Apple confirma la mayor brecha de seguridad en el interior la App Store en Noticias

tperalta 21 sep 2015 19:55

MegaAdicto!!!

977 mensajes
y 1 foto
desde dic 2010
en Bogotá, Colombia

Gamertag: MIM0SIN PSN ID: MIM0SIN Steam ID: MIM0SIN

Soto_ST escribió:
tperalta escribió:No entiendo como un usuario de Android tiene el descaro de rajar de IOS...

" Vemos la paja en el ojo ajeno, y no vemos la viga en el nuestro"

Primero que todo, es un error de la Store, no de IOS, por lo que bastará con correjir las medidas de verificación de software y retirar las Apps defectuosas de la tienda.

Segundo, en caso de que se hubiera sido un error de IOS, basta con crear el parche y enviarlo directamente a los dispositivos afectados, cosa que en Android solo es posible con los Nexus, ya que a Google, las operadoras y los fabricantes les importa un bledo el Cliente, dejando a nuestros equipos llenos de agujeros de seguridad.

Tercero: En la tienda de Android hay mas Troyanos, Gusanos y Spyware que sumando las del resto de plataformas, dada la pobre verificación que hace Google. (Yo mismo hice la prueba subiendo una App de linterna con permisos de leer contactos, leer SMS, enviar SMS, etc.)

Nota.: En caso de que vengan con el comentario de "Fanboy de Apple", Soy un poseedor de un Android (HTC M8), un Lumia 720 y un IPhone 4s (Por la naturaleza de mi empleo), y como analista de seguridad informática y desarrollador de software, debo ser imparcial.

A propósito, ¿Porqué no ponen también en portada los recientes problemas de seguridad de Android Lollipop 5.1?

Pues para no ser un apple fanboy se te ve escocido

Es que un usuario que tenga un conocimiento mínimo de Android y IOS sabe perfectamente las debilidades y fortalezas de cada sistema. La debilidad más grande de Android es la seguridad y considero muy descarado comparar estos dos sistemas operativos en ese contexto. Por otra parte, No existe ningún sistema seguro, ya que existe y siempre existirá una vulnerabilidad que es casi imposible de corregir: El Usuario.

jimi 21 sep 2015 21:30

MegaAdicto!!!

1.534 mensajes
desde jul 2007

PElayin_5 escribió:
jimi escribió:Vamos que lees el titulo y el principio de la noticia y piensas que ya la cago apple. Pero luego al final de la noticia descubres que realmente es culpa de que algunos desarrolladores chinos se bajaron herramientas infectadas de paginas de terceros y gracias a eso infectaron las apps que luego subieron a la appstore.

Vamos esto es culpa unica y exclusivamente de los desarrollardores estos de turno. Porque hay que ser tonto, yo tengo bajado el ide e incluso el sistema operativo alguna vez de otro lado pero cuando lo hice siempre comprobe el hash del archivo para verificar que no habia sido modificado y que se habia bajado bien. Si estos desarrolladores son tan tontos como para no hacer algo tan simple, esencial, y de sentido comun, pues poco va a poder hacer apple ni nadie al respecto.

Bueno me sentare con palomitas a ver cuantos usuarios de los que contestan a la noticia no se la leen y le echan la culpa a apple (apuesto que seran unos cuantos).

Se supone que apple hace muchos controles sobre que apps se pueden o no publicar en la app store, así que la culpa no es 100% de los desarrolladores, cada uno tiene su parte de la culpa.

Sarggent escribió:
jimi escribió:Vamos que lees el titulo y el principio de la noticia y piensas que ya la cago apple. Pero luego al final de la noticia descubres que realmente es culpa de que algunos desarrolladores chinos se bajaron herramientas infectadas de paginas de terceros y gracias a eso infectaron las apps que luego subieron a la appstore.

Vamos esto es culpa unica y exclusivamente de los desarrollardores estos de turno. Porque hay que ser tonto, yo tengo bajado el ide e incluso el sistema operativo alguna vez de otro lado pero cuando lo hice siempre comprobe el hash del archivo para verificar que no habia sido modificado y que se habia bajado bien. Si estos desarrolladores son tan tontos como para no hacer algo tan simple, esencial, y de sentido comun, pues poco va a poder hacer apple ni nadie al respecto.

Bueno me sentare con palomitas a ver cuantos usuarios de los que contestan a la noticia no se la leen y le echan la culpa a apple (apuesto que seran unos cuantos).

Jajajajajajjaajjajajajaj que apple no tiene la culpa de nada??

1. Todas las aplicaciones infectadas que se subieron como si nada?? Que controles hicieron?? No dejan subir a una app por que no les gusta el diseño pero si la suben con malware y virus y no pasa nada?? No se supone que ellos tienen unos supercontroles para eso??

2. Hackearon Xcode!!! y me dices que no pasa nada?? Hackearon el IDE con el que se desarrolla en MacOS y IOS y dices que no paso nada?? apple no se supone que es ultra seguro??

Aquí no se trata de IOS vs Android...se trata de eliminar estigmas y famas sin merecer como que Apple es ultraseguro cuando es igual de vulnerable que el resto de sistemas operativos.

Os respondo a los dos a la vez pq maso menos decis la misma tonteria, aunque el segundo aun se supera mas...

Ellos no reciben el codigo fuente del programa y luego lo compilan (que seria la unica manera de poder distinguir algo asi). Y ojo aunque exigieran el codigo fuente tambien se podria colar alguna mala practica del desarrollador, porque es imposible tener los recursos como para auditar miles o millones de lineas de codigo en un tiempo viable.

En un archivo binario ya me diras como investigas que hace realmente el programa (vamos distingue algo tan sencillo como que al enviar un email de confirmacion por poner un ejemplo el desarrollador no implemente algo para enviar algun dato extra que afecta a tu privacidad, vamos si estoy seguro que a dia de hoy todas las apps de facebook y demas envian datos privados sin ningun problema, y en eso se basan).

Y no, el Xcode no lo hackearon xD. Lo que paso es que los desarrolladores bajaron una version de Xcode subida a internet por terceras personas y modificada (en esto apple no tiene la culpa). La culpa es simplemente de desarrolladores inutiles que se bajan un software de sitios no oficiales sin siquiera comprobar los HASH, que ademas apple solia publicar siempre en su web de desarrolladores por si lo bajas mal de internet.

Asi que no, aqui apple no tiene la culpa. La culpa es unica y exclusivamente de ese pequeño grupo de desarrolladores chinos vagos que hicieron algo tan sumamente estupido y que espero hayan aprendido la leccion.

alucard26 21 sep 2015 23:47

MegaAdicto!!!

