Die übereilte Umsetzung der Kartellvorschriften durch Apple gefährdet die Privatsphäre der EU-Nutzer

Apples zögerliche Übernahme der EU-Kartellvorschriften durch die Zulassung von App-Stores von Drittanbietern auf iPhones hat Benutzer des Safari-Browsers einem potenziellen Web-Tracking ausgesetzt. Die Entwickler Talal Haj Bakry und Tommy Mysk untersuchten, wie Apple den Prozess zur Installation von Drittanbieter-App-Marktplätzen auf iOS mit Safari implementierte, und kamen zu dem Schluss, dass Cupertinos Ansatz besonders schlecht war. „Unsere Tests zeigen, dass Apple diese Funktionalität mit katastrophalen Sicherheits- und Datenschutzmängeln ausgeliefert hat“, schrieben Bakry und Mysk in einem am Wochenende veröffentlichten Advisory.

Apple met en danger la vie privée de ses utilisateurs en Europe avec sa mise en œuvre bâclée de la réglementation antitrust

Apple gefährdet die Privatsphäre der Nutzer in Europa durch verpatzte Umsetzung des Kartellrechts

Le refus obstiné d'Apple de se conformer aux règles antitrust européennes en autorisant les magasins d'applications tiers sur les iPhones a exposé les utilisateurs de son navigateur Safari à un suivi potentiel de leur activité en ligne.

Apples hartnäckige Weigerung, die europäischen Kartellvorschriften einzuhalten, indem es App-Stores von Drittanbietern auf iPhones zulässt, hat Benutzer seines Safari-Browsers einem potenziellen Tracking ihrer Online-Aktivitäten ausgesetzt.

Les développeurs Talal Haj Bakry et Tommy Mysk ont analysé la manière dont Apple a implémenté le processus d'installation de boutiques d'applications tierces sur iOS via Safari. Leurs conclusions sont accablantes et révèlent que l'approche de Cupertino est gravement défectueuse.

Die Entwickler Talal Haj Bakry und Tommy Mysk analysierten, wie Apple den Prozess der Installation von App-Stores von Drittanbietern auf iOS über Safari implementierte. Ihre Ergebnisse sind vernichtend und zeigen, dass Cupertinos Ansatz ernsthaft fehlerhaft ist.

"Nos tests démontrent qu'Apple a introduit cette fonctionnalité avec des failles catastrophiques en matière de sécurité et de vie privée", écrivent Bakry et Mysk dans un rapport publié ce week-end.

„Unsere Tests zeigen, dass Apple diese Funktion mit katastrophalen Sicherheits- und Datenschutzmängeln eingeführt hat“, schrieben Bakry und Mysk in einem am Wochenende veröffentlichten Bericht.

Apple, qui fait la promotion de Safari comme "extrêmement privé", a en réalité violé la vie privée des utilisateurs de Safari dans l'Union européenne à travers un schéma d'URI de Marketplace-kit. Ce schéma permet potentiellement aux boutiques d'applications tierces approuvées de suivre ces utilisateurs sur le Web.

Apple, das Safari als „extrem privat“ bewirbt, hat durch ein Marketplace-Kit-URI-Schema tatsächlich die Privatsphäre von Safari-Benutzern in der Europäischen Union verletzt. Dieses Schema ermöglicht möglicherweise zugelassenen App-Stores von Drittanbietern, diese Benutzer im gesamten Web zu verfolgen.

Un schéma d'URI est un moyen de définir la manière dont une requête réseau spécifique est traitée. Un site Web proposant une place de marché alternative pour les logiciels peut inclure un bouton qui, lorsqu'il est cliqué dans Safari, déclenche une demande de Marketplace-kit, traitée par un processus MarketplaceKit sur l'iPhone de l'utilisateur européen. Ce processus, intégré à iOS 17.4 par Apple, se connecte ensuite aux serveurs back-end de la place de marché approuvée pour terminer l'installation d'applications de cette boutique sur le téléphone.

