Thema Sicherheit iPhone Standard Passcode

[phl92]

Ich beschäftige mich gerade etwas mit Sicherheit und Passwörter (durch einen anderen Thread hab ich mir KeepassXC zugelegt) und ich frage mich daher wie sicher so ein Standard iPhone Passcode ist?!
Ich weiß nicht ob diese iPhone Passcodes, die ja im Moment standardmäßig auf 6-Stellen nur numerisch eingestellt sind, gleich sicher bzw. gleich leicht zu knacken sind, wie "normale" Passwörter, aber wenn ja, dann wäre das eher schockierend.
Security.org verspricht mir für meinen 6-Stelligen Passcode vom iPhone eine Knackzeit von 25 Mikrosekunden! Sprich 0.

Wie kann das sein? Ich schätz mal 98% aller iPhone Benutzer nutzen nur einen 6-stelligen numerischen Code. Ältere Benutzer wahrscheinlich sogar nur 4-stellige (glaub die Umstellung gab es erst bei iPhone 8.

Ich hab jetzt gesehen, dass in den tiefen Einstellungen des iOS man diesen Passcode auch erweitern kann, aber richtig sicher werden Passwörter erst wenn Buchstaben (Großß & Klein) dazukommen.

Weiters wie sicher ist dieses FaceID? Ich gebe zu, es ist schon seeeehr praktisch und ich will es eigentlich nicht missen (allein während der Maskenzeit war das eine kleine Katastrophe).

 

[Donnidonis]

Wenn du den Code bei iOS ein paar mal falsch eingegeben hast landest du bei Wartezeiten von bis zu 10 Minuten. Einfach so durchprobieren ist also nicht.

Und FaceID ist schon sehr sicher. Ein Zwilling kann es vielleicht austricksen, aber sonst „niemand“ der was von dir will.

 

[madmax2010]

Security.org verspricht mir für meinen 6-Stelligen Passcode vom iPhone eine Knackzeit von 25 Mikrosekunden! Sprich 0.

websites die Antiviren und VPN fuer bessere sicherheit bewerben.. Schwierig.


Das mit den 25 Mikrosekunden sehe ich nicht direkt. 25 mikrosekunden fuer was? Zum knacken des hashes? um das passwort zu erraten? Wie gemessen? Was ist, wenn die Anwendung 50ms pro falschem Passwort zum antworten braucht?
So tabellen sind ohne exakten Kontext meist Schwachsinn / mit vorsicht zu genießen. Wuerde mich aber interessieren, ob sie da ueberhaupt kontext geben, oder wollen, dass sie missverstanden werden



Tip: Gib mal 20x den unlock code falsch ein - Dann sollte deine Frage beantwortet sein

 

[holdes]

Naja das ist eher theoretischer Natur sofern man den Chip ausbauen kann und den Key/Hash ausgelesen bekommt und dann extern per Bruteforce versucht zu knacken. Dann und auch nur dann wäre ein 4 oder 6 stelliger numerischer Code schnell zu knacken. Versucht man das am iPhone selbst und hat entsprechend die Standardoption so gesetzt wie sie nun einmal ist (10 Falscheingaben löschen das Gerät) wäre es wieder entsprechend sicher.
https://support.apple.com/de-de/guide/security/secf6276da8a/web

Ich habe in meinem Fall ein langes alphanumerisches Passwort mit über 20 Zeichen und das würde auch per externem Bruteforce ewig dauern wenn der Hash mit einer entsprechenden Bittiefe generiert wird.

FaceID ist wohl ziemlich sicher, es wäre auch gerade beim Thema Apple ein riesen Aufschrei und in allen Medien breitgetreten wenn dem nicht so wäre. Laut Apple ist die Chance dass es ein Fremder entsperren könnte bei <1:1000.000. https://support.apple.com/de-de/HT208108

 

[phl92]

Um ehrlich zu sein hab ich eben davon keine Ahnung, wie das gemessen wird kA. ABer überall liest man, dass man heutzutage Passwörter mit einer Länge von mind. 10 Zeichen und dabei Groß-/Kleinbuchstaben sowie Zahlen benutzen sollte.
Wie agieren solche Brute Force Attacken bzw. andere "Knack" Software? Gibt die Software dabei oft das PW ein um zu versuchen oder wird das solange berechnet bis es eben geknackt ist?

