Wie notiert von 9to5Mac , hat ein russischer Hacker eine relativ einfache Methode entwickelt, mit der Benutzer den In-App-Kauf-Mechanismus von Apple bei vielen iOS-Apps umgehen können, sodass Benutzer die Inhalte kostenlos abrufen können.
Alternative Schaltfläche zur Bestätigung des In-App-Kaufs, die auf gehackten Geräten zu sehen ist
Die Methode, die kein Jailbreak erfordert, umfasst die Installation eines Zertifikatspaars auf dem Gerät des Benutzers und die anschließende Verwendung eines benutzerdefinierten DNS-Eintrags. Benutzer können dann wie gewohnt In-App-Käufe tätigen und werden automatisch durch das gehackte System weitergeleitet.
Abgesehen von den offensichtlichen Auswirkungen, dass der Hack mit dem Diebstahl von Inhalten von Entwicklern einhergeht, birgt die Methode auch Risiken für die Benutzer des Hacks, da während des Kaufvorgangs einige ihrer eigenen Informationen an die Server des Hackers übertragen werden. Aus diesen beiden Gründen wird Benutzern dringend davon abgeraten, die Methode zu verfolgen.
So fügen Sie die Costco-Karte zur Apple Wallet hinzu
Der Hacker wurde bereits von seinem ursprünglichen Host entfernt und war Berichten zufolge auf einen neuen umgezogen, aber die Site ist derzeit nicht verfügbar. Es ist unklar, ob es einfach aufgrund des hohen Verkehrsaufkommens ausfällt oder ob andere Maßnahmen ergriffen werden, um seine Aktivitäten zu behindern.
Entwickler können verhindern, dass der Hack mit ihren Apps funktioniert, indem sie die Validierung von In-App-Kaufbelegen implementieren, die viele Entwickler nicht in ihre Apps integriert haben.
Aktualisieren : Das nächste Web schaut genauer hin an der von Alexey Borodin entwickelten Methode, die durch eine Quittungsvalidierung eigentlich nicht verhindert werden kann.
Der gesamte Servicebedarf von Borodin ist eine einzige gespendete Quittung, die es dann verwenden kann, um die Kaufanfragen von jedem zu authentifizieren. Viele dieser Quittungen wurden von Borodin selbst gespendet, der mehrere Hundert Dollar für das Testen und Erstellen von Quittungen in In-App-Käufen ausgegeben hat. […]
Da die Umgehung den Empfangsbestätigungsserver im App Store emuliert, behandelt die App dies als offizielle Mitteilung.
Hilf einem Freund, sein iPhone zu finden
Die Behebung des Problems erfordert letztendlich Änderungen von Apple, die die für In-App-Käufe verwendete API verbessern könnten, um eindeutig unterschriebene Quittungen bereitzustellen, die nicht wie bei Borodins Service massenweise dupliziert werden könnten.
Das nächste Web interviewte auch Borodin, der feststellte, dass er den Betrieb der Website an einen Dritten übergeben hat, um Ärger zu vermeiden, und alle Informationen löschen wird, die er aus dem Betrieb erhalten hat. Laut Borodin wurden über seinen Dienst über 30.000 In-App-Transaktionen getätigt, und er erhielt nur 6,78 US-Dollar an PayPal-Spenden, um seine Kosten zu decken.
Update 2 : Macworld auch mit Borodin gechattet , der darauf hingewiesen hat, dass er die App Store-Kontonamen und Passwörter der Benutzer tatsächlich sehen kann, da sie im Rahmen des In-App-Kaufprozesses im Klartext übertragen werden.
Ich kann die Apple-ID und das Passwort für Konten sehen, die den Hack versuchen, sagte Borodin zu Macworld. Aber nicht die Kreditkartendaten. Borodin sagte, er sei schockiert, dass Passwörter im Klartext und nicht verschlüsselt weitergegeben wurden.
Laut [Entwickler Marco] Tabini geht Apple jedoch davon aus, dass es mit einem gültigen Sicherheitszertifikat mit seinem eigenen Server kommuniziert. Aber das war eindeutig ein Fehler – das ist ausschließlich Apples Schuld, fügte Tabini hinzu.
Update 3 : Apple hat a . herausgegeben kurzes Statement an Die Schleife anerkennen, dass es sich des Problems bewusst ist und es untersucht.
Die Sicherheit des App Stores ist uns unglaublich wichtig und die Entwickler-Community, Natalie Harrison, sagte gegenüber The Loop. Wir nehmen Meldungen über betrügerische Aktivitäten sehr ernst und untersuchen diese.
Beliebte Beiträge