Ein URI-Schema ist eine Möglichkeit zu definieren, wie eine bestimmte Netzwerkanfrage behandelt wird. Eine Website, die einen alternativen Marktplatz für Software anbietet, könnte eine Schaltfläche enthalten, die beim Klicken in Safari eine Marketplace-Kit-Anfrage auslöst, die von einem MarketplaceKit-Prozess auf dem iPhone des europäischen Benutzers verarbeitet wird. Dieser von Apple in iOS 17.4 integrierte Prozess stellt dann eine Verbindung zu den Back-End-Servern des zugelassenen Marktplatzes her, um die Installation von Apps aus diesem Store auf dem Telefon abzuschließen.

Le problème est que n'importe quel site Web peut déclencher une demande Marketplace-kit. Sur les appareils iOS 17.4 dans l'UE, Safari envoie un identifiant unique par utilisateur aux serveurs d'une place de marché approuvée, révélant ainsi que l'utilisateur venait de visiter ce site. Cela se produit même lorsque Safari est en mode navigation privée. Les serveurs de la place de marché peuvent rejeter la demande, qui peut également inclure une charge utile personnalisée, transmettant davantage d'informations sur l'utilisateur à la boutique alternative. Tout cela est illustré dans la vidéo ci-dessous.

Das Problem besteht darin, dass jede Website eine Marketplace-Kit-Anfrage auslösen kann. Auf iOS 17.4-Geräten in der EU sendet Safari eine eindeutige Kennung pro Benutzer an die Server eines vertrauenswürdigen Marktplatzes und zeigt so an, dass der Benutzer diese Website gerade besucht hat. Dies geschieht auch dann, wenn sich Safari im privaten Browsermodus befindet. Die Marktplatzserver können die Anfrage, die auch eine personalisierte Nutzlast enthalten kann, ablehnen und weitere Informationen über den Benutzer an den alternativen Shop weiterleiten. All dies wird im Video unten demonstriert.

Outre Safari d'Apple, deux autres navigateurs iOS prennent actuellement en charge les boutiques d'applications tierces en Europe : Brave et Ecosia.

Neben Apples Safari unterstützen derzeit zwei weitere iOS-Browser App-Stores von Drittanbietern in Europa: Brave und Ecosia.

Apple n'autorise pas les boutiques d'applications tierces dans la plupart des régions du monde, invoquant de prétendues préoccupations en matière de confidentialité et de sécurité, et probablement son propre intérêt à maintenir son pouvoir de percevoir des commissions sur les ventes de logiciels.

Apple erlaubt in den meisten Teilen der Welt keine App-Stores von Drittanbietern und begründet dies mit angeblichen Datenschutz- und Sicherheitsbedenken sowie wahrscheinlich mit dem eigenen Interesse daran, die Macht zu behalten, Provisionen für Softwareverkäufe zu kassieren.

Cependant, Apple a été désigné comme "gatekeeper" au titre de la loi sur les marchés numériques (DMA) de l'UE pour iOS, l'App Store, Safari et, plus récemment, iPadOS.

Allerdings wurde Apple im Rahmen des Digital Markets Act (DMA) der EU zum „Gatekeeper“ für iOS, den App Store, Safari und neuerdings auch iPadOS ernannt.

Cette désignation signifie qu'Apple est tenu d'ouvrir son écosystème fermé afin que les consommateurs européens puissent choisir des boutiques d'applications tierces et la distribution d'applications via le Web, également connue sous le nom de "sideloading".

Diese Bezeichnung bedeutet, dass Apple sein geschlossenes Ökosystem öffnen muss, damit europäische Verbraucher App-Stores von Drittanbietern und den Vertrieb von Apps über das Internet wählen können, was auch als „Sideloading“ bezeichnet wird.