1.663 mensajes
desde jun 2003
en Hong Kong

Vamos que toda la publicidad sobre sus controles y filtros en su store es un engaño mas para el rebaño... a estas alturas alguien se sorprende?

Sarggent 22 sep 2015 03:26

Desarrollando...

3.380 mensajes
desde jun 2006
en Bucaramanga,Colombia

jimi escribió:
PElayin_5 escribió:
jimi escribió:Vamos que lees el titulo y el principio de la noticia y piensas que ya la cago apple. Pero luego al final de la noticia descubres que realmente es culpa de que algunos desarrolladores chinos se bajaron herramientas infectadas de paginas de terceros y gracias a eso infectaron las apps que luego subieron a la appstore.

Vamos esto es culpa unica y exclusivamente de los desarrollardores estos de turno. Porque hay que ser tonto, yo tengo bajado el ide e incluso el sistema operativo alguna vez de otro lado pero cuando lo hice siempre comprobe el hash del archivo para verificar que no habia sido modificado y que se habia bajado bien. Si estos desarrolladores son tan tontos como para no hacer algo tan simple, esencial, y de sentido comun, pues poco va a poder hacer apple ni nadie al respecto.

Bueno me sentare con palomitas a ver cuantos usuarios de los que contestan a la noticia no se la leen y le echan la culpa a apple (apuesto que seran unos cuantos).

Se supone que apple hace muchos controles sobre que apps se pueden o no publicar en la app store, así que la culpa no es 100% de los desarrolladores, cada uno tiene su parte de la culpa.

Sarggent escribió:
jimi escribió:Vamos que lees el titulo y el principio de la noticia y piensas que ya la cago apple. Pero luego al final de la noticia descubres que realmente es culpa de que algunos desarrolladores chinos se bajaron herramientas infectadas de paginas de terceros y gracias a eso infectaron las apps que luego subieron a la appstore.

Vamos esto es culpa unica y exclusivamente de los desarrollardores estos de turno. Porque hay que ser tonto, yo tengo bajado el ide e incluso el sistema operativo alguna vez de otro lado pero cuando lo hice siempre comprobe el hash del archivo para verificar que no habia sido modificado y que se habia bajado bien. Si estos desarrolladores son tan tontos como para no hacer algo tan simple, esencial, y de sentido comun, pues poco va a poder hacer apple ni nadie al respecto.

Bueno me sentare con palomitas a ver cuantos usuarios de los que contestan a la noticia no se la leen y le echan la culpa a apple (apuesto que seran unos cuantos).

Jajajajajajjaajjajajajaj que apple no tiene la culpa de nada??

1. Todas las aplicaciones infectadas que se subieron como si nada?? Que controles hicieron?? No dejan subir a una app por que no les gusta el diseño pero si la suben con malware y virus y no pasa nada?? No se supone que ellos tienen unos supercontroles para eso??

2. Hackearon Xcode!!! y me dices que no pasa nada?? Hackearon el IDE con el que se desarrolla en MacOS y IOS y dices que no paso nada?? apple no se supone que es ultra seguro??

Aquí no se trata de IOS vs Android...se trata de eliminar estigmas y famas sin merecer como que Apple es ultraseguro cuando es igual de vulnerable que el resto de sistemas operativos.

Os respondo a los dos a la vez pq maso menos decis la misma tonteria, aunque el segundo aun se supera mas...

Ellos no reciben el codigo fuente del programa y luego lo compilan (que seria la unica manera de poder distinguir algo asi). Y ojo aunque exigieran el codigo fuente tambien se podria colar alguna mala practica del desarrollador, porque es imposible tener los recursos como para auditar miles o millones de lineas de codigo en un tiempo viable.

En un archivo binario ya me diras como investigas que hace realmente el programa (vamos distingue algo tan sencillo como que al enviar un email de confirmacion por poner un ejemplo el desarrollador no implemente algo para enviar algun dato extra que afecta a tu privacidad, vamos si estoy seguro que a dia de hoy todas las apps de facebook y demas envian datos privados sin ningun problema, y en eso se basan).

Y no, el Xcode no lo hackearon xD. Lo que paso es que los desarrolladores bajaron una version de Xcode subida a internet por terceras personas y modificada (en esto apple no tiene la culpa). La culpa es simplemente de desarrolladores inutiles que se bajan un software de sitios no oficiales sin siquiera comprobar los HASH, que ademas apple solia publicar siempre en su web de desarrolladores por si lo bajas mal de internet.

Asi que no, aqui apple no tiene la culpa. La culpa es unica y exclusivamente de ese pequeño grupo de desarrolladores chinos vagos que hicieron algo tan sumamente estupido y que espero hayan aprendido la leccion.

Leí lo que escribiste y es que es una burrada mas grande que una casa!

Ni vale la pena hablar con una persona que ni entiende lo que dice... Y por favor, cuando te dirijas a un desarrollador senior(como es mi caso) no digas estupideces acerca de un tema que no dominas...no hables estupideces del trabajo que los demás hacen todos los días por que la experiencia y el conocimiento de años no se improvisa... que yo sea un forero no significa que este a tu nivel ni al nivel de las demás personas de EOL... como hay niños con internet escribiendo pendejadas, también en EOL hay muchos profesionales, especialistas y hasta magisters que visitan esta pagina....como dicen los mexicanos "no seas igualado"... Yo no voy a poner a hablar a un físico puro de física por que yo no soy nadie para hablarle de un tema que el domina demasiado... esa persona merece mi respeto y mi admiración no insultos y frases tontas acerca de su conocimiento y trabajo....pero como en Internet todo el mundo se crece detrás de un teclado, en Internet cualquiera se cree con el derecho de juzgar como si fuera un dios...en fin...

No me intentes explicarme como se sube una app al store de apple ni que se envía ni como se revisa... por que no necesito leer mentiras de algo que ya he hecho varias veces y se de sobra como funciona.

Por otro lado "Y no, el Xcode no lo hackearon xD. Lo que paso es que los desarrolladores bajaron una version de Xcode subida a internet por terceras personas y modificada (en esto apple no tiene la culpa). La culpa es simplemente de desarrolladores inutiles que se bajan un software de sitios no oficiales sin siquiera comprobar los HASH, que ademas apple solia publicar siempre en su web de desarrolladores por si lo bajas mal de internet."

Hay dios santo... que burrada tan abismal.

