Hack: Kostenlose in-App-Käufe auch im Mac App Store
Der russische Entwickler, der bereits einen ganz ähnlichen Exploit für kostenlose In-App-Käufe mit iOS-Geräten ausnutzen konnte, hat die gleiche Methode jetzt auch für Anwendungen aus dem Mac App Store umgesetzt. Damit ist es jetzt möglich, unter Mac OS X ohne Bezahlung an weitere Inhalte zu kommen.
Auf die iOS-Schwachstelle reagierte Apple bereits mit einem vorläufigen Fix für betroffene Entwickler. Sie können jetzt ihre digitalen Quittungen verschlüsseln und durch zwei zuvor private APIs verifizieren. Die Überprüfung erfolgt vermutlich anhand der UDID, die jedem Gerät zugeordnet ist und es eindeutig identifiziert. Im vergangenen Jahr hatte Apple den App-Entwicklern die Nutzung der UDID (Unique Device Identifier) untersagt, nachdem das gängige Tracking der Nutzer in die Kritik kam.
Kaum hatte Apple reagiert, machte der Entwickler mit seinem neuen Hack auf sich aufmerksam, der diesmal Anwendungen ab Mac OS X 10.7 Lion betrifft. Sein neuer Dienst “In-Appstore for OS X” nutzt ebenfalls die klassische Man-in-the-Middle-Attacke zur Umgehung von Apples Authentifizierungsservern. Die Anwender müssen dafür zwei präparierte Zertifikate installieren und in den WLAN-Einstellungen einen anderen DNS-Server bestimmen. Zusätzlich müssen sie die Anwendung “Grim Receiper” laufen lassen, die Orginalquittungen des Mac App Store aufzeichnet.
Die Anwendungen akzeptieren dann von Borodin bereitgestellte Server anstelle der Apple-Server und halten die vorgenommenen In-App-Käufe für bezahlt. Während beim iOS-Hack angeblich massenhaft unbezahlte In-App-Käufe durchgeführt wurden, dürften sie sich bei den Anwendungen aus dem Mac App Store in Grenzen halten. Anders als bei den beliebten Spielen für iPhone und iPad gibt es hier weniger Anwendungen mit zusätzlichen zahlungspflichtigen Inhalten.
Borodin bittet für die Nutzung seines Umgehungsdienstes um Spenden. Nachdem Apple sein PayPal-Konto sperren ließ, ist er inzwischen auf Bitcoins ausgewichen. Auch wenn der Entwickler beteuert, dabei keine Nutzerdaten zu sammeln, ist von der Methode Borodin allerdings auch aus Sicherheitsgründen klar abzuraten.
Apple hat angekündigt, die Schwachstelle bis zur endgültigen Version von iOS 6 dauerhaft zu beseitigen. Da OS X 10.8 Mountain Lion später in diesem Monat zu erwarten ist, wäre auch hier noch eine rechtzeitige Lösung denkbar.
[mit Material von Emil Protalinski, News.com]
