Video: Review: iOS5 (Consumentenbond) (November 2024)
Hoewel de 'indringer' die toegang had tot het Apple Developer Center slechts een nieuwsgierige penetratietester bleek te zijn, kunnen aanvallen op sites van ontwikkelaars ernstige gevolgen hebben, meer dan alleen het stelen van persoonlijke informatie.
Apple heeft afgelopen donderdag de Mac-, iPhone- en iPad-ontwikkelaarswebsite gesloten en gezegd dat er ongepland onderhoud werd uitgevoerd. Het leverde geen andere informatie op en ontwikkelaars maakten zich steeds meer zorgen over de langdurige uitval. Met het portaal naar beneden konden deze ontwikkelaars niet aan nieuwe code werken, de status van hun bestaande apps controleren of hun accounts beheren.
"Afgelopen donderdag probeerde een indringer persoonlijke informatie van onze geregistreerde ontwikkelaars te beveiligen van onze ontwikkelaarswebsite, " vertelde Apple de ontwikkelaars uiteindelijk zondagavond via e-mail. Hoewel gevoelige informatie werd gecodeerd en niet werd gebruikt, zei het bedrijf: "Mogelijk zijn de namen van sommige ontwikkelaars, e-mailadressen en / of e-mailadressen gebruikt".
Geen kwaadaardige aanval?
Ibrahim Balic, een in Londen gevestigde penetratietester, maakte uitzondering om een indringer te worden genoemd. Bedrijven huren Balic regelmatig in om te proberen kwetsbaarheden in hun systemen te vinden, en hij besloot onlangs om een kijkje te nemen op de sites van Apple. Hij vond in totaal 13 bugs, die allemaal werden gemeld met behulp van de online bug reporter, zei hij. Vier uur na zijn laatste bugrapport werd de portal verwijderd.
"Apple !! Dit is absoluut geen hackaanval !! Ik ben geen hacker, ik doe beveiligingsonderzoek", schreef Ibrahim Balic op Twitter.
Balic zei dat Apple niet had gereageerd op zijn bugs. "Ik heb dit onderzoek niet gedaan om schade toe te brengen of te beschadigen", zei hij in een commentaar op TechCrunch. Hij maakte een YouTube-video om te laten zien hoe hij toegang had gekregen tot informatie van ontwikkelaars, maar nam deze weg nadat hij zich realiseerde dat hij de namen en details van de afzonderlijke ontwikkelaars niet had verdoezeld.
Waarom zich toch op ontwikkelaars richten?
Balic heeft misschien niet iets kwaads bedoeld tijdens zijn uitstapje naar de servers van Apple, maar ontwikkelaars worden steeds meer het doelwit. Canonical heeft bekendgemaakt dat haar Ubuntu-forums dit weekend zijn overtreden. Deze aanvallen verschillen niet zo veel van aanvallen op andere sites. Net als bij eerdere incidenten lopen deze gebruikers nu het risico voor social engineering-aanvallen, zoals nep wachtwoordresets. Aanvallers kunnen ook proberen in te loggen op andere sites met de gestolen inloggegevens.
Portals voor ontwikkelaars zijn "hubs" met gebruikers van veel verschillende organisaties, aldus Mike Lloyd, CTO van RedSeal Networks. De aanvaller is misschien niet geïnteresseerd in de feitelijke gegevens die zijn opgeslagen op de site van de ontwikkelaar zelf, maar eerder in de inloggegevens die op andere sites kunnen werken, zei Lloyd. "Als u de accountgegevens op een hubsite kunt beschadigen, is de kans groot dat u nu geldige aanmeldingen hebt voor een groot aantal andere bedrijven, " zei Lloyd.
Eerder dit jaar was een iOS-ontwikkelaarsforum gecompromitteerd en geïnfecteerde werknemers op Twitter, Facebook en anderen met malware. Aanvallers die zich richten op de Apple-ontwikkelaarssite, zouden geïnteresseerd kunnen zijn in aanvallen met watergaten voor ontwikkelaars bij andere bedrijven, aldus Lee Weiner, senior vice-president producten en engineering bij Rapid7.
Aanvallers met gestolen Apple-ontwikkelaarsaccounts zouden potentieel kwaadaardige applicaties kunnen uploaden onder de naam van de gecompromitteerde ontwikkelaar, zei Michael Sutton, vice-president beveiligingsonderzoek bij Zscaler.
Omdat de accounts het handtekeningcertificaat van de ontwikkelaar voor goedgekeurde apps hebben, bestaat het gevaar dat aanvallers kwaadaardige apps ondertekenen met behulp van de legitieme certificaten, zei Tommy Chin, technisch ondersteuningsingenieur bij CORE Security. "Er verschijnen nep-geverifieerde apps in de Appstore als Apple de portal niet ingedrukt houdt totdat deze is opgelost, " zei Chin.
"De aanval komt op een slecht moment voor Apple, omdat het hen heeft gedwongen de ontwikkelaarsportal offline te halen omdat ontwikkelaars applicaties voorbereiden voor iOS 7, gepland voor release in de herfst, " zei Sutton.
