Touch ID van iPhone 5s gedeeltelijk gehackt: hoe veilig zijn je gegevens?

Een hacker heeft de encryptiesleutel van de iPhone 5s Touch ID weten te achterhalen en dat roept vragen op hoe veilig je gegevens nog zijn.

Touch ID van iPhone 5s gehackt

Toen Apple de iPhone 5s aankondigde, benadrukten de medewerkers dat de vingerafdrukscans van Touch ID veilig en lokaal worden opgeslagen. Daartoe was de Secure Enclave ingebouwd, een streng beveiligde chip die ‘onmogelijk’ is te kraken. Het voorkomt dat de Touch ID-sensor zomaar uitgelezen kan worden.

Toch blijken er nu wat barstjes in te zitten, want vlak vóór een hackersconferentie is bekendgemaakt dat de encryptiesleutel van de Touch ID-sensor op de iPhone 5s is ontdekt. Maar je hoeft je momenteel nog geen zorgen te maken, belooft beveiligingsonderzoeker Will Strafach, omdat de Secure Enclave zelf niet is gehackt. “De decryptiesleutel is in dit geval voor de firmware, waardoor meer onderzoekers ernaar kunnen kijken”.

Voor wie het lastig vindt om in de technische details te duiken: in Jip-en-Janneke-taal is er het volgende aan de hand. Apple heeft de kluis (Secure Enclave) achter een dik gordijn gezet, zodat niemand weet hoe de kluis eruit ziet. Dat gordijn is nu gedeeltelijk weggetrokken, maar de kluis zit nog steeds op slot. De inhoud ervan is niet uit te lezen.

Persoonlijke gegevens zijn niet uit te lezen
Twitter-gebruiker @xerub publiceerde de informatie. Hij of zij heeft ook een tool gemaakt om de firmware van de Secure Enclave te kunnen uitlezen. De hack vergt nogal wat kennis om er misbruik van te kunnen maken.

De tool kan de software en binaries van de kernel uitlezen, maar je kunt niet de persoonlijke gegevens uitlezen die in de Secure Enclave zijn opgeslagen of die met de Touch ID-sensor worden uitgewisseld.

Het toestel is dan ook nog steeds veilig te gebruiken. Maar het opent wel de deuren voor verder onderzoek. Zo zouden er exploits gemaakt kunnen worden waarmee kan worden geprobeerd om meer informatie over de firmware van de Secure Enclave te achterhalen. Er zijn nog geen exploits bekend. Bovendien zal een eventuele exploit waarschijnlijk alleen op de iPhone 5s te gebruiken zijn. Er zal waarschijnlijk ook fysiek contact met het toestel nodig zijn om iets te kunnen uitlezen. Kortom: voorlopig is er nog geen reden om ongerust te zijn.

Wellicht horen we meer als de Hack in the Box-conferentie op 21 augustus van start gaat in Singapore, waar de hack ongetwijfeld zal worden besproken.