In-App-Bezahlfunktionen lassen sich leicht aushebeln
Gerade in mobilen Spielen auf dem Smartphone sind Bezahlfunktionen in einer App ein beliebter Bestandteil vieler Entwickler. Jedoch lassen sich die Implementierungen leicht umgehen.
Wer mit seinen Apps Geld verdienen will, sollte sie mit diversen Sicherheitsmechanismen, am besten auch serverseitig, vor Missbrauch schützen. Angriffe sind dadurch zwar nicht gänzlich auszuschließen, lassen sich aber stark erschweren.
Die Funktion In-App Billing (IAB) von Android und das vergleichbare In-App Purchase (IAP) unter iOS erlauben es einem Entwickler, mit wenig Aufwand Bezahlfunktionen in seine App zu integrieren. Typische Anwendungsfälle sind Spiele, die Bonuspunkte, Spielgeld oder Erweiterungen – etwa neue Gegenstände und Spielwelten – innerhalb der App zum Erwerb anbieten. Doch das Abwickeln von Bezahlprozessen über App-Stores ist nicht nur für Kunden und Verkäufer komfortabel – für Angreifer, die "umsonst" einkaufen wollen, leider ebenfalls.
Manipulation von Kaufprozessen möglich
"Gerade wenn die Implementierung von Sicherheitsfunktionen wie eine lokale Signaturprüfung – also auf dem Smartphone des Nutzers – vorgegebenen Strukturen folgt und sich an die generellen Funktionen des Betriebssystems hält, erlaubt dies auch allgemeine Angriffe, die bei einer Vielzahl von Apps funktionieren", erläutert iX-Redakteurin Ute Roos. Die Möglichkeiten, In-App-Billing-Funktionen auszuhebeln, sind dann groß. Kriminelle können die Funktionsweise der Anwendung manipulieren, den Kaufprozess überspringen oder die App so verändern, dass sie direkt im Premium-Modus startet. Klassischerweise wird dafür das Programm auf einem gerooteten oder "jailbroken" Gerät installiert.
In der iX Ausgabe 7/2015 wird Entwicklern geraten, die Signaturprüfung aller Einkäufe auf vertrauenswürdigen Serversystemen und nicht ausschließlich auf dem Gerät des Nutzers durchzuführen. Um zusätzlich App-spezifische Angriffe auszuschließen, sollten freischaltbare Inhalte erst nach einer Überprüfung des Kaufbelegs zum Herunterladen zur Verfügung stehen. (fo)