Einem russischen Hacker ist es gelungen eine Methode zu finden welche kostenlose In-App Käufe in Apples App Store ermöglicht. Diese Methode basiert auf einen sogenannten In-App Proxy. Dieser Proxy wird zwischen die Kommunikation geschaltet und täuscht der App letztendlich einen originalen Apple Server vor der normalerweise die Käufe bestätigt.
Natürlich ist diese Methode eingeschlagen wie eine Bombe. Dabei ist das Aufsetzen dieses sogenannten In-App Proxys in wenigen Schritten sogar von einem Laien durchgeführt. Apple muss jedoch schnell reagieren um größeren finanziellen Schaden für die Entwickler und sich selbst zu vermeiden.
Meine Empfehlungen für dich
Die 4-Stunden-Woche - Mehr Zeit, mehr Geld, mehr Leben | Der Welt-Besteller für eine geniale Work-Life-Balance, ortsunabhängiges Arbeiten und ein fantastisches Leben.
Bestes iPhone Leder-Case - Eleganter kannst du dein iPhone nicht gegen Schmutz und Kratzer schützen. Das 2in1 Leder-Case von Solo Pelle ist abnehmbar, kommt mit Kartenfächern daher und sieht einfach nur mega aus.
Mein liebster Arbeitsstuhl - Ohne den Swopper Air hätte ich sicherlich mehr Rückenschmerzen. Er fördert trotz Sitzposition eine bewegliche Wirbelsäule und hält mich beim Arbeiten aktiv. Das ist ein riesiger Vorteil zum stink normalen Bürostuhl.
Die Kollegen von 9to5mac haben nach eigenen Angaben bereits einen solchen In-App Proxy getestet und dessen Funktion bestätigt. Da im Netz bereits diverse Anleitungen dazu kursieren, haben die Kollegen jetzt begonnen die Entwickler selbst auf die Schwachstelle hinzuweisen. Die Entwickler müssen ihre Apps mit einem zusätzlichen Bestätigungsprozess versehen, dann sind diese vor dem Hack sicher.
Mit diesem Hack hat der junge Russe "Alexey V. Borodin" aka. ZonD80 gleich noch eine 2. Sicherheitslücke im App Store gefunden. Die Apple ID´s, sowie Passwörter werden in Klarschrift übertragen. Mithilfe eines modifizierten DNS Servers und den entsprechenden Zertifikaten ist es ihm gelungen, an diese sensiblen Daten zu kommen. Was man mit den ID´s und den entsprechenden Passwörtern alles Anfangen kann, sollte jedem Nutzer eines iDevices eigentlich klar sein.
Apple hat bereits reagiert und prüft dieses Problem:
"The security of the App Store is incredibly important to us and the developer community, Apple representative Natalie Harrison, told The Loop. We take reports of fraudulent activity very seriously and we are investigating."
Auch Alexey V. Borodin meldet sich auf seiner Website "In-Appstore.com" zu Wort:
"Hello everyone. Developers, u're welcome.
I want to shed some light on some of the obvious things:
First. I did not steal any money. Nobody lost at least one cent from their iTunes store accounts. If you claiming, that money was stolen via in-app purchases, u're wrong. Zero in-app purchases were made in real appstore via this service.
Second. I did not hack anything. I just wrote app-store replacement. And it's a big idea to create yet another world of apple for our iDevices.
Third. Developers, your profits depends on quality of your apps. You have millions of loyal users, that won't use this service.
Forth. I did not steal or collect any passwords. For now, logging is total disabled.
Fifth. It's a good reason to proof, that something is not perfect. I helped everyone to move forward. Developers - to protect their apps. Apple - to improve their protocols. And, of course, hackers.
PS: Dear hackers, SourceCode will be available in couple of weeks"
Es dürfte nun nicht allzu lange dauern bis Entwickler ihre Apps aktualisieren und ein Update im App Store bereitstellen werden. Weitere News und Infos, zu diesen und vielen anderen Themen bekommt ihr wie immer zuerst auf unserer Facebook-Fanpage oder direkt hier im Blog.
Noch kein Fan? Folge WEBLOGIT auf Facebook oder Twitter, um nichts zu verpassen! ↵
