Werbung
Jede Software enthält Fehler und offenbart so auch Sicherheitslücken. Besonders problematisch ist dies, wenn es sich um ein Betriebssysteme oder Software handelt, die Zugriff auf das komplette System erlauben. Nun hat der App-Entwickler Charlie Miller eine Sicherheitslücke entdeckt und diese mit einer App auch zugänglich gemacht. Schlussendlich hat dies dazu geführt, dass Apple ihn aus dem Developer-Programm entfernt hat und auch die App natürlich nicht mehr im App Store zu finden ist. Die Sicherheitslücke entsteht durch die Möglichkeit im Mobile Safari unsignierten Code auszuführen. Apple erlaubt im Browser ab der iOS-Version 4.3 das Ausführen von Javascript-Code aus dem Web auf einer tieferen Speicherebene, als dies zuvor der Fall war. Zum einen erlaubt dies ein schnelleres Ausführen des Codes, offenbart dem Code aber auch in der tieferen Systemebene mehr Möglichkeit nicht authorisierte Prozesse auszuführen.
Die Nitro JavaScript-Engine, die wegen der tieferen Implementation der sogenannten JIT-Compilations auch für eine bessere Performance sorgt, sollte ursprünglich nur im Browser ausführbar sein. Offenbar aber ist es jeder App möglich diesen schadhaften Code auszuführen. Charlie Miller hat eine solche App erstellt und in den App Store gestellt. Nach der Präsentation der Sicherheitslücke wurde die App entfernt und der Developer-Account von Miller gesperrt.
In einem Video hat Charlie Miller die Sicherheitslücke demonstriert:
Der Fall offenbart gleich meherere Probleme. Zum einen ist umfangreiche Software niemals fehlerfrei und Apple ist in diesem Fall sicher auch darauf angewiesen, dass externe Entwickler und Hacker diese entdecken. Dann jedoch sollten sich diese an eine gewisse Hacker-Ethik halten. Das Stichwort ist "Responsible Disclosure". Dabei wird die Sicherheitslücke nicht direkt offenbart, sondern den betroffenen Programmierern der Software etwas Zeit eingeräumt, den oder die Fehler zu beseitigen. Dies tut Charlie Miller auch, denn er will die Details der Sicherheitslücke erst in der kommenden Woche präsentieren. Bis dahin hat Apple nun Zeit iOS zu aktualisieren.
Auf der anderen Seite besteht Apple auf ein "Review" einer jeden App, die in den App Store möchte. Die von Charlie Miller programmierte App, die nun die Sicherheitslücke offenbart hat, hätte aber niemals in den App Store gelangen dürften. Apple hatte also die Möglichkeit, bevor dies an die Öffentlichkeit gelangte, entsprechend zu reagieren.
Die App aus dem App Store zu entfernen war sicher richtig, dem Entwickler aber auch gleich den Developer-Account zu sperren, kann man zumindest fragwürdig finden.
Weiterführende Links: