Sicherheitslücken: Snapchat-Erweiterungen für iOS kopieren Zugangsdaten
Verschiedene Drittanbieter-Apps für Snapchat übertragen Nutzerdaten unverschlüsselt und auf eigene Server, wie 9to5Mac berichtet(öffnet im neuen Fenster) . Das Snapchat-Passwort der Nutzer wird dabei an den Drittanbieter-Server übertragen und dort gespeichert.
Der Hacker Will Strafach von der Sudo Security Group hatte die Schwachstellen gefunden. Eine der untersuchten Apps ist Snapix: Die App soll den automatischen Upload von Bildern aus der Kamera-App in Snapchat ermöglichen. Snapix verwendet das Heroku-Framework und leitet die Login-Daten der Nutzer über eine unverschlüsselte Verbindung auf den Snapix-Server, bevor die Zugangsdaten an Snapchat selbst übergeben werden. Auf diesem Weg kann der Anbieter die Informationen selbst sammeln.
Weitere Apps mit Sicherheitsproblemen
Snapix ist nicht die einzige App mit diesem Problem. Auch Quick Upload und Snapbox kommunizieren unverschlüsselt. Beide Apps haben nach Angaben von Strafach unterschiedliche Entwickler, verwenden aber trotzdem den gleichen Backend-Server, der unter "likepotion.topranksoft.com" erreichbar ist. Snapbox übermittle außerdem eine präzise GPS-Position des Nutzers an den Server, heißt es in dem Bericht.
Die untersuchten Apps wurden nicht von Snapchat autorisiert. Daher verwenden sie auch keine üblicherweise in solchen Zusammenhängen genutzten Login-Varianten wie OAuth. Snapchat warnt daher selbst davor, entsprechende Erweiterungen zu installieren.
Strafach hat Apple nach eigenen Angaben über die Vorfälle informiert. Alle getesteten Apps sind nach wie vor in Apples App Store gelistet. Vor einigen Monaten wurde bereits eine inoffizielle Instagram-Erweiterung aus dem App Store entfernt, weil sie ähnliche Probleme aufwies.