchhaltewillen nutzt also Folter auch nichts.

BTT:

Beeindruckend wie schnell die Verschlüsselung gefallen ist.

Bei Enigma hat es doch länger gedauert?

Können wir also davon ausgehen, dass NSA in Echtzeit mitliest?

Der Aufwand bei der Enigma war 20-30x höher, als bei dem iPhone 11.
Die Verschlüsselung des iPhone ist auch Lichtjahre besser.

Spoiler

Während es Franzosen und Briten nicht gelang, in die Verschlüsselung einzubrechen und sie die Enigma als „unknackbar“ einstuften,[69] glückte dem 27-jährigen polnischen Mathematiker Marian Rejewski bei seiner Arbeit in dem für Deutschland zuständigen Referat BS4 des Biuro Szyfrów (deutsch: „Chiffrenbüro“) bereits im Jahr 1932 der erste Einbruch in die Enigma.[70] Dabei nutzte er eine legal gekaufte kommerzielle Maschine (vermutlich Modell C),[71] bei der – anders als bei der ihm noch unbekannten militärischen Enigma I – die Tastatur mit der Eintrittswalze in der üblichen QWERTZ-Reihenfolge (Buchstabenreihenfolge einer deutschen Tastatur, beginnend oben links) verbunden war. Rejewski erriet die von den Deutschen für die militärische Variante gewählte Verdrahtungsreihenfolge,[72] die den britischen Codebreaker Dillwyn „Dilly“ Knox selbst noch 1939 fast zur Verzweiflung brachte.[73] Anschließend schaffte es Marian Rejewski mithilfe seiner exzellenten Kenntnisse der Permutationstheorie (siehe auch: Enigma-Gleichung), die Verdrahtung der drei Walzen (I bis III) sowie der Umkehrwalze (A) (siehe auch: Enigma-Walzen) zu erschließen[74] – eine kryptanalytische Meisterleistung, die ihn mit den Worten des amerikanischen Historikers David Kahn „in das Pantheon der größten Kryptoanalytiker aller Zeiten erhebt“ (im Original: „[…] elevates him to the pantheon of the greatest cryptanalysts of all time“).[75] Der englische Codeknacker Irving J. Good bezeichnete Rejewskis Leistung als „The theorem that won World War II“[76] (deutsch: „Das Theorem, das den Zweiten Weltkrieg gewann“).

 

[j3tho]

Und den gibst du dann tagein tagaus ein, am Tag locker 50-60x mindestens. Als ich entsperre mein Telefon locker 100x am Tag.

Nö, ich benutz FaceID. Bei normaler Nutzung verlangt iOS deinen Code genau ein mal pro Woche.

The following security-sensitive operations always require entry of a passcode or password:

• Updating the software
• Erasing the device
• Viewing or changing passcode settings
• Installing configuration profiles
• Unlocking the Security & Privacy preferences pane in System Preferences on Mac
• Unlocking the Users & Groups preferences pane in System Preferences on Mac (if FileVault is turned on)

A passcode or password is also required if the device is in the following states:

• The device has just been turned on or restarted
• The user has logged out of their Mac account (or has not yet logged in)
• The user has not unlocked their device for more than 48 hours
• The user hasn’t used their passcode or password to unlock their device for 156 hours (six and a half days) and the user hasn’t used a biometric to unlock their device in 4 hours
• The device has received a remote lock command
• After exiting power off/Emergency SOS by pressing and holding either volume button and the sleep/wake simultaneously for 2 seconds and then pressing Cancel
• After five unsuccessful biometric match attempts (though for usability, the device might offer entering a passcode or password instead of using biometrics after a smaller number of failures)

https://support.apple.com/de-de/guide/security/sec9479035f1/1/web/1

 

[Sun_set_1]

Und den gibst du dann tagein tagaus ein, am Tag locker 50-60x mindestens. Als ich entsperre mein Telefon locker 100x am Tag.
Sag Bescheid, wenn du den Code nach 2-3 Jahren, dann mehrere tausend Male eingegeben hast, natürlich zwischendurch mehrere tausend Male vertippt. Auf deinem Grabstein wird dann stehen: er hat 2 Jahre seines Lebens den iPhone entsperrcode eingegeben.

Lieber @cruse

Du solltest mich etwas besser kennen als zu meinen dass ich einfach mal plakative Sachen rausfeuern will. Ich habs auch noch vor deinem Post reineditiert, ums deutlicher zu machen.

