Sicherheitsproblem: PIN lässt sich über Bewegungssensoren bestimmen
Britischen Forschern der Newcastle University ist es gelungen, mithilfe der im Gerät verbauten Bewegungssensoren die auf dem Display eingegebene PIN zu bestimmen. Bereits bei einmaliger Eingabe einer viertstelligen Zahlen-PIN sei die Trefferquote bei 70 Prozent, nach fünf Eingaben liege die Quote bei 100 Prozent. Dadurch können nicht nur vertrauensunwürdige Apps ein Sicherheitsproblem darstellen, sondern unter bestimmten Umständen auch Webseiten. Das grundsätzliche Bestimmungsverfahren eignet sich nicht nur für jegliche PIN-Eingaben, sondern auch für die iOS-Tastatur.
Die Forscher
heben in ihrem Bericht nämlich hervor, dass grundsätzlich auch auf dem Smartphone oder Tablet geöffnete Webseiten die Bewegungssensoren auslesen können. Dies ist je nach System auch im Hintergrund möglich, sodass eine Displaysperre oder ein Wechsel in einen anderen Browser-Tab nicht immer einen Schutz bietet. Nutzern ist diese Situation nur selten bewusst, denn bei der Sicherheit liegt ihr Fokus vor allem auf Mikrofon und Webcam.
In unserem Test (und dieser Demo:
) kann für Safari mobile allerdings Entwarnung gegeben werden. In diesem Fall wird bei einem Wechsel in einen anderen Tab oder bei Aktivierung der Displaysperre auch das JavaScript zum Auslesen der Bewegungssensoren gestoppt. Dies geschieht zwar vermutlich eher zur Erhöhung der Akkulaufzeit, stellt aber gleichzeitig auch einen Schutz vor derartigen Angriffen dar.
Da auch alternative Web-Browser für iOS zu WebKit verpflichtet sind, trifft dieses Verhalten auf alle Web-Browser in iOS zu. iOS-Apps sind allerdings grundsätzlich dazu in der Lage, auch im Hintergrund die Bewegungssensoren auszulesen. Unter bestimmten Voraussetzung kann ein App-Entwickler dafür sorgen, dass dies dauerhaft geschieht.
Ob Apple dieses Verhalten zukünftig ändern wird, lässt sich schwer abschätzen. Bislang ist im iOS-System nur der Zugriff auf Kamera, Mikrofon und GPS-System reglementiert, sodass ein Nutzer hier zunächst seine Zustimmung geben muss. Angesichts des Forschungsergebnisses könnte dies auch für die Bewegungssensoren sinnvoll sein.