HotSpot-Passwörter unsicher: iPhone-HotSpot lässt sich knacken
iPhone-Nutzer, die die HotSpot-Funktion ihres Gerätes unter iOS 6 einsetzen, um so den eigenen Laptop oder ein iPad mit dem drahtlosen Internetzugang des Apple Smartphones zu versorgen, werden sich über die von Apple vorgeschlagenen HotSpot-Passwörter vielleicht schon gewundert haben. Ein kurzes englisches Wort, gefolgt von 4 Zahlen. Die vom System vorgeschlagenen Kombinationen machen nicht den sichersten Eindruck.
Eine begründete Skepsis, wie die jetzt veröffentlichte, wissenschaftliche Auseinandersetzung „Usability vs. Security: The Everlasting Trade-Off in the Context of Apple iOS Mobile HotSpots“ mit der HotSpot-Funktion des iPhones zeigt.
Das Forschungsprojekt des Informatik-Bereiches der Friedrich Alexander Universität Erlangen-Nürnberg hat die Zusammensetzung der vom iPhone vorgeschlagenen HotSpot-Passwörter analysiert (das Paper von Andreas Kurtz, Daniel Metz und Felix Freiling lässt sich als PDF aus den Netz laden) und dabei festgestellt, dass das iPhone beim Erstellen des Passworts auf eine Liste von nur 1842 Wörtern zugreift, denen vier zufällige Zahlen angehängt werden.
Die HotSpot-Funktion des iPhones wird ab Werk so nur mit maximal 18.5 Millionen unterschiedlichen Passwort-Kombinationen verschlüsselt – die zudem nicht zufällig verteilt sind, sondern offensichtliche Häufungen bei bestimmten Wörtern zeigen.
Das Fazit der Forscher liegt auf der Hand: Apples Hot-Spot-Passwörter sind zu unsicher. Mit der richtigen Hardware können alle möglichen Kombinationen in weniger als 50 Sekunden durchprobiert werden. Eine jetzt bereitgestellte iPhone-App (der Quellcode kann von interessierten Entwicklern hier geladen werden) generiert bereits Wortlisten für den schnellen Angriff auf iPhone-HotSpots.
A GPU cluster composed of four AMD Radeon™ HD 7970 can cycle through around 390.000 guesses per second. As the HotSpot wordlist consists of only 1.842 entries followed by a four-digit number, there are only around 18.5 million possible combinations. This means, that a GPU cluster will crack an arbitrary password in less than 50 seconds.
Entwarnung in iOS 7
Doch die Entwarnung folgt auf dem Fuß. Apples Herbst-Update auf iOS 7 wird nicht mehr auf die nur knapp 2000 Einträge kurze Scrabble-Wortliste setzen, sondern zufällige Passwörter auswürfeln. Bis dahin empfiehlt sich das vorgeschlagene Passwort zu ignorieren und selbst eine sichere Kombination festzulegen.
