iOS: In-App-Käufe ohne Bezahlen möglich
von caschy | 11 Kommentare
Uiuiui – da werden bei Apple die Sicherheits-Mitarbeiter aber bestimmt nicht in das Wochenende starten. Russischen Tüftlern ist es gelungen, die Sicherheit in Apples In-App-Käufen zu umgehen, beziehungsweise die In-App-Käufe von Apps anzuzapfen, die sich nicht richtig absichern. Normalerweise könnt ihr in diversen Spielen Goldmünzen und Co kaufen, die dann logischerweise angerechnet werden – ihr also in klingender Münze zahlt.
Ohne Jailbreak, nur durch Installation zweier Zertifikate und dem Umbiegen des DNS-Servers soll es der Tüftler geschafft haben, Apples Fort Knox zu knacken – auch zu sehen im Video. Der Spaß soll nicht bei allen Apps funktionieren, sicher dürfte sein, dass vielen Entwicklern toller Anwendungen dadurch das verdiente Geld durch die Lappen geht. Apple gibt Entwicklern eine Möglichkeit mit, die In-App-Käufe zu validieren, anscheinend halten sich nicht alle daran. (via, via, danke Juergen!)
Wird geladen ...
Von Apple wird immer gepredigt man solle als Dev In-App-Purchases validieren lassen. Wenn die Devs das nicht tun, ist das für mich kein Grund Apple die Schuld in die Schuhe zu schieben. Die Infrastruktur ist da, dann muss man sauberer coden.
Ich glaub, ich brauch doch noch ein iPhone 😉
habs grad getestet ohne erfolg
validation-failes
Mal dran gedacht was ihr so für eigene Daten an den fremden Server mit sendet? Die vom iTunes Account evtl?
Falls solche Artikel hier erlaubt sind – InApp-Käufte für Spiele sind auch unter Android kein Problem.
Mit GameCIH [1] kann man relativ einfach diverse Spielstände, insbesondere Gold/Diamanten/… etwas vermehren.
Dabei werden noch nichtmal Bezahlungsvorgänge ausgehebelt, sondern die Daten auf dem Gerät verändert. Natürlich kann man sich dagegen sicherlich auch einfach schützen (Checksummen), was ich von Anbietern mit hochwertigem Content erwarte.
Zusätzliche Inhalte kommen so aber natürlich noch nicht zwingend auf das Gerät.
[1] http://gamecih.com/
Es ist schon recht erstaunlich wie viele sich nicht daran halten… – Sogar die großen (Angry Birds und einige der aktuellen Gameloft-Titel) validieren die InApp-Käufe einfach nicht…
So weit ich das weiß, sind die Jailbreak-Lösungen, die man dafür bekommt so aufgebaut, dass die die InApp-Anfragen einfach mal ins „mobile substrate“ (paralleles Sicherheitssystem falls iOS abstürzt) umleiten und von dort wieder zurückschicken.
Ich glaube ich brauche hier dann auch keine Namen der Cydia-Apps sagen, da hilft schon eine kleine Google-Suche…
Apple sollte – falls identifizierbar – einfach alle Accounts sperren, denen dieser Betrug nachgewiesen werden kann.
Gefälschte Zertifikate installieren, irgendwelche dubiosen DNS-Server verwenden… und hinterher jammern, wenn das Konto leergeräumt ist.
Wahrscheinlich eine einfache Kosten-/Nutzen-Rechnung.
Der Anteil JB-User ist relativ klein, davon nutzen die meisten wahrscheinlich nur Tweaks und keine gecrackten Apps und selbst wenn, glaube ich nicht, dass sie für so In-Game Münzen o.ä. zahlen würden – in dem Falle schadet man sich sogar ja selber, da das Spiel fixer vorbei ist.
Die Lücke ist ärgerlich, aber ich glaube, erst recht in der Welt der Nicht-JB-User bekommt sowieso kaum einer diese Nachricht mit, insofern seh ich keinen großen finanziellen Schaden, wenn überhaupt.
Trotzdem ist das natürlich ein lächerlicher Bug.
Es wird immer und bei allem eine Lücke geben, an welcher Hacker angreifen können. Die Frage ist nur wie einfach diese ausgenutzt werden kann und wie schnell die Seitenbetreiber reagieren und Abhilfe schaffen.
Beim Video kommt nun die Meldung, dass Apple ein Uhrheberrechtsanspruch durchgeboxt hat – also is das Video sowohl über Proxtube als auch normal nicht mehr verfügbar – die scheinen echt an einer Lösung zu arbeiten…
„die scheinen echt an einer Lösung zu arbeiten…“ – wie naiv, das wird wohl eher totgeschwiegen