Store sikkerhetshull i over 1000 iOS-apper

Over 1000 apper til iPhone og iPad er rammet av en svakhet som i verste fall kan gjøre enheten sårbar for uvedkommende på jakt etter krypterte passord, bankkontonumre og annen sensitiv informasjon.

Svakheten er knyttet til https-sikringen, som ellers skal sørge for å kryptere informasjonen som går fram og tilbake mellom en bruker og nettsiden vedkommende besøker.

Flere millioner brukere har ifølge analyseselskapet SourceDNA disse appene installert, noe som betyr at de tilsynelatende sikre dataene som sendes via de rammede appene likevel kan være tilgjengelig for folk med skumle hensikter.

Årsaken til hullet skyldes en feil i en nylig versjon av en liten kodebit ved navn AFNetworking. Verktøyet er basert på åpen kildekode, og brukes av app-utviklere for å gi appene de lager forskjellige nettverksmuligheter.

Til tross for at sikkerhetsselskapet Minded Security oppdaget og varslet om feilen allerede i mars, er det på langt nær alle utviklere som har tatt hensyn til dette og oppgradert appene sine til å bruke den nye og rettede kodesnutten.

At ikke alle utviklere følger med i timen kan man kanskje ikke forvente, men ifølge SourceDNA er det ikke bare småaktører som oppdaterte appene sine raskt nok.

Noe overraskende fant de også svakheten i apper fra selskaper som Yahoo, Microsoft, Uber og Citrix.

- Det forbløffer oss at en åpen kildekode som introduserte et sikkerhetshull i bare seks uker har gjort flere millioner brukere utsatt for angrep, skriver selskapet på bloggen sin.

Via en søketjeneste selskapet har laget kan man lett undersøke om produsentene av appene du bruker har tettet potensielle sikkerhetshull. I eksemplene ovenfor har alle unntatt Citrix nå oppdatert appene sine til mer sikre versjoner.

Det holder imidlertid ikke bare at utviklerne oppdaterer appene sine - dette er nok en påminnelse til folk flest om viktigheten av å alltid oppdatere alle apper og programvare så raskt som mulig når det slippes nye versjoner. Ofte slippes ikke disse bare for å innføre nye funksjoner, det kan like gjerne handle om sikkerhetshull produsentene ønsker å tette.

For å utnytte dette sikkerhetshullet, må angripere scanne et trådløst nettverk for eksempel på en kafé eller et hotell på jakt etter enheter som overfører informasjon via en av de utsatte appene.

Om de får napp, kan de sende et falskt SSL-sertifikat til enheten. I vanlige tilfeller ville disse blitt blankt avvist av enheten, men på grunn av den aktuelle svakheten slipper de falske sertifikatene likevel gjennom. Disse tas dermed som god fisk av iOS-enheten, noe som tillater angriperne å avkryptere og lese data som sendes via de rammede appene.