No, modificar xcode no es hackearlo [facepalm]

....apple no tiene la culpa!!... :-|

Apple amablemente les dio el código fuente de Xcode a esas terceras personas... [facepalm]

Masay 22 sep 2015 12:30

MegaAdicto!!!

642 mensajes
desde sep 2000
en Madrid

Apple made in china para los que dicen que son la caña, como pasa con el 99.9% de los smartphone

sonyfallon 22 sep 2015 12:53

MegaAdicto!!!

51.836 mensajes
desde jun 2007
en España

Gamertag: SasukeSupremo PSN ID: serjine Steam ID: serjine

Lord_Gouki escribió:
sonyfallon escribió:Que menos que estas cosas pasen en china

Pues el Malware lo creo la CIA y parece que se les ha escapado de las manos, se deberia actualizar la noticia.

Según Apple, están retirando las versiones infectadas de las apps. En marzo de 2015 The Intercept publicó una investigación en que, de acuerdo a documentos filtrados, la CIA estaba desarrollando una versión infectada de Xcode para tratar de generar backdoors a dispositivos iOS por medio de malware.

Estas son la aplicaciones en las que se ha detectado el Malware

Angry Birds 2
WeChat
CamCard
CamScanner
Card Safe
China Unicom Mobile Office
CITIC Bank
Didi Chuxing
Eyes Wide
Flush
Freedom Battle
High German Map
Himalayan
Hot Stock Market
I called MT
I called MT 2
IFlyTek Input
Jane Book
Lazy Weekend
Lifesmart
Mara Mara
Marital Bed
Medicine to Force
Micro Channel
Microblogging Camera
NetEase
OPlayer
Pocket billing
Poor tour
Quick Asked the Doctor
Railway 12306
SegmentFault
Stocks Open Class
Telephone Attribution Assistant
The Driver Drops
The Kitchen
Three New Board
Watercress Reading

No tengo ninguna de esas Apps instaladas en mi iPhone e iPad [360º]

jimi 22 sep 2015 13:52 *

MegaAdicto!!!

1.534 mensajes
desde jul 2007

Editado 3 veces. Última: 22/09/2015 - 14:16:05 por jimi.

@Sarggent
Que seas desarrollador senior tampoco quiere decir que tengas idea de lo que hablas. Y cuando una persona se pone a presumir de titulitis normalemente es que no tiene ni idea de lo que habla. Hasta muy probablemente yo tenga mas años de experiencia que tu como desarrollador pero me parece estupido ponerlo como dato para intentar dar credibilidad a un post en un foro, sinceramente

.

Yo llevo bajando xcode desde hace casi 10 años, (la version 2 creo que era y ya van por la 7), y jamas he tenido ningún problema con una version "hackeada". Y eso que alguna vez lo tengo bajado de torrents, pero siempre comprobando que el hash coincidía con el oficial que es algo de sentido común. Jamas he tenido ningún problema y dudo que lo tenga en el futuro, si ademas hoy por hoy hasta las apps de apple están firmadas con un certificado root de apple (Xcode incluido).

DDD:Applications iooo$ codesign -dvv  Xcode.app/
Executable=/Applications/Xcode.app/Contents/MacOS/Xcode
Identifier=com.apple.dt.Xcode
Format=bundle with Mach-O thin (x86_64)
CodeDirectory v=20200 size=322 flags=0x200(kill) hashes=7+5 location=embedded
Signature size=4169
Authority=Apple Mac OS Application Signing
Authority=Apple Worldwide Developer Relations Certification Authority
Authority=Apple Root CA
Info.plist entries=34
TeamIdentifier=59GAB85EFG
Sealed Resources version=2 rules=12 files=306123
Internal requirements count=1 size=108

Que apple en muchas cosas tendrá la culpa y todo lo que queramos, pero en este caso no. En este caso es única y exclusivamente de ese grupo de desarrolladores apps que han cometido diversas irresponsabilidades una tras otra. Ni mas ni menos.

Pero no se porque pero me da que esos desarrolladores son como tu y presumen de que son senior developers y no se molestaron ni siquiera de comprobar el hash de una app que bajaron de servidores de terceros

. Así les fue y no me dan pena ninguna

.

Las brechas de seguridad se producen casi siempre por el eslabon mas debil, que normalmente es el usuario. Pero en este caso el mas debil han sido un grupito de desarrolladores de apps de ios.

Y nunca vas a poder evitar este tipo de problemas, por mucha seguridad y limites que impongas. Incluso en el caso de iOS 1.0 cuando apple no permitia desarrollar apps a terceros se podria haber colado una app con codigo malicioso. Algun desarrolador de las apps que incluye iOS podria haber metido algun backdoor y no haber sido detectada en ese momento. Y en este caso si que apple tendria algo de responsabilidad subsidiaria porque al menos deberia tener gente revisando el codigo de sus apps.

Y ejemplos del caso anterior hay unos cuantos y en proyectos open source muy importantes donde habia muchisima gente comprobando el codigo fuente. Recuerdo en el kernel de linux en un par de ocasiones (una no hace mucho en 2010), en phpmyadmin tambien, y en BSD creo que tambien tuvieran algun caso

Sarggent 22 sep 2015 16:23 *

Desarrollando...

3.380 mensajes
desde jun 2006
en Bucaramanga,Colombia

Editado 1 vez. Última: 22/09/2015 - 16:29:11 por Sarggent.

jimi escribió:@Sarggent
Que seas desarrollador senior tampoco quiere decir que tengas idea de lo que hablas. Y cuando una persona se pone a presumir de titulitis normalemente es que no tiene ni idea de lo que habla. Hasta muy probablemente yo tenga mas años de experiencia que tu como desarrollador pero me parece estupido ponerlo como dato para intentar dar credibilidad a un post en un foro, sinceramente .

Yo llevo bajando xcode desde hace casi 10 años, (la version 2 creo que era y ya van por la 7), y jamas he tenido ningún problema con una version "hackeada". Y eso que alguna vez lo tengo bajado de torrents, pero siempre comprobando que el hash coincidía con el oficial que es algo de sentido común. Jamas he tenido ningún problema y dudo que lo tenga en el futuro, si ademas hoy por hoy hasta las apps de apple están firmadas con un certificado root de apple (Xcode incluido).

