Jul 13: Russische Hacker umgehen In-App Käufe ohne Jailbreak [UPDATE]
Zugegeben, ich bin kein großer Freund der In-App Purchases. Und das sage ich, obwohl das Spendesystem innerhalb meiner App darauf basiert. Die Verwendung dieser Funktion hat allerdings dazu geführt, dass viele Entwickler nur noch "halbe" Apps kostenlos oder günstig in den AppStore stellen und man dann innerhalb der App weiter zur Kasse gebeten wird. Statistiken zeigen inzwischen, dass die User dabei deutlich mehr ausgeben, als sie normalerweise für den Kauf einer App bereit wären zu zahlen. Aus wirtschaftlicher Sicht also ein absolut nachvollziehbarer Schritt mancher Entwickler. Beliebt macht man sich damit aber oft nicht. Der Meinung sind wohl auch ein paar russische Hacker, die nun einen Weg gefunden haben, der App vorzugaukeln, dass ein In-App Purchases erfolgreich durchgeführt wurde, in Wahrheit aber gar nicht gezahlt wurde. Dies ist auf jedem iOS-Gerät vollkommen ohne Jailbreak möglich. Man installiert dazu lediglich zwei von den Hackern zum Download angebotene iPhone-Zertifikate, die die DNS-Einstellungen auf dem Gerät ändern und über einen modifizierten HTTP-Header dem Gerät anschließend den erfolgreichen In-App Kauf vortäuschen. In der Informatik spricht man dabei von einem "Man-in-the-Middle" Angriff.
An dieser Stelle wird sich der eine oder andere Leser evtl. den Download-Link zu den beiden angesprochenen Zertifikaten und eine Anleitung zur Vorgehensweise wünschen. Auf diesen verzichte ich an dieser Stelle (anders als diverse andere Apple-Seiten) jedoch ganz bewusst und spreche stattdessen eine deutliche Warnung vor der angesprochenen Vorgehensweise aus. Denn während man auf diese Weise vielleicht den einen oder anderen Euro sparen kann, könnte man an anderer Stelle deutlich teurer bezahlen - nämlich mit seinen Daten. So werden im Hintergrund Daten von dem Gerät auf die russischen Server übertragen. Welche genau ist dabei unklar. Fakt ist aber, dass ich niemandem irgendwelche Daten auf diese Weise geben möchte.
Darüber hinaus sollte einem bewusst sein, dass man damit nichts weiter als Diebstahl betreibt. Die Preise im AppStore sind ohnehin bereits soweit im Keller, dass nur die wenigsten kleinen Entwickler davon leben können. Schadet man ihnen auch noch auf diese Weise, ist damit auf lange Sicht niemandem geholfen. Daher also der Aufruf, die Finger davon zu lassen. Zum Wohle der eigenen Daten und zum Wohle des AppStore.
Von Apple gibt es aktuell keine Stellungnahme. Allerdings merkt Matt Panzarino korrekt an, dass entsprechend abgesicherte In-App Purchases deutlich schwieriger zu hacken sind. Apple liefert seinen Entwicklern hierfür sogar eine entsprechende Dokumentation.
UPDATE: Inzwischen hat sich Apple gegenüber The Loop zu dem Thema mit den folgenden Worten geäußert: "The security of the App Store is incredibly important to us and the developer community,” Apple representative Natalie Harrison, told The Loop. “We take reports of fraudulent activity very seriously and we are investigating."
