Gehackte Apps auf dem iPhone: Möglich durch Enterprise-Zertifikate
Eigentlich sind die sogenannten Enterprise-Zertifikate von Apple dazu gedacht, dass Unternehmen Apps zur internen Verwendung unkompliziert an Mitarbeiter ausgeben können - ohne einen langwieriger Begutachtungsprozess durchlaufen zu müssen. Vor zwei Wochen wurde aber bekannt, dass Facebook wie auch Google über das Apple-Enterprise-Programm Apps zum Ausspähen privater Nutzerdaten auf Kundengeräten installierten – ein klarer Verstoß gegen Apples Richtlinien. Im Enterprise-Programm scheint aber noch mehr im Argen zu liegen: Viele Zertifikate werden zurzeit für die Distribution von
Glücksspiel- und Porno-Apps genutzt.
Auch bei Raubkopierern sehr beliebtNun kommt ans Tageslicht, dass diese Zertifikate für den Unternehmenseinsatz auch mannigfaltig für gehackte Apps Verwendung finden.
Reuters berichtet, dass zum Beispiel diverse illegale Spotify-Versionen im Umlauf sind, welche selbst bei der kostenlosen, werbefinanzierten Mitgliedschaft keinerlei Werbung abspielen. Es handelt sich hierbei um modifizierte Versionen der Spotify-App aus dem App Store, in welche Hacker diverse Änderungen einpflegten und diese dann mit einem Enterprise-Zertifikat neu signierten.
Auch andere bekannte Apps, wie zum Beispiel Angry Birds, Pokémon GO und Minecraft wurden auf ähnliche Art und Weise modifiziert. Auf diversen Handelsplätzen, wie zum Beispiel TutuApp, Panda Helper, AppValley und TweakBox, können diese modifizierten Varianten heruntergeladen werden – über eine kostenpflichtige "VIP"-Mitgliedschaft stellen viele dieser Anbieter Zusatzfunktionen bereit.
Natürlich sollten verantwortungsbewusste Nutzer sofort Abstand von Apps aus diesen Quellen nehmen – die Gefahr ist außerordentlich hoch, dass jene Apps zusätzlich Schad- oder Spionage-Code enthalten.
Apple muss reagierenEs ist davon auszugehen, dass Apple nach den jüngsten Enthüllungen über die Nutzung von Enterprise-Zertifikaten nicht länger tatenlos zusieht. Zwar sperrt Apple jetzt schon bei illegaler Nutzung die Zertifikate – eine aktive Überprüfung findet aber nicht statt, so dass Zertifikate und Entwickler-Konten oftmals über Monate hinweg für illegale Aktivitäten eingesetzt werden können.