Abo
  • Services:

Sicherheitslücke: Apple verschlüsselt App Store, um Passwortklau zu verhindern

Apple hat eine Sicherheitslücke in seinem App Store beseitigt, über die Google-Mitarbeiter Elie Bursztein das Unternehmen bereits im Juli 2012 informierte. Durch fehlende Verschlüsselung war es unter anderem möglich, Passwörter zu stehlen und Apps auf Kosten der Nutzer auf ihren Geräten zu installieren.

Artikel veröffentlicht am ,
Mangelnde Verschlüsselung im App Store ermöglichte Passwortklau
Mangelnde Verschlüsselung im App Store ermöglichte Passwortklau (Bild: Elie Bursztein)

Mehr als ein halbes Jahr hat Apple benötigt, um seinen App Store per SSL zu sichern und so seine Nutzer besser vor Angreifern zu schützen. Schon im Juli 2012 hatte Elie Bursztein, der als Forscher bei Google arbeitet, Apple auf die mit der fehlenden Verschlüsselung einhergehenden Probleme hingewiesen.

Stellenmarkt
  1. DIAMOS AG, Sulzbach am Taunus
  2. SICK AG, Waldkirch bei Freiburg im Breisgau

Apples App Store ist zwar als native App umgesetzt, stellt aber vor allem Webinhalte dar. Diese werden weitgehend per SSL verschlüsselt, ein kleiner Teil der Kommunikation lief bisher aber unverschlüsselt ab. Angreifer im gleichen Netz, beispielsweise in einem offenen WLAN, konnten so den entsprechenden Netzwerkverkehr manipulieren.

Öffnet ein Nutzer beispielsweise den App Store, holt dieser vom Server eine Liste mit verfügbaren Updates. Ein Angreifer konnte die Antwort bislang so manipulieren, dass der App Store den Nutzer nach seinem Passwort fragt, was aus Nutzersicht kaum als Angriff zu erkennen ist. Das so ermittelte Passwort konnte sich der Angreifer dann über ein eingeschleustes Script zusenden lassen, wie Bursztein in einem Video demonstriert und in seinem Blog mit Beispielcode erläutert.

Auf ähnliche Art und Weise war es auch möglich, die Detailseiten von Apps zu manipulieren und so dafür zu sorgen, dass eine andere App gekauft und installiert wurde, als dem Nutzer vorgespielt wurde. Dabei könnte es sich um eine sehr teure App handeln, an der der Angreifer verdient. Auch die Installation einzelner Apps konnte so verhindert werden, solange sich Nutzer und Angreifer im gleichen Netz befanden. Auch der Update-Button ließ sich auf diesem Weg manipulieren und so bei einem vermeintlichen Update eine andere App installieren.

Bursztein hat die möglichen Angriffe jetzt detailliert veröffentlicht, nachdem Apple die Sicherheitslücke in der vergangenen Woche geschlossen hatte. Bursztein will nach eigenen Angaben Entwickler auf die Probleme hinweisen und sie ermutigen, konsequent auf SSL zu setzen.

Und Bursztein war offenbar nicht der Einzige, der Apple auf die Probleme hinwies: Neben Bursztein nennt Apple in diesem Zusammenhang auch Bernhard 'Bruhns' Brehm von Recurity Labs und Rahul Iyer von Bejoi.



Anzeige
Top-Angebote
  1. (-58%) 12,49€
  2. 72,99€
  3. (aktuell u. a. Samsung 860 Evo 500-GB-SSD 119€, externer DVD-Brenner 25€, 2-TB-HDD extern 66€)

Folgen Sie uns
       


Omotenashi Informationssystem angesehen (MWC 2018)

Omotenashi ist ein Konzept des japanischen Herstellers NTT, das Objekte erkennen und Informationen dazu auf einem transparenten Display anzeigen soll. Wir haben uns einen ersten Prototypen auf dem MWC 2018 angeschaut.

Omotenashi Informationssystem angesehen (MWC 2018) Video aufrufen
Razer Nommo Chroma im Test: Blinkt viel, klingt weniger
Razer Nommo Chroma im Test
Blinkt viel, klingt weniger

Wenn die Razer Nommo Chroma eines sind, dann auffällig. Dafür sorgen die ungewöhnliche Form und die LED-Ringe, die sich beliebig konfigurieren lassen. Die Lautsprecher sind aber eher ein Hingucker als ein Hinhörer.
Ein Test von Oliver Nickel

  1. Razer Kiyo und Seiren X im Test Nicht professionell, aber schnell im Einsatz
  2. Stereolautsprecher Razer Nommo "Sind das Haartrockner?"
  3. Nextbit Cloud-Speicher für Robin-Smartphone wird abgeschaltet

Virgin Galactic: Spaceship Two fliegt wieder - trotz tödlicher Unfälle
Virgin Galactic
Spaceship Two fliegt wieder - trotz tödlicher Unfälle

Die Entwicklung des Raketenflugzeugs für Touristenflüge in den Weltraum hat schon vier Menschenleben gekostet. Vergangenen Donnerstag hat Virgin Galactic die Tests mit Raketentriebwerk wieder aufgenommen.
Von Frank Wunderlich-Pfeiffer


    HTC Vive Pro im Test: Das beste VR-Headset ist nicht der beste Kauf
    HTC Vive Pro im Test
    Das beste VR-Headset ist nicht der beste Kauf

    Höhere Auflösung, integrierter Kopfhörer und ein sehr bequemer Kopfbügel: Das HTC Vive Pro macht alles besser und gilt für uns als das beste VR-Headset, das wir bisher ausprobiert haben. Allerdings ist der Preis dafür so hoch, dass kaufen meist keine clevere Entscheidung ist.
    Ein Test von Oliver Nickel

    1. VR-Headset HTCs Vive Pro kostet 880 Euro
    2. HTC Vive Pro ausprobiert VR-Headset hat mehr Pixel und Komfort
    3. Vive Focus HTC stellt autarkes VR-Headset vor

      •  /