Sicherheitsforscher: Hunderte iOS-Apps von Freak-Attack-Lücke betroffen
Immerhin 771 von knapp 14.000 Topprogrammen im App Store waren für den Verschlüsselungsfehler anfällig. Einige davon sind es aufgrund einer fehlerhaften OpenSSL-Version auch jetzt noch.
![iOS](https://heise.cloudimg.io/width/610/q85.png-lossy-85.webp-lossy-85.foil1/_www-heise-de_/imgs/18/1/4/5/1/6/8/8/urn-newsml-dpa-com-20090101-130926-99-01480_large_4_3-4a4b5f3c13545394.jpeg)
(Bild: dpa, Christoph Dernbach)
Die IT-Security-Firma FireEye hat davor gewarnt, dass Hunderte bekannte iOS-Apps für die sogenannte Freak-Attack-Lücke anfällig waren. Über diese ist es im Zusammenhang mit schlecht konfigurierten Servern möglich, die SSL-Verschlüsselung zu brechen, mit der viele Apps ihren Datenverkehr schützen.
Apple hatte den Fehler mit iOS 8.2 betriebssystemseitig in der vergangenen Woche behoben. Wie FireEye nun demonstrierte, heißt das aber nicht unbedingt, dass alle Apps automatisch geschützt sind. Je nach Programmierung müssen die Entwickler selbst tätig werden, um den Bug zu fixen.
Von 14.079 beliebten iOS-Apps fand das Sicherheitsunternehmen das Problem in immerhin 771 Programmen. Diese nutzten eine Verbindung zu einem angreifbaren HTTPS-Server. Eine kleine Anzahl dieser Apps, immerhin sieben Stück, verwenden eine eigene (und fehlerhafte) OpenSSL-Version für die Verschlüsselung, was sie auch nach einem Update auf iOS 8.2 verletzlich macht.
Das Freak-Attack-Problem betrifft auch Android-Software. FireEye zählte hier von knapp 11.000 Google-Play-Apps, die über eine Million Mal heruntergeladen wurden, insgesamt 1228 angreifbare Programme. Je knapp zur Hälfte nutzten diese die in Android mitgelieferte OpenSSL-Version sowie eine eigens kompilierte Variante. Beide seien nach wie vor anfällig. (bsc)