Eind januari heeft Apple de verbinding met de App Store beveiligd met een HTTPS verbinding. Elie Bursztein, een onderzoeker die voor Google werkt, had begin juli 2012 al een aantal kwetsbaarheden door het ontbreken van HTTPS aan Apple gerapporteerd.
In een nieuwe blogpost geeft Bursztein meer informatie over deze kwetsbaarheden. Door een Man in the Middle (MitM) aanval uit te voeren op de onversleutelde verbinding, kan een aanvaller het verkeer tussen Apple apparaten en de App Store manipuleren.
Hiermee is het mogelijk om wachtwoorden te stelen, en gebruikers een andere app te laten installeren dan zij hebben gekozen. Ook is het mogelijk ervoor te zorgen dat gebruikers helemaal geen apps kunnen installeren, en kan de lijst van geinstalleerde apps worden bekeken.
De onderzoeker geeft in zijn blogpost voor een aantal aanvallen een demonstratie in een YouTube filmpje. Ook heeft hij de benodigde HTML en XML code gepubliceerd.
Apple bevestigde in zijn Web Server Notifications dat de beveiliging in januari is aangepast:
2013-01-23 itunes.apple.com – Active content is now served over HTTPS by default. We would like to acknowledge Bernhard ‘Bruhns’ Brehm of Recurity Labs, Elie Bursztein of Google, and Rahul Iyer of Bejoi LLC for reporting this issue.
Om de genoemde aanvallen te voorkomen, is het voldoende om gebruik te maken van een HTTPS-beveiligde verbinding in combinatie met een controle van het gebruikte certificaat. Als de uitgever het certificaat niet goed door de app of gebruiker wordt gecontroleerd is het nog steeds mogelijk om een MitM aanval uit te voeren.