Broncode van iOS iBoot-systeem uitgelekt, “grootste lek in de historie”

Broncode iBoot-systeem gelekt

Een gebruiker van Github heeft de broncode van Apple’s iBoot-systeem laten uitlekken. Dit is het gedeelte van het besturingssysteem dat het beveiligde opstartproces van een iPhone of iPad regelt. Hoewel de code afkomstig is van iOS 9 levert het toch een risico op, omdat kwaadwillenden er nu in kunnen rondneuzen. Het is momenteel nog onduidelijk waar de broncode vandaan komt.

Update 18:00 uur: Inmiddels blijkt dat Apple een copyright-eis bij Github heeft ingediend en de website heeft gedwongen om de code offline te halen. Ook bevestigden ze in een verklaring dat de code authentiek is. Ze benadrukten dat het om een drie jaar oud besturingssysteem gaat, dat nog maar op een beperkt aantal toestellen gebruikt wordt. Verder legt Apple uit dat de producten voldoende beveiligingslagen kennen, waardoor dit lek geen probleem zal zijn.

Old source code from three years ago appears to have been leaked, but by design the security of our products doesn’t depend on the secrecy of our source code. There are many layers of hardware and software protections built into our products, and we always encourage customers to update to the newest software releases to benefit from the latest protections.

De broncode is afkomstig van de iOS 9.3.x-release. Je kunt het niet compileren omdat niet alle bestanden aanwezig zijn, maar volgens security-onderzoekers kun je het wel analyseren en kijken of er kwetsbaarheden te vinden zijn. Apple zal grote delen van de iBoot-code ook nog gebruiken in iOS 11.

https://twitter.com/Apple_External/status/960993190584123393

Jonathan Levin, auteur van meerdere boeken over programmeren voor iOS en macOS, vertelde dat dit “het grootste lek in de historie” is. Hoewel nog niet 100% zeker is dat het rechtstreeks afkomstig is van Apple, zag Levin wel dat het overeenkomt met de code die hij zelf eerder al met reverse engineering had achterhaald.

Wat is iBoot?

Toegang tot de iBoot-broncode maakt het gemakkelijker om kwetsbaarheden te vinden, waardoor het makkelijker wordt om toegang te krijgen tot een beveiligd toestel. iBoot is een belangrijk onderdeel van de beveiliging van iOS en is te vergelijken met BIOS op een PC. Het controleert tijdens het opstarten van een iPhone of de kernel digitaal is gesigneerd door Apple. Dat het belangrijk is, blijkt ook wel uit het feit dat Apple het maximale bedrag van $200.000 betaalt als iemand een bug in iBoot weet te vinden. Voor andere kwetsbaarheden gelden lagere bedragen.

Interessant is dat dezelfde broncode ook al vier maanden eerder op Reddit werd gepubliceerd door een gebruiker met de naam apple_internals. Toen wist het bericht geen aandacht te trekken en zakte het al snel weg in de dagelijkse berg nieuwe berichten.

Wat betekent het voor jou?
Momenteel zullen er nog geen exploits zijn gemaakt waardoor je gevaar loopt. De code is nog maar net vrijgegeven en beveiligingsonderzoekers – en mensen met minder nobele bedoelingen – hebben nog maar kort de tijd gehad om te onderzoeken waar de kwetsbaarheden zitten. Daarna zou iemand nog een manier moeten vinden om er misbruik van te maken.

Verder is het belangrijk om te weten dat nog niet officieel is vastgesteld of dit de werkelijke iBoot-broncode van iOS is. Hoewel alle tekenen erop wijzen dat het origineel is, zal alleen iemand binnen Apple het definitief kunnen bevestigen. De kans is alleen klein dat dat gebeurt. Sinds iOS 9 zal Apple niet de complete iBoot-code hebben vervangen, maar er zal ook weer nieuwe code aan zijn toegevoegd die voor eventuele kwaadwillenden een mysterie blijft. Daarnaast zal de Secure Enclave in recente iPhones maatregelen bevatten die ervoor zorgen dat eventuele kwetsbaarheden niet zomaar misbruikt kunnen worden.

Apple heeft nog geen commentaar gegeven en het is nog maar de vraag of ze dat zullen doen. Door te reageren zouden ze immers de indruk wekken dat het inderdaad om de originele broncode gaat. Het is momenteel nog te vroeg om te zeggen of het inderdaad het “grootste lek uit de historie” van Apple is, maar het bedrijf zal er niet blij mee zijn.