In-App-Käufe mit Hack kostenlos auf iPhone und iPad möglich

• Empfehlen:
• Tweet

• Empfehlen:
• Tweet

Apples Bezahlsystem für Zusatzinhalte lässt sich in wenigen Schritten aushebeln. In einem Video beschreibt ein Hacker, wie es funktioniert. Mehr als 300.000 Mal soll der Hack bereits ausgenutzt worden sein. Nun untersucht Apple.

In nur drei Schritten ist der Hack möglich, um übliche kostenpflichtige Inhalte für Apps auf Apples Geräten kostenlos nutzen zu können. Die Inhalte können anschließend an iPhone, iPad und iPod Touch ohne Kosten heruntergeladen werden. Ein Jailbreak – wie es sonst oft gemacht wird – ist dafür nicht notwendig. Das Branchenmagazin 9to5mac hat es ausprobiert und bestätigt, dass es funktioniert. Apple selbst reagierte bereits: Die Angelegenheit wird ernst genommen und untersucht.

Video-Anleitung für In-App-Käufe

Die Video-Anleitung hatte der Hacker (russicher Entwickler Alexey V. Borodin) auf Youtube online gestellt. Es zeigt in drei Schritten, wie es funktioniert. Scheinbar hat der Hacker eine Schwachstelle in der API “In-App” gefunden. Zunächst muss ein maniupuliertes CA-Zertifikat am Tablet oder Smartphone installiert werden. Anschließend muss ein weiteres Zertifikat der Webseite in-appstore.com installiert werden. Die Webseite wurde augenscheinlich extra dafür eingerichtet.

Zuletzt muss der Anwender nur noch die DNS-Einstellungen in den Netzwerk-Eigenschaften ändern. Der Traffic wird anschließend über einen DNS-Servers des Hackers geleitet. Kurz darauf erscheint eine Benachrichtigung, ob die Prozedur erfolgreich durchlaufen wurde. Falls keine Fehler auftreten, können In-App-Käufe von installierten Apps kostenlos durchgeführt werden. Aufgrund von “Urheberrechtsansprüchen von Apple” wurde das Video mittlerweile von Youtube entfernt.

Der DNS-Server des Hackers wird von Apple auch blockiert. Der Hacker, der auf in-appstore.com unter dem Pseudonym ZonD Eighty schreibt, hat bereits in einem Blogeintrag bekannt gegeben eine neue auf seinem iPhone funktionierende Methode gefunden zu haben. Sie wird demnächst vorgestellt.

Gehackte In-App-Käufe verhindern

Betroffen sind Apps von Entwicklern, die eine Validierung des Kaufs nicht auf eigenem Server durchführt. Bis jetzt sollen bereits über 300.000 In-App-Käufe über den Hack getätigt worden sein. Dadurch entstanden Apple und Entwicklern ein Umsatzverlust. Um die Methode zu finden, hat Borodin mehrere hundert US-Dollar für die App-Käufe investiert.

Sicherheit und Legalität

In Deutschland dürfte der Hack nicht legal sein. Aber auch was die Sicherheit angeht sollte der Hack nicht genutzt werden. Sicherheitsvorkehrungen von Apple werden ausgehebelt. Der Hacker selbst könnte einen “Man-In-The-Middle”-Angriff nutzen, um an Daten zu gelangen. Passwärter und Apple-IDs werden bei der Methode unverschlüsselt übertragen – das bestätigte der Hacker bereits. Auf seiner Webseite sagte Borodin zwar aus keine Daten zu sammeln, dennoch sollte dem nicht zu viel Vertrauen beigemessen werden.