Anzeige
Mangelnde Verschlüsselung im App Store ermöglichte Passwortklau
Mangelnde Verschlüsselung im App Store ermöglichte Passwortklau (Bild: Elie Bursztein)

Sicherheitslücke: Apple verschlüsselt App Store, um Passwortklau zu verhindern

Mangelnde Verschlüsselung im App Store ermöglichte Passwortklau
Mangelnde Verschlüsselung im App Store ermöglichte Passwortklau (Bild: Elie Bursztein)

Apple hat eine Sicherheitslücke in seinem App Store beseitigt, über die Google-Mitarbeiter Elie Bursztein das Unternehmen bereits im Juli 2012 informierte. Durch fehlende Verschlüsselung war es unter anderem möglich, Passwörter zu stehlen und Apps auf Kosten der Nutzer auf ihren Geräten zu installieren.

Mehr als ein halbes Jahr hat Apple benötigt, um seinen App Store per SSL zu sichern und so seine Nutzer besser vor Angreifern zu schützen. Schon im Juli 2012 hatte Elie Bursztein, der als Forscher bei Google arbeitet, Apple auf die mit der fehlenden Verschlüsselung einhergehenden Probleme hingewiesen.

Anzeige

Apples App Store ist zwar als native App umgesetzt, stellt aber vor allem Webinhalte dar. Diese werden weitgehend per SSL verschlüsselt, ein kleiner Teil der Kommunikation lief bisher aber unverschlüsselt ab. Angreifer im gleichen Netz, beispielsweise in einem offenen WLAN, konnten so den entsprechenden Netzwerkverkehr manipulieren.

Öffnet ein Nutzer beispielsweise den App Store, holt dieser vom Server eine Liste mit verfügbaren Updates. Ein Angreifer konnte die Antwort bislang so manipulieren, dass der App Store den Nutzer nach seinem Passwort fragt, was aus Nutzersicht kaum als Angriff zu erkennen ist. Das so ermittelte Passwort konnte sich der Angreifer dann über ein eingeschleustes Script zusenden lassen, wie Bursztein in einem Video demonstriert und in seinem Blog mit Beispielcode erläutert.

Auf ähnliche Art und Weise war es auch möglich, die Detailseiten von Apps zu manipulieren und so dafür zu sorgen, dass eine andere App gekauft und installiert wurde, als dem Nutzer vorgespielt wurde. Dabei könnte es sich um eine sehr teure App handeln, an der der Angreifer verdient. Auch die Installation einzelner Apps konnte so verhindert werden, solange sich Nutzer und Angreifer im gleichen Netz befanden. Auch der Update-Button ließ sich auf diesem Weg manipulieren und so bei einem vermeintlichen Update eine andere App installieren.

Bursztein hat die möglichen Angriffe jetzt detailliert veröffentlicht, nachdem Apple die Sicherheitslücke in der vergangenen Woche geschlossen hatte. Bursztein will nach eigenen Angaben Entwickler auf die Probleme hinweisen und sie ermutigen, konsequent auf SSL zu setzen.

Und Bursztein war offenbar nicht der Einzige, der Apple auf die Probleme hinwies: Neben Bursztein nennt Apple in diesem Zusammenhang auch Bernhard 'Bruhns' Brehm von Recurity Labs und Rahul Iyer von Bejoi.


eye home zur Startseite


Die Erklärung / 11. Mär 2013



Anzeige

Stellenmarkt
  1. Daimler AG, Stuttgart
  2. Klinikum Esslingen GmbH, Esslingen
  3. Robert Bosch GmbH, Leonberg
  4. Robert Bosch GmbH, Abstatt


Anzeige
Hardware-Angebote
  1. 399,00€
  2. 444,90€

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Mehr dazu im aktuellen Whitepaper von SAS Institute
  2. Mehr dazu im aktuellen Whitepaper von Cyberark
  3. Mehr dazu im aktuellen Whitepaper von HP


  1. Netzausbau

    Telekom will ihre Mobilfunkmasten verkaufen

  2. Bruno Kahl

    Neuer BND-Chef soll den Dienst reformieren

  3. Onlinehandel

    Amazon sperrt Konten angeblich nur in seltenen Fällen

  4. The Assembly angespielt

    Verschwörung im Labor

  5. Kreditkarten

    Number26 wird Betrug mit Standortdaten verhindern

  6. Dobrindt

    1,3 Milliarden Euro mehr für Breitbandausbau in Deutschland

  7. Mini ITX OC

    Gigabyte bringt eine 17 cm kurze Geforce GTX 1070

  8. Autonomes Fahren

    Teslas Autopilot war an tödlichem Unfall beteiligt

  9. Tolino Page

    Günstiger Kindle-Konkurrent hat eine bessere Ausstattung

  10. Nexus

    Erste Nougat-Smartphones sollen von HTC kommen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Star Wars Lego im Test: Das Erwachen der Lustigkeit
Star Wars Lego im Test
Das Erwachen der Lustigkeit
  1. Mixed Reality Lucasfilm und Magic Leap bringen Star Wars ins Wohnzimmer
  2. Playstation Kriegsgott statt neuer Konsolenhardware
  3. Trials on Tatooine Wie Lucasfilm Star Wars in die Virtual Reality gebracht hat

Axon 7 im Hands on: Oneplus bekommt starke Konkurrenz
Axon 7 im Hands on
Oneplus bekommt starke Konkurrenz
  1. Axon 7 ZTEs Topsmartphone kommt für 450 Euro nach Deutschland

Bargeld nervt: Startups und Kryptowährungen mischen die Finanzbranche auf
Bargeld nervt
Startups und Kryptowährungen mischen die Finanzbranche auf
  1. BND-Gesetzreform Voller Zugriff auf die Kabel der Telekom
  2. Faster Googles Seekabel ist fertig
  3. Onlinehandel Amazon droht nach vier Rücksendungen mit Kontensperrung

  1. Re: Schade

    Mr Miyagi | 22:24

  2. Re: Die Frage ist, ob der LKW einen...

    wHiTeCaP | 22:24

  3. Re: Mal ein paar Infos von einem FBA Verkäufer.

    trundle | 22:23

  4. Re: Kurzfristig! Jetzt! Geld!

    DrWatson | 22:22

  5. Re: Ich bestelle nicht mehr bei Amazon...

    rldml | 22:21


  1. 20:04

  2. 17:04

  3. 16:53

  4. 16:22

  5. 14:58

  6. 14:33

  7. 14:22

  8. 13:56


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel