Selbst auf iOS 11.3 soll der Hack von Matthew Hickey funktionieren, der die Sicherheitsgrenze für Passcode-Versuche aushebelt. Er ermöglicht, weit mehr falsche Passwörter an das iPhone zu schicken als die voreingestellten 10. Das jedenfalls behauptete der Sicherheitsforscher am Freitag über Twitter. Am nächsten Tag reagierte Apple und gab aus, die Lücke sei das Ergebnis von fehlerhaften Tests. Auch Hickey relativierte später seine Beobachtungen.


Per Brute Force
Hickey schickt über ein USB-Kabel massenhaft Passwort-Einträge an das iPhone und löst damit eine Interrupt-Anfrage aus, die alle anderen Gerätefunktionen übergeht – inklusive Passcode-Grenze und automatischem Löschen, falls 10 Versuche misslungen sind. Der Angriff umgehe auch den Schutz der Secure Enclave, dem Hardwareschutz des iPhones, so Hickey. Der Trick soll darin liegen, die Anfragen alle auf einmal in einem langen String ohne Leerzeichen zu senden. Da der String dem System keine Pause beschere, habe die Eingabe Vorrang vor der Löschfunktion, die das iPhone von Nutzerdaten säubert, sobald zu oft der falsche Passcode eingegeben wurde. Der Angriff ist jedoch so langsam, dass es Wochen dauern kann, um einen sechsstelligen Code zu knacken.

Einschränkungen und Widersprüche
Apple widersprach der Darstellung. Michele Wyman, ein Sprecher des Unternehmens kommentierte am Samstag: "Der jüngste Bericht über die Überwindung der Passwortsperre auf dem iPhone war fehlerhaft und das Ergebnis von unsachgemäßen Tests." Apple begründete die Aussage nicht.
Später schränkte Hickey in einen Tweet das Ergebnis ein, denn nicht alle Passcodes seines Strings seien zum Secure Enclave Prozessor gelangt. Obwohl das System es suggeriere, teste es nicht alle Passcodes und zähle sie somit auch nicht. Das Gerät registriere weniger gezählte Versuche als sichtbar seien: "Als ich die Codes an das Telefon schickte, sah es so aus, als ob 20 oder mehr eingedrungen sind, aber in Wirklichkeit waren es nur vier oder fünf, die zur Überprüfung gesendet worden sind." Also scheint die Instanz vor Brute-Force-Attacken wie diesem geschützt zu sein.