DDD:Applications iooo$ codesign -dvv Xcode.app/ Executable=/Applications/Xcode.app/Contents/MacOS/Xcode Identifier=com.apple.dt.Xcode Format=bundle with Mach-O thin (x86_64) CodeDirectory v=20200 size=322 flags=0x200(kill) hashes=7+5 location=embedded Signature size=4169 Authority=Apple Mac OS Application Signing Authority=Apple Worldwide Developer Relations Certification Authority Authority=Apple Root CA Info.plist entries=34 TeamIdentifier=59GAB85EFG Sealed Resources version=2 rules=12 files=306123 Internal requirements count=1 size=108

Que apple en muchas cosas tendrá la culpa y todo lo que queramos, pero en este caso no. En este caso es única y exclusivamente de ese grupo de desarrolladores apps que han cometido diversas irresponsabilidades una tras otra. Ni mas ni menos.

Pero no se porque pero me da que esos desarrolladores son como tu y presumen de que son senior developers y no se molestaron ni siquiera de comprobar el hash de una app que bajaron de servidores de terceros . Así les fue y no me dan pena ninguna .

Las brechas de seguridad se producen casi siempre por el eslabon mas debil, que normalmente es el usuario. Pero en este caso el mas debil han sido un grupito de desarrolladores de apps de ios.

Y nunca vas a poder evitar este tipo de problemas, por mucha seguridad y limites que impongas. Incluso en el caso de iOS 1.0 cuando apple no permitia desarrollar apps a terceros se podria haber colado una app con codigo malicioso. Algun desarrolador de las apps que incluye iOS podria haber metido algun backdoor y no haber sido detectada en ese momento. Y en este caso si que apple tendria algo de responsabilidad subsidiaria porque al menos deberia tener gente revisando el codigo de sus apps.

Y ejemplos del caso anterior hay unos cuantos y en proyectos open source muy importantes donde habia muchisima gente comprobando el codigo fuente. Recuerdo en el kernel de linux en un par de ocasiones (una no hace mucho en 2010), en phpmyadmin tambien, y en BSD creo que tambien tuvieran algun caso .

y vuelves una vez una y otra vez a los mismo...para que entiendas mi posición de una vez: HACKEARON XCODE!!

No importa que lo hayan bajado 1 o mil desarrolladores descuidados o inútiles o como los quieras llamar. HACKEARON XCODE, MODIFICARON XCODE esa es la noticia.

Y que pena contigo, pero hay aplicaciones que han rechazado por violación a las políticas de seguridad de apple(cuando se han pedido detalles despues del rechazo por que antes no te dan ningún motivo ni razón) entonces como comprobaron que dichas aplicaciones violan seguridades del sistema o tienen puertas traseras??

Como rechazan apps que intentan hacer acciones prohibidas en IOS o en las políticas de seguridad?? me vas a decir que la pobre, arruinada y humilde Apple no tiene acceso a debugers, desemsabladores, unscramblers, tracers, etc etc para analizar el ejecutable de una app??

No se si quieres hacerme quedar solo como un tonto prepotente o no sabes del tema o simplemente eres muy inocente...pero me gusta mucho este tema del desarrollo, estoy orgulloso de mi trabajo e intento siempre dar lo mejor de mi, así que lamento si mis palabras anteriores suenan crecidas, pero para que puedas defender a una empresa debes o trabajar para ella o saber muy bien de lo que hablas... y si adquirí el titulo de Senior fue con mucho estudio, certificaciones y exámenes muy complejos que incluso tuve que repetir una vez(Para prepararme a un mas) por que son demasiado exigentes...aparte de especializarme en seguridad, criptografia y ingeniería inversa de aplicativos...que es un tema tan extenso, complejo y emocionante como el propio desarrollo, es por eso que hablo con autoridad del tema y me molesta de sobre manera que alguien defienda lo indefendible...que sigan diciendo que apple es el sumus en seguridad y que no es culpa de ellos que hackeen xcode(Aun cuando se llenan la boca diciendo que sus sus productos son los mas seguro que existe en el mundo)....luego hackean nada mas y nada menos que el IDE de apple con el que se desarrollan el 90% de las Apps de Mac OS X y IOS en el mundo y personas como tu salen a decir que no es culpa de apple..

Aunque bueno si, tienes razón...realmente no es culpa de apple que hallan hackeado Xcode... es culpa de personas mentalmente superiores a todos sus ingenieros, su marketing de "seguridad" y toda esa basura que apple sabe vender muy bien.

jimi 22 sep 2015 16:59

MegaAdicto!!!

1.534 mensajes
desde jul 2007

Sarggent escribió:
jimi escribió:@Sarggent
Que seas desarrollador senior tampoco quiere decir que tengas idea de lo que hablas. Y cuando una persona se pone a presumir de titulitis normalemente es que no tiene ni idea de lo que habla. Hasta muy probablemente yo tenga mas años de experiencia que tu como desarrollador pero me parece estupido ponerlo como dato para intentar dar credibilidad a un post en un foro, sinceramente .

Yo llevo bajando xcode desde hace casi 10 años, (la version 2 creo que era y ya van por la 7), y jamas he tenido ningún problema con una version "hackeada". Y eso que alguna vez lo tengo bajado de torrents, pero siempre comprobando que el hash coincidía con el oficial que es algo de sentido común. Jamas he tenido ningún problema y dudo que lo tenga en el futuro, si ademas hoy por hoy hasta las apps de apple están firmadas con un certificado root de apple (Xcode incluido).

DDD:Applications iooo$ codesign -dvv Xcode.app/ Executable=/Applications/Xcode.app/Contents/MacOS/Xcode Identifier=com.apple.dt.Xcode Format=bundle with Mach-O thin (x86_64) CodeDirectory v=20200 size=322 flags=0x200(kill) hashes=7+5 location=embedded Signature size=4169 Authority=Apple Mac OS Application Signing Authority=Apple Worldwide Developer Relations Certification Authority Authority=Apple Root CA Info.plist entries=34 TeamIdentifier=59GAB85EFG Sealed Resources version=2 rules=12 files=306123 Internal requirements count=1 size=108

Que apple en muchas cosas tendrá la culpa y todo lo que queramos, pero en este caso no. En este caso es única y exclusivamente de ese grupo de desarrolladores apps que han cometido diversas irresponsabilidades una tras otra. Ni mas ni menos.

Pero no se porque pero me da que esos desarrolladores son como tu y presumen de que son senior developers y no se molestaron ni siquiera de comprobar el hash de una app que bajaron de servidores de terceros . Así les fue y no me dan pena ninguna .

Las brechas de seguridad se producen casi siempre por el eslabon mas debil, que normalmente es el usuario. Pero en este caso el mas debil han sido un grupito de desarrolladores de apps de ios.

