Gerätekennungen: FBI dementiert iPhone-Datenbank

Kommt nicht von uns: Das FBI weist den Verdacht zurück, Hacker hätten von einem Dienstrechner der US-Bundespolizei eine Datenbank mit sensiblen Informationen kopieren können. Die Hacker-Gruppe AntiSec will an zwölf Millionen Datensätze mit eindeutigen Gerätekennungen von iPhones und iPads gelangt sein.

In einer Mitteilung des FBI heißt es, es gebe zu diesem Zeitpunkt keine Hinweise darauf, dass ein Laptop kompromittiert wurde. Außerdem habe man die fraglichen Daten gar nicht und habe sich auch nicht um solche Daten bemüht.

Die Hacker stellten zum Beweis ihres Beutezugs eine Datei mit 1.000.001 Datensätzen ins Netz. In der rund 130 MB großen Textdatei befinden sich jeweils zwei Codes und der Name des Geräts, zum Beispiel "Ryan's iPad". Bei den Nummern handelt es sich um die eindeutige Gerätekennung, die Unique Device Identifier (UDID) nennt, sowie einen Code für Push-Benachrichtigungen.

AntiSec behauptet, einige der Datensätze hätten außerdem Namen, Adressen und Telefonnummern enthalten, diese habe man vor der Veröffentlichung aber entfernt. Insgesamt wollen die Hacker 12.367.232 solcher Datensätze haben, angeblich kopiert im März von einem FBI-Rechner. Die Hacker behaupten sogar, den Rechnertyp zu kennen - ein Dell Vostro Notebook - und den Namen des FBI-Agenten und dessen Einheit.

Woher kommen die Daten?

Erst Ende März hatte Apple damit begonnen, Apps den Zugriff auf die 40-stellige UDIDs zu verbieten. Zumindest neuen Apps, die von ihren Entwicklern zur Aufnahme in den App Store an Apple übergeben wurden. In der aktuellen Version des mobilen Betriebssystems, iOS 5, ist der Zugriff abgeschaltet. Bis dahin konnte die eindeutige Kennung von Apps genutzt werden, um Geräte für Voreinstellungen oder wohl häufiger für die Ausspielung von Werbung zu identifizieren.

Deswegen ist es möglich, dass Listen von UDIDs existieren, die mit weiteren Nutzerdaten verknüpft sind - das war von Apple zwar nicht vorgesehen. Doch letztlich konnte aber nicht kontrolliert werden, was mit den Daten passierte, wenn sie von einer App über das Internet an die Server der App-Entwickler geschickt wurden.

Mit diesen Daten lassen sich beim Spiele-Netzwerk OpenFeint Statistiken des Spielers abfragen, sein Spielername und ob er gerade spielt, schreibt Telecom Asia. Anfang des Jahres hatte OpenFeint eine Sicherheitslücke notdürftig geschlossen, zuvor konnte mit Hilfe der UDID sogar der aktuelle Aufenthaltsort und das Facebook-Profil abgefragt werden.

Nach Aufdeckung dieser Sicherheitslücke war eine öffentliche Diskussion um Apples eindeutige Gerätekennungen entbrannt. Es ist denkbar, dass die nun veröffentlichten Daten aus solchen Quellen stammen und nicht vom FBI. Allerdings hat die US-Bundespolizei in ihrer sorgsam formulierten Stellungnahme nicht generell bestritten, Datenbanken mit UDIDs zu besitzen.

Dem Autor auf Facebook folgen