Apple: Bug bei In-App-Käufen wird untersucht

Apple untersucht derzeit eine gravierende Schwachstelle in seinem Bezahlsystem für In-App-Käufe, über die sich kostenpflichtige Extras ohne Zahlung des eigentlichen Kaufpreises beziehen lassen. Bereits Ende letzter Woche hatte der russische Entwickler Alexey V. Borodin das Schlupfloch entdeckt und seine Vorgehensweise über die Website in-appstore.com öffentlich publiziert.

Bug bereits tausendfach ausgenutzt

Innerhalb weniger Stunden nach Bekanntwerden wurde der Bug bereits tausendfach ausgenutzt. Laut Borodins Schritt-für-Schritt-Anleitung ist es dabei nicht notwendig, Veränderungen an der Geräte-Software vorzunehmen oder bestehende Sicherheitsvorkehrungen durch Manipulationen zu überwinden. Lediglich zwei Sicherheitszertifikate müssen installiert werden. Anschließend wird der gesamte Transaktionsprozess beim Start des Zahlungsvorgangs unterbrochen und im Rahmen eines sogenannten Man-in-the-Middle-Angriffs umgeleitet.

Während In-App-Käufe über iTunes regulär erst dann als abgeschlossen gelten, wenn die Belastung des Nutzer-Kontos mit der Zahlungssumme durch einen Apple-Server quittiert wurde, lässt Borodin die benötigte Kaufbestätigung in diesem Fall über eigene Server ausstellen. Dem Apple-Server wird in der Folge vorgegaukelt, der Nutzer habe den Kauf abgebrochen; die App wiederum erhält das Signal, dass der ausgewählte Inhalt freigeschaltet werden kann.

Schwachstelle bislang offenbar nicht behoben

Apple hat bislang offenbar noch keinen Weg gefunden, das Täuschungsmanöver zu unterbinden. Eine erste Maßnahme zur Absicherung des Zahlungverfahrens bezeichnete Borodin gegenüber dem US-Blog "The Next Web" als wirkungslos und bot dem Konzern seine Hilfe bei der Lösung des Problems an. Zudem teilte der russische Programmierer mit, er habe die Kontrolle über in-appstore.com kurz nach der Veröffentlichung an nicht genannte Dritte abgegeben, "um nicht im Gefängnis zu landen".

Apple reagierte offiziell bislang lediglich mit einer allgemein gehaltenen Stellungnahme. Man nehme die Betrugsaktivitäten sehr ernst und sei dabei, die Angelegenheit zu untersuchen, hieß es am Freitag gegenüber dem US-Blog "The Loop". Für die Entwickler von iOS-Apps ist es die zweite Hiobsbotschaft innerhalb weniger Tage. Erst kürzlich hatte eine Panne auf den Apple-Servern zu zahlreichen App-Abstürzen und Fehlfunktionen geführt.