O mare parte dintre aplicatiile disponibile in App Store au browser integrat pentru a permite deschiderea diverselor pagini web fara a le parasi, insa un dezvoltator de aplicatii ne spune ca ele sunt foarte periculoase. In clipul video de mai sus aveti o demonstratie a unei vulnerabilitati documentate de catre el, ea permitandu-le dezvoltatorilor de aplicatii sa monitorizeze tot ceea ce tastam folosind tastatura virtuala a iOS, chiar daca accesam pagini securizate sau formulare securizate.
This is not phishing: the site shown is the actual Twitter website. This technique can be applied to any site that has a input form. All the attacker needs to know can easily be obtained by viewing the public facing HTML on the site… The app is stealing your username and password by watching what you type on the site. There’s nothing the site owner can do about this, since the web view has control over JavaScript that runs in the browser.
Vulnerabilitatea poate fi exploatata in orice aplicatie cu browser integrat si afecteaza orice website de pe internet, avand in vedere ca nu vorbim despre o noua metoda de phishing, ci despre simpla monitorizarea a ceea ce tastam in aplicatie. Prin aceasta metoda orice aplicatie ne poate fura datele de logare pentru website-uri, parole pentru orice fel de conturi, datele cardurilor pentru plati si practic orice fel de informatii pe care un website ni le-ar putea cere.
Unfortunately, Apple’s current App Review policy does not agree with this recommendation or with Twittterrific’s previous implementation. This is why our update for iOS 8 was delayed—it was the first time since the launch of the App Store that we haven’t had a new version on release day.
Desi exista metode de a rezolva problema, ele implica utilizarea unui software terte pe care Apple nu il permite in aplicatii, asa ca pana la un update al webkit vulnerabilitatea ramane valabila. Din pacate atat iOS 7, cat si iOS 8 sunt afectate de aceasta vulnerabilitate si voi trebuie sa aveti grija cu folositi aplicatiile cu browser integrat.