Apple verlängert die Frist für iOS-Entwickler Apps, auf gesicherte Verbindungen umzustellen. Das Unternehmen teilte mit, dass die Frist für verbindliche Unterstützung von App Transport Security (ATS) jetzt auf unbestimmte Zeit verlängert wird. Eine Deadline wird später folgen.

Ursprünglich sollten Apps nur noch verschlüsselte Kommunikation über HTTPS ab Ende des Jahres erlauben. Der Konzern erklärte auf der zurückliegenden Entwicklerkonferenz: "HTTPS ist das neue HTTP". Ab Ende 2016 werde App Transport Security erzwungen.

Die Technik “App Transport Security”, die schon mit iOS 9 und OS X 10.11 El eingeführt wurde, soll die versehentliche Preisgabe von Daten verhindern und für eine sichere Standardkonfiguration sorgen. Dabei müssen Apps die Domains angeben, mit denen sie kommunizieren wollen. Für die Verschlüsselung sowie auch Forward Secrecy für HTTPS-Verbindungen setzt Apple nun TLS v1.2, AES-128 und SHA-2 voraus. Dies soll verhindern, dass eine bereits abgeschlossene, verschlüsselte Kommunikation zu einem späteren Zeitpunkt mit Kenntnis des geheimen Schlüssels geknackt wird.

Für den Übergang hatte Apple aber Ausnahmen vorgesehen, damit Apps eine unverschlüsselte Verbindung zu einem Dritt-Server herstellen können. Dabei musste von dem Entwickler, laut ursprünglichem Zeitplan, die ungesicherte Verbindung begründet werden, bevor die App im AppStore erscheinen durfte. Dabei wird Apples In-App-Browser WKWebView und das Anzeigen von beliebigen Webseiten als Ausnahme über eine unverschlüsselte Verbindung generell zugelassen. Eine Ausnahme macht der Hersteller auch bei wiedergegebenen Streaming-Inhalten über AVFoundation. Bisher hat Apple noch nicht bekannt gegeben, wie lange die Ausnahmeregelungen gelten sollen.

Die Umstellung ist für Apps besonders problematisch, die verschiedene Inhalte von Dritten integrieren wollen und dafür zahlreiche Verbindungen zu verschiedenen Servern aufbauen. Dies ist beispielsweise bei Podcast-Apps, Feedreadern und Clients für soziale Netzwerke der Fall.

(ms, hannover)

(siehe auch heise-News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE