Ein umfassender Sicherheitstest von iOS-Apps brachte eine alarmierende Wahrheit ans Licht: Nutzergeheimnisse werden in einem erschreckenden Ausmaß geleakt. Das Team hinter der Untersuchung durchforstete gigantische 8 Terabyte an App-Daten, um herauszufinden, wie sicher iOS-Apps wirklich sind. Die Ergebnisse waren schockierend: 70 % der getesteten Anwendungen enthielten kritische Sicherheitslücken.
Wie begann die Untersuchung?
Ein zentraler App-Katalog des App Stores existiert nicht. Deshalb mussten sich die Forscher einen Weg überlegen, um eine repräsentative Liste an Apps zu erstellen. Mithilfe eines selbst entwickelten Skripts nutzten sie die App-Store-API, um Apps anhand verschiedener Suchbegriffe zu finden. Begriffe wie „Apple“, „Leg“, „Children“ und „Sports“ dienten als Ausgangspunkt.
Das Skript durchsuchte den Store nach diesen Begriffen und generierte innerhalb weniger Stunden eine Liste mit über 500.000 Einträgen. Daraus wurden schließlich 156.080 Apps zufällig ausgewählt.
Wie wurden die Apps analysiert?
Der nächste Schritt war das Herunterladen und Untersuchen der Apps. Die Forscher experimentierten zunächst mit der USB Rubber Ducky, einem speziellen Hacker-Tool, das sich als Tastatur ausgibt und automatisierte Befehle ausführt. Es sollte die Apps herunterladen, in die Cloud hochladen und dann löschen. Allerdings war diese Methode zu langsam.
Schließlich entwickelte das Team eine effizientere Methode: Ein automatisierter Prozess lud die Apps direkt aus dem App Store in die Cloud. Dort wurden sie entpackt und nach sensiblen Informationen durchsucht.
Der Scan-Prozess
Eine eigens geschriebene Software analysierte jede App systematisch und suchte nach bestimmten Begriffen und Codeschnipseln, die auf sensible Daten hinweisen könnten. Die folgenden Stichworte standen besonders im Fokus:
| Suchbegriff | Bedeutung |
|---|---|
| password | Klartext-Passwörter |
| endpoint | API-Schnittstellen |
| API key | Zugriffsschlüssel für Dienste |
| pass | Mögliche Zugangsdaten |
Apps, die solche Begriffe enthielten, wurden genauer analysiert. Sobald eine App gescannt war, wurde sie gelöscht, um Speicherplatz freizugeben.
Schockierende Ergebnisse
Die Untersuchung brachte gravierende Sicherheitsprobleme ans Licht. In 70 % der analysierten Apps wurden sensible Nutzerdaten gefunden. Besonders alarmierend war der Fund von 19 Anwendungen, die kritische Finanzdaten wie Stripe-Zugangsdaten enthielten. Diese hätten genutzt werden können, um unautorisierte Zahlungen durchzuführen oder Kreditkarteninformationen abzugreifen.
Ein weiteres bedenkliches Beispiel: Eine getestete Chat-App speicherte private Nachrichten unverschlüsselt in ihrem Code. Innerhalb von nur fünf Minuten gelang es einem Forscher, sich Zugriff auf die Chats eines Kollegen zu verschaffen.
Er schickte aus dem gehackten Konto die Nachricht: „Ich bin neidisch auf Aras‘ Haare.“ Dies geschah mit nur zwei Zeilen Code.
Welche Gefahren drohen Nutzern?
Die Risiken für iPhone-Nutzer sind enorm. Die geleakten Daten könnten von Cyberkriminellen missbraucht werden, um:
- Bankdaten zu stehlen: Mit gestohlenen API-Keys können Zahlungen manipuliert werden.
- Persönliche Nachrichten abzufangen: Private Konversationen sind nicht sicher.
- Gespeicherte Cloud-Daten zu entwenden: Fotos und Dokumente könnten abgegriffen werden.
- Identitätsdiebstahl zu ermöglichen: Mit sensiblen Daten lassen sich betrügerische Konten erstellen.
Vergleich mit Android-Apps
Diese Untersuchung knüpft an eine ähnliche Studie an, die vor zwei Jahren Android-Apps auf Google Play unter die Lupe nahm. Auch dort wurden gravierende Sicherheitsprobleme festgestellt, jedoch waren die Leaks bei iOS-Anwendungen umfangreicher als erwartet.
Fazit: Ein Weckruf für die Entwicklergemeinde
Die Untersuchung zeigt, dass viele App-Entwickler grob fahrlässig mit Nutzerdaten umgehen. Sensible Informationen gehören nicht in den App-Code. Stattdessen sollten Entwickler bewährte Sicherheitspraktiken wie verschlüsselte Speicherung und sichere API-Authentifizierung nutzen.
Die Ergebnisse der Untersuchung unterstreichen, dass Apple-Nutzer sich nicht blind auf die Sicherheit des App Stores verlassen können. Es bleibt unklar, wie viele weitere Apps Sicherheitslücken enthalten, die bislang unentdeckt geblieben sind.
