Entwickler warnt vor In-App-Browsern
Viele Dritthersteller-Apps bieten einen integrierten Web-Browser an, mit dem Inhalte aus dem World Wide Web direkt angezeigt werden können, ohne in eine Browser-App wechseln zu müssen. Der Anwender sieht kaum einen Unterschied zum Safari in iOS.
Doch ist es für böswillige Programmierer ein Leichtes, eingegebene Texte mitzulesen und so etwa Nutzernamen und Passwörter abzugreifen.
Aufmerksam macht darauf Craig Hockenberry, Entwickler des Twitter-Klienten Twitterific. In einem Video zeigt er, wie leicht es ist, auf diesem Weg Keylogging zu betreiben. Da das WebView umfassende Kontrolle über JavaScript hat, können einerseits Inhalte der Webseite geändert und andererseits Zwischenebenen zum Abgreifen der Tastatureingaben installiert werden. Hockenberry betont, dass dies kein Fehler von Webkit sei, sondern ein bösartiges Ausnutzen von dessen Funktionalität. An Apple richtet er die Empfehlung, Nutzerdaten mit dem OAuth-Protokoll zu schützen, mit der man einer Anwendung den Zugriff auf seine Daten erlauben kann, ohne alle Zugangsberechtigungen preiszugeben. Die sicherste Lösung für den Endanwender ist es aber sicherlich, keine sensiblen Daten über In-App-Browser einzugeben, sondern stattdessen eine richtige Browser-App zu verwenden.
Weiterführende Links: