Ny iPhone-feil kan ikke bare patches bort

Hva skjedde

TechCrunch skriver at det europeiske offensive cybersikkerhetsselskapet Paradigm Shift har publisert detaljer om en ny feil i Apple-brikker, samt en teknikk for å utnytte den. Ifølge saken kan dette åpne døren for at hackere kan låse opp og bryte seg inn i eldre iPhoner, blant annet i form av jailbreak.

Det som mangler i den tilgjengelige informasjonen, er helt sentralt: Vi får ikke vite nøyaktig hvilke iPhone-modeller eller brikker som er berørt, hvor vanskelig angrepet er i praksis, eller om det krever fysisk tilgang til enheten.

Bilde: Apple

Hva det betyr

Når en feil beskrives som uoppdaterbar, betyr det normalt at den sitter i maskinvare eller lavnivåkode som ikke kan erstattes fullt ut med en vanlig iOS-oppdatering. Apple kan ofte dempe konsekvensene med programvareendringer, men kan ikke nødvendigvis fjerne selve grunnproblemet på enheter som allerede er solgt.

For vanlige brukere er det likevel viktig å holde hodet kaldt. En jailbreak-mulighet er ikke automatisk det samme som en lett fjernangrepstrussel mot alle. Risikoen avhenger av detaljer vi ikke har her: modell, angrepskjede, tilgangskrav og hvor godt nyere iOS-versjoner begrenser skadeomfanget.

For bedrifter, skoler og offentlig sektor er saken mer alvorlig som prinsipp: eldre enheter får en annen risikoprofil når maskinvarefeil blir praktisk utnyttbare. Det gjelder særlig i miljøer der iPhone brukes til BankID, tofaktorautentisering, e-post, helseopplysninger eller internsystemer.

Min vurdering

Min take er at dette først og fremst er en livsløpssak, ikke en «jailbreak er tilbake»-sak. Apple har i mange år vært flinke til å forlenge levetiden på iPhone med lange oppdateringsløp. Men lange oppdateringsløp fjerner ikke alle maskinvarebegrensninger.

Det er her mange norske virksomheter bør være mer presise i policyene sine. Det holder ikke bare å si «iPhone må være oppdatert». Man bør også ha en praktisk grense for hvor gamle enheter som kan brukes til jobbdata, særlig når de brukes som nøkkel til andre systemer via 2FA eller BankID-lignende flyter.

Jeg ville ikke anbefalt private brukere å få panikk eller bytte telefon basert på denne informasjonen alene. Men jeg ville heller ikke avfeid saken. Når sikkerhetsforskere publiserer en uoppdaterbar brikkefeil, er det et signal om at gamle enheter gradvis bør flyttes ut av roller der de fungerer som sikkerhetsanker.

Hva du bør gjøre

• Oppdater iPhone til nyeste tilgjengelige iOS-versjon, selv om selve brikkefeilen ikke kan fjernes.
• Unngå å jailbreake en iPhone du bruker til BankID, jobb, e-post eller tofaktorautentisering.
• Hvis du administrerer enhetsflåter: kartlegg hvilke eldre iPhone-modeller som fortsatt er i bruk.
• Sett en tydelig aldersgrense for enheter som får tilgang til jobbdata eller MDM-profiler.
• Vent på mer konkret modellinformasjon før du trekker konklusjoner om akkurat din iPhone.

Kilder

• TechCrunch