Fauler Apfel: Zwei Drittel untersuchter iOS-Apps mit Sicherheitslücken

Passwörter, Fotos, Zahlungsdaten - all das liegt bei vielen iOS-Apps praktisch ungeschützt im Netz. Sicherheitsforscher haben jetzt aufgedeckt, wie massiv Entwickler von Apps für Apple-Geräte gegen elementare Schutzmaßnahmen verstoßen.

Alarmierende Sicherheitslücken im App Store

Eine neue Untersuchung wirft ein schlechtes Licht auf die Sicherheit von iOS-Apps. Trotz Apples strengen Kontrollen weisen mehr als zwei Drittel der bei einer großen Untersuchung analysierten Anwendungen kritische Schwachstellen auf - genauer 71 Prozent. Im Durchschnitt gibt jede App mehr als fünf sensible Datensätze preis, die potenziell von Angreifern missbraucht werden könnten.

Das Forschungsteam von Cybernews konnte in seiner Analyse von 156.000 iOS-Apps weitreichende Probleme feststellen - das sind etwa 8 Prozent aller Apps im Apple Store. "Viele iOS-Entwickler machen es Hackern zu einfach", warnt Sicherheitsforscher Aras Nazarovas. So lägen API-Schlüssel und Datenbank-Zugänge oft unverschlüsselt im Programmcode.

Vereinfacht gesagt, ist es, als würde man den Hausschlüssel unter der Fußmatte an der Tür verstecken. Ein Angreifer muss lediglich nachsehen, um ungehinderten Zugang zu erhalten. Geheime Daten sollten niemals fest im Code einer App verankert sein.

Schwachstellen im Detail

Besonders problematisch sind die sogenannten "Storage Buckets" - Cloud-Speicherorte für Nutzerdaten wie Bilder und Dokumente. Bei 78.343 Apps fanden die Forscher entsprechende Zugangsdaten im Quellcode. Weitere 42.000 Anwendungen enthielten ungeschützte Datenbank-URLs, über die Angreifer potenziell auf E-Mails und Passwörter zugreifen könnten.

Die Untersuchung zeigt, dass Entwickler häufig gegen grundlegende Sicherheitsprinzipien verstoßen. Statt Zugangsdaten in geschützten Umgebungsvariablen oder verschlüsselten Konfigurationsdateien zu speichern, werden sie direkt in den App-Code eingebettet. Diese Praxis macht es Angreifern leicht, durch einfaches Dekompilieren der Apps an sensitive Informationen zu gelangen.

Besonders kritisch: Bei mindestens 836 Apps waren die Cloud-Speicher völlig ungeschützt zugänglich. Die Forscher fanden dort über 76 Milliarden exponierte Dateien mit einem Gesamtvolumen von mehr als 406 Terabyte. Darunter befanden sich auch hochsensible Daten wie Nutzerregistrierungen und App-Protokolle.

Es geht aber noch schlimmer: 19 der Apps enthielten Stripe-Schlüssel für Zahlungsabwicklungen. "Mit diesen könnten Angreifer Zahlungen und Rückerstattungen auslösen sowie auf Rechnungsadressen, Namen und Zahlungsinformationen zugreifen", erklärt Nazarovas. Cybernews findet viele Lücken

Schutzmaßnahmen für Nutzer

Für App-Nutzer ist es praktisch unmöglich, die Sicherheit einer Anwendung selbst zu überprüfen. Experten empfehlen daher:


Wie geht ihr mit der Sicherheit eurer iOS-Apps um? Habt ihr bestimmte Kriterien, nach denen ihr Apps auswählt? Teilt eure Erfahrungen und Strategien in den Kommentaren!



Siehe auch: