iOS: Forschung trickst Apples Foto-Scan aus

Neuralhash, die Kernkomponente von Apples umstrittener Foto-Scan-Funktion, wurde von Forschern nachgebaut und ausgetrickst.

Artikel veröffentlicht am ,
Kollision mit dem Apple-Logo?
Kollision mit dem Apple-Logo? (Bild: DUFONE/Pixabay)

Apple möchte zukünftig auf den iPhones seiner Nutzer nach kinderpornografischen Inhalten suchen. Mehrere Forscher behaupten nun, die Kernkomponente des Systems nachgebaut und ausgetrickst zu haben. Apple sieht darin jedoch kein Problem.

Stellenmarkt
  1. Systemarchitekt:in Audio / Video Streaming (m/w/d)
    Westdeutscher Rundfunk, Köln
  2. Wissenschaftliche Referentin oder wissenschaftlicher Referent (w/m/d)
    DLR Deutsches Zentrum für Luft- und Raumfahrt e.V., Bonn, Berlin
Detailsuche

Um Bilder mit Kindesmissbrauch zu erkennen, setzt Apple auf eine Technik namens Neuralhash. Mit dieser werden Hashes/Fingerabdrücke von Fotos erstellt und mit in einer Datenbank hinterlegten Hashes von Missbrauchsbildern abgeglichen. Das Neuralhash-Verfahren soll dabei sicherstellen, dass auch leicht veränderte Bilder weiterhin erkannt werden.

Nun ist es einer Person gelungen, das System nachzubauen und entsprechende Informationen und Software auf Github zu veröffentlichen. Dazu müssen insgesamt vier Dateien aus einem aktuellen MacOS oder iOS extrahiert werden. Für letzteres ist ein Jailbreak erforderlich.

Nur kurze Zeit später gab ein Sicherheitsforscher an, dass es ihm gelungen sei, eine Kollision zu erzeugen, also ein Bild zu generieren, das den Hash/Fingerabdruck eines anderen Bildes besitzt. Damit ist es dem Forscher gelungen, das System auszutricksen, denn für Neuralhash handelt es sich bei den beiden unterschiedlichen Bildern um das gleiche Bild.

Golem Karrierewelt
  1. Adobe Premiere Pro Grundkurs: virtueller Zwei-Tage-Workshop
    26./27.09.2022, Virtuell
  2. LDAP Identitätsmanagement Fundamentals: virtueller Drei-Tage-Workshop
    18.-20.10.2022, Virtuell
Weitere IT-Trainings

Apple hatte bei der Vorstellung des Systems betont, dass es gegen solche Kollisionsangriffe resistent sei: "Die Hashing-Technologie, Neuralhash genannt, analysiert ein Bild und konvertiert es in eine eindeutige Nummer, die für dieses Bild spezifisch ist."

Apple: Noch nicht die endgültige Version von Neuralhash

Auf Nachfrage des Onlinemagazins Motherboard teilte Apple mit, dass es sich bei der auf Github analysierten Neuralhash um eine generische und nicht um die endgültige Version handle, die für den Foto-Scan auf den iPhones verwendet werden soll. Apple betonte zudem, dass es den Algorithmus öffentlich gemacht habe.

"Wenn es für diese Funktion Kollisionen gibt, erwarte ich, dass sie auch in dem System existieren, das Apple letztendlich aktiviert", sagte Matthew Green, der an der Johns Hopkins Universität Kryptographie lehrt, dem Onlinemagazin. "Natürlich ist es möglich, dass sie die Hash-Funktion verändern, bevor sie sie einsetzen. Aber als Proof of Concept ist [der Kollisionsangriff] definitiv gültig."

Der Direktor der Sicherheitsfirma Sixgen, Ryan Duff, hält Apples Algorithmus für ziemlich anfällig für solche Angriffe. "Man kann darüber streiten, wie riskant das ist. Es bedeutet, dass die Wahrscheinlichkeit, dass eines ihrer Bilder mit kinderpornografischen Inhalten übereinstimmt, praktisch gleich Null ist", sagte Duff. "Aber jemand könnte Ihnen ein Bild schicken, das nach dem Neuralhash-Algorithmus als kinderpornografisch detektiert wird."

2022 Apple MacBook Pro Laptop mit M2 Chip

Allerdings dürften die realen Auswirkungen einer Kollision erst einmal gering sein, wie Nicholas Weaver, leitender Forscher am International Computer Science Institute der Berkeley Universität, anmerkt: "Apple hat dieses System so konzipiert, dass die Hash-Funktion nicht geheim bleiben muss, denn das Einzige, was man mit 'Nicht-kinderpornografischem-Material, das als kinderpornografisches Material gehasht wird' tun kann, ist, Apples Reaktionsteam mit einigen Müllbildern zu belästigen, bis sie einen Filter implementieren, um diese Falschmeldungen in ihrer Analyse-Pipeline zu eliminieren."

