Wie man iOS-Apps per Sideload lädt und warum das riskant ist

Wie verbreitet sind Sideloaded Apps für iOS im Unternehmen?

Vertreter von Lookout gaben an, dass von Februar 2016 bis Februar 2017 auf 11 Prozent der iOS-Geräte eine Sideloaded App installiert war.

Zwischen November 2017 und November 2018 waren laut Wandera 6,8 Prozent der iOS-Geräte mit App-Stores von Drittanbietern verbunden, 3,43 Prozent der iOS-Geräte hatten eine Sideloaded App installiert. Das sind keine großen Zahlen, aber die Kunden von Lookout und Wandera sind Unternehmen und Konzerne, die ihre Geräte lieber unter Verschluss halten. Für viele Unternehmen ist alles, was über 0 Prozent liegt, zu hoch.

Wie einfach ist es, iOS-Apps per Sideload zu laden?

Der Zugriff auf Sideload Apps für iOS ist einfach – wirklich einfach. Jeder kann dies von seinem iPhone oder iPad aus tun. Dazu ist kein Jailbreak des Geräts erforderlich. Alles, was nötig ist, ist das Herunterladen der App auf das Gerät über einen Desktop oder das Laden von Apps über den mobilen Browser.

Anekdotisch gesehen ist Jailbreaking nicht mehr so beliebt und verbreitet wie früher. Es gibt zwar immer noch Leute, die ihr iOS-Gerät jailbreaken – das wird nie ganz verschwinden –, aber die Zahl der Jailbreaker wird immer kleiner. Apple hat immer mehr Funktionen eingeführt, die früher nur mit einem jailbroken Gerät möglich waren. Außerdem ist es einfach genug, iOS-Apps per Sideload auf ein Telefon oder Tablet zu laden, weshalb die Benutzer es vielleicht nicht für nötig halten, dies zu tun.

Es gibt zwei verschiedene, aber letztlich ähnliche Methoden zum Sideload von iOS-Apps, die es wert sind, hier untersucht zu werden. Der Schlüssel liegt bei beiden im Missbrauch von Apple-Entwicklerzertifikaten. Die einfachste Methode ist über das Gerät selbst.

Methode 1: App-Store eines Drittanbieters

Um ein Sideload auf einem iOS-Gerät durchzuführen, müssen Sie zunächst einen App-Store eines Drittanbieters finden, der vertrauenswürdig genug ist. Ob diese App-Stores wirklich sicher sind, ist eine Diskussion für ein anderes Mal. Es sollte nicht schwierig sein, eine Vielzahl von Optionen zu finden.

• Wählen Sie den gewünschten App-Store aus und folgen Sie den Anweisungen des Anbieters. Sie müssen beispielsweise ein Installationsprogramm herunterladen, dass einen App-Store-Server auf Ihrem Desktop-Computer installiert. Die Installation des App-Stores auf dem iOS-Gerät erfolgt dann über diesen Server.
• Beim ersten Start des alternativen App-Stores wird Ihnen ihr iOS-Gerät das verweigern. Gehen Sie nun zu Einstellungen > Allgemein > VPN und Geräteverwaltung und vertrauen Sie dem Entwicklerzertifikat. Sie können den alternativen App-Store nun starten.

Methode 2: Cydia Impactor und Xcode

Die andere Methode verwendet Cydia Impactor, Xcode und eine heruntergeladene IPA-Datei. IOS kann eine App nur mit Xcode sideloaden, aber es erfordert einige zusätzliche technische Kenntnisse. Die folgenden Schritte erleichtern den Prozess:

• Erstellen Sie ein Apple-Entwicklerkonto; Administratoren können ein kostenloses Konto für eine Probezeit erstellen oder 99 $ pro Jahr dafür bezahlen.
• Pushen Sie mit Xcode das gewünschte Bereitstellungsprofil auf das iOS-Gerät und folgen Sie diesen Anweisungen.
• Verwenden Sie Cydia Impactor, um die IPA-Datei erneut mit dem Entwicklerprofil zu signieren.
• Aktivieren Sie das Gerät, um diesem Profil zu vertrauen, und der Vorgang ist abgeschlossen.

