Apples Computeruhr hat auf ein iPhone vollen Zugriff: Die Apple Watch teilt mit dem Handy nahezu alles, von der Kommunikation (Nachrichten-App, Telefonie) über die Kreditkarten (Wallet-App, wobei diese einzeln hinterlegt werden müssen) bis hin zu Gesundheitsdaten oder der iPhone-Kamera-Steuerung (Fernauslösung auf der Uhr). Entsprechend wichtig ist es, dass nur eine berechtigte Apple-Smartwatch sich mit dem iPhone verbindet. Apple hat dazu eine Reihe von Protokollen und Maßnahmen ergriffen. Zumindest das Prinzip dahinter liegt aber mittlerweile offen: Nils Rollshausen, Researcher mit Spezialisierung auf Wearable Security, hat am Seemoo-Labor der TU Darmstadt ein erfolgreiches Reverse-Engineering-Projekt der Apple Watch durchgeführt.
Falsche Apple Watch sagt Hallo
Die von Rollshausen entwickelte Hard- und Software-Kombination, die bereits im vergangenen Jahr vorgestellt und mittlerweile verfeinert wurde, durchläuft die von Apple vorgesehenen Sicherheitsschritte zur Verbindung zwischen der falschen Apple Watch und dem iPhone. Der Nutzer muss der Verbindung allerdings zustimmen, ein Angreifer würde also Zugriff auf das iPhone benötigen. Eine spezifische Geräte-Attestierung oder eine andere Funktion, mit der wirklich nur echte Apple-Uhren sich verbinden können, fand Rollshausen nicht. „Auf diese Mauer habe ich die ganze Zeit gewartet, sie kam aber nicht.“ Allerdings war eine spezifische Attacke notwendig, zu der derzeit an einem Paper gearbeitet wird.
