Als opgemerkt door 9to5Mac , heeft een Russische hacker een relatief eenvoudige methode ontwikkeld waarmee gebruikers het in-app-aankoopmechanisme van Apple op veel iOS-apps kunnen omzeilen, waardoor gebruikers de inhoud gratis kunnen verkrijgen.
Alternatieve in-app-aankoopbevestigingsknop te zien op gehackte apparaten
De methode, die geen jailbreak vereist, omvat het installeren van een paar certificaten op het apparaat van de gebruiker en vervolgens het gebruik van een aangepast DNS-item. Gebruikers kunnen dan zoals gewoonlijk in-app aankopen doen en automatisch worden omgeleid via het gehackte systeem.
Afgezien van de voor de hand liggende impact dat de hack diefstal van inhoud van ontwikkelaars met zich meebrengt, brengt de methode ook risico's met zich mee voor degenen die de hack gebruiken, omdat een deel van hun eigen informatie tijdens het aankoopproces naar de servers van de hacker wordt verzonden. Om beide redenen wordt gebruikers ten zeerste aangeraden de methode niet voort te zetten.
wat zijn de kleuren voor de iphone 12
De hacker is al verwijderd van zijn oorspronkelijke host en was naar verluidt verhuisd naar een nieuwe, maar de site is momenteel niet beschikbaar. Het is niet duidelijk of de storing simpelweg te wijten is aan de drukte of dat er andere maatregelen worden genomen om zijn activiteiten te hinderen.
Ontwikkelaars kunnen voorkomen dat de hack met hun apps werkt door validatie van bonnen van in-app-aankopen te implementeren, iets wat veel ontwikkelaars niet in hun apps hebben opgenomen.
Update : Het volgende web neemt een kijkje op de door Alexey Borodin ontwikkelde methode, die eigenlijk niet kan worden voorkomen door simpelweg bonvalidatie toe te passen.
Alle servicebehoeften van Borodin zijn een enkele gedoneerde bon, die het vervolgens kan gebruiken om iemands aankoopverzoeken te verifiëren. Veel van die bonnen zijn gedoneerd door Borodin zelf, die honderden dollars heeft uitgegeven aan in-app-aankopen, het testen en genereren van bonnen. [...]
Omdat de bypass de ontvangstverificatieserver in de App Store emuleert, behandelt de app het als een officiële communicatieperiode.
hoe de fototimer op de iPhone in te stellen
Om het probleem aan te pakken zullen uiteindelijk wijzigingen door Apple nodig zijn, die de API die wordt gebruikt voor in-app-aankopen kunnen verbeteren om te voorzien in uniek ondertekende ontvangstbewijzen die niet massaal kunnen worden gedupliceerd zoals bij Borodin's service.
Het volgende web interviewde ook Borodin, die opmerkte dat hij de exploitatie van de site aan een derde partij heeft overgedragen om problemen te voorkomen en alle informatie die hij heeft verkregen bij het uitvoeren van de operatie zal verwijderen. Volgens Borodin werden via zijn service meer dan 30.000 in-app-transacties gedaan, en hij verdiende slechts $ 6,78 aan PayPal-donaties om zijn kosten te dekken.
Update 2 : Macworld ook gepraat met Borodin , die opmerkte dat hij inderdaad de namen en wachtwoorden van de App Store-accounts van gebruikers kan zien, aangezien deze in duidelijke tekst worden verzonden als onderdeel van het in-app-aankoopproces.
Ik kan de Apple ID en het wachtwoord zien voor accounts die de hack proberen, vertelde Borodin aan Macworld. Maar niet de creditcardgegevens. Borodin zei geschokt te zijn dat wachtwoorden in platte tekst werden doorgegeven en niet versleuteld.
Volgens [ontwikkelaar Marco] Tabini gaat Apple er echter van uit dat het met zijn eigen server praat met een geldig beveiligingscertificaat. Maar dat was duidelijk een vergissing - dit is volledig de schuld van Apple, voegde Tabini eraan toe.
Update 3 : Apple heeft een korte verklaring aan De lus te erkennen dat het op de hoogte is van het probleem en het onderzoekt.
De beveiliging van de App Store is ongelooflijk belangrijk voor ons en de ontwikkelaarsgemeenschap, Natalie Harrison, vertelde The Loop. We nemen meldingen van frauduleuze activiteiten zeer serieus en onderzoeken dit.
Populaire Berichten