Sicherheitsexperte: VPN-Apps für iPhone und iPad sind nutzlos
Vor mehr als zwei Jahren wurde in iOS und iPadOS eine Schwachstelle entdeckt, welche die Sicherheit von VPN-Verbindungen kompromittierte (siehe
). Die Folge: Der Datenverkehr war nicht vollständig verschlüsselt und konnte somit – zumindest theoretisch – von Dritten mitgelesen und aufgezeichnet werden. Das stellt naturgemäß insbesondere dann ein großes Risiko dar, wenn man mit iPhone oder iPad ein ungesichertes WLAN nutzt und dann einen VPN-Tunnel etwa zum Heim- oder Firmennetzwerk aufbaut. Gefahren lauern möglicherweise allerdings auch in anderen Situationen.
Horowitz: VPN-Schwachstelle klafft nach wie vor in iOSEntdeckt und gemeldet wurde die Lücke bereits im März 2020 vom bekannten VPN-Anbieter ProtonVPN, und zwar in iOS 13.3.1. Der Sicherheitsexperte Michael Horowitz nahm sich jetzt dieses Themas erneut an und fand nach eigenen Angaben heraus: Apple hat die Schwachstelle bis heute nicht behoben, sie klafft folglich auch noch in den aktuellen Versionen von iOS und iPadOS. Das Ergebnis der Untersuchungen veröffentlichte er in einem langen und detaillierten
Blogpost auf seiner Webseite. Das Apple zwar seit Langem bekannte, aber bislang immer noch nicht behobene Problem hat seine Ursache in einem bestimmten Verhalten der Betriebssysteme für iPhone und iPad. Wird nämlich mithilfe einer VPN-App ein Tunnel aufgebaut, beenden iOS und iPadOS bereits bestehende Verbindungen nicht. Teile des Datenverkehrs werden daher unter Umständen weiterhin unverschlüsselt übertragen.
Sicherheitsexperte: VPN-Apps für iPhone und iPad sind nutzlosHorowitz nutzte für seine Untersuchung ein iPad mit iPadOS 15.6, auf dem er verschiedene VPN-Apps von Drittanbietern einsetzte. Dem Sicherheitsexperten zufolge zeigte die Traffic-Analyse, dass zunächst alles wie erwartet funktionierte. Je länger jedoch die VPN-Sitzungen aktiv waren, desto mehr Daten wurden außerhalb des Tunnels und somit ungeschützt übertragen. Seiner Einschätzung nach sind alle entsprechenden iPhone- und iPad-Apps daher weitgehend nutzlos, bis Apple den Bug behebt. Ob auch die in iOS und iPadOS enthaltene VPN-Funktion, welche in den Einstellungen der Smartphones und Tablets zu finden ist, den Fehler aufweist, untersuchte Horowitz nicht. Auch das von Apple seit 2021 angebotene iCloud Private Relay war nicht Gegenstand seiner Analyse.