Schwere Sicherheitslücke im Code Signing in iOS oder wie man seine Entwicklerlizenz verliert

// November 10th, 2011 // iPhone, IT, Security

Charlie Miller, ein Security Researcher, hat eine iOS App entwickelt, welche lediglich eine Börsen App zu sein scheint, jedoch zusätzlich eine Hintertür öffnet. Diese erlaubt es über das Meterpreter Framework Payload nachzuladen und so einem Angreifer ermöglicht das betroffene Gerät zu kompromittieren. Das große Problem hierbei ist, dass er es geschafft hat, die 'Prove of Concept'-App durch Apple approven zu lassen und so im Apple AppStore verfügbar zu machen (via TechDirt).

Das Problem ist die Reaktion von Apple. Anstatt das Problem zu beheben und dankbar zu sein, dass 'Externe' Sicherheitslücken aufdecken und reporten (dies geschah wohl bereits am 14.10.2011), wurde Charlie Miller eine halbe Stunde nach Veröffentlichung des unten gezeigten Videos, die Entwicklerlizenz entzogen. Wie Miller gegenüber Andy Greenberg für Forbes erwähnte:

“I’m mad,” he says. “I report bugs to them all the time. Being part of the developer program helps me do that. They’re hurting themselves, and making my life harder.”

Feldstudie.net