Apple druk bezig met resterende CIA-exploits, maar wordt daarbij dwarsgezeten

Apple kwam eerder deze week in het nieuws omdat de CIA een speciaal team heeft dat iOS-exploits probeert te achterhalen, zodat iPhone-gebruikers afgetapt kunnen worden. De meeste lekken heeft Apple al gedicht, maar er zijn nog een paar exploits over die met grote spoed moeten worden gedicht. Daarbij worden ze dwarsgezeten door twee problemen.

De Wall Street Journal zegt dat Apple-medewerkers druk bezig zijn met het dichten van de laatste lekken. Twee factoren zitten ze daarbij dwars: geen toegang tot de code van de exploits en onduidelijkheid of dit het topje van de ijsberg is.

Update 16:30 uur: Associated Press meldt dat WikiLeaks heeft besloten om de betrokken techbedrijven toegang te geven tot details over de hacktools. Daardoor is eerstgenoemde probleem opgelost.

Geen toegang tot code
De code van de exploits is in handen van de CIA en WikiLeaks, maar beide organisaties willen het niet delen. Daardoor is het lastig om te achterhalen hoe de hacks precies werken en hoe Apple het kan oplossen. Dat geldt overigens niet alleen voor Apple, maar ook voor Cisco. Als ze niet kunnen bekijken hoe de exploits werken, weten ze ook niet welke gaten ze moeten dichten. Eventueel kan de overheid gedwongen worden om in het kader van het Vulnerability Equities Process de code bekend te maken aan de getroffen bedrijven, maar dat kost veel tijd.

Topje van de ijsberg
Het tweede probleem is dat Apple niet weet hoeveel kwetsbaarheden er in totaal zijn. WikiLeaks heeft bijna 9.000 documenten vrijgegeven en beweert dat dit slechts 1% is van de totale hoeveelheid. Dat zou betekenen dat er nog veel meer exploits in gebruik kunnen zijn, waarvan Apple het bestaan nog niet afweet.

Als Apple de huidige gaten dicht kan een nieuwe stroom gelekte documenten van WikiLeaks ervoor zorgen dat ze weer helemaal opnieuw moeten beginnen met een nieuwe reeks exploits. “Als het waar is dat ze veel meer hebben, dan zullen naar mijn mening een hoop mensen behoorlijk zenuwachtig zijn”, aldus een security-professor van King’s College London.

Apple heeft weliswaar gezegd dat ze “veel exploits” al gedicht heeft, maar heeft niet aangegeven om welk percentage het dan ongeveer gaat. Hetzelfde geldt voor Google: ook zij zeggen de meeste kwetsbaarheden al te hebben opgelost. Een complicerende factor bij Android is dat fabrikanten aanpassingen doen en dat het uitbrengen van updates met beveiligingsmaatregelen niet centraal wordt geregeld. Daardoor is het voor Google lastiger om te garanderen dat bepaalde lekken al zijn gedicht.

Bekijk ook

Apple reageert op CIA-lek: meeste kwetsbaarheden in iOS zijn al verholpen

Apple heeft gereageerd op het lek binnen de CIA waarover Wikileaks dinsdag publiceerde. De meeste kwetsbaarheden die genoemd worden zouden volgens het bedrijf al zijn verholpen in iOS 10, de laatste versie van iOS.