In-App-Bezahlfunktionen lassen sich leicht aushebeln

Wer mit seinen Apps Geld verdienen will, sollte sie mit diversen Sicherheits­mechanismen, am besten auch serverseitig, vor Missbrauch schützen. Angriffe sind dadurch zwar nicht gänzlich auszuschließen, lassen sich aber stark erschweren.

Die Funktion In-App Billing (IAB) von Android und das ver­gleich­bare In-App Purchase (IAP) unter iOS erlau­ben es einem Entwickler, mit wenig Aufwand Bezahl­funktio­nen in seine App zu integrieren. Typische Anwendungsfälle sind Spiele, die Bonuspunkte, Spielgeld oder Erweiterungen – etwa neue Gegenstände und Spielwelten – innerhalb der App zum Erwerb anbieten. Doch das Abwickeln von Bezahlprozessen über App-Stores ist nicht nur für Kunden und Verkäufer komfortabel – für Angreifer, die "umsonst" einkaufen wollen, leider ebenfalls.

Manipulation von Kaufprozessen möglich

"Gerade wenn die Implementierung von Sicherheitsfunktionen wie eine lokale Signaturprüfung – also auf dem Smartphone des Nutzers – vorgegebenen Strukturen folgt und sich an die generellen Funktionen des Betriebssystems hält, erlaubt dies auch allgemeine Angriffe, die bei einer Vielzahl von Apps funktionieren", erläutert iX-Redakteurin Ute Roos. Die Mög­lich­keiten, In-App-Billing-Funktionen auszuhebeln, sind dann groß. Kriminelle können die Funktionsweise der Anwendung manipu­lieren, den Kaufprozess überspringen oder die App so verän­dern, dass sie direkt im Premium-Modus startet. Klassischerweise wird dafür das Programm auf einem gerooteten oder "jailbroken" Gerät installiert.

In der iX Ausgabe 7/2015 wird Entwicklern geraten, die Signaturprüfung aller Einkäufe auf vertrauenswürdigen Serversystemen und nicht ausschließlich auf dem Gerät des Nutzers durchzuführen. Um zusätzlich App-spezifische Angriffe auszuschließen, sollten freischaltbare Inhalte erst nach einer Überprüfung des Kaufbelegs zum Herunterladen zur Verfügung stehen. (fo)