Erst wenn 30 Bilder, die auf dem iPhone gescannt und in die iCloud geladen wurden, von Neuralhash positiv auf Kindesmissbrauch getestet wurden, schlägt Apples System in der iCloud an. Dort sollen die Fotos erneut gescannt und anschließend von Apple-Angestellten überprüft werden. Wird kinderpornografisches Material entdeckt, werden das iCloud-Konto des Betroffenen gesperrt und ein Bericht an eine Kinderschutzorganisation gesendet. Diese kann dann die Strafverfolgungsbehörden einschalten.

Apple-Angestellte, Bürgerrechtler und Journalisten kritisieren den Foto-Scan

Apples geplanter Foto-Scan erntete in den vergangen Wochen von etlichen Seiten Kritik, darunter Journalistenverbände, die die Pressefreiheit in Gefahr sehen, etliche Bürgerrechtler, Apple-Angestellte und bekannte Persönlichkeiten. "Egal wie gut es gemeint ist, Apple erlaubt damit Massenüberwachung auf der ganzen Welt", erklärte etwa der Whistleblower Edward Snowden.

Auch Whatsapp-Chef Will Cathcart kritisierte das von "Apple gebaute und betriebene Überwachungssystem". Die US-Bürgerrechtsorganisation Electronic Frontier Foundation (EFF) bezeichnete die Technik als Backdoor, trotz der technischen Erklärungen Apples, wie die Privatsphäre der Nutzer geschützt werden solle: "Am Ende des Tages ist selbst eine gründlich dokumentierte, sorgfältig durchdachte und eng gefasste Hintertür immer noch eine Hintertür."

Der iPhone-Hersteller verteidigte die neue Funktion und kündigte an, jegliche Versuche von Regierungen, die das Verfahren für die Suche nach anderen Inhalten nutzen wollten, abzuweisen. In einer Stellungnahme spielte das Unternehmen auf Forderungen des FBI an, die von Apple eine Abschwächung der Geräteverschlüsselung forderten.

Allerdings hat es Apple unterlassen, die iCloud so zu verschlüsseln, dass nur noch die Nutzer selbst auf ihre Daten und Backups zugreifen können. Eine entsprechende Funktion war zwar geplant, wurde jedoch nie umgesetzt, um einem Konflikt mit dem FBI aus dem Weg zu gehen. So kann Apple und damit auch das FBI auf nahezu alle Daten der iPhones zugreifen, sofern sie mit der iCloud synchronisiert werden.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


FreiGeistler 02. Nov 2021

Mitte 2020 war das noch nicht so. Gibt auch einen Golem-Artikel darüber.

FreiGeistler 02. Nov 2021

Ohne Cloud?

FreiGeistler 02. Nov 2021

Und jeder vernünftigen Cloud/Hoster sind Kundendaten heilig, hat die nicht anzufassen...

phade 20. Aug 2021

... muss ein Krimineller sein, wenn er ein close-source-Smartphone benutzt ? Das dann...



Aktuell auf der Startseite von Golem.de
25 Jahre Dungeon Keeper
Wir sind wieder richtig böse!

Nicht Held, sondern Monster: Darum geht's in Dungeon Keeper von Peter Molyneux. Golem.de hat neu gespielt - und einen bösen Bug gefunden.
Von Andreas Altenheimer

25 Jahre Dungeon Keeper: Wir sind wieder richtig böse!
Artikel
  1. bZ4X: Toyota bietet Rückkauf seiner zurückgerufenen E-Autos an
    bZ4X
    Toyota bietet Rückkauf seiner zurückgerufenen E-Autos an

    Toyota bietet Kunden den Rückkauf seiner Elektro-SUVs an, nachdem diese im Juni wegen loser Radnabenschrauben zurückgerufen wurden.

  2. Laptops: Vom Bastel-Linux zum heimlichen Liebling der Entwickler
    Laptops
    Vom Bastel-Linux zum heimlichen Liebling der Entwickler

    Noch vor einem Jahrzehnt gab es kaum Laptops mit vorinstalliertem Linux. Inzwischen liefern das aber sogar die drei weltgrößten Hersteller - ein überraschender Siegeszug.

  3. Entwicklerstudio: Eidos Montreal möchte Cyberpunk 2077 mit Deus Ex toppen
    Entwicklerstudio
    Eidos Montreal möchte Cyberpunk 2077 mit Deus Ex toppen

    Eidos Montreal würde gerne ein neues Deus Ex machen. Der Plan, damit Cyberpunk 2077 zu übertrumpfen, scheitert aber vorerst an einem Detail.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • MindStar (u. a. Samsung 980 1 TB 77€ und ASRock RX 6800 639€ ) • Alternate (u. a. Corsair Vengeance LPX 8 GB DDR4-3200 34,98€ ) • AOC GM200 6,29€ • be quiet! Deals • SSV bei Saturn (u. a. WD_BLACK SN850 1 TB 119€) • Weekend Sale bei Alternate • PDP Victrix Gambit 63,16€ [Werbung]
    •  /