iOS-Einkäufe: In-App-Store arbeitet mit Klartextpasswörtern
Passwörter werden auf iOS-Geräten zum Teil im Klartext übertragen. (Bild: Apple)

iOS-Einkäufe In-App-Store arbeitet mit Klartextpasswörtern

Einem Hacker ist es gelungen, Käufe innerhalb einer iOS-App kostenlos durchzuführen. Dabei fiel ihm auf, dass auf Apples Mobilgeräten die Passwortübertragung im Klartext stattfindet.

Anzeige

Dem russischen Hacker Alexey V. Borodin ist es gelungen, In-App-Käufe kostenlos durchzuführen, wie unter anderem 9to5mac berichtet. Mit einem In-App-Proxy konnte er den iOS-Anwendungen einen Apple-Server vortäuschen, der Käufe bestätigt. Allerdings funktioniert das nicht mit allen Anwendungen. Einige führen zusätzliche Validierungsschritte durch.

Als Nebenprodukt des Hacks wurde allerdings entdeckt, wie Apple mit schutzwürdigen Informationen umgeht. Borodin kann nämlich die Passwörter der Nutzer sehen, wie er Macworld erklärte. Mit ein paar Zertifikaten und einem angepassten DNS-Server konnte er bereits zahlreiche Apple-IDs sowie die dazugehörigen Passwörter sehen.

Apple verlässt sich bei den Sicherheitsmaßnahmen darauf, dass mit einem Apple-Server kommuniziert wird. Offenbar wird deswegen das Passwort nicht verschlüsselt und kann einfach - samt Nutzernamen - mitgelesen werden.

Passwort und Nutzername sind bei Apples iOS-Geräten allerdings extrem wichtig. Wer an diese Kombination kommt, hat bei vielen Nutzern nicht nur Zugriff auf den iTunes-Zugang samt Guthaben, sondern auch auf die iCloud. Damit sind private Fotos und Backups der Geräte zugänglich. Selbst die Ortung der Apple-Nutzer ist möglich, wenn diese ihre Geräte mit der Funktion Find my iPhone verknüpft sind. Ein Transfer von Passwörtern im Klartext dürfte daher nicht passieren.

Apple untersucht das Problem bereits, wie der Konzern verschiedenen Medien mitteilte, ohne allerdings Details zu nennen.

Apple muss damit gleich zwei Schwachstellen beseitigen. Zum einen muss der Einkauf in Apps abgesichert werden. Und zum anderen muss der Umgang mit Passwörtern verändert werden.

Nachtrag vom 15. Juli 2012, 1:00 Uhr

In der ursprünglichen Fassung hieß es im letzten Absatz, dass die Passwörter von jedem gelesen werden können. Korrekt ist aber, dass nur der Betreiber des In-App-Proxys an diese Daten kommen kann, da das Klartextpasswort in einer SSL-Verbindung verschickt wird. Der entsprechende Absatz wurde korrigiert.

Nachtrag vom 16. Juli 2012, 10:00 Uhr

Bei dem Angriff, der eigentlich nur kostenlose In-App-Käufe ermöglichen sollte, handelt es sich um eine Man-in-the-Middle-Attacke, die prinzipiell auch andere hätten ausnutzen können. Der Angreifer versucht dabei, den Nutzer davon zu überzeugen, ein Zertifikat zu installieren und den DNS-Einträge zu manipulieren. Das iOS-Gerät vertraut diesem Zertifikat und dem damit ersetzten Appstore. Borodin ist das eigenen Angaben zufolge bei zahlreichen Nutzern gelungen, indem er ihnen kostenlose In-App-Käufe versprach. Bereits am Samstag sollen so 30.000 betrügerische Käufe registriert worden sein.

