Sicherheitslücke: Harmlose iOS-Apps können Schadroutinen nachladen

Sicherheitsexperte Charlie Miller hat eine Sicherheitslücke bei iOS-Apps entdeckt, die es ermöglicht, harmlose Anwendungen nachträglich zu Schadsoftware zu machen. Die Demo-App wurde mittlerweile entfernt, Miller wurde der Entwicklerzugang entzogen.

Artikel veröffentlicht am 9. November 2011, 10:59 Uhr, Andreas Sebayang

Apples Codesignierung schützt nicht ausreichend vor Schadsoftware. (Bild: Apple)

Charlie Miller hat eine Sicherheitslücke entdeckt, mit der sich jede darauf vorbereitete Anwendung nachträglich zu einer Schadsoftware machen lässt - sofern ihr Entwickler ein Interesse daran hat, dem Anwender zu schaden. Eine App kann als harmlose Variante hochgeladen werden, beinhaltet aber eine Routine, um sich mit Schadcode zu aktualisieren. Eine derartige Sleeper-App kann beispielsweise erst aktiviert werden, wenn es sich aufgrund der Verbreitung lohnt.

Entsprechend präparierte Apps nutzen eine iOS-Funktion, die eigentlich Javascript nur für Safari beschleunigen soll und hardwarenah arbeitet. Eigentlich schützt Apple diese Funktionen, so dass andere Entwickler sie nicht nutzen können. Miller hat allerdings eine Möglichkeit gefunden, trotzdem unsignierten Code auszuführen.

Miller verliert seinen Entwicklerzugang zum App Store

Miller hat in dem App Store eine Demonstrationsapp eingereicht, die Apples Überprüfung erfolgreich passierte - obwohl prinzipiell Schadcode nachgeladen werden könnte. Diese App hat im Nachhinein wegen des Verstoßes gegen Apples Nutzungsrichtlinien zu einer einjährigen App-Store-Sperre für Miller geführt, sein Entwicklerzugang wurde gesperrt.

Miller hatte Apple über die Schwachstelle zwar bereits Mitte Oktober 2011 informiert. Allerdings hatte der Sicherheitsexperte dabei laut eigener Aussage auf Twitter nicht angegeben, dass er bereits im September seinen Demo-Exploit in den App Store hochgeladen hat.

Da Miller eine Sicherheitslücke bei der Signierung von Code aufgespürt hat, blieb ihm auch keine andere Wahl, als die Apple-Richtlinien zu umgehen, um die Sicherheitslücke auszutesten und auch zu beweisen, dass es auf Apples Seite ein Problem gibt.

Ohne die App, so Miller, könnten Personen zur Verteidigung von Apple einfach behaupten, dass eine Schadanwendung wie seine gar nicht erst durch die Sicherheitsüberprüfung kommen würde. Über den Rauswurf ist Miller, der schon häufiger Sicherheitsprobleme in Apple-Geräten entdeckt hat, nicht erfreut.

Sicherheitsforscher, die damit rechnen müssen, bei ihrer Arbeit gesperrt zu werden, dürften weniger Interesse daran haben, eine Plattform zu untersuchen. Kriminelle hingegen dürften sich davon nicht abschrecken lassen, da der Schadcode erst einmal versteckt werden und bei entsprechender Verbreitung aktiviert werden kann.

Der prinzipielle Sicherheitsvorteil, dass Apple sich die Anwendungen vorher anschaut, bevor sie online gehen, ist mit der aufgedeckten Sicherheitslücke nicht mehr vorhanden.

Weitere Informationen zur Sicherheitslücke wird Miller in der kommenden Woche auf der Syscan in Taiwan veröffentlichen, wie er Forbes sagte.