Zumal 6-Stellen nur numerisch halt echt bei vielen ein Risiko sein könnte. Ich bin mir sicher ein großer Teil nimmt zumindest bei 4 Zahlen davon irgendwas persönliches, wahrscheinlich geburtsdatum in einer leicht abgewandelten Form. Das könnte man mit 10 Versuchen schon hinkriegen bei Leuten, die man vlt etwas kennt bzw. ausspioniert.

Weiters frag ich mich, wenn Apple Geräte so sicher sind, wieso werden sie dann doch ständig bei Diebstahlen genommen? Einem Freund wurde iPad und Macbook geklaut (M1) und weder orten noch sonstwas kann man.. Apple Store ist hilfreich wie ein Fisch bei der Sache.

 

[holdes]

Um ehrlich zu sein hab ich eben davon keine Ahnung, wie das gemessen wird kA. ABer überall liest man, das man heutzutage Passwörter mit einer Länge von mind. 10 Zeichen und dabei Groß-/Kleinbuchstaben sowie Zahlen benutzen sollte.

Das kommt eben drauf an was mit dem Passwort passiert. Wenn man z.B. ein Windows Offline Konto nimmt hat das Passwort 0,0 Sicherheit egal für was da man es umgehen kann bzw. überschreiben. Das kann man pauschal niemals beantworten sondern müsste konkret schauen was für ein Passwort, für welchen Dienst, wie wird das Passwort gehasht und wird geprüft ob jemand diesen Schlüssel versucht zu lesen usw..

Wie agieren solche Brute Force Attacken bzw. andere "Knack" Software? Gibt die Software dabei oft das PW ein um zu versuchen oder wird das solange berechnet bis es eben geknackt ist?

Bruteforce probiert einfach nur durch. Man übergibt einer Software den Hash (quasi dein Passwort in verschlüsselter Form) und die Software generiert dann so lange Passwörter bis sie eines findet dessen Hash exakt gleich ist.

Kommt man nicht an diesen heran, gab es früher auch Software die den normalen Weg genommen hat um die Passwörter durchzutesten (z.B. FTP Passwörter).

Weiters frag ich mich, wenn Apple Geräte so sicher sind, wieso werden sie dann doch ständig bei Diebstahlen genommen? Einem Freund wurde iPad und Macbook geklaut (M1) und weder orten noch sonstwas kann man.. Apple Store ist hilfreich wie ein Fisch bei der Sache.

Weil die einen extrem hohen Wert haben. Selbst wenn der Käufer mit dem Gerät selbst nicht arbeiten kann, so merkt er es entweder erst wenn er davor sitzt und nicht weiterkommt oder er braucht günstige originale Ersatzteile. Wenn ein iPhone mit 2000€ Wert plötzlich bei eBay zum Sofort Kauf für die Hälfte drin steht denken die Leute nicht alle nach und klicken schnell auf kaufen. Der Hehler ist dann schon über alle Berge und hat seinen Gewinn damit gemacht.

 

[|Moppel|]

Man kann bei den iPhones doch jetzt auch einstellen, dass nach so und so viel versuchen alles gelöscht wird.

Der klassische Handydieb wird sich aber nicht damit aufhalten mit NSA Methoden dein Handy zu entsperren um an deine Katzengifs zu kommen.

Er macht das was @holdes sagt.

 

[phl92]

@holdes: Ok das macht Sinn.

Das mit dem Überschreiben von Windows 10/11 war das, ja ? Geht das ernsthaft immer noch? Da konnte man mit cmd das machen? Hast du dazu irgendeinen Link bzw. woran das lag? Klingt wie ein typischer C/C++ buffer overflow, kaum zu glauben, dass das bei einem Milliarden Unternehmen, das sogut wie jeder benutzt passiert.

