Uber spioniert per iPhone-App Nutzer aus

Uber hat zugegeben, dass seine iPhone App in der Lage ist ungefragt und ohne Wissen der Nutzer Screenshots anzufertigen. Die Spionagefunktion kann sogar dann arbeiten, wenn die eigentliche App geschlossen ist. Der Fahrdienstleister gibt an, dass die Funktion aus der App entfernt wird. Der Sicherheitsforscher Will Strafach, der in der Vergangenheit schon Schwachstellen in anderen iOS-Apps entdeckt hat, hat auch dieses „Feature“ gefunden.

Uber nutzt ihm zufolge eine nicht öffentlich dokumentierte App-Berechtigung, die Vollzugriff auf die sonst gesperrte Screenshot-Funktion ermöglicht. Es handelt sich um eine von mehreren Funktionen, den Entwicklern erst nach spezieller Freigabe von Apple zur Verfügung stehen.

Bei einer Analyse von mehrere Tausenden Apps, konnte die Funktion die es Uber ermöglicht ungefragt Screenshots zu machen nicht gefunden werden. Strafach geht deshalb davon aus, dass die Uber-App als einzige App eines Drittanbieters von Apple die Berechtigung erhalten hat, die nötig ist um heimlich Screenshots aufzuzeichnen. Gegenüber ZDNet USA gaben auch andere App-Entwickler an, dass ihnen keine weiteren Beispiele bekannt seien. Auch der Jailbreak-Autor und Apple-Experte Luca Todesco sprach von einem „extrem gefährlichen“ Einzelfall.

Durch die Berechtigung „com.apple.private.allow-explicit-graphics-priority“ erhalten Entwickler die Möglichkeit, unter iOS den Framebuffer auszulesen und zu schreiben. Im Framebuffer sind Informationen zu jedem Pixel des Bildschirms enthalten. Es ist somit möglich Screenshots direkt aus dem Arbeitsspeicher des Smartphones auszulesen. Normalerweise haben Apps über den Rendering-Service hier nur eine Schreibberechtigung, die nötig ist um das Display anzusprechen. Die im Fall von Uber auch vorhanden Leseberechtigung kann dazu genutzt werden, dass eine App jederzeit die Inhalte des Bildschirms auslesen kann. Uber könnte also zum Beispiel während die App geschlossen ist, Screenshots von privaten Chatverläufen anfertigen.

Neben der Möglichkeit Screenshots anzufertigen, kann die App ebenfalls als „Keylogger“ dienen. Uber kann so Logindaten eines Nutzers von Webseiten oder anderen Apps kopieren.

Laut einem Uber-Sprecher wurde der Code nicht missbräuchlich verwendet. Uber gibt an, dass der Code lediglich vorhanden ist um die Darstellung der App auf der Apple Watch zu verbessern. Die Programmierschnittstelle ermöglicht es der Uber-App, Karten im Hintergrund auf einem iPhone zu rendern und dann auf die Apple Watch zu übertragen. Die Funktion und der Code werden laut dem Statement von Uber nun komplett entfernt.

Laut einem Bericht der New York Times soll Apple bereits Anfang des Jahres damit gedroht haben, die Uber-App aus dem App Store zu entfernen. Uber ist damals bereits negativ aufgefallen, weil die iPhone-App einen Code endhalten hat, der es ermöglichte Geräte auch nach der Deinstallation der Anwendung eindeutig zu taggen und zu identifizieren. Uber wendete damals einen Geofencing-Trick an, um das Feature das klar gegen die Apple Regeln zum Schutz der Privatsphäre verstößt in der App zu platzieren. Wenn die Uber-App feststellte, dass sie in der Apple Firmenzentrale aufgerufen wurde, wurde der verbotene Programmcode nicht ausgeführt.

Strafach kann es nicht erklären, wieso Uber nach diesem eklatanten Verstoß als bisher einzige App noch die Berechtigung für die Screenshot-Funktion erhalten konnte. Er sagte, „Es scheint, als hätten sie eine Sonderbehandlung erhalten und wollten das nicht zugeben.“