Y nunca vas a poder evitar este tipo de problemas, por mucha seguridad y limites que impongas. Incluso en el caso de iOS 1.0 cuando apple no permitia desarrollar apps a terceros se podria haber colado una app con codigo malicioso. Algun desarrolador de las apps que incluye iOS podria haber metido algun backdoor y no haber sido detectada en ese momento. Y en este caso si que apple tendria algo de responsabilidad subsidiaria porque al menos deberia tener gente revisando el codigo de sus apps.

Y ejemplos del caso anterior hay unos cuantos y en proyectos open source muy importantes donde habia muchisima gente comprobando el codigo fuente. Recuerdo en el kernel de linux en un par de ocasiones (una no hace mucho en 2010), en phpmyadmin tambien, y en BSD creo que tambien tuvieran algun caso .

y vuelves una vez una y otra vez a los mismo...para que entiendas mi posición de una vez: HACKEARON XCODE!!

No importa que lo hayan bajado 1 o mil desarrolladores descuidados o inútiles o como los quieras llamar. HACKEARON XCODE, MODIFICARON XCODE esa es la noticia.

Y que pena contigo, pero hay aplicaciones que han rechazado por violación a las políticas de seguridad de apple(cuando se han pedido detalles despues del rechazo por que antes no te dan ningún motivo ni razón) entonces como comprobaron que dichas aplicaciones violan seguridades del sistema o tienen puertas traseras??

Como rechazan apps que intentan hacer acciones prohibidas en IOS o en las políticas de seguridad?? me vas a decir que la pobre, arruinada y humilde Apple no tiene acceso a debugers, desemsabladores, unscramblers, tracers, etc etc para analizar el ejecutable de una app??

No se si quieres hacerme quedar solo como un tonto prepotente o no sabes del tema o simplemente eres muy inocente...pero me gusta mucho este tema del desarrollo, estoy orgulloso de mi trabajo e intento siempre dar lo mejor de mi, así que lamento si mis palabras anteriores suenan crecidas, pero para que puedas defender a una empresa debes o trabajar para ella o saber muy bien de lo que hablas... y si adquirí el titulo de Senior fue con mucho estudio, certificaciones y exámenes muy complejos que incluso tuve que repetir una vez(Para prepararme a un mas) por que son demasiado exigentes...aparte de especializarme en seguridad, criptografia y ingeniería inversa de aplicativos...que es un tema tan extenso, complejo y emocionante como el propio desarrollo, es por eso que hablo con autoridad del tema y me molesta de sobre manera que alguien defienda lo indefendible...que sigan diciendo que apple es el sumus en seguridad y que no es culpa de ellos que hackeen xcode(Aun cuando se llenan la boca diciendo que sus sus productos son los mas seguro que existe en el mundo)....luego hackean nada mas y nada menos que el IDE de apple con el que se desarrollan el 90% de las Apps de Mac OS X y IOS en el mundo y personas como tu salen a decir que no es culpa de apple..

Aunque bueno si, tienes razón...realmente no es culpa de apple que hallan hackeado Xcode... es culpa de personas mentalmente superiores a todos sus ingenieros, su marketing de "seguridad" y toda esa basura que apple sabe vender muy bien.

Mira te voy a poner un ejemplo sencillo que hasta tu puedas entender (o al menos eso espero).

Tu dices que eres desarrollador, asi que imagina que tienes tu app para windows o mac en tu web. Y tienes tu publico que la usa. Ahora cojo yo me bajo tu app de tu web, la modifico (bueno segun tu la hackeo pq soy un pro hacker chupi guay), y la subo a mi servidor web (o la subo a torrent o lo que me salga de las narices). Ahora cogen tus clientes y se bajan la app que modifique de mi web (o del torrent al que la subi) y resulta tengo acceso a sus ordenadores, etc.
Vale segun tu modo de ver en este caso TU tendrias la culpa de todo. Tus clientes que se bajaron la app de otro sitio no oficial, serian unos inocentones sin culpa ninguna... pues esto es lo que tu estas defendiendo, ni mas ni menos.

A mi sinceramente me la sopla apple o los desarrolladores esos implicados en este tema. Pero para mi esta clarisimo quien tiene el 100% de la culpa en este caso y no es precisamente apple.

Y no hace falta estudiar nada, para saber 4 cosas, y que modificar el xcode o el visual studio esta al alcance de casi cualquiera (hasta un simple virus te puede modificar el ejecutable sin ir mas lejos). Esta claro que modificar un compilador para que genere un ejecutable con puertas traseras es algo mas dificil, aunque tampoco lo es tanto. Y mas si utilizas un compilador de codigo abierto (aunque tambien es perfectamente posible hacerlo sin acceso al codigo fuente). Y poco importa que tu te molestes en firmar tus ejecutables o colgar los hashes de tus imagenes si luego tus usuarios son retrasados no les hacen ni puto caso por vagancia o simple ignorancia. Al final el problema no esta en el sistema por mucho que te duela, el problema esta en el usuario irresponsable (en este caso los usuarios son este grupo de desarrolladores de apps de ios).

Sarggent 22 sep 2015 17:45

Desarrollando...

3.380 mensajes
desde jun 2006
en Bucaramanga,Colombia

jimi escribió:
Sarggent escribió:
jimi escribió:@Sarggent
Que seas desarrollador senior tampoco quiere decir que tengas idea de lo que hablas. Y cuando una persona se pone a presumir de titulitis normalemente es que no tiene ni idea de lo que habla. Hasta muy probablemente yo tenga mas años de experiencia que tu como desarrollador pero me parece estupido ponerlo como dato para intentar dar credibilidad a un post en un foro, sinceramente .

Yo llevo bajando xcode desde hace casi 10 años, (la version 2 creo que era y ya van por la 7), y jamas he tenido ningún problema con una version "hackeada". Y eso que alguna vez lo tengo bajado de torrents, pero siempre comprobando que el hash coincidía con el oficial que es algo de sentido común. Jamas he tenido ningún problema y dudo que lo tenga en el futuro, si ademas hoy por hoy hasta las apps de apple están firmadas con un certificado root de apple (Xcode incluido).

DDD:Applications iooo$ codesign -dvv Xcode.app/ Executable=/Applications/Xcode.app/Contents/MacOS/Xcode Identifier=com.apple.dt.Xcode Format=bundle with Mach-O thin (x86_64) CodeDirectory v=20200 size=322 flags=0x200(kill) hashes=7+5 location=embedded Signature size=4169 Authority=Apple Mac OS Application Signing Authority=Apple Worldwide Developer Relations Certification Authority Authority=Apple Root CA Info.plist entries=34 TeamIdentifier=59GAB85EFG Sealed Resources version=2 rules=12 files=306123 Internal requirements count=1 size=108

Que apple en muchas cosas tendrá la culpa y todo lo que queramos, pero en este caso no. En este caso es única y exclusivamente de ese grupo de desarrolladores apps que han cometido diversas irresponsabilidades una tras otra. Ni mas ni menos.

