Pod2g: ‘Apple kan iMessage-berichten lezen’ [update]

Apple kan iMessages verstuurd door gebruikers ontsleutelen, om zo de inhoud te lezen. Dit stelt @pod2g, ook bekend als Cyril Cattiaux, tijdens een presentatie op Hack in the Box in Kuala Lumpur. Omdat Apple de berichten versleutelt, zijn ze op ieder moment in staat de sleutel voor de gebruikte encryptie te veranderen. Dit zou genoeg zijn voor Apple om een iMessage te lezen. Hoewel pod2g in de presentatie aantoonde hoe Apple iMessage-versleuteling kan omzeilen, is er volgens de beveiligingsonderzoeker geen bewijs dat Apple continu verstuurde iMessages zit te lezen. Het onderzoek toont enkel aan dat Apple hiertoe in staat is, mocht bijvoorbeeld de Amerikaanse NSA eisen stellen.

De resultaten van pod2g’s onderzoek staan haaks op wat Apple eerder heeft gezegd. In juni stelde Apple dat iMessages ontoegankelijk zijn dankzij de gebruikte versleuteling. Dat Amerikaanse instanties niet zomaar iMessages kunnen onderscheppen, bleek ook daarvoor al: de Amerikaanse anti-drugsdivisie had klachten, omdat zij iMessages niet konden lezen zoals bij sms-berichten wel het geval is.

Apple zelf kan de versleuteling van iMessages vrij makkelijk opheffen, aldus pod2g. Andere partijen zouden hier echter niet zomaar toe in staat zijn. Om de berichten te bekijken heb je de iMessage-encryptiesleutel nodig, die door Apple zelf wordt beheerd. Zonder samenwerking met Apple zou het daarom zeer moeilijk zijn om de iMessages te lezen.

In een uitgebreid verslag beschrijft pod2g alle facetten van de beveiliging in iMessage. Hierbij kijkt hij naar alle gebruikte protocollen en gevolgen voor bepaalde beveiligingskeuzes. Onderin het artikel zet hij zijn conclusies nog eens kort op een rij.

Pod2g is geen onbekende voor iOS-gebruikers: de beveiligingsonderzoek speelde een grote rol bij eerdere jailbreaks, en ontdekte afgelopen jaar nog een beveiligingslek in iMessage.

Update: Apple ontkent tegenover AllThingsD dat ze iMessage-berichten kunnen lezen door ze te ontsleutelen:

iMessage is niet gemaakt om Apple in staat te stellen berichten te lezen. Het onderzoek kijkt naar theoretische kwetsbaarheden waarvoor Apple het iMessage-systeem opnieuw zou moeten opbouwen, en Apple is niet van plan dit te doen.