Artikel top billede

Ubehagelig SSL-sårbarhed griber om sig: 25.000 iOS-apps er i farezonen

25.000 apps til iOS kan angribes af hackere, fordi koden, der skal sikre krypteret kommunikation, indeholder kritiske fejl.

De omkring 1.500 iOS-apps, der menes at have en SSL-sårbarhed, der gør det lettere for hackere at afkode ellers krypterede informationer, vokser nu til potentielt over 25.000 apps.

Det er virksomheden SourceDNA, der også afslørerede den oprindelige sårbarhed, der nu føjer nye oplysninger til sagen.

SSL-sårbarheden er opstået via en bug i open source kode-biblioteket AFNetworking, som en del udviklere gør brug af, når de udvikler apps.

"Kan I huske, da 1.500 sårbare apps var en stor sag? Hvad med 25,000+ apps? Der er en anden AFNetworking SSL-sårbarhed, der blotter brugerdata overfor for en hacker med et certifikat til 50 dollars," forklarer SourceDNA.

Virksomheden fortæller, at version 2.5.1 af AFNetworking SSL-koden indeholdt den oprindelige sårbarhed, og at den ganske vist blev lukket med version 2.5.2.

"... men der var en anden fejl i nærheden i den samme kode. Domænenavns-validering kunne slås til ved hjælp af ‘validatesDomainName', men var slået fra som standard. Det blev kun slået til, når søgning efter certifikater var slået til, noget som for få udviklere gør brug af."

Ifølge SourceDNA har problemet derfor været, at en hacker kunne opsnappe data fra en SSL-session imellem en app og internettet.

"Fordi domænenavnet ikke blev tjekket, behøvede de blot et troværdigt SSL-certifikat til en vilkårlig webserver, noget du kan købe for 50 dollars."

Kan tage lang tid at lukke sårbarheden

Denne sårbarhed var noget overraskende til stede i AFNetworking 2.5.2, selv om den var blevet identificeret før den version blev frigivet, forklarer SourceDNA. 

Nu er version 2.5.3 så frigivet, og den skulle i princippet fjerne sårbarheden - men det rykker først noget ved sikkerheden, når app-udviklerne, der i dette tilfælde står bag de 25.000+ apps, implementerer den nye SSL-kode.

Det arbejde kan godt tage et stykke tid, da de mange tusinde apps - hvis udviklerne altså overhovedet opdaterer dem - først skal have implementeret den nye SSL-kode, hvorefter de skal godkendes af Apple og frigives i App Store - hvorefter brugerne jo så også skal opdatere appen.

Der er generelt et problem med, at alt for mange apps har ringe eller slet ingen kryptering af kommunikationen.

Computerworld bragte i sidste uge flere artikler om den manglende sikkerhed i mange apps.

Og det er langt fra kun iOS-apps, der kan være sårbare. Will Dormann, der er sikkerhedsforsker ved CERT på Carnegie Mellon University, har afsløret, at ud af en million scannede Android-apps havde 23.667 apps ikke styr på de sikre forbindelser.

Læs også:

Sikkerhedsfirma advarer: iOS-sårbarhed kan sende iPhone i uendelig reboot

Ekspert advarer om vanvittig mangel på sikkerhed og privacy i apps

Alvorligt problem: Både Android og iOS har apps uden ordentlig kryptering




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Brother Nordic A/S
Import og engroshandel med kontormaskiner.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Compliance og strategisk it-sikkerhed efter DORA

Finansielle koncerner har i snit 85 sikkerhedsløsninger i drift – men er i snit op til 100 dage om at opdage et igangværende cyberangreb. Ydermere viser øvelser, at det typisk tager 4-6 uger at rense og genetablere sikker drift af centrale systemer efter et stort angreb. Fokus for dagen vil derfor være på henholdsvis governance samt om, hvordan du som it-leder i den finansielle sektor skal kunne håndtere fremtidens cybertrusler og arbejde effektivt med sikkerhed på et strategisk niveau.

04. april 2024 | Læs mere


EA Excellence Day

Hvad er det, der gør it-arkitektens rolle så vigtig? Og hvad er det for udfordringer inden for områder som cloud, netværk og datacentre, som fylder hos nogle af landets bedste it-arkitekter lige nu? Det kan du her høre mere om og blive inspireret af på denne konference, hvor du også får lejlighed til at drøfte dette med ligesindede.

16. april 2024 | Læs mere


IAM - din genvej til højere sikkerhed uden uautoriseret adgang og datatab

På denne dag udforsker vi de nyeste strategier, værktøjer og bedste praksis inden for IAM, med det formål at styrke virksomheders sikkerhedsposition og effektiviteten af deres adgangsstyringssystemer og dermed minimere risikoen for uautoriseret adgang og datatab. Og hvordan man kommer fra at overbevise ledelsen til rent faktisk at implementere IAM?

18. april 2024 | Læs mere