Mais attendez, il y a plus

Aber warten Sie, es gibt noch mehr

Selon Bakry et Mysk, le schéma URI d'Apple présente trois défauts majeurs. Premièrement, notent-ils, il ne vérifie pas l'origine du site Web, ce qui permet le suivi intersite susmentionné.

Laut Bakry und Mysk weist das URI-Schema von Apple drei große Mängel auf. Erstens stellen sie fest, dass die Herkunft der Website nicht überprüft wird, was das oben erwähnte Cross-Site-Tracking ermöglicht.

Deuxièmement, MarketplaceKit d'Apple (son API pour les magasins tiers) ne valide pas les jetons Web JSON (JWT) transmis comme paramètres d'entrée via les requêtes entrantes. "Pire encore, il transmettait aveuglément le jeton JWT non valide lors de l'appel du point de terminaison /oauth/token", ont observé Bakry et Mysk. "Cela ouvre la porte à diverses attaques par injection ciblant soit le processus MarketplaceKit, soit le back-end de la place de marché."

Zweitens validiert Apples MarketplaceKit (seine API für Drittanbieter-Stores) keine JSON Web Tokens (JWTs), die über eingehende Anfragen als Eingabeparameter übergeben werden. „Noch schlimmer war, dass beim Aufruf des /oauth/token-Endpunkts blind das ungültige JWT-Token übergeben wurde“, stellten Bakry und Mysk fest. „Dies öffnet die Tür für verschiedene Injektionsangriffe, die entweder auf den MarketplaceKit-Prozess oder das Marktplatz-Backend abzielen.“

Et troisièmement, Apple n'utilise pas l'épinglage de certificat, ce qui laisse la porte ouverte à une interférence de l'homme du milieu (MITM) pendant l'échange de communication MarketplaceKit. Bakry et Mysk affirment avoir réussi à usurper les serveurs impliqués dans ce processus avec leurs propres points de terminaison.

Und drittens verwendet Apple kein Zertifikat-Pinning, was die Tür für Man-in-the-Middle-Eingriffe (MITM) während des MarketplaceKit-Kommunikationsaustauschs offen lässt. Bakry und Mysk behaupten, die an diesem Prozess beteiligten Server mit ihren eigenen Endpunkten erfolgreich gefälscht zu haben.

Le facteur limitant de cette attaque est qu'une place de marché doit d'abord être approuvée par Apple avant de pouvoir entreprendre ce type de suivi. Actuellement, peu de places de marché ont obtenu l'approbation. Nous connaissons le marché des applications B2B de Mobivention, AltStore et Setapp. Epic Games a également prévu une boutique iOS. Quelques autres places de marché fonctionnent après un jailbreak iThing, mais il est peu probable qu'elles attirent un grand nombre de consommateurs.

Der limitierende Faktor bei diesem Angriff besteht darin, dass ein Marktplatz zunächst von Apple genehmigt werden muss, bevor er diese Art der Nachverfolgung durchführen kann. Derzeit haben nur wenige Marktplätze eine Zulassung erhalten. Wir kennen den Markt für B2B-Anwendungen von Mobivention, AltStore und Setapp. Epic Games hat außerdem einen iOS-Store geplant. Einige andere Marktplätze funktionieren nach einem iThing-Jailbreak, es ist jedoch unwahrscheinlich, dass sie eine große Anzahl von Verbrauchern anziehen.

Les deux chercheurs en sécurité affirment que des applications malveillantes se retrouvent régulièrement dans le processus d'examen d'Apple, ce qui signifie que des boutiques d'applications malveillantes pourraient être autorisées à passer. Et ils soutiennent que les problèmes de confidentialité sont dus au désir d'Apple de suivre l'utilisation des boutiques tierces.

Beide Sicherheitsforscher sagen, dass bösartige Apps regelmäßig in den Überprüfungsprozess von Apple gelangen, was bedeutet, dass bösartige App-Stores durchgelassen werden könnten. Und sie argumentieren, dass die Datenschutzbedenken auf Apples Wunsch zurückzuführen seien, die Nutzung von Drittanbieter-Stores zu verfolgen.