 

[holdes]

Es gibt den Weg das interne Admin Konto über Live Systeme zu aktivieren und damit das Passwort eines Users zu überschreiben und dann gibt es noch eine Software bei der man es nicht einmal merkt wenn jemand auf diese Art Zugriff auf den PC hatte. Diese funktioniert allerdings nur wenn der PC damit gebootet wird. Damit akzeptiert Windows jedes Passwort in der Eingabe ohne es zu ändern. Verständlicherweise werde ich aber nicht schreiben wie das Programm heißt. Soweit ich weiß funktioniert das über manipulierten Kernel Code.

 

[iSight2TheBlind]

@phl92 Ist gefährliches Halbwissen bei dir und womöglich auch deiner Quelle.

Ja, als Passwort mit dem etwas direkt verschlüsselt wird wäre ein sechsstelliges Passwort sehr schlecht und wenn diese Verschlüsselung direkt angreifbar wäre wäre das in Mikrosekunden geknackt...

Aber: So ist es halt nicht!

Ein iPhone verschlüsselt seinen Speicher mit einem langen Schlüssel (ich meine 256bit AES) und dieser Schlüssel wird in einem sicheren "Schließfach" im Prozessor, der Secure Enclave, gespeichert.
Als Schlüssel für dieses Schließfach dient nun das Gerätepasswort mit 4, 6 oder auch mehr Stellen.
Wenn man das Gerät entsperrt gibt man sein Passwort ein und das Gerät öffnet dann das Schließfach um den großen Schlüssel auszupacken, mit dem der Speicher dann wirklich entschlüsselt wird.
Nun wäre natürlich weiterhin eine vierstellige PIN schnell ausprobierbar und wenn man sie erraten hat kommt man damit automatisch an den großen Schlüssel - nur dass das natürlich nicht so einfach ist, die Entwickler bei Apple (und anderen Firmen) denken schon ein klein wenig mit.
Mit steigender Zahl der falschen PIN/Passworteingaben steigt die Wartezeit bis man es erneut versuchen kann:

According to Apple’s own iOS Security Guide (page 15), it would take one hour and 36 minutes. Attempts 1-4 are “free”. There’s a 1-minute delay before the 5th attempt, 5 minutes before the 6th, 15 minutes before the 7th and 8th, and a 60-minute delay before the 10th

https://daringfireball.net/2018/05/10_strikes_and_youre_out

Und dann gibt es eine Option, dass iOS automatisch den Schlüssel in dem Schließfach zerstört wenn die PIN/Passcode zehn Mal falsch eingegeben wurde.
Wenn das passiert ist ist der Speicher effektiv "gelöscht" - dies wird auch genutzt wenn man das iPhone zurücksetzt und den Speicher dabei löschen möchte - der eigentliche (und immer verschlüsselte) Speicher wird nicht auf "Null" gesetzt, es wird einfach der Schlüssel des Speichers gelöscht (und zukünftig ein neuer generiert), lesbar sind die Daten dann nur noch wenn man die Speicherchips des iPhones auslötet und direkt die 256bit-Verschlüsselung angreift. Das kann vielleicht die NSA, aber sonst niemand.

 

[Evil E-Lex]

Das kann vielleicht die NSA, aber sonst niemand.

Dafür braucht es die NSA nicht: GrayKey

 

[iSight2TheBlind]

@Evil E-Lex Falscher Angriffsvektor!
GrayKey hat nicht die Verschlüsselung des Speichers selbst angegriffen sondern die PIN-Eingabe.
Die Hardware umgeht die (wenn aktiviert) maximal 10 Versuche bei der PIN-Eingabe und die steigende Sperrzeit nach einer falschen PIN, iirc indem quasi direkt nach der PIN-Eingabe nach der Bestätigung oder Ablehnung der PIN das System abgewürgt wird, noch bevor es die Sperrzeit/Löschung aktivieren konnte.

