Das Browser-PDF-Leck und die Hardware-ROMs: Ein Blick in die Frühzeit der iOS-Sicherheits-Exploits

Im Juli 2011 reichte das Öffnen eines speziell präparierten PDF-Dokuments im mobilen Safari-Browser auf einem iPad 2 mit iOS 4.3.3 aus, um die grundlegende Sicherheit des Geräts geräuschlos zu untergraben. Der Exploit ermöglichte einen webbasierten Root-Zugriff ganz ohne Desktop-Computer oder Kabelverbindung. Diese einzelne Schwachstelle in einer Browser-Rendering-Komponente demonstrierte eindrucksvoll, wie sich Anwendungssoftware ausnutzen ließ, um vollständige Administratorenrechte über das iOS-Betriebssystem zu erlangen.

Der PDF-Exploit und die Freiheit aus dem Web

Hinter der Sicherheitslücke in Safari steckte das Werkzeug JailbreakMe 3.0 des Entwicklers Nicholas Allegra, der online unter dem Pseudonym comex bekannt ist. Allegra hatte zuvor im Mai 2010 den Spirit-Jailbreak und im August 2010 JailbreakMe 2.0 veröffentlicht. Mit dem im Juli 2011 erschienenen JailbreakMe 3.0 zielte er auf einen Speicherfehler in der PDF-Rendering-Komponente von Safari ab, um erweiterte Root-Rechte auf Geräten mit iOS 4.3 zu erlangen. Wie die dokumentierte Geschichte der iOS-Sicherheit zeigt, löste die Veröffentlichung rasches Handeln bei Regulierungsbehörden aus. Am 15. Juli 2011 veröffentlichte Apple ein Notfall-Update für iOS, um die PDF-Sicherheitslücke zu schließen, nachdem das deutsche Bundesamt für Sicherheit in der Informationstechnik gewarnt hatte, dass Angreifer dieselbe Schwachstelle nutzen könnten, um unbefugten Code einzuschleusen.

Low-Level-Hacks und Boot-ROM-Sicherheitslücken

Während sich Allegra auf die Anwendungssoftware im Userland konzentrierte, griff der Entwickler George Hotz tiefere Hardware-Ebenen der Systemarchitektur an. Hotz hatte zuvor frühe Jailbreak-Werkzeuge wie purplera1n für iPhone OS 3.0 und blackra1n für iPhone OS 3.1.2 entwickelt. Im Oktober 2010 veröffentlichte Hotz mit limera1n ein Hilfsprogramm, das eine Sicherheitslücke im Boot-ROM-Code des Geräts ausnutzte. Schwachstellen im Boot-ROM befinden sich in der unveränderlichen Boot-Hardware unterhalb des eigentlichen Betriebssystems. Da Boot-ROM-Code bei der Herstellung dauerhaft in das Silizium eingeätzt wird, konnte Apple limera1n nicht durch Software-Updates über die Luft patchen. Die Behebung solcher Hardware-Exploits erforderte physische Silizium-Überarbeitungen, wie etwa die modifizierten Chips, die in späteren Fertigungsserien von Geräten wie dem iPhone 3GS eingesetzt wurden.

Der Höhepunkt desktopbasierter Untethered-Jailbreaks

Als die Schutzmechanismen der Plattform komplexer wurden, wichen unabhängige Entwickler auf Desktop-Anwendungen aus, die mehrere Sicherheitslücken kombinierten. Am 4. Februar 2013 erschien mit evasi0n ein untethered Jailbreak-Tool für Linux, OS X und Windows, das auf Geräte mit iOS 6 zielte. Das öffentliche Interesse an der Veröffentlichung war so überwältigend, dass der extreme Ansturm weltweit zu schweren Serverfehlern beim Download führte. Evasi0n markierte den Höhepunkt desktopbasierter Untethers, indem es mehrere Software-Schwachstellen in einem einzigen automatisierten Paket bündelte. Mit dem Update auf iOS 6.1.3 schloss Apple diese Exploit-Kette schließlich dauerhaft, was das Ende leicht erreichbarer Untethers im Userland einläutete.

Von Rootless zu Symlinks: Die moderne Härtung der Plattform

Um systemweite Kompromittierungen zu verhindern, überarbeitete Apple die Architektur seines Betriebssystems grundlegend. Am 16. September 2015 veröffentlichte Apple iOS 9 mit „Rootless“, einem Sicherheitssystem, das Superuser-Rechte einschränkte und traditionelle Jailbreak-Techniken neutralisierte. Spätere Versionen führten das Signed and Sealed System Volume ein, um die Integrität der Systemdateien zu gewährleisten. Infolgedessen verändern moderne Rootless-Jailbreaks unter iOS 15 und neuer das schreibgeschützte Root-Dateisystem nicht mehr. Stattdessen umgehen die Werkzeuge das Sealed System Volume, indem sie Modifikationen nach /private/preboot/$boot-manifest-hash$/procursus leiten und auf Drittanbieter-Anpassungen über einen Symlink unter /var/jb zugreifen.

Während moderne mobile Sicherheit auf versiegelte Volumes und kryptografische Prüfungen setzt, haben frühe Browser-Schwachstellen und Boot-ROM-Exploits das Design von Betriebssystemen nachhaltig geprägt. Das Katz-und-Maus-Spiel zwischen unabhängigen Sicherheitsforschern und Plattform-Ingenieuren wandelte die isolierte Jagd nach Sicherheitslücken in ein solides Fundament für das moderne Mobile-Sandbox-Sicherheitskonzept um.

Titelbild: KI-generierte Illustration; kein Dokumentarfoto.

Quelle: IOS jailbreaking