Damit gelang es ihm als Nebenprodukt, die eigentlich verschlüsselte Verbindung zu den Apple-Servern auszuhebeln und selbst die Daten zu empfangen. Da die Passwörter in dieser verschlüsselten Verbindung im Klartext übertragen werden, kam er an diese Daten heran. Über einen Social-Engineering-Angriff ist er somit an die Zugangsdaten zahlreicher Nutzer gekommen, obwohl die Verbindung an sich verschlüsselt ist. Der erfolgreiche Angriff benötigte also eine Kombination verschiedener Verfahren.

Borodin versichert auf seiner Webseite, dass er die sichtbaren Daten nicht verwendet und das Loggen von Daten deaktiviert hat. Aus Sicherheitsgründen sollte dennoch niemand die Methode für kostenlose In-App-Käufe verwenden.


flasher395 29. Jul 2012

Okay, ich reformuliere meine Aussage mal etwas: Dein Verhalten ist Paranoid. Natürlich...

Netspy 16. Jul 2012

Welches Update? Du solltest dir die Nachträge von Golem im Artikel noch mal durchlesen...

Netspy 16. Jul 2012

Das ist grober Unsinn! Security through obscurity gaukelt nur Sicherheit vor, die aber...

vulkman 16. Jul 2012

Das stimmt halt nicht. Es gibt ja eine absolut wasserdichte Methode, wie sich App...

dynaDE 16. Jul 2012

Jein. Es gibt 2 Arten von Verschlüsselung. Zum einen die eigentlich Verbindung zum Server...

Kommentieren



Anzeige

  1. System Test Engineer (m/w)
    DÜRR DENTAL AG, Bietigheim-Bissingen
  2. IT-Business Analyst Business Intelligence (m/w)
    Omnicare IT Services GmbH, Unterföhring
  3. IT-Systemtechniker (m/w)
    PFALZKOM | MANET, Ludwigshafen
  4. IT-System-Engineer (m/w)
    alfa Media Partner GmbH, Rödermark, Kiel, München

 

Detailsuche


Folgen Sie uns
       


  1. Rocket Internet

    Die Samwers und die Börse - wie passt das zusammen?

  2. Pi Top

    Laptop mit Raspberry Pi aus dem 3D-Drucker

  3. Deutsche Telekom

    Umstellung auf VoIP oder Kündigung

  4. Passport

    Blackberrys neues Smartphone kostet 600 US-Dollar

  5. Alternate Mode

    Displayport über USB Typ-C wird Teil des Vesa-Standards

  6. Bundesverkehrsminister

    Bahn soll Internet im Zug kostenlos anbieten

  7. #Bentgate

    Verbiegt sich das iPhone 6 Plus in der Hosentasche?

  8. Akku

    Schnelleres Laden von iPhone 6 mit iPad-Netzteil

  9. Security

    Doubleclick liefert Malware aus

  10. Browser

    Google Chrome für iOS unterstützt Erweiterungen



Haben wir etwas übersehen?

E-Mail an news@golem.de



HP Elitepad 1000 G2 im Test: Praktisches Arbeitsgerät dank Zubehör
HP Elitepad 1000 G2 im Test
Praktisches Arbeitsgerät dank Zubehör
  1. Administrationswerkzeug HPs Oneview wird auf Racks, Tower und Netzwerk erweitert
  2. HP Proliant DL160 und 180 Mit neuen Einstiegsservern gegen Huawei und Supermicro
  3. Notebooks HP ruft wegen Brandgefahr Millionen Netzteilkabel zurück

Onlinebestellung: Media Markt eröffnet ersten Drive-in
Onlinebestellung
Media Markt eröffnet ersten Drive-in
  1. Preisvergleich Ergebnisse in Preissuchmaschinen nicht zuverlässig
  2. Prepaid Media Markt und Saturn starten eigenen Mobilfunktarif

DDR-Hackerfilm Zwei schräge Vögel: Mit Erotik und Kybernetik ins perfekte Chaos
DDR-Hackerfilm Zwei schräge Vögel
Mit Erotik und Kybernetik ins perfekte Chaos
  1. Miraisens Virtuelle Objekte werden ertastbar
  2. Autodesk Pteromys konstruiert Papiergleiter am Computer

    •  / 
    Zum Artikel