Met de introductie van iOS 8 heeft Apple ervoor gezorgd dat gegevens op het toestel standaard versleuteld zijn, maar dat wil nog niet zeggen dat ze helemaal buiten het bereik van politie of opsporingsdiensten zijn, zo waarschuwt beveiligingsonderzoeker Jonathan Zdziarski.

Het probleem is dat bepaalde services nog steeds toegang tot de media-folder op het toestel kunnen krijgen, ook al is het apparaat vergrendeld. Dit gebruiksgemak zorgt er volgens Zdziarski ook voor dat opsporingsdiensten informatie zoals opnamen, video's, foto's, podcasts, boeken, andere iTunes-media en alle third-party applicatiegegevens kunnen dumpen.

De onderzoeker testte dit met zijn eigen forensische tools en stelt dat hij alle third-party applicatiegegevens kon dumpen, waaronder caches, databases en screenshots, alsmede foto's en andere media. Om dit mogelijk te maken moet een aanvaller of opsporingsdienst wel over een "trusted pairing record" op een desktop of laptop beschikken die met de iPhone is gekoppeld. Daarnaast is vanaf iOS 8 ook fysieke toegang tot het toestel noodzakelijk.

Maatregelen

Gebruikers kunnen echter maatregelen nemen om deze aanvalsvector uit te schakelen, gaat Zdziarski verder. Het uitschakelen van de iPhone, bijvoorbeeld op een vliegveld, zorgt ervoor dat pairing records niet in staat zijn om de iPhone te ontgrendelen als die is uitgeschakeld. "De pairing record-kwetsbaarheid werkt alleen als je je telefoon hebt gebruikt sinds die opnieuw is opgestart", zo laat de onderzoeker weten.

Daarnaast adviseert hij om sterke encryptie op desktops en laptops te gebruiken en ervoor te zorgen dat als gebruikers op reis of vakantie gaan de computer die ze meenemen volledig is uitgeschakeld. Al met al is Zdziarski zeer te spreken over de beveiligingsmaatregelen die Apple in iOS 8 genomen heeft. Hij is het dan ook niet eens met sommige critici die stellen dat Apple het lastiger voor politie maakt om hun werk te doen.

"Als je de beveiliging verzwakt om forensisch onderzoek mogelijk te maken, verzwak je het voor iedereen en open je de deur voor buitenlandse overheden en cybercriminelen om iedereen aan te vallen", stelt de onderzoeker. Volgens Zdziarski is het juist in het belang van privacy en veiligheid om producten zo veilig mogelijk te maken. "En laat goed detectivewerk misdaad oplossen, in plaats van een eenvoudige druk op de knop."