Push-Nachrichten von MacTechNews.de

Würden Sie gerne aktuelle Nachrichten aus der Apple-Welt direkt über Push-Nachrichten erhalten?

Sicherheitsexperte: VPN-Apps für iPhone und iPad sind nutzlos

Vor mehr als zwei Jahren wurde in iOS und iPadOS eine Schwachstelle entdeckt, welche die Sicherheit von VPN-Verbindungen kompromittierte (siehe ). Die Folge: Der Datenverkehr war nicht vollständig verschlüsselt und konnte somit – zumindest theoretisch – von Dritten mitgelesen und aufgezeichnet werden. Das stellt naturgemäß insbesondere dann ein großes Risiko dar, wenn man mit iPhone oder iPad ein ungesichertes WLAN nutzt und dann einen VPN-Tunnel etwa zum Heim- oder Firmennetzwerk aufbaut. Gefahren lauern möglicherweise allerdings auch in anderen Situationen.

Horowitz: VPN-Schwachstelle klafft nach wie vor in iOS
Entdeckt und gemeldet wurde die Lücke bereits im März 2020 vom bekannten VPN-Anbieter ProtonVPN, und zwar in iOS 13.3.1. Der Sicherheitsexperte Michael Horowitz nahm sich jetzt dieses Themas erneut an und fand nach eigenen Angaben heraus: Apple hat die Schwachstelle bis heute nicht behoben, sie klafft folglich auch noch in den aktuellen Versionen von iOS und iPadOS. Das Ergebnis der Untersuchungen veröffentlichte er in einem langen und detaillierten Blogpost auf seiner Webseite. Das Apple zwar seit Langem bekannte, aber bislang immer noch nicht behobene Problem hat seine Ursache in einem bestimmten Verhalten der Betriebssysteme für iPhone und iPad. Wird nämlich mithilfe einer VPN-App ein Tunnel aufgebaut, beenden iOS und iPadOS bereits bestehende Verbindungen nicht. Teile des Datenverkehrs werden daher unter Umständen weiterhin unverschlüsselt übertragen.

Sicherheitsexperte: VPN-Apps für iPhone und iPad sind nutzlos
Horowitz nutzte für seine Untersuchung ein iPad mit iPadOS 15.6, auf dem er verschiedene VPN-Apps von Drittanbietern einsetzte. Dem Sicherheitsexperten zufolge zeigte die Traffic-Analyse, dass zunächst alles wie erwartet funktionierte. Je länger jedoch die VPN-Sitzungen aktiv waren, desto mehr Daten wurden außerhalb des Tunnels und somit ungeschützt übertragen. Seiner Einschätzung nach sind alle entsprechenden iPhone- und iPad-Apps daher weitgehend nutzlos, bis Apple den Bug behebt. Ob auch die in iOS und iPadOS enthaltene VPN-Funktion, welche in den Einstellungen der Smartphones und Tablets zu finden ist, den Fehler aufweist, untersuchte Horowitz nicht. Auch das von Apple seit 2021 angebotene iCloud Private Relay war nicht Gegenstand seiner Analyse.

iPhone 16 Pro: Erfahrungen

Erwartetes Oktober-Event: Die wahrscheinlichen ...

Eskalationskurs: ARM kündigt Qualcomm die Desig...

M4-Benchmarks: Deutliche Leistungssteigerung im...

Apples interne Einschätzung: Zwei Jahre Rücksta...

Apples Eskalationskurs und Gebühren-Wirrwarr

iOS 18, iPadOS 18, macOS 15: Das Release-Datum ...

iPhone 16 Pro: Tippen oder Wischen ignoriert, N...

Kommentare

becreart18.08.22 08:39

Betrifft dies auch VPNs um auf Fileserver in lokalen Netzwerken zuzugreifen?

marm18.08.22 08:47

Beim Zugriff auf Heim- oder Firmennetze möchte ich doch ganz bewusst, dass nur der betreffende Teil der Daten übertragen wird.
Zu behaupten "alle entsprechenden iPhone- und iPad-Apps [sind] weitgehend nutzlos" reduziert den Einsatzzweck von VPN auf die Verschleierung von IP und Standort.

Eigentlich müsste es eher heißen, dass ProtonVPN nutzlos ist, aber VPN-Verbindungen in Heim- und Firmennetze sind davon nicht betroffen.

