Магазините за приложения на трети страни шпионират потребителите на Apple в ЕС

В отговор на европейските антитръстови закони Apple разреши на iPhone-ите на територията на ЕС да се инсталират магазини за приложения на трети страни, което доведе до уязвимости в браузъра Safari, излагащи потребителите на риск да бъдат проследявани онлайн.

Разработчиците Талал Хадж Бакри и Томи Миск установиха недостатъци в сигурността и защитата на личните данни при внедряването на функцията в iOS.

Открито е, че URI механизмът на Safari позволява на магазини за приложения от трети страни да проследяват онлайн активността на потребителите чрез специален „marketplace-kit“ – запитване, което се активира дори в режим инкогнито. Това се дължи на липсата на проверка на източника на уебсайта и на непроверени JSON уеб токени, което отваря вратата за атаки.

URI механизмът е начин за определяне на начина, по който се обработва определена мрежова заявка. Уебсайт, предлагащ алтернативен магазин за приложения може да включва бутон, който при щракване в Safari задейства заявка „marketplace-kit:“. Тази заявка след това се обработва от процеса „MarketplaceKit“ на iPhone на потребителя в ЕС. След това се установява връзка със сървърите на одобрения магазин, за да се завърши инсталирането на приложението на магазина на смартфона.

Проблемът е, че всеки уебсайт може да задейства „marketplace-kit:“. На устройства с iOS 17.4 в ЕС това ще накара Safari да изпрати уникалния идентификатор на всеки потребител до сървърите на одобрения магазин, разкривайки факта, че потребителят току-що е посетил сайта. Сървърите на магазина могат да отхвърлят заявката, която може да включва и потребителски полезен товар, предавайки допълнителна информация за потребителя на алтернативен магазин.

Освен това липсата на обвързване със сертификат влошава ситуацията, като позволява прихващане на данни при обмена им с „marketplace-kit:“. Изследователите подчертават, че подобни уязвимости са възможни поради желанието на Apple да контролира използването на магазини на трети страни. Това в крайна сметка подкопава неприкосновеността на личния живот на потребителите.

Изследователите препоръчват на потребителите в Европа да използват браузъра Brave вместо Safari, тъй като той проверява произхода на уебсайтовете и предотвратява проследяването.

В доклада си експертите посочват, че проблемите с поверителността произтичат от нежеланието на Apple да приложи правилно сигурно внедряване на магазини за приложения на трети страни. Това превръща опасенията на компанията за сигурността в самоизпълняващо се пророчество.

Apple все още не е коментирала обвиненията. Ситуацията се усложнява от факта, че множеството магазини за приложения, които вече могат да се използват в Европа включително не само официалните, но и тези, достъпни след джейлбрейкване на устройствата са под въпрос относно способността им да защитават личните данни на потребителите.

Съгласно Европейския закон за цифровите пазари (DMA), Apple е разрешила използването на магазини за приложения на трети страни или инсталирането на приложения, които заобикалят App Store.

Според закона:

• Apple трябва да позволи на разработчиците да използват платформи за плащане от трети страни;
• Потребителите трябва да могат да инсталират приложения без да използват App Store на Apple;
• iMessage трябва да взаимодейства с други месинджъри.

В допълнение към магазините за приложения Apple направи и мащабни промени в уеб браузърите на iPhone за потребителите в ЕС. В iOS 17.4 е добавена възможността за задаване на предпочитан браузър по подразбиране при първото стартиране на Safari, а производителите на браузъри ще могат да използват други браузърни енджини.