"L'échec qui expose les utilisateurs de l'UE au suivi est le résultat de l'insistance d'Apple à s'interposer entre les places de marché et leurs utilisateurs", ont affirmé Bakry et Mysk. "C'est pourquoi Apple doit transmettre un identifiant aux places de marché afin qu'elles puissent identifier les installations et peut-être mieux calculer les frais Technology Core Facility (CTF) dus."

„Das Versäumnis, EU-Nutzer dem Tracking auszusetzen, ist das Ergebnis von Apples Beharren darauf, sich zwischen Marktplätzen und ihren Nutzern einzumischen“, argumentierten Bakry und Mysk. „Aus diesem Grund muss Apple eine Kennung an Marktplätze weitergeben, damit diese Einrichtungen identifizieren und möglicherweise die geschuldeten Gebühren für die Technology Core Facility (CTF) besser berechnen können.“

Ils exhortent les utilisateurs iOS en Europe à utiliser Brave plutôt que Safari, car la mise en œuvre de Brave vérifie l'origine du site Web par rapport à l'URL pour empêcher le suivi intersite.

Sie fordern iOS-Nutzer in Europa dazu auf, Brave anstelle von Safari zu verwenden, da die Implementierung von Brave die Herkunft der Website anhand der URL prüft, um ein Cross-Site-Tracking zu verhindern.

À l'époque où Apple envisageait de ne pas prendre en charge les applications Web de l'écran d'accueil en Europe (un pari qui a ensuite été abandonné après les plaintes des développeurs et la pression réglementaire), le géant de l'informatique justifiait sa position en affirmant que la quantité de travail requise "n'était pas pratique compte tenu des autres exigences du DMA". En ne faisant pas d'effort supplémentaire pour mettre en œuvre en toute sécurité des boutiques d'applications tierces, Apple a sans doute transformé ses préoccupations en matière de sécurité et de confidentialité en une prophétie auto-réalisatrice.

Als Apple darüber nachdachte, Web-Apps für den Startbildschirm in Europa nicht zu unterstützen (ein Wagnis, das später aufgrund von Beschwerden der Entwickler und dem Druck der Regulierungsbehörden aufgegeben wurde), begründete der Computerriese seine Position mit der Behauptung, dass der erforderliche Arbeitsaufwand „angesichts der anderen Anforderungen nicht praktikabel sei“. des DMA". Indem Apple keine zusätzlichen Anstrengungen unternimmt, um App-Stores von Drittanbietern sicher zu implementieren, hat Apple seine Sicherheits- und Datenschutzbedenken wohl in eine sich selbst erfüllende Prophezeiung verwandelt.

Dans ses commentaires sur la conformité au DMA, Apple a déclaré : "Dans l'UE, la sécurité, la confidentialité et la sûreté de chaque utilisateur dépendront en partie de deux questions. Premièrement, les places de marché alternatives et les processeurs de paiement sont-ils capables de protéger les utilisateurs ? Et, deuxièmement, le sont-ils ? intéressé à le faire ?"

In seinen Kommentaren zur DMA-Konformität sagte Apple: „In der EU werden die Sicherheit, der Datenschutz und der Schutz jedes einzelnen Benutzers teilweise von zwei Fragen abhängen. Erstens: Sind alternative Marktplätze und Zahlungsabwickler in der Lage, Benutzer zu schützen? Und zweitens.“ Sind sie daran interessiert?

On peut également se demander si Apple est capable de protéger les utilisateurs, et si cela l'intéresse.

Wir können uns auch fragen, ob Apple in der Lage ist, Benutzer zu schützen, und ob es sich darum kümmert.

Apple n'a pas répondu à une demande de commentaire.

Apple antwortete nicht auf eine Bitte um Stellungnahme.