MasterK18.08.22 08:57

Das ist doch quatsch.
Ich will doch, auf meinen privaten Fileserver via VPN zugreifen.
Wieso sollten "VPN-Apps für iPhone und iPad [] nutzlos" seien?

awk18.08.22 08:59

marm

Das kommt auf die Sicherheitsanforderungen an. Heute wird in vielen Fällen das sogenannte Split-Tunneling verwendet. Alles was z.B. in Richtung Internet geht, geht nicht durch den Tunnel da man davon ausgeht, dass dieser Verkehr über HTTPS verschlüsselt wird. Legt man die Latte sehr hoch wird nach wie vor alles durch den Tunnel geleitet. In diesem Fall wäre das eine gravierende Sicherheitslücke. Man müsste wissen ob davon auch "richtige" VPNs, Cisco etc., betroffen sind.

Marcel_75@work18.08.22 09:04

So wie ich das verstanden habe sind grundsätzlich alle VPNs unter iOS davon betroffen.

Es geht z.B. um die Push-Server von Apple, die auch bei einer VPN-Verbindung ihre bereits bestehenden Verbindungen weiterhin außerhalb des Tunnels aufrechterhalten.

Sicherheitsforscher erwarten (in meinen Augen zurecht), dass sämtliche Netzwerkverbindungen "auflegen" und dann ausschließlich über den vorgegebenen VPN-Tunnel erneut eine Verbindung aufbauen.

Solaris18.08.22 09:06

Wenn ich den Blogpost von Horowitz richtig verstehe, ist er sich der Split Tunneling Technik bewusst und hatte diese ausgeschaltet.

Es geht darum, dass Verbindungen über die der Verbindung durch den VPN Tunnel zugewiesene IP-Adresse mit der Zeit auch ausserhalb des Tunnels verbinden, da das iOS offensichtlich einen entsprechenden Bug hat. Das bedeutet, dass iOS Daten, die auf das dem VPN zugewiesene Interface gehen müssten, über die "herkömmliche" Netzwerk-Schnittstelle sendet.

Hieraus würde ich mal schliessen, dass dies alle VPN Apps betrifft, da der Bug nicht in den Apps liegt.

Marcel Bresink18.08.22 09:13

Der Artikel ist ziemlicher Unsinn, da hier wieder mal VPNs und Anonymisierungsdienste (von denen einige ein VPN als Hilfsmittel zur "Einwahl" in den Dienst verwenden) wild durcheinandergeworfen werden.

Marcel_75@work

Sicherheitsforscher erwarten (in meinen Augen zurecht), dass sämtliche Netzwerkverbindungen "auflegen" und dann ausschließlich über den vorgegebenen VPN-Tunnel erneut eine Verbindung aufbauen.

Nein, das mag ja die Werbeaussage mancher Anonymisierungsdienste sein, ist aber nicht der Sinn eines VPNs. Beim "normalen" Einsatz eines VPNs ist ganz klar, dass nur neue Netzverbindungen mit einem ganz bestimmten Ziel (nämlich das eigene Firmen- oder Zuhause-Netz) durch das VPN laufen. Es ist das Standardverhalten, dass sich am restlichen Datenverkehr ins Internet nichts ändert.

Die Verwirrung entsteht eher durch die Anbieter unseriöser Anonymisierungsdienste, die irgendwelche Wunderdinge behaupten, dass deren Dienst "alles verschlüsselt". Das ist nur möglich, wenn bei der Einwahl in diesen Dienst ein "Always-on-VPN" ohne gesplittetes Routing verwendet wird.

Metty18.08.22 09:23

Es gibt VPN Anwendungen, bei denen nicht alles endlos kryptiert werden muss. Wenn ich im Ausland bin und auf eine deutsche Mediathek zugreifen will, dann muss ich eine IP Adresse aus Deutschland verwenden, da deutsche Mediatheken aus Copyrightgründen Regionalsperren verwenden. Da ist ein VPN Provider sehr hilfreich. Bei dieser Anwendung ist mir relativ Wurst, ob irgend jemand mitbekommt was ich gerade für einen Film schaue. Die generelle Aussage "VPN-Apps für iPhone und iPad sind nutzlos" ist damit nutzlos.

Mendel Kucharzeck18.08.22 09:32

Marcel Bresink

…wenn bei der Einwahl in diesen Dienst ein "Always-on-VPN" ohne gesplittetes Routing verwendet wird.

Genau dies scheint aber bei dem von Horowitz getesteten VPN der Fall zu sein: ProtonVPN. In der Standard-Konfiguration sollen alle Verbindungen über den Tunnel laufen – es gibt keinen eingeschränkten Zielbereich. Trotzdem kommen manche Verbindungen außerhalb des Tunnels zustande, was eigentlich nicht sein darf.

