Apple tente de fermer les serveurs liés au hack des achats intégrés sur l’App Store
Il y a quelques jours nous vous signalions qu’un hacker russe avait mis en ligne une méthode pour contourner le paiement des achats intégrés sur l’App Store. Apple a mené l’enquête depuis et tente maintenant de faire fermer tous les serveurs associés au hack.
Dans notre billet précédent, nous revenions sur cette méthode plutôt simple sur un iPhone non jailbreaké de contourner le paiement des achats intégrés. Il était important pour la communauté des développeurs iOS qu’Apple réagisse rapidement et une première vague d’interventions a eu lieu. Ce weekend, Apple a commencé a faire bloquer les adresses IP du serveur utilisé par le hackeur russe à l’origine de la découverte de cette faille de l’App Store, Alexey Borodin. Ces serveurs sont utilisés pour valider les achats intégrés comme étant légitimes au yeux d’un appareil iOS en lieu et place du système Apple. Apple a également émis une demande pour la fermeture du serveur original et déposé une requête de violation de copyright au sujet de la vidéo de Borodin expliquant la faille. La vidéo n’est plus disponible sur YouTube. Paypal, qui était utilisé par le hackeur pour obtenir des donations, a également été mis à contribution afin que les donations cessent.
Cependant, pour le moment, le serveur semble être encore en état de marche et Borodin serait sur le point de déplacer le serveur en dehors de la Russie. Selon le hacker, sa méthode a maintenant été améliorée pour ne plus avoir de rapport avec les serveurs Apple. Plus grave, la portée de ce hack pourrait être plus générale et donner lieu à une sérieuse faille de sécurité sur les appareils iOS. Selon le développeur Alastair Houghton que 9to5mac a contacté:
« La méthode que M. Borodin utilise pour contourner le système de vérification de preuve d’achat pourrait, s’il le souhaitait, être utilisée pour intercepter tout trafic vers un site web sécurisé, et notamment une connexion vers une banque. Pour un utilisateur qui a installé le hack, il n’y aurait pas moyen de savoir que ce type de détournement est en marche« . Houghton conclue que c’est vraiment une mauvaise idée de laisser son appareil iOS et ses certificats à la portée d’une personne inconnue et non digne de confiance. La tournure que prend les choses nécessite une intervention rapide et définitive d’Apple, qui devra sans doute être suivie d’une mise à jour de sécurité pour iOS pour fermer la brèche.
En attendant, nous continuons à vous avertir qu’il est fortement déconseillé d’installer ce hack et que toutes vos connexions sécurisées risquent d’être compromises si vous le faites.
Source: 9to5mac
Image: 9to5mac
