En ny rättstvist i USA har satt strålkastarljuset på en av de mest ovanliga säkerhetshistorierna kring Apple på flera år. Det handlar inte bara om en allvarlig sårbarhet i äldre Apple-chip, utan också om anklagelser om stulna företagshemligheter, före detta anställda och en juridisk kamp som kan få konsekvenser långt utanför Apples ekosystem.
En säkerhetslucka som inte kan lagas
Kärnan i tvisten är exploiten usbliter8, som riktar sig mot Apples A12- och A13-processorer samt vissa Apple Watch-chip från samma generation.
Till skillnad från de flesta säkerhetsproblem ligger denna sårbarhet i enhetens BootROM, den kod som finns permanent inbränd i processorn och som körs innan operativsystemet startar. Eftersom BootROM är skrivskyddad går den inte att uppdatera via iOS eller iPadOS, vilket innebär att sårbarheten i praktiken följer med hårdvaran under hela dess livslängd.
Det betyder dock inte att miljontals iPhones plötsligt är osäkra.
Hur farlig är exploiten egentligen?
Även om ordet opatchbar låter dramatiskt är den praktiska risken betydligt mer begränsad.
För att utnyttja sårbarheten krävs bland annat:
- fysisk tillgång till enheten
- specialutrustning
- avancerad teknisk kunskap
- möjlighet att angripa telefonen innan iOS startar
Det gör att exploiten främst är intressant för:
- säkerhetsforskare
- digital kriminalteknik
- avancerade angripare
- jailbreak-utvecklare
För den genomsnittliga användaren är sannolikheten att utsättas för ett sådant angrepp mycket liten.
Stämningen handlar egentligen inte om Apple
Den mest uppmärksammade delen av historien är inte själva sårbarheten, utan hur den enligt stämningsansökan ska ha tagits fram.
Digitalforensikföretaget Magnet Forensics har stämt cybersäkerhetsföretaget Paradigm Shift Technology och hävdar att exploiten bygger på konfidentiell forskning som utvecklades av en tidigare ingenjör medan denne arbetade för Magnet Forensics.
Enligt stämningen arbetade ingenjören med ett internt projekt som kallades MSG, vilket beskrivs som ett av företagets mest känsliga forskningsprojekt. Efter att ingenjören lämnat företaget publicerade Paradigm Shift detaljer kring usbliter8, något som Magnet Forensics menar i praktiken är samma teknik som utvecklades internt.
Företaget kräver att materialet tas bort
Magnet Forensics begär nu bland annat:
- ekonomisk ersättning
- att tekniska beskrivningar tas bort
- att demonstrationskod raderas
- ett domstolsbeslut som förbjuder fortsatt användning eller spridning av den aktuella tekniken
Företaget hävdar dessutom att Paradigm Shift ignorerat flera kravbrev där man uppmanats att ta bort materialet innan stämningen lämnades in.
En konflikt som väcker större frågor
Fallet illustrerar en återkommande konflikt inom cybersäkerhetsvärlden.
Säkerhetsforskare vill ofta offentliggöra sårbarheter för att öka transparensen och hjälpa till att förbättra säkerheten.
Samtidigt investerar företag stora resurser i att hitta dessa sårbarheter, särskilt när de används inom digital kriminalteknik eller säljs till myndigheter. Om sådan forskning betraktas som affärshemligheter kan en offentlig publicering istället bli en juridisk fråga.
Domstolen kommer därför inte bara behöva avgöra vem som äger rättigheterna till den aktuella exploiten, utan även var gränsen går mellan legitim säkerhetsforskning och otillåtet användande av företagshemligheter.
Påverkas Apple?
Apple är inte part i själva rättstvisten, men bolaget följer sannolikt utvecklingen noggrant.
Eftersom exploiten riktar sig mot BootROM finns ingen möjlighet att åtgärda problemet genom en vanlig programuppdatering. Däremot kan Apple fortfarande införa skydd som försvårar vissa angrepp eller begränsar hur sårbarheten kan utnyttjas i praktiken.
De berörda kretsarna sitter främst i produkter från 2018 och 2019, däribland iPhone XS-serien, iPhone XR och iPhone 11-serien samt vissa iPads och Apple Watch-modeller. Nyare Apple Silicon-generationer påverkas inte av den aktuella sårbarheten.
Slutsats
Det här är ett ovanligt fall där teknik, juridik och cybersäkerhet möts. Själva sårbarheten är tekniskt imponerande men begränsad till äldre Apple-chip och kräver fysisk åtkomst för att kunna utnyttjas. Den verkligt stora frågan är istället om exploiten bygger på stulna företagshemligheter eller på självständig säkerhetsforskning.
Domstolens beslut kan få betydelse långt utanför just denna tvist och bli vägledande för hur framtida säkerhetsforskning, kommersiella exploiter och immateriella rättigheter hanteras inom cybersäkerhetsbranschen.
