Charlie Miller, een hacker die in het verleden al vaker kwetsbaarheden van Apple-producten heeft aangetoond, zegt een lek te hebben ontdekt in het nieuwe mobiele besturingssysteem iOS 5. Hij zegt dat het hierdoor mogelijk is om malware in de App Store te plaatsen zonder dat Apple dit in de gaten heeft. Kwaadwillenden kunnen op deze manier malafide apps beschikbaar stellen om zo persoonlijke gegevens van gebruikers te achterhalen. Voor deze ontdekking is hij op straat gezet.
Apple houdt er een streng beleid op na als het gaat om het aanbieden van apps in de App Store. Ontwikkelaars mogen hun applicaties pas aanbieden in de App Store als de medewerkers van Apple deze app onder de microscoop hebben gelegd en volledig ontleed hebben. Als er geen vreemde codes, mankementen en malwareprogramma’s zijn ontdekt, krijgt de app een plaatsje in de App Store. Apple streeft ernaar om dit proces binnen twee weken af te ronden, maar in sommige gevallen duurt het enkele maanden.
Een goed systeem om internetcriminelen geen kans te geven misbruik te maken van de App Store zou je op het eerste gezicht denken, maar niets blijkt minder waar. Hacker Charlie Miller zegt een manier te hebben gevonden om apps die met malware zijn besmet in de App Store te plaatsen en Apple’s beveiligingssysteem te omzeilen. Gebruikers zullen niets in de gaten hebben, omdat zij denken dat Apple er streng op toeziet dat er geen kwaadaardige apps in de App Store plaatst.
Miller zegt dat apps in de App Store alleen door Apple goedgekeurde commando’s mogen geven aan een iOS-apparaat. Apps die geen goedgekeurde commando’s verstrekt komen dus niet in de App Store terecht. De hacker zegt dat men deze beveiliging kan omzeilen door gebruik te maken van een beveiligingslek in het nieuwe besturingssysteem iOS 5. Hierdoor is het mogelijk om niet-goedgekeurde commando’s te downloaden van een server van buitenaf. Internetcriminelen kunnen op deze manier bijvoorbeeld persoonlijke gegevens achterhalen van nietsvermoedende gebruikers, zoals betaalgegevens.
Miller heeft dit aangetoond door een ‘proof-of-concept’-app te maken en deze in de App Store te plaatsen. Apple was hier allerminst van gecharmeerd van deze actie en heeft onmiddellijk de developer-account van Miller geblokkeerd en hem de toegang voor een jaar ontzegd. Naar alle waarschijnlijkheid heeft de man alle benodigde informatie aan Apple doorgegeven zodat hun medewerkers de bug kunnen verhelpen.
Miller zegt niets te begrijpen van de actie van Apple. Op Twitter klaagt hij erop los. "Eerst geven ze onderzoekers toegang tot developer-programma’s en dan schoppen ze die eruit vanwege het doen van onderzoek", twittert hij bijvoorbeeld. Zijn followers begrijpen er ook niets van en proberen hem een hart onder de de riem te steken. Wel zegt Miller vastberaden te zijn om zijn bevindingen te presenteren op de SysCan-conferentie in Taiwan. Dan zal hij meer details prijsgeven over het beveiligingslek.
Op de onderstaande video vertelt Miller over het beveiligingslek.
2 uur geleden
