App Store: Apples Einlasskontrolle prüft unzureichend

Über die Richtlinien, die Prüfkriterien und die Arbeit der App Store-Einlasskontrolle existieren so gut wie keine Informationen. Die letzten Meter, die iPhone-Developer vor der endgültigen Veröffentlichung ihrer App in Apples Software-Kaufhaus nehmen müssen, gleichen – aus Entwickler-Perspektive betrachtetet – einem schwarzen Loch.

Nach Monaten der Entwicklung wird die gerade fertiggestellte iPhone- bzw. iPad-Applikation dem Kontroll-Team übergeben, dann heißt es abwarten.

Und: Obwohl es bislang noch keine wirklich schädlichen Applikationen hinter die initialen Schranken des App Stores geschafft haben, die unzähligen Anwendungen, bei denen Apple im Laufe der letzten Jahre versteckte Zusatzfunktionen (etwa Spiele-Emulatoren, persönliche HotSpots und Co.) übersehen hat, ließen bereits ahnen, dass die angewandten Prozeduren nicht unbedingt mit der größtmöglichen Sorgfalt exerziert werden.

Nun bestätigen zwei Security-Wissenschaftler der Georgia Tech Universität die hinlänglich bekannten Vermutungen: Apple selbst startet die zur Prüfung vorgelegten Applikationen nur einmal, lässt die Apps anschließend wenige Sekunden laufen und winkt einen Großteil der eingereichten Anwendungen – ganz ohne tiefergehende Sicherheits-Analyse – direkt in den App Store durch.

Im Rahmen eines Forschungsprojektes haben die Sicherheits-Experten ihre Anwendung „Jekyll“ im vergangenen Mai in den App Store eingereicht. Die Malware-Applikation war in der Lage versteckte Tweets über das in den iOS-Einstellungen abgelegte Twitter-Konto abzusetzen, konnte E-Mails ohne Nachfrage versenden, persönliche Daten, Fotos und IDs abgreifen und diese an entfernte Server senden.

“The app did a phone-home when it was installed, asking for commands. This gave us the ability to generate new behavior of the logic of that app which was nonexistent when it was installed”

Die Applikation, die sich nach der Installation und ihrem Erststart über Netzwerk-Kommandos fernsteuern ließ, stand im App Store nur wenige Minuten zum Download bereit ehe sie von ihren Machern wieder entfernt wurde.

Für die Forscher Zeit genug, um zwei Annahmen zu verifizieren:

• Apples Prüf-Team startet eingereichte Apps nur wenige Sekunden sieht gut versteckten aber voll funktionsfähigen Schadcode nicht.
• Apples Einlasskontrolle verlässt sich weitgehend auf eine statische Code-Analyse, die sich mit einem gewissen Anteil an „dynamically generated logic“ im eigenen Quelltext problemlos umgehen lässt.

Nach Angaben des Uni-Teams sei Apple inzwischen auf die Versäumnisse hingewiesen worden und habe Änderungen in das iPhone-Betriebssystem eingepflegt, die ähnliche Angriffe zukünftig erschweren sollen.

Ein Apple-Sprecher wollte sich zum Umfang und zur Reaktion auf die aufgedeckten Prüf-Schwachstellen jedoch nicht äußern.