Pero no se porque pero me da que esos desarrolladores son como tu y presumen de que son senior developers y no se molestaron ni siquiera de comprobar el hash de una app que bajaron de servidores de terceros . Así les fue y no me dan pena ninguna .

Las brechas de seguridad se producen casi siempre por el eslabon mas debil, que normalmente es el usuario. Pero en este caso el mas debil han sido un grupito de desarrolladores de apps de ios.

Y nunca vas a poder evitar este tipo de problemas, por mucha seguridad y limites que impongas. Incluso en el caso de iOS 1.0 cuando apple no permitia desarrollar apps a terceros se podria haber colado una app con codigo malicioso. Algun desarrolador de las apps que incluye iOS podria haber metido algun backdoor y no haber sido detectada en ese momento. Y en este caso si que apple tendria algo de responsabilidad subsidiaria porque al menos deberia tener gente revisando el codigo de sus apps.

Y ejemplos del caso anterior hay unos cuantos y en proyectos open source muy importantes donde habia muchisima gente comprobando el codigo fuente. Recuerdo en el kernel de linux en un par de ocasiones (una no hace mucho en 2010), en phpmyadmin tambien, y en BSD creo que tambien tuvieran algun caso .

y vuelves una vez una y otra vez a los mismo...para que entiendas mi posición de una vez: HACKEARON XCODE!!

No importa que lo hayan bajado 1 o mil desarrolladores descuidados o inútiles o como los quieras llamar. HACKEARON XCODE, MODIFICARON XCODE esa es la noticia.

Y que pena contigo, pero hay aplicaciones que han rechazado por violación a las políticas de seguridad de apple(cuando se han pedido detalles despues del rechazo por que antes no te dan ningún motivo ni razón) entonces como comprobaron que dichas aplicaciones violan seguridades del sistema o tienen puertas traseras??

Como rechazan apps que intentan hacer acciones prohibidas en IOS o en las políticas de seguridad?? me vas a decir que la pobre, arruinada y humilde Apple no tiene acceso a debugers, desemsabladores, unscramblers, tracers, etc etc para analizar el ejecutable de una app??

No se si quieres hacerme quedar solo como un tonto prepotente o no sabes del tema o simplemente eres muy inocente...pero me gusta mucho este tema del desarrollo, estoy orgulloso de mi trabajo e intento siempre dar lo mejor de mi, así que lamento si mis palabras anteriores suenan crecidas, pero para que puedas defender a una empresa debes o trabajar para ella o saber muy bien de lo que hablas... y si adquirí el titulo de Senior fue con mucho estudio, certificaciones y exámenes muy complejos que incluso tuve que repetir una vez(Para prepararme a un mas) por que son demasiado exigentes...aparte de especializarme en seguridad, criptografia y ingeniería inversa de aplicativos...que es un tema tan extenso, complejo y emocionante como el propio desarrollo, es por eso que hablo con autoridad del tema y me molesta de sobre manera que alguien defienda lo indefendible...que sigan diciendo que apple es el sumus en seguridad y que no es culpa de ellos que hackeen xcode(Aun cuando se llenan la boca diciendo que sus sus productos son los mas seguro que existe en el mundo)....luego hackean nada mas y nada menos que el IDE de apple con el que se desarrollan el 90% de las Apps de Mac OS X y IOS en el mundo y personas como tu salen a decir que no es culpa de apple..

Aunque bueno si, tienes razón...realmente no es culpa de apple que hallan hackeado Xcode... es culpa de personas mentalmente superiores a todos sus ingenieros, su marketing de "seguridad" y toda esa basura que apple sabe vender muy bien.

Mira te voy a poner un ejemplo sencillo que hasta tu puedas entender (o al menos eso espero).

Tu dices que eres desarrollador, asi que imagina que tienes tu app para windows o mac en tu web. Y tienes tu publico que la usa. Ahora cojo yo me bajo tu app de tu web, la modifico (bueno segun tu la hackeo pq soy un pro hacker chupi guay), y la subo a mi servidor web (o la subo a torrent o lo que me salga de las narices). Ahora cogen tus clientes y se bajan la app que modifique de mi web (o del torrent al que la subi) y resulta tengo acceso a sus ordenadores, etc.
Vale segun tu modo de ver en este caso TU tendrias la culpa de todo. Tus clientes que se bajaron la app de otro sitio no oficial, serian unos inocentones sin culpa ninguna... pues esto es lo que tu estas defendiendo, ni mas ni menos.

A mi sinceramente me la sopla apple o los desarrolladores esos implicados en este tema. Pero para mi esta clarisimo quien tiene el 100% de la culpa en este caso y no es precisamente apple.

Y no hace falta estudiar nada, para saber 4 cosas, y que modificar el xcode o el visual studio esta al alcance de casi cualquiera (hasta un simple virus te puede modificar el ejecutable sin ir mas lejos). Esta claro que modificar un compilador para que genere un ejecutable con puertas traseras es algo mas dificil, aunque tampoco lo es tanto. Y mas si utilizas un compilador de codigo abierto (aunque tambien es perfectamente posible hacerlo sin acceso al codigo fuente). Y poco importa que tu te molestes en firmar tus ejecutables o colgar los hashes de tus imagenes si luego tus usuarios son retrasados no les hacen ni puto caso por vagancia o simple ignorancia. Al final el problema no esta en el sistema por mucho que te duela, el problema esta en el usuario irresponsable (en este caso los usuarios son este grupo de desarrolladores de apps de ios).

y volvemos a lo mismo... y seguiremos en círculos hasta el infinito...

1. Apple si tuvo la culpa por permitir subir apps con malware, por que no hizo su trabajo y sus super filtros y protocolos de seguridad fallaron.

2. Fallaron las medidas de seguridad de firmado y encripción de las APPS y el IDE de las cuales apple tanto se jacta de ultra SEGURO y por eso modificaron y subieron la versión hackeada.

3. Una cosa es CRACKEAR una app para volar validaciones de licencias(Básicamente para piratería) y otra muy distinta es modificar Xcode para que incluyera código en todas las aplicaciones que firmara con el algoritmo de apple eso se llama HACKEAR un programa, pues es añadirle una función nueva mediante ingeniería inversa.