Apple konterte dagegen mit dem USB Restricted Modus, der sämtliche USB-Verbindungen ablehnte wenn das Gerät nicht entsperrt ist.
GrayKey sagte später, dass sie dagegen einen Weg gefunden hätten, ka ob das stimmt.
https://www.macwelt.de/article/9735...ker-neue-ios-funktion-blockt-graykey-box.html
https://www.heise.de/mac-and-i/meldung/GrayKey-Spyware-soll-iPhone-Passwort-abgreifen-4724905.html

Ob GrayKey aktuell ein iPhone 14 mit iOS 16.3 angreifen kann - wer weiß.
Sobald der Schlüssel für den Speicher aber aus der Secure Enclave geflogen ist: Nur noch die NSA!

 

[Evil E-Lex]

Sobald der Schlüssel für den Speicher aber aus der Secure Enclave geflogen ist: Nur noch die NSA!

Wenn man so vorgeht, dass der Schlüssel gelöscht wird, ist man Amateur. Der Trick ist, es soweit gar nicht erst kommen zu lassen.

 

[phl92]

Und was genau hats mit der NSA auf sich ? Wer soll das dort können, Snowden ist längst in Moskau.

 

[Evil E-Lex]

Es geht darum, dass man der NSA die theoretische Möglichkeit zuschreibt, AES256 brechen zu können. Heißt: Ohne Kenntnis des Schlüssels an die Daten des iPhone zu kommen. Ich halte das für extrem unwahrscheinlich.

In der Praxis spielt das keine Rolle. Da werden Tools wie GrayKey genutzt, um die von Apple eingebauten Schutzmechanismen gegen das Ausprobieren beliebiger Sperrcodes zu umgehen.

 

[phl92]

@phl92 Ist gefährliches Halbwissen bei dir und womöglich auch deiner Quelle.

Ja, als Passwort mit dem etwas direkt verschlüsselt wird wäre ein sechsstelliges Passwort sehr schlecht und wenn diese Verschlüsselung direkt angreifbar wäre wäre das in Mikrosekunden geknackt...

Aber: So ist es halt nicht!

Ein iPhone verschlüsselt seinen Speicher mit einem langen Schlüssel (ich meine 256bit AES) und dieser Schlüssel wird in einem sicheren "Schließfach" im Prozessor, der Secure Enclave, gespeichert.
Als Schlüssel für dieses Schließfach dient nun das Gerätepasswort mit 4, 6 oder auch mehr Stellen.
Wenn man das Gerät entsperrt gibt man sein Passwort ein und das Gerät öffnet dann das Schließfach um den großen Schlüssel auszupacken, mit dem der Speicher dann wirklich entschlüsselt wird.
Nun wäre natürlich weiterhin eine vierstellige PIN schnell ausprobierbar und wenn man sie erraten hat kommt man damit automatisch an den großen Schlüssel - nur dass das natürlich nicht so einfach ist, die Entwickler bei Apple (und anderen Firmen) denken schon ein klein wenig mit.
Mit steigender Zahl der falschen PIN/Passworteingaben steigt die Wartezeit bis man es erneut versuchen kann:


https://daringfireball.net/2018/05/10_strikes_and_youre_out

Und dann gibt es eine Option, dass iOS automatisch den Schlüssel in dem Schließfach zerstört wenn die PIN/Passcode zehn Mal falsch eingegeben wurde.
Wenn das passiert ist ist der Speicher effektiv "gelöscht" - dies wird auch genutzt wenn man das iPhone zurücksetzt und den Speicher dabei löschen möchte - der eigentliche (und immer verschlüsselte) Speicher wird nicht auf "Null" gesetzt, es wird einfach der Schlüssel des Speichers gelöscht (und zukünftig ein neuer generiert), lesbar sind die Daten dann nur noch wenn man die Speicherchips des iPhones auslötet und direkt die 256bit-Verschlüsselung angreift. Das kann vielleicht die NSA, aber sonst niemand.

Doppelpost: löschen bitte