En feil i iOS 13 gjør at alle lagrede passord kan vises uten autorisasjon

Å teste betaversjoner av systemer har både lyse og mørke sider. Det er fristende å kunne prøve ut alle de nye funksjonene før de slippes, men på den annen side er testere og utviklere utsatt for risikoen for alvorlige sikkerhetsfeil. Dette er ikke tilfellet med Apple og deres nye iOS 13 og iPadOS-systemer, der en feil har blitt oppdaget som lar deg se alle passord, e-poster og brukernavn som er lagret på enheten uten behov for autorisasjon.

Feilen påvirker brukere som bruker nøkkelring-funksjonen på sin iPhone eller iPad. Dette lar deg lagre alle lagrede passord og tilbyr deretter funksjonen for automatisk utfylling og pålogging til applikasjoner og nettsider etter brukerautentisering via Touch ID eller Face ID.

Lagrede passord, brukernavn og e-poster kan også vises i Innstillinger, i delen Passord og kontoer, spesielt etter å ha klikket på elementet Nettsted og applikasjonspassord. Her vises alt lagret innhold til brukeren etter passende autentisering. For iOS 13 og iPadOS kan imidlertid autentisering via Face ID/Touch ID enkelt omgås.

Å utnytte feilen er slett ikke komplisert, alt du trenger å gjøre er å klikke på det nevnte elementet gjentatte ganger etter den første mislykkede autorisasjonen, og etter flere forsøk vil innholdet bli fullstendig skrevet ut. Et eksempel på den beskrevne prosedyren finner du i videoen fra kanalen vedlagt nedenfor iDeviceHelp, som oppdaget feilen. Etter hacking er både søk og visning av informasjon om hvilken nettside/tjeneste/applikasjon det oppgitte brukernavnet og passordet er tildelt tilgjengelig.

Det skal imidlertid bemerkes at feilene kun kan utnyttes hvis enheten allerede er låst opp. Derfor, hvis du har iOS 13 eller iPadOS installert og låner ut iPhone eller iPad til noen, ikke la enheten være uten tilsyn. Det er tross alt derfor vi påpeker feilen – slik at du som testere av nye systemer tar ekstra varsomhet.

Apple bør skynde seg å fikse i en av de neste betaversjonene. Men en av diskutantene på serveren 9to5mac bemerker at Apple allerede påpekte feilen under testingen av den første betaen, og selv om ingeniørene ba om detaljert informasjon, klarte de ikke å fikse det selv etter mer enn en måned.

Apple advarer alle utviklere og testere som deltar i systemets testprogram om at betaversjoner kan inneholde feil. Alle som installerer iOS 13, iPadOS, watchOS 6, tvOS 13 og macOS 10.15 må derfor regne med en mulig sikkerhetstrussel. Av denne grunn fraråder Apple på det sterkeste å installere systemer for testing på en primær enhet.