人気iOSアプリ76本に中間者攻撃の脆弱性、TLS通信傍受や改ざんの恐れ

人気iOSアプリ76本で、TLSで守られているはずの接続に対して中間者攻撃を仕掛けて、移動中のデータの傍受や改ざんができてしまうことが分かった。 AppleのApp Storeで配信されている人気iOSアプリ多数に、TLS（https）接続で守られているはずのデータを傍受されたり、改ざんされたりする脆弱性が確認されたとして、セキュリティ企業Sudo Security Groupの研究者が報告した。 それによると、Sudo SecurityではWebベースのモバイルアプリ分析サービス「verify.ly」の開発に当たり、Apple App Storeで配信されているアプリケーションのバイナリコードを自動スキャンして調査。iOS 10を搭載したiPhoneで、不正なプロキシを使って無効なTLS証明書を挿入するテストを行って脆弱性を確認した。 その結果、人気iOSアプリ76本で、TLSで守られて

[niwatako]

証明書ちゃんと検証しないのは didReceiveAuthenticationChallenge の実装ミス？ATSを使うとなくなるはず。。

[kamei_rio]

リスク高のアプリはまだ秘密だよ

[sgrksmt]

恐ろしい...

[deep_one]

「中でも19本は、金融サービスや医療サービスへのログイン情報やセッション認証トークンを傍受できてしまうことが確認され、危険度が高いと判定」証明書のチェックはめんどくさい（手数が多い）からな。