Els certificats empresarials es continuen utilitzant per espiar usuaris d'iPhone
Heu trobat que s’ha acabat la controvèrsia certificats empresarials utilitzat indegudament per Tenda d'aplicacions els desenvolupadors havien acabat? Perquè pensaven malament.
Els analistes de seguretat de Lookout van trobar un altre conjunt d'aplicacions que utilitzaven els certificats de forma inadequada i, aquesta vegada, amb propòsits encara més problemàtics: espiar usuaris, recopilar dades com trucades, fotos, ubicacions i molt més, que passaven com a operadors d'aplicacions.
Les aplicacions en qüestió es van distribuir a Itàlia i Turkmenistan i es van oferir per descarregar directament des de Safari: els certificats empresarials, com tots sabem, s’utilitzen per instal·lar aplicacions fora de l’App Store, normalment pels empleats d’una empresa.
Aquestes aplicacions, que van des de les utilitats de l’operador de telefonia mòbil, pretenien oferir funcions addicionals als plans de telefonia dels usuaris, però bàsicament podien capturar totes les dades del dispositiu i fins i tot gravar trucades.
No se sap exactament qui hi ha darrere de les aplicacions, però es creu que hi ha una participació d'una empresa italiana anomenada Connexxa , que anteriorment va crear una aplicació de vigilància d'Android, anomenada Exodus, que actualment utilitza el govern italià. Les dues aplicacions fan servir el mateix backend , cosa que indica que parlem dels mateixos creadors.
El TechCrunch va enviar les troballes a Applei la companyia va repetir la declaració estàndard que aquest tipus de certificat d'ús suposa una violació de les seves normes. Les aplicacions en qüestió ja s'han desactivat i el certificat de desenvolupador s'ha revocat.
A ningú li sorprèn que després de les troballes a Google, Facebook i les aplicacions de videojocs i porno, els certificats empresarials continuessin sent mal utilitzats. El que crida l'atenció aquí és la inèrcia d'Apple: no seria el cas que, a hores d'ara, la companyia ja hagi replantejat el funcionament d'aquests certificats? El model actual, al cap i a la fi, és clar que no funciona.
