Apple hævder, at Lockdown Mode stadig holder stand mod lejesoldat-spyware

Apple siger, at selskabet ikke har kendskab til nogen vellykket “mercenary spyware”-infektion på en Apple-enhed, mens Lockdown Mode har været slået til. Udmeldingen kommer i et svar til TechCrunch og rammer en debat, hvor iPhone ellers ofte figurerer i sager om avanceret overvågningssoftware.

Hvis påstanden holder, er det et ret sjældent eksempel på en målrettet sikkerhedsfunktion, der ikke bare lyder hård i en keynote, men som også ser ud til at ændre angribernes adfærd i praksis.

Hvad Apple konkret siger – og hvad de ikke siger

Apple formulerer det som, at de “ikke er bekendt med” nogen succesfulde angreb mod enheder med Lockdown Mode aktiveret. Det er vigtigt: Det er ikke det samme som et matematisk bevis på, at det aldrig er sket. Det er en status baseret på Apples telemetri, indrapporterede hændelser, virksomhedens egen trusselsjagt og samarbejde med eksterne miljøer.

Udmeldingen handler desuden specifikt om den kategori, Apple kalder mercenary spyware – altså kommercielle, stats-lignende overvågningsværktøjer som typisk sælges til myndigheder og bruges mod højrisiko-mål (journalister, aktivister, advokater, oppositionspolitikere m.fl.). Det siger ikke noget om alle andre typer angreb, phishing eller kontoovertagelser.

Hvad Lockdown Mode er – og hvorfor den er så restriktiv

Lockdown Mode blev introduceret af Apple i 2022 som en frivillig “hård” sikkerhedsprofil på iPhone, iPad og Mac. Pointen er ikke at gøre alle mere sikre i hverdagen, men at give de mest udsatte brugere en tilstand, hvor angrebsfladen skæres markant ned.

Når Lockdown Mode er aktiv, begrænses en række funktioner, der historisk har været attraktive mål for zero-click-kæder: beskedindhold og vedhæftninger strammes, visse komplekse web-teknologier og scripting-mekanismer dæmpes, og enheden bliver mere skeptisk over for usikre forbindelser og “smart” bekvemmelighed, der kan udnyttes.

Det betyder i praksis, at din Apple-enhed bliver mindre fleksibel – og netop derfor sværere at ramme med de mest sofistikerede exploits, der ofte lever af komplekse parsere, preview-funktioner og automatisk behandling af indhold.

Eksterne sikkerhedsmiljøer: Ingen dokumenterede bypasses (endnu)

Ifølge TechCrunch udtaler Donncha Ó Cearbhaill, der leder Amnesty Internationals security lab, at de ikke har set evidens for en succesfuld kompromittering af en iPhone af mercenary spyware, hvor Lockdown Mode var slået til på angrebstidspunktet.

Det er en væsentlig pointe, fordi organisationer som Amnesty og Citizen Lab (University of Toronto) i årevis har dokumenteret konkrete, succesfulde spyware-kampagner mod iPhone-brugere – men altså uden en offentliggjort case, hvor Lockdown Mode er blevet omgået.

Citizen Lab har desuden tidligere bekræftet tilfælde, hvor Lockdown Mode aktivt blokerede angreb. Og Google-forskere har peget på, at visse spyware-komponenter tilsyneladende vælger at afbryde et forsøg, hvis Lockdown Mode opdages – formodentligt for at undgå spor, der kan afsløre værktøjet.

Pro TipSlå Lockdown Mode til i en uge på din primære iPhone og læg mærke til, hvad der faktisk går i stykker for dig—det er den hurtigste måde at vurdere, om den ekstra sikkerhed er en realistisk “always-on”-beslutning.

Min vurdering

Det mest interessante her er ikke, at Apple siger “ingen er blevet hacket” – det er formuleringen og konteksten. Apple påstår ikke uovervindelighed; de siger, at de ikke har set en dokumenteret succes, og at økosystemet af forskere heller ikke har publiceret en bypass. I sikkerhedsverdenen er det faktisk en rimelig stærk position, netop fordi den er afgrænset og efterprøvbar.

Lockdown Mode viser også en mere moden strategi: I stedet for at love, at alle automatisk er sikre, giver Apple et værktøj, der bevidst ofrer komfort for lavere risiko. Det er “security by removal”, og det er ofte det, der virker mod de dyreste angrebskæder.

Men man skal også læse det som en status, ikke en slutlinje. Mercenary spyware er et våbenkapløb. At der ikke er kendte bypasses i dag betyder ikke, at der ikke kommer en i morgen—eller at en bypass ikke allerede eksisterer, men endnu ikke er opdaget eller offentliggjort.

Hvad du skal holde øje med nu

Hvis Lockdown Mode fortsat kan dokumenteres som en effektiv barriere, kan det få flere konsekvenser: 1) flere højrisiko-brugere får et konkret valg, 2) angribere tvinges mod dyrere og mere støjende metoder, og 3) presset på platforme for at tilbyde “high-risk profiles” kan stige.

Næste indikator bliver ikke Apples udmelding, men de næste rapporter fra Citizen Lab, Amnesty og Googles Project Zero-lignende miljøer: Ser vi en bypass, en ny angrebsflade – eller fortsætter mønsteret, hvor spyware simpelthen går uden om devices med Lockdown Mode aktiveret?