Categories: MobileMobile Apps

Uber-App macht auf iPhones heimlich Screenshots

Der Fahrdienstvermittler Uber hat eingeräumt, dass seine iPhone-App in der Lage ist, ohne Wissen des Nutzers Screenshots anzufertigen – selbst wenn die App geschlossen ist. Den zugehörigen Code will das Unternehmen nun aus der App entfernen. Entdeckt wurde die “Funktion” vom Sicherheitsforscher Will Strafach, der schon früher auf Schwachstellen in iOS-Apps aufmerksam gemacht hat.

Ihm zufolge nutzt Uber eine nicht dokumentierte App-Berechtigung, die den Zugriff auf die Screenshot-Funktion gewährt. Es sei eine von mehreren Berechtigungen, die normalerweise Entwicklern nicht zur Verfügung ständen, außer Apple räume ihnen diese spezielle Berechtigung gesondert ein.

Strafach geht davon aus, dass Uber die einzige App eines Drittanbieters ist, die von Apple die Berechtigung zur Aufzeichnung von Screenshots im Hintergrund erhalten hat. Bei einer Analyse von Tausenden Apps habe er die Berechtigung nur bei Uber gefunden.

Auch andere App-Entwickler erklärten gegenüber ZDNet USA, ihnen seien keine weiteren Beispiele bekannt. Der Apple-Experte und Jailbreak-Autor Luca Todesco sprach sogar von einem “extrem gefährlichen” Einzelfall.

Die Berechtigung “com.apple.private.allow-explicit-graphics-priority” erlaube es einem Entwickler, den Framebuffer eines iPhones zu lesen und zu schreiben. Der Framebuffer ist ein Teil des Arbeitsspeichers, der Informationen zu jedem Pixel des Displays und weitere Daten enthält. Die Schreibberechtigung stehe jeder App über den normalen Rendering-Service zur Verfügung. Die Leseberechtigung bedeute, dass eine App jederzeit auf den Bildschirm schauen könne. “Das ist so, als würde man einer App eine Keylogging-Funktion geben”, ergänzte er.

Die spezielle Berechtigung versetze die Uber-App aber nicht nur in die Lage, Screenshots aufzunehmen. Sie könne auch die Anmeldedaten eines Nutzers aufzeichnen. “Ich finde das sehr beängstigend und gefährlich”, sagte Todesco.

Ein Uber-Sprecher erklärte, der Code sei nur benutzt worden, um das Rendering der Uber-App auf der Apple Watch zu verbessern. Die zu der Screenshot-Berechtigung gehörende Programmierschnittstelle ermögliche es der App, Karten auf einem iPhone im Hintergrund zu rendern und dann an die Apple Watch zu senden. Der Code und die API würden nun vollständig entfernt.

Ausgewähltes Webinar

Praxisleitfaden für den Schutz von Unternehmen vor Ransomware

Helge Husemann, Product Marketing Manager EMEA von Malwarebytes, stellt in diesem 60-minütigen Webinar (Aufzeichnung) die neue Sicherheitslösung Malwarebytes Endpoint Protection vor. Sie enthält ein mehrstufiges Sicherheitskonzept und bietet damit einen effektiven Schutz vor modernen Bedrohungen wie WannaCry, Petya und anderen.

Anfang des Jahres soll Apple einem Bericht der New York Times zufolge gedroht haben, die Uber-App aus dem App Store zu werfen. Der Fahrdienstvermittler hatte Code in seine iPhone-App eingebaut, um die Smartphones selbst nach einer Deinstallation der Anwendung und Löschung aller Inhalte des Geräts noch identifizieren und taggen zu können. Da das klar gegen Apples Regeln zum Schutz der Privatsphäre verstieß, wandte das Unternehmen einen Geofencing-Trick an, damit Apples Prüfer in der Firmenzentrale das Vorgehen nicht feststellen konnten.

Strafach erklärte dazu, er könne nicht nachvollziehen, wie es Uber nach diesem Verstoß gelungen sei, Apple davon zu überzeugen, seiner App den Zugriff auf die Screenshot-Funktion zu gewähren. “Es scheint, als hätten sie eine Sonderbehandlung erhalten und wollten das nicht zugeben.”, sagte Strafach. Apple wollte sich auf Nachfrage von ZDNet USA nicht zu dem Vorgang äußern.

Tipp: Was wissen Sie über Mobile Apps? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.

Peter Marwan

Peter Marwan ist Chefredakteur von silicon.de und immer auf der Suche nach Möglichkeiten, wie Firmen den rasanten Fortschritt in der IT-Branche in der Praxis nutzen können. Dabei geht es nicht nur darum, Vorhandenes zu optimieren, sondern vor allem auch um Ansätze und Strategien, mit denen sich neue, durch die IT unterstützte Geschäftsmodellle entwickeln lassen.

View Comments

  • Die Uber-Praxis verstößt eindeutig gegen deutsches Recht. Es kann nur allen Nutzer empfohlen werden die App zu löschen und ggf. Uber zu verklagen.

Recent Posts

Fehlende Subventionen: Intel verschiebt Baubeginn seiner Chipfabrik in Ohio

Der US-Kongress streitet weiterhin über Details eines 52 Milliarden Dollar schweren Subventionspakets. Am Zeitplan für…

1 Tag ago

Microsoft informiert Nutzer von Windows 8.1 über nahendes Support-Ende

Ab Juli blendet das OS Benachrichtigungen ein. Der Support endet am 10. Januar 2023. Windows…

1 Tag ago

Graphcore und Aleph Alpha entwickeln gemeinsam multimodale KI-Modelle

Graphcore will bis 2024 den weltweit ersten ultraintelligenten KI-Computer bereitstellen.

2 Tagen ago

Apple führt mit iOS 16 Alternative zu CAPTCHA-Tests ein

Die sogenannten Private Access Tokens nutzen bereits auf einem Gerät vorhandene Daten. An der Entwicklung…

2 Tagen ago

Öffentliche und private Investitionen in Quantentechnologien steigen

McKinsey: Erste Profiteure der rasanten QT-Entwicklung sind voraussichtlich die Pharma-, Chemie-, Automobil- und Finanzindustrie.

2 Tagen ago

Was uns die Physik über datengetriebenes Marketing verrät

Datengetriebene Technologien wie Predictive Analytics eröffnen im digitalen Marketing neue Möglichkeiten, sagt PwC-Marketing-Experte Mathias Elsässer…

2 Tagen ago