Специалист по информационной безопасности изучил особенности работы приложений в App Store и обнаружил, что некоторые из них лишь имитируют защиту. По данным экспертов Sudo Security Group, десятки программ, шифрующих информацию пользователей, делают это ненадлежащим образом.
Как сообщает Securitylab, глава Sudo Security Group Уилл Страфач обнаружил 76 приложений для iPhone, iPod touch и iPad, которые уязвимы к атакам, позволяющим перехватить данные.
Страфач утверждает, что из-за ошибок в связанном с передачей данных коде программы могут принимать недействительные сертификаты TLS. Протокол TLS используется для защиты информации, передаваемой приложением через интернет-соединение. Без него хакер может прослушивать трафик и перехватывать любые интересующие его данные, например, логины и пароли.
«Подобные атаки может осуществить кто угодно, находящийся в зоне действия сети Wi-Fi, пока вы пользуетесь вашим устройством. Атаки возможны в общественных местах или даже у вас дома, если атакующему удастся подобраться достаточно близко», – заявили в Sudo Security Group.
Страфач обнаружил проблему в 76 iOS-приложениях, просканировав их с помощью разработанного компанией сервиса verify.ly. Исследователь протестировал уязвимые программы на iPhone, работающем под управлением iOS 10. Используя прокси-сервер, эксперт успешно внедрил в соединение недействительный сертификат TLS.
Эксперт утверждает, что 43 из 76 мобильных разработок представляют высокий и средний уровень риска, поскольку злоумышленник может перехватить передаваемые ими логины, пароли и токены. Остальные 33 приложения несут меньшую угрозу, поскольку позволяют перехватывать лишь электронные адреса.
В общей сложности 76 исследуемых приложений были загружены из магазина Apptopia 18 млн раз. Страфач не раскрывает названия программ, однако уже уведомил их создателей о проблеме.
]]>
