Les certificats d'entreprise continuent d'être utilisés pour espionner les utilisateurs d'iPhone

Avez-vous trouvé que la controverse sur certificats commerciaux mal utilisé par Magasin d'applications développeurs était terminé? Parce qu'ils pensaient mal.

Les analystes de sécurité de Lookout ont trouvé un autre ensemble d'applications qui utilisaient les certificats de manière inappropriée, et cette fois avec des objectifs encore plus problématiques : espionner les utilisateurs, collecter des données telles que des appels, des photos, des emplacements, etc.

Les applications en question ont été distribuées dans Italie et Turkménistan et ont été proposés au téléchargement directement à partir de Safari - les certificats d'entreprise, comme nous le savons tous, sont utilisés pour installer des applications en dehors de l'App Store, généralement par les employés d'une entreprise.

Ces applications, allant des utilitaires des opérateurs, prétendaient offrir des fonctionnalités supplémentaires aux forfaits de téléphonie des utilisateurs, mais pouvaient essentiellement capturer toutes les données de l'appareil et même enregistrer les appels.

On ne sait pas exactement qui est derrière les applications, mais on pense qu'il y a une implication d'une société italienne appelée Connexxa , qui a précédemment créé une application de surveillance Android - appelée Exodus - actuellement utilisée par le gouvernement italien. Les deux applications utilisent le même back-end , ce qui indique que nous parlons des mêmes créateurs.

le TechCrunch envoyé les résultats à Appleet la société a répété la déclaration standard que ce type de certificat d'utilisation est une violation de leurs règles. Les applications en question ont déjà été désactivées et le certificat de développeur a été révoqué.

Personne n'est surpris qu'après les découvertes sur Google, Facebook et les applications de jeux et de pornographie, les certificats commerciaux continuent d'être utilisés à mauvais escient. Ce qui attire l'attention ici, c'est l'inertie d'Apple : ne serait-il pas vrai que, désormais, l'entreprise a déjà repensé le fonctionnement de ces certificats ? Le modèle actuel, après tout, ne fonctionne clairement pas.