Алексей Бородин открыл секрет заработка Apple на «воздухе»



Алексей Бородин открыл секрет заработка Apple на воздухеАлексей Бородин, известный как российский хакер, создал не мало проблем для компании Apple. Создавая реверс-инжиниринг протокола AppStore, он опубликовал инструкцию, в которой говорится о том, как можно подделать чеки In-App для покупок внутренних приложений, говоря иначе, как приобрести бесплатно контент внутри любого приложения, к примеру, новые уровни, бонусы и т.д. А. Бородин сравнил In-App покупки с «читерством» и продажей воздуха, объясняя это тем, что в действительности деньги берутся за разблокирование контента, который уже существует в устройстве.

Данный способ универсален и работает фактически в любом приложении. Для его осуществления требуется всего лишь провести атаку типа MITM , с помощью двух фальшивых СА- сертификатов и DNS, которые устанавливаются на устройство. DNS производит якобы кэширование ответов от сервера Apple и подтверждает этим покупку. После чего с сервера приходит фальшивая квитанция стандартного образца.

Разоблачив компанию в заработке без вложений, за неделю Алексей Бородин стал звездой, он был показан по телеканалу «Россия», сайты взяли у него интервью, а газета «Ведомости» опубликовала статью о нем в закрытом разделе, который защищается In-App покупкой.

В это время, компания Apple пыталась удалить со всех хостингов сертификаты и провести блокировку DNS-серверов, но все безуспешно. Способ все еще активен и продолжает работать, только на 18 июля было осуществлено бесплатных покупок на 8,46 миллиона.

У «яблочной компании» не оставалось другого выхода, разве что пойти по-другому пути, пробуя технические способы защиты. Уже вчера она начала внедрение уникальных идентификаторов для каждой квитанции, которые подтверждают покупки. По словам разработчиков, в квитанции появилось новое поле "unique_identifier", вероятно оно должно содержать уникальный номер Unique Device Identifier (UDID) того устройства, который производит покупку.

Подобного рода действие будет идти в разрез с последней политикой Apple, согласно которой компанией запрещалось приложениями проводить сбор UDID с устройств. Таким образом, не исключено, что «уникальный номер» будет соответствовать не устройству, а отдельной покупке. Если с помощью идентификатора покупка будет осуществляться на сервере Apple и сверяться с ним во время транзакции, то подобным путем можно попробовать бороться с хакером, предложенным Алексеем Бородиным.

Ваш отзыв

Перед отправкой формы: