Mangelnde Verschlüsselung im App Store ermöglichte Passwortklau
Mangelnde Verschlüsselung im App Store ermöglichte Passwortklau (Bild: Elie Bursztein)

Sicherheitslücke Apple verschlüsselt App Store, um Passwortklau zu verhindern

Apple hat eine Sicherheitslücke in seinem App Store beseitigt, über die Google-Mitarbeiter Elie Bursztein das Unternehmen bereits im Juli 2012 informierte. Durch fehlende Verschlüsselung war es unter anderem möglich, Passwörter zu stehlen und Apps auf Kosten der Nutzer auf ihren Geräten zu installieren.

Anzeige

Mehr als ein halbes Jahr hat Apple benötigt, um seinen App Store per SSL zu sichern und so seine Nutzer besser vor Angreifern zu schützen. Schon im Juli 2012 hatte Elie Bursztein, der als Forscher bei Google arbeitet, Apple auf die mit der fehlenden Verschlüsselung einhergehenden Probleme hingewiesen.

Apples App Store ist zwar als native App umgesetzt, stellt aber vor allem Webinhalte dar. Diese werden weitgehend per SSL verschlüsselt, ein kleiner Teil der Kommunikation lief bisher aber unverschlüsselt ab. Angreifer im gleichen Netz, beispielsweise in einem offenen WLAN, konnten so den entsprechenden Netzwerkverkehr manipulieren.

Öffnet ein Nutzer beispielsweise den App Store, holt dieser vom Server eine Liste mit verfügbaren Updates. Ein Angreifer konnte die Antwort bislang so manipulieren, dass der App Store den Nutzer nach seinem Passwort fragt, was aus Nutzersicht kaum als Angriff zu erkennen ist. Das so ermittelte Passwort konnte sich der Angreifer dann über ein eingeschleustes Script zusenden lassen, wie Bursztein in einem Video demonstriert und in seinem Blog mit Beispielcode erläutert.

Auf ähnliche Art und Weise war es auch möglich, die Detailseiten von Apps zu manipulieren und so dafür zu sorgen, dass eine andere App gekauft und installiert wurde, als dem Nutzer vorgespielt wurde. Dabei könnte es sich um eine sehr teure App handeln, an der der Angreifer verdient. Auch die Installation einzelner Apps konnte so verhindert werden, solange sich Nutzer und Angreifer im gleichen Netz befanden. Auch der Update-Button ließ sich auf diesem Weg manipulieren und so bei einem vermeintlichen Update eine andere App installieren.

Bursztein hat die möglichen Angriffe jetzt detailliert veröffentlicht, nachdem Apple die Sicherheitslücke in der vergangenen Woche geschlossen hatte. Bursztein will nach eigenen Angaben Entwickler auf die Probleme hinweisen und sie ermutigen, konsequent auf SSL zu setzen.

Und Bursztein war offenbar nicht der Einzige, der Apple auf die Probleme hinwies: Neben Bursztein nennt Apple in diesem Zusammenhang auch Bernhard 'Bruhns' Brehm von Recurity Labs und Rahul Iyer von Bejoi.


Kommentieren




Anzeige

  1. Strategic Cost Engineer (m/w)
    OSRAM Opto Semiconductors GmbH, Regensburg
  2. IT and application specialist (m/w) in the Operations / Support ECAD applications field at H CV
    Siemens AG, Erlangen
  3. Softwareentwickler (m/w) C# / .NET
    Dionex Softron GmbH | Thermo Fisher Scientific, Germering bei München
  4. Softwareentwickler (m/w) Embedded Softwarekomponenten
    Vector Informatik GmbH, Stuttgart

 

Detailsuche


Folgen Sie uns
       


  1. Überbewertete Superrechner

    Quantencomputer hätten kaum was zu tun

  2. FAA

    Privatdrohnen gefährden Flugverkehr

  3. Großbritannien

    Pink Floyd und Arctic Monkeys sorgen für Vinyl-Boom

  4. Raumfahrt

    Hayabusa 2 startet in wenigen Tagen

  5. Winter is coming

    Game of Thrones ab Anfang Dezember 2014

  6. Stereoskopie

    Neue Diskussionen um Schädlichkeit von 3D-Displays

  7. E-Label

    Viele hässliche Icons verschwinden von Smartphone-Gehäusen

  8. Black Friday

    Oneplus One kann ohne Einladung bestellt werden

  9. Merkel-Handy

    Bundesregierung schließt Antispionage-Vertrag mit Blackberry

  10. Pantelligent

    Die funkende Bratpfanne



Haben wir etwas übersehen?

E-Mail an news@golem.de



Star Wars X-Wing (DOS): Flugsimulation mit R2D2 im Nacken
Star Wars X-Wing (DOS)
Flugsimulation mit R2D2 im Nacken

Smarthome: Das intelligente Haus wird nie fertig
Smarthome
Das intelligente Haus wird nie fertig
  1. Smart Home Das vernetzte Zuhause hilft beim Energiesparen
  2. Leuchtmittel Die Leuchtdiode kommt aus dem 3D-Drucker
  3. Agora, Energy@home und EEBus Einheitliche Sprache für europäische Smart Homes

Elektronikdiscounter: Wie Preisvergleichsdienste ausgehebelt werden
Elektronikdiscounter
Wie Preisvergleichsdienste ausgehebelt werden
  1. Republic of Gamers G20 Asus' Konsolen-PC mit der Ecke bietet Geforce GTX 980
  2. Staatstrojaner Scanner-Software Detekt warnt vor sich selbst
  3. Piixl G-Pack Der 2-Zoll-Huckepack-Spiele-PC fürs Wohnzimmer

    •  / 
    Zum Artikel