Wenn ich wirtschaftskriminell bin, dann sollte ich mir gefälligst auch nen alphanumerischen Passcode setzen.
Ansonsten ist man halt merkfaul und dumm - oder man möchte gerne ins Cafe Viereck - solls ja auch geben.

@Tada100

Ne, biste nicht. Das war Ironie.

Wie auch @davidnet schrieb, wenn Du den Unterschied zwischen 100.000 möglichen Werten und 72^10 möglichen Werten nicht verstehst, kann dir hier niemand mehr helfen. Du schreibst "es hätte 0,0 gebracht."

Und genau das ist eben falsch. 100.000 Kombinationen im Brute-Force dauern im Falle des Falles wenige Sekunden. 72^10 dürften locker mehrere Jahrzente sein.

Im u.g. Beispiel:

Ausgehend von der gleichen Geschwindigkeit, kann ich 50 6-Stellige Zahlenkombinationen pro Sekunde knacken, während ein 10 Stelliges Alphanumerisches Passwort 29,6 Jahre dauern würde.

Also: 1/50tel Sekunde versus 29,6 Jahre.

Und Du bleibst dabei: Es bringt 0,0....
Man man man, was Du meinst, ist dass der Algorithmus geknackt wurde, und genau das - ist nicht der Fall. Steht deutlich im Artikel. So schwer, zuzugeben, dass man etwas falsch verstanden oder nicht zu ende gelesen hat? Menschen...

Wie lang ist sicher?
An dieser Stelle kommt zwangsläufig die Frage auf, wie lang ein Passwort sein sollte, um einem Brute-Force-Angriff Stand halten zu können. Bei einem zehnstelligen Kennwort (mit 72 Varianten pro Stelle) ergeben sich mehr als drei Billionen Kombinationsmöglichkeiten:

[IMG]https://www.welivesecurity.com/wp-content/uploads/2014/09/IMG_Formula_4.jpg[/IMG]

Ein Brute-Force-Angriff würde in diesem Fall die folgende Zeit beanspruchen (um das Ergebnis in Jahren zu erhalten, wird die Rechenkapazität von 4 Milliarden Kalkulationen pro Sekunde mit 31.556.926 multipliziert, was der Anzahl an Sekunden pro Jahr entspricht):

[IMG]https://www.welivesecurity.com/wp-content/uploads/2014/09/IMG_72_10.png[/IMG]

Das ist ein zufriedenstellendes Ergebnis, wenn man davon ausgeht, dass vermutlich niemand die Geduld haben wird, 29 Jahre lang zu warten, um ein Passwort zu knacken. Aber man kann natürlich nie wissen.

 

[Tada100]

@davidnet
Es tut mir leid das du den Text nicht gelesen oder anscheint nicht verstanden hast.

Es ist wahr, das umso länger das Passwort ist, umso besser der Schutz, aber ist das Iphone kompromitiert (bzw. dessen Code) , gibt das Passwort nur geringen Schutz.
Da es mit einer BRUTE FORCE ATTACKE (ca ~93 Tage bei 8 numerischenstellen) ausgehebelt werden kann!

quelle:
https://www.mactechnews.de

@Sun_set_1

Ja ich bleibe dabei (es geht nicht um den Verschlüsselungsalgorithmus (glaube Aes-256)),
siehe Artikel du musst nur einmal richtig liegen;
Per exploit ist der Sicheritsmechnanismuss des Iphone umgangen worden ( nach 10 mal flascheingabe Löschen des iphone, 60 Minuten wartezeit nach mehrmalsfalscheingabe usw.) Demnach ist es egal wie sicher das passwort war/ist.

 

[cruse]

@j3tho Ja, ich weiß ;-)
Ich muss es bei mir auch ca 1x am Tag manuell eingeben, ansonsten reicht der Fingerabdruck.

Und sorry btw bin grad erst aufgestanden

 

[OdinHades]

Das iPhone hat das gleiche Problem wie Windows. Es ist viel zu verbreitet und damit viel zu interessant für Regierungen und andere Tunichtgute.

Wer Wert auf Sicherheit legt, benutzt ein altes Blackberry oder so.

 

[Dr. MaRV]

...

Also ist auch iOS 13 offenbar aktuell kein Problem mehr. Nur eine Frage der kurzfristigen Zeit.

