iOS APP接受自签名证书，易受中间人攻击

几十个iOS移动银行、医疗和其他类型的APP，因开发人员遗留的调试代码允许接受自签名证书，导致其处理敏感用户信息时容易受到中间人攻击，其中TLS流量可以被拦截。

Sudo安全小组对76个APP进行分析，其中19个被认为是高风险的。研究者并没有透露这些APP名单，但是已经开始通知受影响的开发商。CEO Strafach称，在分析的76个APP(总计1800万下载量)中，33个被认为是低风险，因为大多数面临风险的数据是设备数据或有限的个人信息，另外24个是中度风险，19个是高度风险，个人证实能够拦截身份验证用户的凭证或会话令牌。

这些APP包含接受自签名证书的网络代码，这可能是开发人员为了调试而留下的功能，以便APP开发者可以在staging server上内部测试APP。内部服务器不在公共网络上，因此他们需要使用自签名证书，但是他们可能没有删除相关的代码，导致这些APP将接受任何自签名证书，并允许攻击者提交其证书到流量流中，并按照他们的方式重定向安全数据。

Strafach称，他已经在一份报告中列出了所有受到低风险影响的APP，而那些被认为处于中度和高度风险的APP，在他们公开名单之前，将有60至90天的时间进行补救。Strafach强调，苹果无法在不破坏现有安全策略的情况上修复该问题。一些自定义APP在防火墙后工作，使用绑定到可信内部证书或公钥的自签名证书，iOS 9中引入的ATS策略也对这种错误配置无效，因为ATS会检测到TLS证书并将这些连接视为有效的TLS连接。

Strafach提醒开发者，确保代码正确是非常重要的事情，开发者应该小心处理APP中的代码级别，如果用了自签名证书测试APP，但没有小心地删除这些代码，将给用户带来极大风险。总的来说，你需要确保没有把调试代码留在成品APP中继续工作，修复这个漏洞可能只是需改变一行或几行代码。

用户可以通过在公共网络发送敏感信息时关闭WiFi来避免泄密，因为大部分此类攻击是通过WiFi发生的。这种漏洞仍然存在于蜂窝网络中，但比通过WiFi攻击要更加复杂和昂贵，因此风险更低。

消息来源：threatpost 沃通翻译整理，转载请注明出处http://www.wosign.com/News/2017-0215-01.htm