Apple, Uygulama İçi Satın Alma Yararının iOS 6'da Düzeltileceğini Söyledi, iOS Geliştiricilerine Geçici Düzeltme Verildi
Kısa süre önce bir Rus bilgisayar korsanının, ücretli yükseltmeleri ücretsiz olarak puanlamak için Apple'ın iOS uygulama içi satın alma sistemini ele geçirdiği keşfedildi. İşin püf noktası, Apple'ın kimlik doğrulama sunucularını atlayarak ve uygulama içi satın alma işlemini hatalı bir satın alma makbuzu gönderen bir proxy aracılığıyla yönlendirerek gerçekleştirildi.
Apple varkenzaten bu aktiviteyle mücadele etmeye çalıştı, bugün şirket, geliştiricilerin uygulama içi satın alımlarını bu tür bir istismardan korumaları için bir çözüm sundu. Apple, iOS 6'nın bu sonbaharda piyasaya sürülmesiyle sorunun çözüleceğini de doğruladı.
İçinde yeni geliştirici destek belgesi, Apple, geliştiricileri makbuzları doğrulamak ve şifrelemek için kendi uygulama içi satın alma sunucularını kullanmaya teşvik eder. Satın alma makbuzlarını aktarmak için özel, üçüncü taraf bir sunucu kullanan bir geliştirici, saldırıya açık olabilir. Apple, iOS 6'ya kadar, uygulama içi satın alımların doğrulandığından ve güvenli olduğundan emin olmak için geliştiricilerin özel API'lerine erişmesine geçici olarak izin veriyor.
Belge şu mesajla başlar:
iOS 5.1 ve önceki sürümlerde, doğrudan bir iOS cihazından App Store sunucusuna bağlanarak uygulama içi satın alma makbuzlarının doğrulanmasıyla ilgili bir güvenlik açığı keşfedildi. Saldırgan, bu istekleri saldırgan tarafından kontrol edilen bir sunucuya yönlendirmek için DNS tablosunu değiştirebilir. Saldırgan tarafından kontrol edilen ve kullanıcı tarafından cihaza yüklenen bir sertifika yetkilisi kullanılarak, saldırgan, saldırganın sunucusunu sahte bir şekilde App Store olarak tanımlayan bir SSL sertifikası verebilir sunucu. Bu sahte sunucudan geçersiz bir makbuzu doğrulaması istendiğinde, makbuz geçerliymiş gibi yanıt verir.
iOS 6 bu güvenlik açığını giderecek. Uygulamanız aşağıda açıklanan en iyi uygulamaları izliyorsa bu saldırıdan etkilenmez.
Apple ayrıca CNET'e yaptığı açıklamada şunları söyledi:
Geliştiricilerin, dolandırıcılık amaçlı Uygulama İçi satın alma işlemlerine karşı savunmasız kalmamalarına yardımcı olmak için geliştirici.apple.com'daki en iyi uygulamaları izlemelerini öneririz. Bu, iOS 6 ile de ele alınacaktır.
Kaynak: CNET
Üzerinden: Sonraki Web
