دانیل هروسکا در اکتبر 2014، گروهی متشکل از شش محقق با موفقیت تمام مکانیسم‌های امنیتی اپل را دور زدند تا یک برنامه را در Mac App Store و App Store قرار دهند. در عمل، آنها می توانند برنامه های مخرب را به دستگاه های اپل وارد کنند که می توانند اطلاعات بسیار ارزشمندی را به دست آورند. طبق توافقی که با اپل صورت گرفت، قرار بود این واقعیت تا حدود شش ماه منتشر نشود که محققان به آن عمل کردند.
هرازگاهی در مورد یک حفره امنیتی می شنویم، هر سیستمی آنها را دارد، اما این یکی واقعاً بزرگ است. این به مهاجم اجازه می‌دهد تا برنامه‌ای را از طریق داستان‌های برنامه که می‌تواند رمز عبور iCloud Keychain، برنامه Mail و همه رمزهای عبور ذخیره شده در Google Chrome را بدزدد، فشار دهد.
[YouTube ID=”S1tDqSQDngE” width=”620″ height=”350″]
این نقص به بدافزار اجازه می‌دهد تا تقریباً از هر برنامه‌ای، چه از پیش نصب شده یا شخص ثالث، رمز عبور دریافت کند. این گروه موفق شد به طور کامل بر sandboxing غلبه کند و بنابراین داده هایی را از پرکاربردترین برنامه ها مانند Everenote یا Facebook به دست آورد. کل موضوع در سند توضیح داده شده است «دسترسی غیرمجاز منابع بین برنامه‌ای در MAC OS X و iOS».
اپل به طور عمومی در این مورد اظهار نظر نکرده است و فقط اطلاعات دقیق تری را از محققان درخواست کرده است. اگرچه گوگل ادغام زنجیره کلید را حذف کرد، اما این مشکل را حل نمی کند. توسعه دهندگان 1Password تایید کرده اند که نمی توانند امنیت داده های ذخیره شده را 100% تضمین کنند. هنگامی که یک مهاجم وارد دستگاه شما شود، دیگر دستگاه شما نیست. اپل باید راه حلی در سطح سیستم ارائه دهد.
قطعاً اشتباه است، اما توصیه به شخص بستگی دارد که کدام برنامه را نصب کند.
و اگر برنامه‌هایی را از اپ استور ofiko نصب کنم، که از طریق «بوکمارک‌های» پیش‌فرض آیفون به آنها دسترسی پیدا می‌کنم، هیچ سیستم iOS «کرک‌شده» ندارم، حتی چیز کوچک من، ptm، را به خطر می‌اندازد. آیفون من با iOS 8,3؟ با توجه به مقاله من این احساس را دارم که ... و چه برنامه هایی را نصب کنم؟ از گزینه "رایگان".
نکته اینجاست که این برنامه های بدافزار می توانند از طریق رسمی وارد اپ استور شوند و کاربر پس از گذراندن بازرسی اپل، آنها را دانلود می کند و فکر می کند که خوب هستند. پس بهتر است برنامه های توسعه دهندگان ناشناس را نصب نکنید. حداقل من اینطور می فهمم.
دقیقا همینطوره که میگی در هر صورت، من نسبتاً متعجب هستم، اگر اطلاعات صحت داشته باشد، که اپل ظاهراً بیش از نیم سال است که از آن مطلع بوده و هیچ کاری در مورد آن انجام نداده است.
من تخمین می زنم که اپل احتمالاً پس از دریافت اطلاعات، کنترل را در اپ استور تکمیل کرده است و خطر در این زمینه برای iPhone/iPad حداقل است.
با این حال، با MAC، جایی که برنامه های خارج از MacAppStore به طور معمول نصب می شوند، نباید آنقدر نادیده گرفته شود.