Beide Methoden sind jedoch nicht fehlerfrei. Bei der ersten Methode, Apps aus einem Drittanbieter-Store zu laden, muss man darauf hoffen, dass Apple das Zertifikat für Unternehmensentwickler, das die App verwendet, nicht widerruft, da dies das Starten der App verhindern würde. Unter Verwendung des Cydia Impactor läuft das persönliche Bereitstellungsprofil, das mit einem kostenlosen Entwicklerkonto verbunden ist,  nach fünf bis sieben Tagen ab, es sei denn, der Administrator zahlt die Kontogebühr von 99 Dollar. Es ist auch wichtig zu wissen, dass IT-Administratoren diese Aktionen mit einigen grundlegenden Sicherheitsvorkehrungen für die Geräteverwaltung verhindern können.

Risiken beim Sideloading von iOS-Anwendungen

Das inhärente Problem von Sideload-Apps für iOS liegt auf der Hand: Sie stammen nicht aus genehmigten und sorgfältig geprüften Quellen. Der Apple App Store prüft seine mobilen Anwendungen auf Malware oder andere potenzielle Bedrohungen, bevor er sie freigibt und verteilt. Während Sicherheitsverletzungen durch Apps aus dem Apple App Store trotzdem noch möglich sind, ist die Welt der Sideloading-Apps im Vergleich dazu der Wilde Westen.

Der Zugriff auf Sideload Apps für iOS ist einfach – wirklich einfach.

Apples Konzept für die Gerätesicherheit wird als Walled Garden-Ansatz bezeichnet, bei dem der Hersteller im Wesentlichen jede Software oder jeden Dienst, die innerhalb seiner Betriebssysteme ausgeführt werden können, vorab genehmigt. Der Standard ist nicht die Flexibilität, alles auszuführen, was Benutzer oder Administratoren wollen, sondern die Sicherheit. Wenn man eine mobile Anwendung auf ein iOS-Gerät herunterlädt, öffnet man das Tor zu diesem Garten. Der Benutzer kann es zwar nur aufbrechen, aber es genügt ein einziger Fall des Herunterladens von Schadsoftware, der zu Malware-Infektionen führt, um das gesamte Konzept zu untergraben. Die Sicherheitsrisiken des Sideloadings überwiegen in der Regel die Vorteile, aber die IT-Administratoren müssen dies von Fall zu Fall abwägen.

Fazit

Die Einfachheit dieses Prozesses mag für einige Administratoren überraschend sein. Apples iOS hat den Ruf, ein Walled Garden zu sein, der verlangt, dass alle Apps über den offiziellen App Store laufen, aber das ist nicht immer der Fall.

Auch wenn es für Benutzer nach wie vor einfach ist, diese Anwendungen zu erhalten, eröffnen Sideloaded Apps einen weiteren Vektor für bösartige Akteure, um Spyware und andere bösartige Software auf iOS-Geräte zu bringen. Unternehmen müssen sicher sein, dass sie dem App-Store eines Drittanbieters vertrauen können, aus dem die IPA-Datei oder App stammt.

Jailbreaking macht die Geräte außerdem anfälliger. Theoretisch hätten bösartige Apps weniger Einfluss auf Geräte mit Jailbreak als auf solche mit Jailbreak. Administratoren müssen über das gesamte Bedrohungsmodell nachdenken. Keine Methode, nicht autorisierte Apps auf ein Gerät zu bringen, ist aus der Sicherheitsperspektive optimal. Laut Anbieter Lookout (PDF) haben per Sideload installierte iOS-Apps ungehinderten Zugriff auf ein Gerät sowie auf APIs.

Wenn Administratoren beschließen, einen Jailbreak durchzuführen oder iOS-Apps per Sideload zu installieren, müssen sie sehr vorsichtig sein, insbesondere bei Arbeitsgeräten.

Die Autoren sind für den Inhalt und die Richtigkeit ihrer Beiträge selbst verantwortlich. Die dargelegten Meinungen geben die Ansichten der Autoren wieder.