‘Apple bewaart belgeschiedenis langer in iCloud dan ze beweren’

Apple zegt beveiliging altijd serieus te nemen, maar lijkt toch een kleine misser gemaakt te hebben. Elcomsoft, een Russisch bedrijf dat tools ontwikkelt voor overheden om toestellen te kraken, zegt dat iPhones nagenoeg real-time informatie over telefoongesprekken naar Apple’s servers stuurt, zelfs als iCloud-reservekopie uit staat. Hierdoor kan via iCloud gezien worden welke gesprekken er gevoerd zijn en hoe lang deze duurden. Bovendien worden gesprekken langer bewaard dan Apple zelf op haar website beweert.

Gesprekken altijd bewaard, ook langer dan 30 dagen

Tegenover Forbes zegt de CEO van Elcomsoft dat het gaat om zowel FaceTime- als gewone gesprekken. Apple bewaart informatie over deze gesprekken in iCloud, onder andere om deze info tussen meerdere apparaten te synchroniseren. Het gaat dus niet om de inhoud van de gesprekken, maar alleen om verwante informatie zoals de duur en tijdstip van een gesprek. Maar zelfs bij het uitschakelen van iCloud-reservekopieën worden deze gegevens geupload, ook van apps die gebruikmaken van het nieuwe CallKit van iOS 10, zoals WhatsApp en Skype. Het is volgens het bedrijf niet mogelijk om deze synchronisatie uit te schakelen, behalve door iCloud Drive in zijn geheel uit te zetten. Hierdoor kunnen andere apps echter in problemen komen, omdat ook zij dan geen gebruik meer kunnen maken van iCloud. Er is namelijk geen aparte instelling voor de Telefoon- en FaceTime-app om iCloud uit te schakelen.

Bovendien wordt op Apple’s website vermeld dat informatie over FaceTime-gesprekken dertig dagen lang bewaard wordt, maar Elcomsoft wist gegevens te achterhalen die teruggaan tot enkele maanden. Jonathan Zdziarski, een expert op het gebied van iOS-beveiliging, geeft aan dat dit mogelijk een onbedoelde bug bij Apple is. Als je bijvoorbeeld FaceTime op meerdere toestellen gebruikt, of een telefoongesprek wil voeren via je iPad of je Mac, moet deze data allemaal gesynchroniseerd worden. Voor deze synchronisatie is simpelweg gekozen voor iCloud Drive, omdat dit volgens Zdziarski een makkelijke oplossing was.

Apple’s reactie: gegevens verstuurd voor gemak

Apple zegt zelf de gegevens alleen te versturen om te zorgen voor gemak voor de gebruikers, zodat zij op elk toestel een gesprek op kunnen nemen. Apple raadt aan om altijd een veilig wachtwoord in te stellen voor je Apple ID, omdat deze vereist is om iCloud-gegevens te kunnen bekijken en om reservekopieën terug te zetten. Ook tweefactorauthenticatie wordt nog geadviseerd.

Apple maakt momenteel nog geen gebruik van end-to-end-encryptie wat betreft de beveiliging van reservekopieën via iCloud. iCloud is wel beveiligd, maar de sleutel om de beveiliging te openen is altijd in handen van Apple. Zodra Apple overstapt op end-to-end-encryptie, heeft Apple zelf geen toegang meer tot deze gegevens.