Ernstige beveiligingslekken aangetroffen in OS X en iOS

Geschreven door

Franke Koornneef

Gecontroleerd door

Bram

Bijgewerkt op

17 juni 2015

[addtoany] ×

Er zouden kritische beveiligingslekken zijn gevonden in Apple’s besturingssystemen die het bedrijf nog niet heeft gedicht. Malware kan worden geüpload naar de app-store en wachtwoorden gestolen uit apps.

Niet alleen Samsung, maar ook Apple heeft zo zijn beveiligingsproblemen. Kwaadwillenden kunnen wachtwoorden rechtstreeks uit de keychain halen en apps met malware uploaden.

Dat concluderen onderzoekers van de University of Indiana, het Georgia Institute of Technology en Peking University na uitvoerig onderzoek. De hacks waren mogelijk met dank aan zogeheten cross-app resource access attacks. Daarbij worden wachtwoorden en tokens voor iCloud uit de keychain gehaald en het Sandbox-principe omzeild. Ook Websocket en Scheme kunnen op deze manier misbruikt worden.

Een ander lek betreft de succesvolle poging om gemanipuleerde en kwaadaardige apps langs de keuring voor de app-store te krijgen. Deze waren vervolgens beschikbaar in de Mac App Store en de iOS App Store. Maar liefst 88% van de onderzochte Apple-apparaten zou op deze manier aangevallen kunnen worden.

De onderzoekers schrijven dat zij hun bevindingen al in oktober aan Apple hebben gemeld. Het bedrijf zou hebben gevraagd publicatie van het rapport een half jaar uit te stellen zodat in alle stilte een oplossing kon worden gevonden. Dat half jaar is echter nu om en de onderzoekers hebben nooit meer een terugkoppeling gehad. Zij stellen nu zelf een app te hebben ontwikkeld die de cross-app resource access attacks kan voorkomen. Dit is echter geen sluitende oplossing. In het rapport worden ook een aantal tips gegeven aan ontwikkelaars om dit soort lekken in de toekomst te voorkomen.

Wordt ongetwijfeld vervolgd.

[gv data=”S1tDqSQDngE”][/gv]