Apple najzad implementirao HTTPS za App Store

Vesti, 11.03.2013, 08:13 AM

Tokom proteklih devet meseci, a moguće je da je reč i o godinama, Apple je iz neobjašnjivih razloga izložio korisnike iOS opasnosti od napada jer kompanija nije implementirala tehnologiju koja bi kodirala celokupan saobraćaj između uređaja korisnika i App Store.

Google-ov istraživač Elaj Brštajn, koji se u slobodno vreme bavi otkrivanjem sigurnosnih propusta, u julu prošle godine prijavio je Apple-u nekoliko različitih iOS propusta koji su ukazivali na to da iOS nikada nije u potpunosti koristio HTTPS. Moguće je da je takva situacija trajala godinama.

HTTPS je jedna od bazičnih zaštitnih mera koja obezbeđuje da saobraćaj između krajnjeg korisnika i web servera bude enkriptovan, čime se sprečava presretanje i manipulacija tim saobraćajem.

Tokom prethodnih pet godina, brojne kompanije, uključujući Google, Facebook i Twitter, ponudile su svojim korisnicima HTTPS, otežavajući tako posao napadačima. Zato ostaje nejasno zašto je Apple-u trebalo toliko mnogo vremena da uhvati korak sa ostalim kompanijama.

Apple-ov propust da u potpunosti implementira HTTPS za korisnike iOS predstavljao je nepotreban rizik za svakog ko je ikada koristio iPhone ili iPad za preuzimanje aplikacija preko nesigurne WiFi konekcije. Napadači povezani na istu mrežu mogli su koristiti slobodno dostupne alate i tehnike društvenog inženjeringa da bi se domogli lozinki i drugih akreditiva korisnika. Što je još gore, oni su mogli manipulisati lažnim prodavnicama aplikacija koje objavljuju lažne aplikacije i ažuriranja umesto onih koje nudi Apple-ova prodavnica aplikacija.

U petak je Brštajn objavio post na svom blogu u kome je između ostalog potvrdio i da je Apple nedavno implementirao HTTPS za App Store. Međutim, iz njegovog posta se može zaključiti da su pojedini delovi App Store zaštićeni sa HTTPS a pojedini delovi nisu.

Vest da je Apple najzad ažurirao svoju iOS aplikaciju za App Store kako bi obezbedio bazičnu zaštitu celog sajta jeste dobra. Ali izgleda da posao nije gotov jer prema proceni firme Qualys koja rangira kvalitet HTTPS zaštite web sajtova, ocena za Apple-ov App Store nije prolazna. To ne znači da korisnici treba da budu zabrinuti jer su kriterijumi Qualys-a visoki, a slabost koju je otkrio Qualys nije lako iskoristi, bar ne ako je reč o prosečnim hakerima. Ipak, to znači da Apple-ovim inženjerima ostaje još posla kojeg treba obaviti da bi korisnici bili bezbedni.