Skycure: HTTP-Verbindungen zahlreicher iOS-Apps lassen sich entführen

Dazu wird der HTTP-Umleitungscode 301 "Moved Permanently" verwendet. Der Angreifer muss sich in einem Netz mit dem Opfer befinden - etwa einem offenen WLAN. Anschließend wird die falsche URL für Updates aber im Cache aufbewahrt, und das Gerät bleibt anfällig

In Dutzenden Apps für Apples iOS findet sich eine simple Schwachstelle, die sie „für HTTP-Entführungen anfällig“ macht. Das hat das Sicherheitsunternehmen Skycure auf der Veranstaltung RSA Conference 2013 in Amsterdam und in seinem Blog erläutert. Das Problem ist ihm zufolge die HTTP-Standardantwort 301 „Moved Permanently“ („Dauerhaft verschoben“) – einer der Umleitungscodes von HTTP, der an eine andere Adresse verweist.

Apple

Skycure zufolge kommt HTTP-Code 301 häufig zum Einsatz, wenn ein App-Entwickler die Domain wechselt oder Websites zusammenführt. Angreifer könnten die URLs aber im Rahmen eines „Man in the Middle„-Angriff durch eigene ersetzen und damit den Zugriff der App auf eine von ihnen präparierte Website lenken.

Für einen solchen Angriff muss der Angreifer sich im selben Netzwerk wie das angegriffene iPad oder iPhone befinden – indem er beispielsweise ein offenes WLAN aufsetzt, in das er das Opfer lockt. In seinen Tests hat Skycure aber viele Fälle ermittelt, wo die falsche URL im Cache aufbewahrt wurde, sodass die App weiterhin den falschen Server kontaktierte.

Wenn dies erst einmal geschehen sei, benötige der Angreifer nur noch Code, den die App dann ausführt, um Kontrolle über das Endgerät des Opfers zu erlangen, heißt es. Der Angriff wäre für den Nutzer völlig unsichtbar, weil Apps – anders als Browser – für gewöhnlich nicht sichtbar machen, dass sie gerade Daten von einem Server abrufen.

Ist einmal eine falsche URL-Umleitung auf einem iOS-Gerät gespeichert, gibt es eigentlich nur zwei Möglichkeiten, sie wieder zu entfernen. Entweder müsste ein Gegenangriff die URL wieder korrigieren oder die App gelöscht und erneut heruntergeladen werden. Letzteres könnte allerdings Datenverlust nach sich ziehen.

Skycure hat diesen Angriff „HTTP Request Hijacking“ getauft. Es schätzt, dass 90 Prozent aller iOS-Nutzer mindestens eine dafür anfällige App auf ihrem Gerät haben. Um welche es sich handelt, wollte es aus Sicherheitsgründen nicht sagen.

Derzeit untersucht Skycure noch, ob auch Android-Apps auf diese Weise anfällig sind. Es ist übrigens nicht das erste Mal, dass sich das Unternehmen mit Man-in-the-Middle-Angriffen auf iOS beschäftigt. Erst im Juni hatte es voreingestellte Provider-WLANs als Sicherheitslücke enttarnt. Damit ließe sich ein Anwender unbemerkt in ein offenes WLAN einbuchen, wo anschließend ein Angriff – wie das jetzt geschilderte HTTP Hijacking durchgeführt werden könnte.

[mit Material von Tom Brewster, TechWeekEurope.co.uk]

Tipp: Wie gut kennen Sie das iPhone? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.

Themenseiten: Apple, Malware, Skycure Security, Software, iOS, iPad, iPhone

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen Lesen Sie ZDNet-Artikel in Google Currents ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

3 Kommentare zu Skycure: HTTP-Verbindungen zahlreicher iOS-Apps lassen sich entführen

Kommentar hinzufügen
  • Am 30. Oktober 2013 um 21:04 von hamster

    mist, wann wird n das gepatcht mac-harry?

    • Am 30. Oktober 2013 um 23:32 von punisher

      Harry schaut sich die News nicht an. Er liest nur positives über Apple ;)

  • Am 1. November 2013 um 12:37 von Robo.Term

    richtig muss es heißen:

    http verbindungen zahlreicher apps lassen sich entführen. denn es spielt keine rolle, ob ios oder android (oder was auch immer). sobald für den nutzer nicht mehr sichtbar ist, zu welchem webserver die app / das programm kommuniziert, kann alles mit den http-verbindungen gemacht werden.

    skycure jedenfalls freut sich über das mediale echo und die kostenlose werbung – haben ja schließlich auch just momentan eine neue software herausgebracht. so ein zufall aber auch.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *