iPhone blijkt hackers-walhalla

Vlak na de lancering van de iPhone was al het root-wachtwoord gekraakt. Nu blijkt dat de beveiligingsrisico’s veel groter zijn: Apple heeft mogelijk de securityblunder van de eeuw gemaakt door alle applicaties en processen op de iPhone met root-rechten te laten draaien. Security-onderzoeker H.D. Moore, die het ontdekte, spreekt van een “pocket-sized … network-enabled root shell”. Moore publiceerde de shellcode voor de telefoon en bijbehorende instructies hoe de iPhone als hackers-platform kan worden misbruikt.

Nog geen drie dagen nadat de iPhone op de markt was, was het rootwachtwoord al achterhaald. Dat kan gebeuren, maar de ontdekking van Moore gaat nog een stap verder: Moore ontdekte dat alle applicaties en alle processen op de iPhone, inclusief de Safari-browser, de calculator en de e-mailapplicatie op de iPhone draaien met rootrechten. Dat levert beveiligingsrisico’s op waardoor het complete systeem overgenomen kan worden.

De shellcode, in combinatie met het aantal bekende bugs in de iPhone zorgen dat mobiele aanvallen een reëel risico zijn. De hulpmiddelen zijn er ook al: Moore’s Metasploit Framework kan worden gebruikt om met een paar kliks exploits voor de iPhone te schrijven. De aanvaller kan daarmee de complete controle over het apparaat krijgen, inclusief alle applicaties. Moore publiceerde op 25 september al details hierover.

Als Moore zijn Metasploit Framework eerder voor de iPhone had aangepast, was het werk van hackers vlak na de lancering veel eenvoudiger geweest. Maar Moore wachtte zelf tot de iPhone in prijs was verlaagd en het toolchain-tool voor de iPhone uit was gebracht, voordat hij zelf een iPhone kocht en er eens verder indook. Daarbij ontdekte hij niet alleen dat alle applicaties met root-toegang draaien, maar ook een aantal andere zaken waar malware-schrijvers misbruik van kunnen maken. Dankzij Metasploit is de tijd om malware te schijven aanmerkelijk gedaald: wat normaal gesproken een week kost, is nu binnen een dag gelukt. Apple heeft nog niet gereageerd op Moore’s eerdere publicatie en op de recente publicatie in eWeek.