Apple „Passwörter“: Sicherheitslücke knapp drei Monate offen

Mit Apples „Passwörter“ gibt es seit iOS 18 eine eigenständige App zum Management von Passwörtern und Freischaltcodes. Die vorher in den iPhone-, iPad- und Mac-Einstellungen verborgene Funktion hat seit einem halben Jahr eine eigene Anwendung. Etwa die Hälfte dieser Zeit existierte sie mit einer nicht geschlossenen Sicherheitslücke.

Das berichten die Sicherheitsforscher von Mysk auf X. Zwischen der Einführung mit iOS 18 und dem Fix unter iOS 18.2 vergingen demnach knapp drei Monate. In der Zeit habe ein Unaufmerksamkeit Apples dazu geführt, dass Phishing-Attacken nicht effektiv abgewehrt werden konnten.

Unsichere HTTP-Verbindung sorgt für Phishing-Gefahr

Konkret geht es um eine Funktion, mit der aus der Passwörter-App heraus Websites geöffnet und Logins direkt mit den hinterlegten Daten ausgefüllt werden können. Diese Seiten wurden standardmäßig mit dem als nicht ausreichend sicher geltenden HTTP-Standard ausgeführt. Mit iOS 18.2 ändert Apple das Prozedere und setzt auf das sicherere HTTPS.

HTTP steht für „Hypertext Transfer Protocol“ und das S in HTTPS fügt dem Standard für Verschlüsselungen von Websites ein „Secure“ hinzu. Warum Apple nicht zu Beginn auf die sichere Version setzte und weshalb ein Fix fast drei Monate dauerte, ist fraglich.

Die weniger sichere Version des Protokolls macht es Angreifern möglich, via Phishing auf sensible Nutzerdaten zuzugreifen. Ob und wie oft die Lücke ausgenutzt wurde, ist ebenfalls unklar. Ein solcher Lapsus passt eigentlich nicht in das von Apple gepflegte Image des Datenschützers.

Der Beitrag  Apple „Passwörter“: Sicherheitslücke knapp drei Monate offen erschien zuerst auf Apfelpage.