首页>安全资讯>iOS APP接受自签名证书,易受中间人攻击

iOS APP接受自签名证书,易受中间人攻击

几十个iOS移动银行、医疗和其他类型的APP,因开发人员遗留的调试代码允许接受自签名证书,导致其处理敏感用户信息时容易受到中间人攻击,其中TLS流量可以被拦截。

Sudo安全小组对76个APP进行分析,其中19个被认为是高风险的。研究者并没有透露这些APP名单,但是已经开始通知受影响的开发商。CEO Strafach称,在分析的76个APP(总计1800万下载量)中,33个被认为是低风险,因为大多数面临风险的数据是设备数据或有限的个人信息,另外24个是中度风险,19个是高度风险,个人证实能够拦截身份验证用户的凭证或会话令牌。

这些APP包含接受自签名证书的网络代码,这可能是开发人员为了调试而留下的功能,以便APP开发者可以在staging server上内部测试APP。内部服务器不在公共网络上,因此他们需要使用自签名证书,但是他们可能没有删除相关的代码,导致这些APP将接受任何自签名证书,并允许攻击者提交其证书到流量流中,并按照他们的方式重定向安全数据。

Strafach称,他已经在一份报告中列出了所有受到低风险影响的APP,而那些被认为处于中度和高度风险的APP,在他们公开名单之前,将有60至90天的时间进行补救。Strafach强调,苹果无法在不破坏现有安全策略的情况上修复该问题。一些自定义APP在防火墙后工作,使用绑定到可信内部证书或公钥的自签名证书,iOS 9中引入的ATS策略也对这种错误配置无效,因为ATS会检测到TLS证书并将这些连接视为有效的TLS连接。

Strafach提醒开发者,确保代码正确是非常重要的事情,开发者应该小心处理APP中的代码级别,如果用了自签名证书测试APP,但没有小心地删除这些代码,将给用户带来极大风险。总的来说,你需要确保没有把调试代码留在成品APP中继续工作,修复这个漏洞可能只是需改变一行或几行代码。

用户可以通过在公共网络发送敏感信息时关闭WiFi来避免泄密,因为大部分此类攻击是通过WiFi发生的。这种漏洞仍然存在于蜂窝网络中,但比通过WiFi攻击要更加复杂和昂贵,因此风险更低。

消息来源:threatpost 沃通翻译整理,转载请注明出处http://www.wosign.com/news/2017-0215-01.htm