Как разработчикам удается обмануть дорогие системы безопасности Apple?
Apple постоянно подчеркивает свой комплексный подход к безопасности приложений и App Store. Компания использует армию рецензентов и специальные инструменты для проверки приложений на наличие вредоносного кода. Несмотря на эти меры, разработчики всё же умудряются внедрять вредоносные приложения. Ниже представлены некоторые из методов, которые они используют, и то, что Apple может предпринять для предотвращения подобных случаев.
Apple реализует комплексные меры безопасности для защиты приложений от вредоносного ПО и несанкционированного доступа. Пользователи могут загружать приложения для iOS и iPadOS только из App Store, где каждое приложение проходит тщательную проверку. Этот процесс сочетает автоматизированные системы и проверку людьми для обеспечения высоких стандартов безопасности. Команда рецензентов компании состоит из более чем 500 экспертов, которые оценивают около 132 500 заявок в неделю, используя различные инструменты для выявления потенциального мошенничества и нарушений конфиденциальности. Однако, несмотря на эти усилия, некоторым вредоносным приложениям всё же удаётся пройти через фильтры.
Этим летом 9to5Mac сообщил, что пиратскому потоковому приложению, замаскированному под инструмент управления фотографиями, удалось обойти проверку в Apple App Store, используя функции определения местоположения для сокрытия своей истинной цели. Приложение под названием Collect Cards: Store Box было доступно в App Store более года и даже стало вторым по популярности бесплатным приложением в Бразилии, прежде чем его удалили. Оно показывало американским рецензентам Apple упрощённый интерфейс, а в других регионах предоставляло доступ к пиратскому контенту от Netflix, Disney+, Amazon Prime Video, BBC Max и даже Apple TV+. Скрывая функции потоковой передачи от пользователей в США, сотрудники Apple видели лишь урезанную версию, ориентированную на управление фотографиями и видео.
Несмотря на меры предосторожности и проверки, Apple постоянно сталкивается с попытками разработчиков обойти систему, внедряя свои приложения в App Store. Неудивительно, что Google также сталкивается с аналогичными проблемами и регулярно очищает Google Play от сотен вредоносных приложений каждый год.
В прошлом году Apple заблокировала более 153 миллионов фейковых учётных записей пользователей и деактивировала почти 374 миллиона учетных записей разработчиков из-за мошенничества и злоупотреблений. За последние 12 месяцев компания обнаружила и заблокировала доступ к более 47 000 незаконных пиратских приложений.
У недобросовестных разработчиков есть множество методов для обхода системы, выходящих за рамки использования геолокации. Эти методы используют ограничения в процессе проверки Apple, который не позволяет тщательно тестировать приложения в разных местах или на протяжении длительного времени.
Одним из таких методов является использование React Native и Microsoft Code Push SDK, что позволяет разработчикам обновлять части своего приложения после утверждения, не отправляя новую версию на проверку. Другой метод заключается в задержке вызовов API геолокации на несколько секунд, чтобы избежать обнаружения во время автоматического сканирования.
Тем не менее, 9to5Mac утверждает, что Apple могла бы улучшить процесс проверки приложений. Например, команда рецензентов могла бы проводить дополнительные тесты для оценки поведения программного обеспечения в различных условиях. Также Apple могла бы более активно выявлять и устранять мошенничество в App Store, а не просто реагировать на сигналы от исследователей безопасности.
