Da Zugriffe über die USB-Schnittstelle zunehmend besser abgesichert werden, stoßen Anbieter forensischer Datenextraktion offenbar immer häufiger auf Schwierigkeiten. Es müssen also alternative Wege gefunden werden.
Cellebrite, das im Bereich der digitalen Forensik zu den führenden Anbietern zählt, soll nun eine Methode zur Datenextraktion über Bluetooth entwickelt haben. Dabei wird offenbar ein bislang unbekannter Exploit ausgenutzt. Genauere technische Details sind allerdings nicht öffentlich bekannt.
Begünstigt wird ein solcher Angriff natürlich auch dadurch, dass viele iPhone-Nutzer Bluetooth zwar nicht aktiv verwenden, die Verbindung aber dauerhaft eingeschaltet lassen.
Meine persönliche Meinung dazu:
GrapheneOS zeigt meines Erachtens recht gut, wie man es besser machen kann: Ungenutzte Funkverbindungen lassen sich dort nach einer festgelegten Zeit automatisch deaktivieren. Das reduziert die Angriffsfläche, ohne dass man ständig selbst daran denken muss.
Betroffen sein sollen demnach iPhones bis einschließlich der iPhone-16-Reihe. Das iPhone Air sowie die iPhone-17- und iPhone-18-Reihen sollen hingegen nicht betroffen sein. Persönlich gehe ich davon aus, dass auch das iPhone 16e nicht betroffen ist. Das ist allerdings eine Vermutung und keine bestätigte Information.
Zur Quellenlage: Viel Konkretes lässt sich dazu derzeit nicht sagen. Cellebrite informiert über derartige technische Fortschritte inzwischen überwiegend in vertraulichen Meetings. Öffentlich zugängliche Geräte- und Versionsmatrizen werden nicht mehr herausgegeben – vermutlich auch eine Reaktion auf frühere veröffentlichte Leaks.
Es bleibt abzuwarten, welche technischen Details noch öffentlich bekannt werden.
Es ist ein ständiges Katz- und Mausspiel zwischen Angreifer wie in diesem Fall Cellebrite und Herstellern wie Apple was Schwachstellen angeht. Anscheinend ist ja nun die USB-Absicherung recht gut gelungen, dass Celebrite sich eben auf die nächste Schnittstelle verlegt und hier ansetzt um Datenextration zu betreiben. Ich vermute, dass Apple irgendwann reagieren wird und Schwachstellen schließt oder auch im Bluetooth Modul weitere Sicherheitsfunnktionen als Gegenmaßnahme einbinden wird.
Bluetooth werden denke ich sehr viele Apple User nicht deaktivieren da einfach zu viel im Zusammenspiel von Apple-Geräten verloren geht. Bei mir wären es die Nutzung von Apple Airpods, Apple Watch und eben auch Handoff-Funktionen um verschiedene Apple Geräte komfortabel gemeinsam zu nutzen.
Wir kommen damit dann wieder zum Thema der persönlichen Gefährdungseinschätzung vs. des Wunsches Funktionen zu benutzen. Ich sehe für mich oder die Firma für die ich tätig bin derzeit nicht relevant durch Behörden oder andere Instanzen gefährdet die Tools wie Celebrite einsetzen könnten. Daher sehe ich für mich auch keine konkrete Gefährdung und Notwendigkeit auf Bluetooth zu verzichten. Wenn eine solcher Exploit sich in die allgemeineren Angriffe auf Jedermann fortsetzen, mag das anderes werden.
Interessant ist es jedoch, dass über Bluetooth potentiell auch ein iPhone dass sich noch in Besitz des Eigentümers befindet angegriffen werden könnte.
Wie funktioniert es denn bei Watch und AirPods z.B.? Der Pencil (iPads) hat ja immer eine BT-Verbindung, auch wenn man BT übers Kontrollzentrum ausschaltet, ist das nur eine Teilabschaltung. Sind Watch und AirPods genauso priorisiert?
Bin mir nicht mal sicher, ob BT auch für den Pencil aus ist, wenn man es über das Einstellungsmenü macht.
Herunterfahren über Einstellungen soll ja auch das „Richtige“ herunterfahren sein, während es über die Wischgestern eher ein Standby ist.
Ich bin ein Fan von Tasker bzw. von solchen Automatisierungs-Apps: alle Sensoren, Bluetooth, WLAN, Standortdienste schalte ich damit, automatisch, nur bei Bedarf und danach wieder aus. Die meiste Zeit sind sie aus, sicherlich aus guten Gründen, wie der Eingangsbeitrag zeigt.
(Leider braucht Tasker mittlerweile für viele dieser nützlichen Eingriffe spezielle Berechtigungen, erteilt via ADB, oder gar Root-Zugriff.)
Bei meiner Custom Rom (crDroid) kann man Bluetooth (und WLAN) auch deaktivieren lassen, wenn länger nichts verbunden ist. Recht praktisch.