Thunderbolt verfügt über eine Sicherheitsschwachstelle, über die theoretisch fast alle Apple-Rechner seit 2011 angreifbar sind. Das „Thunderclap“ genannte Problem besteht aus einem Bündel an Verwundbarkeiten, die der Funktionsweise von Thunderbolt zugrundeliegen. Externe, via Thunderbolt verbundene Geräte haben unter Umständen die Möglichkeit, an den Systemspeicher des jeweiligen Rechners zu gelangen, ohne dass das jeweilige Betriebssystem dies einschränkt oder verhindert.


Thunderbolt-Privileg gegenüber USB als Ursache
Sicherheitsforscher Theo Markettos erklärte die Thunderbolt-Schwachstelle während des Network and Distributed Systems Security Symposium in San Diego. Da Computer Thunderbolt-Verbindungen mehr Privilegien gewähren als Produkten, die via USB angeschlossen sind, können Thunderbolt-Geräte einfacher an sensible Daten gelangen, so Markettos. Betroffen davon sind alle Macs mit Thunderbolt-Anschluss. Das MacBook Pro von 2011 war der erste Mobil-Mac, den Apple mit Thunderbolt ausrüstete. Eine Ausnahme bildet das 12-Zoll-MacBook, das zwar USB-C bietet, jedoch keinen integrierten Thunderbolt-Port.

Apple dämmt Gefahr mit macOS Sierra ein
Vorhandene Verteidigungsmöglichkeiten gegen schädliche Thunderbolt-Komponenten, die den „Direct Memory Access“ der Technologie missbrauchen, schätzt Markettos als „sehr schwach“ ein. Die Input-Output Memory Management Unit (IOMMU) sei zwar ein mögliches Mittel gegen Thunderclap, da sie Geräten nur den Speicherzugriff für bestimmte Tasks erlaubt – doch kaum ein Betriebssystem nutze IOMMU.

Anders als Windows 7 und 10 Home unterstütze macOS zwar standardmäßig IOMMU, doch selbst wenn die Technologie aktiviert sei, bestehe nach wie vor die Möglichkeit für einen Angriff. Über eine falsche Netzwerkkarte konnten die Wissenschaftler in einer älteren macOS-Version beliebige Programme als Systemadministrator starten. Besagte Lücke schloss Apple mit macOS Sierra 10.12.4, doch laut Markettos habe das Grundproblem weiter bestand – insbesondere wenn es um Zugriff auf den Netzwerk-Verkehr und zum Teil die Framebuffer-Daten geht.