Handl i Apples App Store uden at betale - smuthul opdaget

Alle kunne - uden at hacke - hente betalingsprogrammer uden at betale. Apple undersøger.

Annonce:
Annonce:
Apple må nu bruge sommerferien til at undersøge en pinlig fejl, der kan koste Apple og mange udviklere penge, hvis den ikke straks bliver rettet.

En russer kan demonstrere, hvordan han har fundet et smuthul i App Store, der lader ham gennemføre de såkaldte in app-køb - uden at betale. Altså ekstra point i spil, abonnementer på ebøger og lignende direkte i Apples programmer.
Russeren har nu givet andre mulighed for at bruge kattelemmen. Mindst 30000 overførsler er gennemført til iPads og iPhones, uden at Apple har fået fem flade øre for dem.


Manden i midten
Russeren Alexey V. Borodins omgåelse af Apples systemer er teknisk set ikke et hack. Han har fundet en måde at snyde Apples system til at tro, at der rent faktisk er blevet betalt for et in-app-køb - uden at det er sket. Altså et man-in-the-middle-angreb.

Han kan genbruge en kvittering fra ét køb til at tillade mange falske. The Next Web har mere om metoden. Ifølge Borodin er der flere måde, at Apple kunne fikse og forbedre sikkerheden på. Så han er nu i kontakt med firmaet.


Jeg stjæler ikke
Alexey V. Borodin startede bloggen In-appstore.com, hvor han fortalte om smuthullet. Han påstår, at han ikke længere selv skriver på siden - og har overdraget den til andre, fordi han ikke vil risikere at komme i fængsel.

Men inden han overgav kontrollen med siden, skrev han, at han ikke har dårlig samvittighed over, at mange udviklere risikerer at miste indtægter.

"Udviklere, jeres indtægter afhænger helt og aldeles af kvaliteten af jeres apps. Der vil være millioner af loyale brugere, der aldrig ville finde på at bruge tjenesten," skriver han.

At han blotter sikkerhedskullet er en god ting, mener han.

"Det er godt at påpege, at der er noget, der ikke er perfekt. Jeg hjælper alle fremadrettet. Jeg hjælper udviklere med at beskytte deres apps, og jeg hjælper Apple med at forbedre deres sikkerhed. Og så hjælperne jeg hackerne," siger han og lover at offentliggøre kildekoden om kort tid.

Hans metode betyder også, at alle, der brugere tjenesten, frivilligt overfører både deres Apple-ID og kodeord til ham. Det giver ham mulighed for at købe på deres vegne. Men det afviser han at have gjort. Han påstår, at han slet ikke logger og gemmer de data, som sendes via hans servere.

Ifølge The Loop har Apple udtalt, at der bliver set med stor alvor på den mulige brist - og at sagen undersøges.


Ytringer på debatten er afsenders eget ansvar - læs debatreglerne
Indlæser debat...




 
Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Infinigate (Danmark) A/S
Distribution af sikkerhedssoftware samt salg af konsulentydelser om it-sikkerhed.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

White papers
I dette white paper kan du læse om, hvad medarbejderne i dag forventer af dine...

I dette white paper kan du læse om Software AG's unikke tilgang til Intelligent Business...

I dette white paper kan du læse om de centrale egenskaber ved intelligente forretningsprocesser,...

 
Kommende events
Få et bedre og mere effektivt datacenter

It-chefens måske vigtigste opgave er hele tiden at vælge den mest optimale måde at håndtere virksomhedens data på - herunder at vælge hvor og hvordan virksomhedens data skal behandles. Læs mere

Pfizers Konferencecenter - 2750 Ballerup



Cloud Masterclass

Bliv klædt på til at træffe dine egne beslutninger om brugen af cloud-løsninger. Kom til Computerworld Cloud Masterclass og hør danske cases og internationale eksperter fra IBM, Microsoft og Amazon. Læs mere

Park Inn Radisson - 2300 København



Har du styr på IT sikkerheden?

Hvad gør din virksomhed for at lukke døren for hackere? Og ved du hvad dine IT konsulenter foretager sig på dit netværk? Flere "devices" på netværket og flere konsulenter til at servicere dem eksponerer dit netværk for cyber trusler. Hør mere om Vendor Risk Management og sikker remote access på dette How To? Læs mere

Pfizers Konferencecenter - 2750 Ballerup






Computerworld
Guide: Sådan laver du din egen private "Dropbox"-server med Raspberry Pi på et kvarter
Selv uden de store Linux-evner kan en nybegynder relativt nemt lave en Sync-server, som fungerer på samme måde som de kendte sky-tjenester, så længe man er væbnet med tålmodighed og gåpåmod.
CIO
Her er læren af Windows 8.1: Sådan kan du undgå kaos næste gang
ComputerViews: Opgraderingen Windows 8.1 har givet store problemer for mange brugere. Problemet skal findes i en grundlæggende mangel, som du også selv bærer et ansvar for.
Comon
Stor guide: Her er den nødvendige software til din studie-pc
Software til din studiecomputer kan koste dig over 10.000 kroner gennem uddannelsen, men du kan også klare dig ganske gratis. Her er en guide til den nødvendige software på både Mac og pc - og til forskellige budgetter.
Channelworld
Analyse: Derfor kan 2014 blive det bedste Mac-år nogensinde
Analyse: Mens salget af pc'er falder støt, ser 2014 ud til at blive et rekord-år for Mac-computere. Vi har kigget på salgstallene og fremskriver friskt salget. Se her, hvad vi når frem til.
White paper
Den lette vej fra legacy til SOA
Få med dette webcast fra BluePhoenix et teknisk overblik over, hvad en legacy-modernisering kan indebære, og hvad der bedst kan betale sig.


Log ind
x
E-mail
Kodeord