‘Apple repareert beveiligingslek in iOS 9.2.1’

In de nieuwste iOS-update, die nu te downloaden is, wordt een belangrijke fout opgelost. Daarmee was het voor hackers mogelijk om de online identiteit van gebruikers te kopiëren.

iOS beveiligingslek gedicht

Dat schrijft het beveiligingsbedrijf Skycure en ook Apple noemt het op een webpagina. Skycure zou al in 2013 aan de bel hebben getrokken bij Apple rond het lek, maar pas sinds deze week is het gat gedicht met de komst van iOS 9.2.1. Het is niet bekend of er ooit misbruik van het lek gemaakt is.

Toch was het een gevaarlijk gat in de beveiliging van Apple, schrijft Skycure. Hackers hadden via het lek een zogeheten ‘captive portal’ kunnen opzetten. Dit zijn inlogpagina’s die op openbare plekken verschijnen, bijvoorbeeld in koffietentjes, restaurants of in hotels. Op dit soort pagina’s moeten gebruikers zich vaak legitimeren of akkoord gaan met voorwaarden voordat ze toegang tot het netwerk krijgen.

Opening voor hackers

Door misbruik van het lek te maken, konden kwaadwillenden bijvoorbeeld cookies van gebruikers stelen. Op die manier kan de hacker zich voordoen als het slachtoffer op een website. Ook kan een hacker gebruikers inloggen bij een door hem gecontroleerde website en is het mogelijk om een cache-aanval aan slachtoffers te hangen. Als zij naar een bepaalde site surfen, zou de aanval steeds plaatsvinden, zonder dat het slachtoffer dat weet.

Hoewel Apple er bijna drie jaar over zou hebben gedaan om het gat te dichten, noemt Skycure het wel een lastig lek. “De reparatie was veel ingewikkelder dan je je kunt voorstellen”, schrijft het bedrijf. “Zoals altijd was Apple heel ontvankelijk voor meldingen en staat het open om de veiligheid van zijn gebruikers te waarborgen.”

In iOS 9.2.1 presenteert Apple geen grote vernieuwingen, maar loste het vooral bugs en beveiligingsproblemen op. Als we een YouTube-video mogen geloven, maakt de update ook oudere toestellen weer een beetje sneller.

Lees meer over iOS 9

• Australische toezichthouder sleept Apple voor de rechter om ‘Error 53’ (6-4-2017)