4. Por favor entiende de una vez que no importa que verifiques el Hash, ni quien lo haya bajado, el hito es que un grupo anonimo hackeo el IDE de apple y por ende vulnero las seguridades de firmado digital y de cuentas asociadas que tiene Xcode.

Por mi parte espero que quede claro, por que ya escribir de nuevo seria algo tonto.

Salu2!

jimi 22 sep 2015 18:29

MegaAdicto!!!

1.534 mensajes
desde jul 2007

@Sarggent
Espero ya que sea la ultima vez y que parece que no lo entiendes. Pero esta es mi ultima respuesta ya y si quieres sigue en tu mundo y ya esta, ahi te dejo.

1.- En esto solo tienes razon en que los filtros no detectaron la supuesta funcionalidad extra que añadia la version modificada del compilador de apple a los ejecutables. Pero ya te lo explico yo para que lo entiendas. ES IMPOSIBLE TECNICAMENTE filtrar al 100% un binario (y ya no solo un binario que es mas complicado, sino incluso el codigo fuente de la aplicacion) para que no haga algo que tu consideras "malo". Y la razon es sencilla, si tu dejas libertad a la gente para programar tu les dejas crear cosas nuevas y es imposible que preveas todos los caminos de la creatividad de la gente. Si, puedes utilizar listas negras de cosas que no permites, pero es tan sencillo como evitarlas. Y como ya te explique la unica solucion casi al 100% fiable es no dejar programar a terceros desarrolladores para tu plataforma (que por cierto era la idea inicial de apple), aunque siempre algun trabajador de apple en la cadena puede meter la pata o dejar una puerta trasera siempre que se de la oportunidad, como ya ha pasado en alguna que otra ocasion en proyectos muy importantes.
De echo si esto fuera posible los antivirus funcionarian en el 100% de los casos con sus heuristicas y tu ves alguno que funcione? Es que teneis cada cosa

. Vamos es que dudo que llegue a ver el dia en que funcionen.

2.- Te equivocas, no fallo ninguna firma ni nada. Lo que no comprendes es que si modificas un programa y luego haces el paso de firmado, ese programa esta bien firmado. Y esto es lo normal, sino los desarrolladores no podrian modificar sus propias aplicaciones y firmar la nueva version. La culpa es como ya te digo de que estos usuarios desarrolladores utilizaron software no oficial para firmar sus apps, y por lo tanto la rotura de la cadena la hicieron ellos, no apple. Aqui la unica solucion que seria? coger y exigirle los desarrolladores el utilizar una version xcode en la nube? NI ASI, podrian infectarse mismo el navegador de estos desarrolladores tambien por imprudentes y añadir sin verlo codigo fuente extra.

3.- Yo creo que te complicas demasiado, te digo yo que es posible, y cuando quieras te lo demuestro. El unico problema aqui es el de siempre, donde encuentras el fallo de seguridad?. Si yo modifico el compilador del visual estudio y le añado esa generacion de rutinas extra, pues viene el mayor problema de todos. Como consigo que se bajen esa version modificada por mi sin sospechar? Porque es muy muy complicado generar un hash igual en la imagen de la version modificada (y no digo imposible porque se pueden dar casos de colisiones de hash, pero ya te digo que es poco viable a dia de hoy) y en cuanto las victimas se bajen mi visual studio modificado van a ver que el hash no coincide y dan por supuesto o que lo bajaron mal (como minimo) y lo bajaran otra vez y si sigue fallando el hash lo bajaran de otro sitio. Pero bueno la gente siempre te sorprende la verdad, en fin.

4.- Te lo estoy explicando, claro que importa que verifiques el hash. De echo si esos desarrolladores lo hubiesen hecho ahora mismo ni estariamos hablando de esto, porque habrian visto que su dmg del Xcode no tiene el hash correcto y lo hubiesen bajado de otro lado

Hitcrasher 23 sep 2015 00:19

Mr. CogSwap 2002

1.864 mensajes
desde mar 2002
en En Málaga

Cuanto resentido con Apple leo por aquí...

Envidiosos.

thadeusx 23 sep 2015 07:15 *

Beinhart

29.863 mensajes
y 2 fotos
desde mar 2006
en el circuito

Página web de thadeusx Twitter de thadeusx

Editado 1 vez. Última: 23/09/2015 - 07:16:49 por thadeusx.

jimi escribió:Mira te voy a poner un ejemplo sencillo que hasta tu puedas entender (o al menos eso espero).

Tu dices que eres desarrollador, asi que imagina que tienes tu app para windows o mac en tu web. Y tienes tu publico que la usa. Ahora cojo yo me bajo tu app de tu web, la modifico (bueno segun tu la hackeo pq soy un pro hacker chupi guay), y la subo a mi servidor web (o la subo a torrent o lo que me salga de las narices). Ahora cogen tus clientes y se bajan la app que modifique de mi web (o del torrent al que la subi) y resulta tengo acceso a sus ordenadores, etc.
Vale segun tu modo de ver en este caso TU tendrias la culpa de todo. Tus clientes que se bajaron la app de otro sitio no oficial, serian unos inocentones sin culpa ninguna... pues esto es lo que tu estas defendiendo, ni mas ni menos.

A mi sinceramente me la sopla apple o los desarrolladores esos implicados en este tema. Pero para mi esta clarisimo quien tiene el 100% de la culpa en este caso y no es precisamente apple.

Y no hace falta estudiar nada, para saber 4 cosas, y que modificar el xcode o el visual studio esta al alcance de casi cualquiera (hasta un simple virus te puede modificar el ejecutable sin ir mas lejos). Esta claro que modificar un compilador para que genere un ejecutable con puertas traseras es algo mas dificil, aunque tampoco lo es tanto. Y mas si utilizas un compilador de codigo abierto (aunque tambien es perfectamente posible hacerlo sin acceso al codigo fuente). Y poco importa que tu te molestes en firmar tus ejecutables o colgar los hashes de tus imagenes si luego tus usuarios son retrasados no les hacen ni puto caso por vagancia o simple ignorancia. Al final el problema no esta en el sistema por mucho que te duela, el problema esta en el usuario irresponsable (en este caso los usuarios son este grupo de desarrolladores de apps de ios).

Lo que no me cuadra en tu ejemplo es que los clientes de Apple no se han bajado las apps de ningún sitio extraño si no de la App Store.Así que se supone que deberían estar verificadas.
1Saludo

jimi 23 sep 2015 14:03

MegaAdicto!!!

1.534 mensajes
desde jul 2007

thadeusx escribió:
jimi escribió:Mira te voy a poner un ejemplo sencillo que hasta tu puedas entender (o al menos eso espero).