Nein, da keine iOS Version genannt wird und das ganze 2 Monate gedauert hat und bis zur Bekanntmachung solcher Vorgehen immer eine Gewisse Zeit vergeht, kann man nicht pauschal sagen, das nun jedes iPhone geknackt werden kann. Die Lücke könnte in iOS 13.3 bereits geschlossen sein und das geknackte Gerät mit iOS 13.1 ausgestattet gewesen sein. Das Telefonmodell ist dabei auch uninteressant, die Lücke ist im OS, also kann man sie auch für iPhone 7,8, X und alle anderen hernehmen, die mit dem OS laufen.

Wer Wert auf Sicherheit legt, benutzt ein altes Blackberry oder so.

Weil die auch noch so gut mit Patches versorgt werden, wenn Lücken gefunden werden?

 

[Mustis]

Ernsthaft jetzt? Erst nen 16 stelligen Code empfehlen und dann Face und Touch ID nutzen? Oo

grade letzteres dürfte für eine Strafverfolgungsbehörde wie diese hier nun wahrlich ein Klacks sein...

 

[Sun_set_1]

Da es mit einer BRUTE FORCE ATTACKE (ca ~93 Tage bei 8 numerischenstellen) ausgehebelt werden kann!

Ey, ernsthaft! Da steht 8-Stellige PIN!!! PIN = NUMBER!! NICHT ALPHANUMERISCH!
Schon bei 10 Zahlen NUMERISCH wären es 13 Jahre, in der von dir verlinkten Quelle. Und die gehen nur von ZAHLEN aus. (1-9 mögliche Werte pro Stelle)

Bei 10^72 sind das mehrere Jahrhunderte. Leuchtet das ein?

Erkennst Du, warum es einen Unterschied macht - ob pro Stelle 1-9 Varianten, oder 72 Varianten möglich sind?

 

[cruse]

@Mustis

Face ID schnell deaktivieren

– Gleichzeitig die Seitentaste und eine der Lautstärketasten gedrückt halten, bis der Schieberegler „Notruf SOS“ angezeigt wird.

 

[Sun_set_1]

Demnach ist es egal wie sicher das passwort ist.

Nein, ist es nicht. Ich weiß nicht ob Du ein Troll bist - oder sonstwas. Aber Du hast schlichtweg und beweisbar unrecht. Es wird nur der Mechanismus ausgehebelt, der die möglichen Eingaben per Sekunde limitiert.

Du sagst nun:
Es ist egal ob man 100.000 oder 10 Dudecillionen (dafür gibts nichtmal mehr ne Schreibweise) Möglichkeiten versuchen muss.

 

[Tada100]

@Sun_set_1
Es sollte ein beispiel sein wie schnell das gehen kann!

Und anbei, ist das nur ne Box die das macht, jetzt stell dir vor die würden da noch mehr "Rechnenpower" hintersetzen, zusammen mit dem Exploit ist dann auch ein alphanummerischer Code nicht mehr der sicherste.

Es geht hier allein um die frage, ist es knackbar und wenn ja mit wieviel aufwand (zeit & Geld) .

Dem Fbi waren anscheind 2 Monate genug um das Handy zu knacken. Demnach war das Passwort nicht sehr sicher in realtion gesehen, egal ob es jetzt Alphanummerisch oder nur Nummerisch war.

 

[Sun_set_1]

Und anbei, ist das nur ne Box die das macht, jetzt stell dir vor die würden da noch mehr "Rechnenpower" hintersetzen, zusammen mit dem Exploit ist dann auch ein alphanummerischer Code nicht mehr sicher.

Auch das ist falsch, da die Verarbeitungsgeschwindigkeit von der Secure Enclave im Gerät selber abhängt. Völlig egal ob dann ein PC oder alle Serverfarmen der Welt draufgeschaltet werden - der Prozessor im iPhone, der die Eingaben verarbeiten muss, wird dadurch nicht schneller oder ermöglicht plötzlich zig Millionen Varianten pro Sekunde.

 

[sinkpäd]

Ernsthaft jetzt? Erst nen 16 stelligen Code empfehlen und dann Face und Touch ID nutzen? Oo

grade letzteres dürfte für eine Strafverfolgungsbehörde wie diese hier nun wahrlich ein Klacks sein...

Das biometrische Entsperrverfahren, also Face- oder TouchID lässt sich per Tastenkombination deaktivieren, sodass wieder die PIN verlangt wird. Das lässt sich bei einer drohenden Beschlagnahme innerhalb einer Sekunde in der Hosentasche erledigen.