Auch der Anbieter ProtonVPN hat in einem Blogpost auf die Schwachstelle hingewiesen, dass sich iOS an dieser Stelle falsch verhält und bestehende, vor Aufbau des VPNs entstandene Verbindungen (manchmal) aufrechterhält:

GeoM18.08.22 09:38

Lösungsvorschlag:
VPN Verbindung aktivieren und das Gerät (erzwungen) neu starten.
Danach sollten doch (theoretisch) alle Daten über das VPN neu geladen werden…?
Oder habe ich da einen Denkfehler?

-1

Mendel Kucharzeck18.08.22 09:41

GeoM
Durch den Neustart des Gerätes würde auch das VPN fliegen. Horowitz hatte (manchmal) Erfolg mit dem von ProtonVPN vorgeschlagenem Weg: VPN aktivieren, Flughzeug-Modus aktivieren, Flugzeug-Modus abschalten. Das sollte alle Verbindungen außerhalb des VPNs beenden.

Marcel_75@work18.08.22 09:50

Marcel Bresink: Du kannst mit ziemlicher Sicherheit davon ausgehen, dass ein Security-Experte wie Horowitz die Unterschiede kennt (Split-DNS, Full-DNS, Always-On-VPN, gesamten Netzwerkverkehr 'tunneln' etc.).

Du sagst, die "Standard"-Variante von VPN wäre die gesplittete Variante, aber das ist Unfug. Es gibt etliche Firmen (ganz vorn weg z.B. Bundesbehörden oder auch 'sensible Daten' kommunizierende Einrichtungen wie Arztpraxen oder Anwaltskanzleien), bei denen ein 'Always-On-VPN' mit 'Full-DNS' durchaus erwünscht ist, insbesondere bei Firmen-eigenen Geräten.

Und es geht Mr. Horowitz auch gar nicht um User X, der zu Firma Y einen VPN-Tunnel aufbaut, um dort an interne Netzwerk-Resourcen zu gelangen.

Ihm geht es explizit um Personen in Staaten mit starker Überwachung (also beispielsweise China), wo dann solche 'bugs' in iOS weitreichende Konsequenzen haben können… Wenn die Push-Server von Apple 'am VPN vorbei' kommunizieren hast Du im Zweifel schon verloren – und genau darum geht es.

Das sollte nicht so sein und wird von Apple hoffentlich endlich mal angegangen!

+10

FlyingSloth18.08.22 09:50

Problem kann auch geloest werden, indem man die VPN gleich auf Router Ebene installiert und nicht auf dem Device selbst. OK. funktioniert natuerlich nicht, wenn man ueber mobile Daten ins Netz geht.

Fly it like you stole it...

Marcel_75@work18.08.22 09:53

FlyingSloth

Problem kann auch geloest werden, indem man die VPN gleich auf Router Ebene installiert und nicht auf dem Device selbst. OK. funktioniert natuerlich nicht, wenn man ueber mobile Daten ins Netz geht.

Das wäre auch meine Empfehlung – tragbarer Router mit z.B. pcWRT und 'anonymer' SIM und den dann als 'Hotspot' per WLan nutzen.

Marcel Bresink18.08.22 09:58

Mendel Kucharzeck

Genau dies scheint aber bei dem von Horowitz getesteten VPN der Fall zu sein: ProtonVPN.

Nochmal: Hier wird der Begriff "VPN" in zwei völlig verschiedenen Bedeutungen verwendet. VPN bedeutet nur, dass zwischen zwei genau definierten Punkten in einem Netz eine zusätzliche zweite Verbindung geschaltet wird, und alle Daten, die gezielt über diese Verbindung geleitet werden, werden automatisch verschlüsselt.

Proton VPN ist ein Anonymisierungsdienst, der ein VPN zur Einwahl in seinen Dienst verwendet, und falsche Behauptungen darüber aufstellt, was das übliche Verhalten eines VPNs ist. (Man kann Anonymisierungsdienste auch völlig ohne VPN anbieten, wie "Private Relay" von Apple.)

Deren tatsächliches Problem ist doch, dass sie Werbeaussagen über den eigenen Dienst machen, die sich in modernen Betriebssystemen (wie iOS), bei denen Dritte mit Absicht nur eingeschränkten Zugriff auf bestehende Netzverbindungen haben, gar nicht umsetzen lassen.