Tu dices que eres desarrollador, asi que imagina que tienes tu app para windows o mac en tu web. Y tienes tu publico que la usa. Ahora cojo yo me bajo tu app de tu web, la modifico (bueno segun tu la hackeo pq soy un pro hacker chupi guay), y la subo a mi servidor web (o la subo a torrent o lo que me salga de las narices). Ahora cogen tus clientes y se bajan la app que modifique de mi web (o del torrent al que la subi) y resulta tengo acceso a sus ordenadores, etc.
Vale segun tu modo de ver en este caso TU tendrias la culpa de todo. Tus clientes que se bajaron la app de otro sitio no oficial, serian unos inocentones sin culpa ninguna... pues esto es lo que tu estas defendiendo, ni mas ni menos.

A mi sinceramente me la sopla apple o los desarrolladores esos implicados en este tema. Pero para mi esta clarisimo quien tiene el 100% de la culpa en este caso y no es precisamente apple.

Y no hace falta estudiar nada, para saber 4 cosas, y que modificar el xcode o el visual studio esta al alcance de casi cualquiera (hasta un simple virus te puede modificar el ejecutable sin ir mas lejos). Esta claro que modificar un compilador para que genere un ejecutable con puertas traseras es algo mas dificil, aunque tampoco lo es tanto. Y mas si utilizas un compilador de codigo abierto (aunque tambien es perfectamente posible hacerlo sin acceso al codigo fuente). Y poco importa que tu te molestes en firmar tus ejecutables o colgar los hashes de tus imagenes si luego tus usuarios son retrasados no les hacen ni puto caso por vagancia o simple ignorancia. Al final el problema no esta en el sistema por mucho que te duela, el problema esta en el usuario irresponsable (en este caso los usuarios son este grupo de desarrolladores de apps de ios).

Lo que no me cuadra en tu ejemplo es que los clientes de Apple no se han bajado las apps de ningún sitio extraño si no de la App Store.Así que se supone que deberían estar verificadas.
1Saludo

El problema es que no entendeis que una misma funcion de una app puede interpretarse como malware, como algo invasivo a la privacidad, o incluso como algo normal, dependiendo de la persona que lo revise. Vamos no es algo que matematicamente y se pueda justificar y por lo tanto es imposible que un sofware lo diferencie. Por eso se necesita revision humana y aun asi dependiendo de la persona en cuestion que lo revise pues tambien puede interpretarlo de diferente manera. Al final lo que queda es lo de siempre, la credibilidad de las empresas implicadas en su desarrollo. Si te fias de que esa empresa tiene gente mas o menos competente que no van a ha realizar tareas irresponsables (como bajar software de sitios no oficiales sin verificar los hash) o que de un dia pa otro puedan vender tus datos a otras empresas si le ofrecen lo suficiente pues bien, y sino pues corres mas riesgo.

De echo los datos que envia este supuesto malware son datos menos invasivos que los que envia la app de facebook o muchas otras mas y que siguen y seguiran publicadas en la app store. La unica diferencia es que esas apps envian esos datos con el consentimiento de los desarrolladores que las hicieron (ya que en este caso es una funcionalidad) y en el caso del que hablamos la envian sin su consentimiento (y por lo tanto lo consideran como malware). Aunque fue sin su consentimiento por una irresponsabilidad de esos desarrolladores y no de apple.

Para apple es imposible diferenciar si ese desarrollador de turno realmente queria o no enviar esos datos (a menos que les prohibas hacerlo y añadas eso a tus filtros, pero muchisimas apps no funcionarian sin poder enviar el identificador del dispositivo, el correo electronico que meta el usuario, etc).

De esto saldra algo bueno (o al menos eso espero) y es que a partir de ahora muchos de esos desarrolladores incompetentes (que para mi deberian dedicarse a otra cosa) aprenderian la leccion y algunos otros que tampoco comprobaban los hash de apps bajadas de terceras partes, a partir de ahora lo haran y por lo tanto es mas dificil que le vuelva a suceder algo parecido a otros desarrolladores y con implicaciones mucho peores.

berny6969 23 sep 2015 17:39

MegaAdicto!!!

3.681 mensajes
desde nov 2001

Cuando firmas tu app en Xcode y la subes al AppStore con tu usuario se hacen verificaciones , habría que ver que tipo de malware, seguro que te añadía alguna librería de mas al proyecto

De todas maneras hay que se cenutrio para usar un Xcode no bajado de Apple

thadeusx escribió:
jimi escribió:Mira te voy a poner un ejemplo sencillo que hasta tu puedas entender (o al menos eso espero).

Tu dices que eres desarrollador, asi que imagina que tienes tu app para windows o mac en tu web. Y tienes tu publico que la usa. Ahora cojo yo me bajo tu app de tu web, la modifico (bueno segun tu la hackeo pq soy un pro hacker chupi guay), y la subo a mi servidor web (o la subo a torrent o lo que me salga de las narices). Ahora cogen tus clientes y se bajan la app que modifique de mi web (o del torrent al que la subi) y resulta tengo acceso a sus ordenadores, etc.
Vale segun tu modo de ver en este caso TU tendrias la culpa de todo. Tus clientes que se bajaron la app de otro sitio no oficial, serian unos inocentones sin culpa ninguna... pues esto es lo que tu estas defendiendo, ni mas ni menos.

A mi sinceramente me la sopla apple o los desarrolladores esos implicados en este tema. Pero para mi esta clarisimo quien tiene el 100% de la culpa en este caso y no es precisamente apple.

Y no hace falta estudiar nada, para saber 4 cosas, y que modificar el xcode o el visual studio esta al alcance de casi cualquiera (hasta un simple virus te puede modificar el ejecutable sin ir mas lejos). Esta claro que modificar un compilador para que genere un ejecutable con puertas traseras es algo mas dificil, aunque tampoco lo es tanto. Y mas si utilizas un compilador de codigo abierto (aunque tambien es perfectamente posible hacerlo sin acceso al codigo fuente). Y poco importa que tu te molestes en firmar tus ejecutables o colgar los hashes de tus imagenes si luego tus usuarios son retrasados no les hacen ni puto caso por vagancia o simple ignorancia. Al final el problema no esta en el sistema por mucho que te duela, el problema esta en el usuario irresponsable (en este caso los usuarios son este grupo de desarrolladores de apps de ios).

Lo que no me cuadra en tu ejemplo es que los clientes de Apple no se han bajado las apps de ningún sitio extraño si no de la App Store.Así que se supone que deberían estar verificadas.
1Saludo