iCloud-beveiliging gehackt door Nederlandse hackersgroep

Een groep Nederlands-Marokkaanse hackers die opereren onder de naam Doulci (iCloud in omgekeerde volgorde geschreven), hebben een lek gevonden in iCloud. En het lek wordt nog groter als Apple niet binnen een week de fout herstelt, dreigen de hackers. Dan zullen zullen ze de software vrijgeven onder open source-licentie, zodat ook anderen er misbruik van kunnen maken. De hackers bouwden als hobbyprojectje een server, die hetzelfde werkt als de activatieserver van iTunes. Met de server kun je iPhones en iPads activeren, ook wanneer ze geblokkeerd zijn. Gestolen iPhones en iPads kunnen zo eenvoudig worden gedeblokkeerd.

Als je iPhone gestolen wordt, kun je het toestel blokkeren via Zoek mijn iPhone. Maar via de nepserver kan iemand het geblokkeerde toestel weer activeren en daarna verkopen als bijna nieuw toestel. Het is dan veel meer waard: een tweedehands iPhone 5 levert bijvoorbeeld nog makkelijk 400 euro op.

De exploit wordt ‘s werelds eerste iCloud activatie-bypass genoemd en blijkt regelijk eenvoudig te maken door slechts één regel code aan het hosts-bestand op die desktop toe te voegen. Beveiligingsonderzoekers beschrijven het als een man-in-the-middle-aanval, waarbij de server verkeer tussen het iOS-apparaat en de Apple-servers onderschept. Apple zou het lek met een firmware-update kunnen stoppen, maar de hackers beweren dat ze nog meer potentiële zwakheden achter de hand houden. Wanneer de hack wordt gebruikt om een iPhone te activeren, wordt de simkaart onleesbaar omdat de hackers niet beschikken over Apple’s private keys, om te bepalen of een telefoon gelockt is. De twee hackers hebben gezegd dat ze aan een oplossing werken, waardoor de simkaart niet langer geblokkeerd wordt.

Nederlands-Marokkaanse connectie

De 23-jarige student @AquaXetine (woonachtig in Nederland) en zijn vriend @MerrukTechnology (in Casablanca) hebben vijf maanden gewerkt aan de hack. Ze zochten een manier om iPhones te deblokkeren, zonder dat daarvoor contact met een Apple-server nodig was. De groep heeft de eigen server nu offline gehaald, maar zet deze elke avond een uur online om te controleren of Apple het lek inmiddels heeft gedicht. Inmiddels blijken er al 35.000 telefoons en tablets gedeactiveerd met de methode. In vijf minuten tijd kan het team bijna 6.000 apparaten deblokkeren. Dat zijn toestellen die waarschijnlijk in veel gevallen gestolen zijn. Vooral Chinese handelaren zouden op eBay massa’s geblokkeerde iPhones opkopen, voor prijzen tussen de 50 tot 150 dollar per stuk. Een ontgrendelde iPhone levert al snel 450 dollar of meer op, waardoor het een een lucratieve handel is.

‘Beveiliging iTunes en iCloud niet goed geregeld’

Volgens beveiligingsonderzoeker Mark Loman van Surfright is het vrij gemakkelijk om wachtwoorden van iTunes-gebruikers te onderscheppen. Wachtwoorden worden volgens Loman onversleuteld verzonden bij de aanschaf van muziek of het activeren van nieuwe iDevices. Daarnaast is de SSL-verbinding kwetsbaar voor aanvallen. Omdat de certificaten niet door Apple worden geverifieerd, kan iedereen zich voordoen als een Apple-server die informatie van iTunes vraagt. Die slechte beveiliging heeft trouwens niets te maken met het deblokkeren van de toestellen.

Lees ook: Veilig internetten bij Wi-Fi hotspots

Diefstal van iCloud-data

De gehackte iCloud-beveiliging werkt waarschijnlijk door gebruik te maken van vervalste certificaten. Hacker @AquaXetine meldt dat iCloud nog meer zwakke plekken biedt, die nog niet openbaar zijn gemaakt. Zo zou hij de iCloud-data van personen gemakkelijk kunnen stelen door iCloud-backups op twee servers te maken. Een toestel zou bovendien levenslang geactiveerd kunnen worden, zodat Apple een gestolen toestel op een later moment niet meer kan blokkeren.

De hackers zeggen dat ze Apple al eind maart gewaarschuwd hebben, maar geen reactie ontvingen. Ook na de onthulling van het lek heeft Apple nog niets van zich laten horen. “Apple is eigenwijs en weigert de fout te repareren”, vindt hacker @AquaXetine.

Update 21 mei

Hacker @AquaXetine zegt dat Apple inmiddels contact heeft gezocht, maar dat hij het mailtje heeft gewist.

Een eerdere versie van dit artikel beschreef alleen het kunnen onderscheppen van iTunes-wachtwoorden op onbeveiligde plekken en niet het kunnen activeren van gestolen/geblokkeerde iPhones. Dit artikel is daarom bijgewerkt met de nieuwste info.