Marcel_75@work

Du sagst, die "Standard"-Variante von VPN wäre die gesplittete Variante, aber das ist Unfug.

Nein.

Marcel_75@work

Es gibt etliche Firmen (ganz vorn weg z.B. Bundesbehörden oder auch 'sensible Daten' kommunizierende Einrichtungen wie Arztpraxen oder Anwaltskanzleien), bei denen ein 'Always-On-VPN' durchaus erwünscht ist, insbesondere bei Firmen-eigenen Geräten.

Nein. Solche Anwender bräuchten dann ja zwei Internet-Provider. Einen für die Basiskommunikation und einen am VPN-Endpunkt.

Marcel_75@work

Und es geht Mr. Horowitz auch gar nicht um User X, der zu Firma Y einen VPN-Tunnel aufbaut, um dort an interne Netzwerk-Resourcen zu gelangen.

Genauso ist es. Also hat das Ganze überhaupt nichts mit einem normalen VPN-Einsatz zu tun.

-5

marm18.08.22 10:04

MTN oder Horowitz

Das stellt naturgemäß insbesondere dann ein großes Risiko dar, wenn man mit iPhone oder iPad ein ungesichertes WLAN nutzt und dann einen VPN-Tunnel etwa zum Heim- oder Firmennetzwerk aufbaut.

Marcel_75@work

Ihm geht es explizit um Personen in Staaten mit starker Überwachung (also beispielsweise China)

Und die beiden Aussagen passen einfach nicht zusammen. Die Szenarien von Regimegegnern und von Firmennetzusern sind nicht gleich.
Die Sicherheitslücke sollte entsprechend in den passenden Kontext gestellt werden und das ist eher der Anonymisierungsdienst für Regimegegner.

Mendel Kucharzeck18.08.22 10:11

Marcel Bresink

Über was reden wir denn bitte hier? Ein Anonymisierungsdienst lässt sich über ein VPN mit einer bestimmten Konfiguration abbilden (Ja, es gibt viele Einsatzzwecke von VPNs, aber das ist eine vorgesehen Möglichkeit). Die Konfiguration des VPNs sollte von Betriebssystem honoriert werden – eine der Konfigurationsmöglichkeiten ist "Leite allen Traffic über den Tunnel". Das macht iOS, anders als andere Systeme, offenbar nicht verlässlich und daher ist es gefährlich.

+11

Marcel_75@work18.08.22 10:25

Ich verstehe Marcel Bresink auch nicht, was gibt es da denn zu diskutieren?

Das was Mendel Kucharzeck noch einmal deutlich um 10:11 Uhr beschreibt, ist doch der Kern der ganzen Sache. Danke & Daumen hoch dafür, besser kann man es nicht formulieren.

Marcel Bresink: Kann es vllt. sein, dass Du Dir nicht mal die Mühe gemacht hast, den originalen Blogbeitrag überhaupt zu lesen?

Vllt. hilft Dir ja der ArsTechnica Artikel zum besseren Verständnis der gewünschten Verhaltensweise von iOS?

Marcel Bresink18.08.22 10:42

Mendel Kucharzeck

Die Konfiguration des VPNs sollte von Betriebssystem honoriert werden

Nein, es ist umgekehrt: Apple sieht es im Moment als Sicherheitslücke an, wenn eine Dritt-App das Recht bekommt, den Netzwerkverkehr des Betriebssystems nach eigenem Ermessen umzuleiten. Das wäre ja noch viel gefährlicher.

Mendel Kucharzeck

eine der Konfigurationsmöglichkeiten ist "Leite allen Traffic über den Tunnel".

Genau, aber das darf eben nur iOS selbst entscheiden, bzw. Apps indirekt über die Nutzung der jeweiligen Zieladressen. Es wird einer App im Moment nicht erlaubt, diese Konfiguration von sich aus auszulösen.

-7

marm18.08.22 10:49

Marcel Bresink

Es müsste dann aber erlaubt/möglich sein, dass der Nutzer mit Installation eines VPN-Profils im Ermessen des Nutzers den Netzwerkverkehr umleitet.
Wenn also per Profil alles in Ordnung ist, dann wäre die Sicherheitslücke keine.

MikeMuc18.08.22 10:50

Marcel_75@work
Steht im Artikel nich am Ende, das der apple eigene VPN Dienst garnicht getestet wurde sondern lediglich „Apps“, also Software von Dritten?
Damit ist die ganze Diskussion hier doch hinfällig solange diese Apps ihr VPN nicht über ein Profil realisieren welches „alles“ durch das VPN routet. Nur wenn selbst dann noch Daten am VPN vorbei fließen, dann kann das zum Risiko werden weil das der normale User selten mitbekommen wird.

Marcel Bresink18.08.22 10:57

marm

Es müsste dann aber erlaubt/möglich sein, dass der Nutzer mit Installation eines VPN-Profils im Ermessen des Nutzers den Netzwerkverkehr umleitet.

Ja, genau das geht. Der Benutzer kann ein Device-Management-Profil z.B. mit der VPN-Payload "VPNType: AlwaysOn" hinterlegen. Das muss dann entsprechend signiert sein, so dass iOS das als erlaubten Eingriff akzeptiert.

Mendel Kucharzeck18.08.22 11:05

Marcel Bresink

Es ist doch völlig egal, wo die Netzwerk-Konfiguration herkommt. Du kannst ja auch einfach das VPN selbst als Profil in iOS hinterlegen mit der Option, allen Traffic umzuleiten – ich wette, auch hier wird der Fehler auftreten, dass zuvor etablierte Verbindungen bei Aktivierung des VPNs aktiv bleiben.

marm18.08.22 11:07

Marcel Bresink

Also lediglich aktivierte VPN-Profile ohne AlwaysOn sind nicht hinreichend?
Für AlwaysOn müsste schon selbst ein Profil mit iMazing Profil Editor o.ä. angelegt werden.

konnektor18.08.22 11:22

Marcel_75@work

Sicherheitsforscher erwarten (in meinen Augen zurecht), dass sämtliche Netzwerkverbindungen "auflegen" und dann ausschließlich über den vorgegebenen VPN-Tunnel erneut eine Verbindung aufbauen.

Die Erwartung über das Verhalten sollte doch bei dem liegen, der das VPN konfiguriert. Der Sinn einer exklusiven Verbindung war immer die Befürchtung sich über die offene Verbindung was einzufangen und über das VPN an das Firmennetzwerk weiterzureichen. Wäre das bei iOS überhaupt möglich?

Marcel Bresink18.08.22 11:40

Mendel Kucharzeck

auch hier wird der Fehler auftreten, dass zuvor etablierte Verbindungen bei Aktivierung des VPNs aktiv bleiben.

Das ist kein Fehler, weil ein übliches VPN diese Funktion nicht braucht.

Was Du wohl meinst, ist, dass Drittanbieter von Anonymisierungs-Apps eine solche Funktion im App Store im Moment nicht anbieten können. Das ist richtig.

-5

Mendel Kucharzeck18.08.22 11:52

Marcel Bresink

Stimmen wir überein, dass es eine zulässige Option ist, ein VPN mit der Option "Allen Traffic über Tunnel leiten" zu betreiben?

Wenn die Konfiguration eines VPNs eine solche Konfiguration zulässt, sollte sich auch das Betriebssystem daran halten, oder? Besonders wenn die Konfiguration grundsätzlich vom Betriebssystem unterstützt wird – nur halt fehlerbehaftet ist.

Hot Mac18.08.22 12:03

Ich bin leider zu unerfahren, um die Diskussion mit Kommentaren bereichern zu können, aber eine Frage habe ich dann doch.
Ist ProtonVPN das Geld denn nicht wert, oder was?!
Klingt an der ein oder anderen Stelle so ...

Mendel Kucharzeck18.08.22 12:10

Hot Mac

Ist ProtonVPN das Geld denn nicht wert, oder was?!
Klingt an der ein oder anderen Stelle so ...

Ich habe wenig Erfahrungen mit VPN-Dienstleistern – mein Wissen über VPNs kommt hauptsächlich aus dem Firmenumfeld.

Die Frage ist: Was erhoffst du dir durch einen VPN-Dienstleister? Anonymität? Sicherheit vor Abmahnungen? Umgehung von Geoblocking?

Hot Mac18.08.22 12:26

Mendel Kucharzeck

Die Frage ist: Was erhoffst du dir durch einen VPN-Dienstleister? Anonymität? Sicherheit vor Abmahnungen? Umgehung von Geoblocking?

Die Illusion von der »absoluten« Anonymität habe ich schon lange aufgegeben.
Für mich ist eigentlich nur die Umgehung von Geoblocking wichtig.

Weitere News-Kommentare anzeigen

Sicherheitsexperte: VPN-Apps für iPhone und iPad sind nutzlos

Kommentare

Kommentieren

Sie müssen sich einloggen, um die News kommentieren zu können.