Nederlander kraakt nieuwe beveiliging Windows Marketplace

Een Nederlandse ontwikkelaar heeft de verbeterde beveiliging van Marketplace voor Windows Mobile alweer gekraakt. De beveiligingsmethode met lokaal opgeslagen activatiecodes kan worden omzeild door op de achtergrond een .exe te draaien.

De Nederlandse ontwikkelaar zal de hack voor de 'Advanced'-beveiliging niet publiceren, zegt hij op het XDA-Developers-forum. Dat zou vooralsnog ook niet veel nut hebben: er is nog geen enkele applicatie beveiligd met de nieuwe beveiligingsmethode van Microsoft. Chainfire ontdekte eerder al dat de gewone beveiliging voor applicaties in het nieuwe Marketplace makkelijk te omzeilen was met enkele aanpassingen in het register van de smartphone.

De nieuwe beveiligingsmethode vereist dat ontwikkelaars een stukje code in het installatiebestand van hun software zetten. Als een gebruiker een applicatie downloadt, krijgt het programma een serienummer mee dat is gekoppeld aan het Live ID en het toestel van de gebruiker. De ontwikkelaar kan zelf kiezen hoe vaak zijn software checkt of de serial juist is door dat te checken in een bestand dat op de telefoon staat: dat mag eens in de zoveel tijd zijn of elke keer dat de applicatie wordt opgestart. Als de serial niet klopt, sluit het programma zichzelf af.

Volgens Chainfire zit de kwetsbaarheid in de code die ontwikkelaars in het applicatiebestand zetten. Een apart .exe-bestand dat op de smartphone draait, maakt gebruik van die kwetsbaarheid. Daardoor kan het installatiebestand van het programma ook gebruikt worden op andere toestellen.

De verbeterde beveiliging moest ervoor zorgen dat betaalde applicaties in Marketplace minder makkelijk gekraakt konden worden dan met de standaardbeveiliging. Deze standaardbeveiliging houdt in dat het installatiebestand direct na installatie van het programma wordt verwijderd. In het register van de smartphone kan echter worden ingesteld dat het .cab-bestand elders op de smartphone wordt bewaard, met als gevolg dat dit niet automatisch wordt verwijderd. Omdat de software verder niet beveiligd is, kan dat installatiebestand vervolgens worden verspreid en op elke willekeurige smartphone met Windows Mobile worden gezet.

Update 10:55: In het artikel stond onterecht vermeld dat de applicatie online checkt of de serial juist is: dat gebeurt offline.

Reacties (54)

[Umbrah]

In een open platform, zoals PC's, Macs, de meeste Desktop Linuxen, Windows Mobile, zul je dit niet kunnen omzeilen. Wil je het MILD kunnen blokkeren zul je een console-achtige aanpak moeten nemen, zoals de consoles en de iPod. Dat is echter niet iets wat veel mensen zullen slikken, zeker niet bij een product wat in feite de 'opvolger' is van iets wat al bekend is.

Ik weet tenminste dat ik niet zo snel Windows 8 zal aanschaffen als het alleen geleverd word op PC's waar niets geen ander OS op geïnstalleerd kan worden, en wat alleen geregistreerde schijfjes/DLC slikt. Mijn Windows 7 PC heb ik ook zelf gebouwd (of ergens weggehaald), en mag ik ook open halen, en het maakt niet uit waar ik MSI-tjes en exe-tjes vandaan haal om te installeren en uit te voeren. Mochten ze dit veranderen ben ik de eerste met een modchip in zijn PC!

Voor een xbox echter is het anders, het is een console, en consoles zijn al zo sinds mensenheugenis. Ja, er is een groep mensen die het leuk vind hun consoles om te bouwen, maar uit zichzelf heeft een console nooit vrijheid gehad. Een bestaand product is moeilijk van 'open' naar 'gesloten' te brengen. En open = makkelijk te kraken, hoewel gesloten niet betekend dat het niet te kraken is, getuige de R4 kaartjes en xbox-images.

Overcompliceren van die marketplace beveiliging zal denk ik alleen de betalende gebruiker (en developers) extra werk geven, of het systeem zo dichttimmeren dat er ook voor WiMo jailbreaks nodig zijn. De eerste beveiliging was echter té simpel, ja. Maar met dit in het achterhoofd vind ik dit 'nieuws' niet eens zo heel erg ernstig. Zolang het door mensen ontworpen word, zal het ook gekraakt kunnen worden, zéker als je het OS open wilt houden.

[hiostu]

Maar ook zelfs de iPhone is gekraakt. Je kunt hem jailbreaken en alle apps gewoon installeren. Dus zelfs op dit soort specifieke platformen is het gewoon mogelijk.

[vgroenewold]

Mogelijk ja, maar lang niet zo simpel omdat bij updates alle telefoons door Apple weer beveiligd kunnen worden en de gewone consument weet echt de juiste apps niet te vinden. Bij WM hoef je alleen de illegale app te lokaliseren en klaar.

[hiostu]

Dus op WM hoef je alleen maar de illegale app te lokaliseren, maar voor de iPhone kunnen de consumenten dat weer niet. Dus je zegt eigenlijk dat Apple gebruikers niet al te slim zijn en WM gebruikers dat wel? Zeg je dat niet, dan zit er dus volgens mij weinig verschil in.

[vgroenewold]

Nee, voor de iPhone moet je eerst weten waar je de jailbreak tools vandaan haalt en vervolgens die hele procedure uitvoeren, daarna de illegale apps en dan pas heb je er wat aan. De gewone consument weet zowiezo illegale apps nauwelijks te lokaliseren, laat staan de boel te jailbreaken, een extra drempel vind ik daarmee dus zeker wenselijk. 2 drempels zelfs, want als je de iPhone een update geeft heb je wederom een probleem.

[Reactie gewijzigd door vgroenewold op 28 juli 2024 02:16]

[RaptorRVL]

Ik denk dat het weinig uit maakt. Mensen die illegaal dingen willen installeren doen dat dan toch wel. Er zijn genoeg écht simpele guides te vinden hoe je je iPhone moet jail breaken en hoe je dan aan illegale programma's moet komen. Stap voor stap voor elke noob te begrijpen.
En er wordt dan ook behoorlijk veel illegaal gedownload voor de iPhone. Dat is een erg groot probleem waar je dan zo nu en dan wel eens wat over hoort (bv hoeveel % van alle games illegaal zijn e.d.).

[vgroenewold]

Die rapporten zijn onbetrouwbaar, dat ging geloof ik over het gevoel van 1 developer. Ik denk dat het merendeel nog steeds niets met jailbreaken doet, het probleem is eerder dat er zoveel mensen de gratis apps gebruiken ipv de betaalde.

[watercoolertje]

De gewone consument weet zowiezo illegale apps nauwelijks te lokaliseren

Dus die extra drempel heeft volgens jouw weinig waarde Oftewel volgens jouw is het zowiezo te veel moeite om illegale apps te draaien op wat voor OS dan ook?

[Reactie gewijzigd door watercoolertje op 28 juli 2024 02:16]

[Verwijderd]

Dat is diezelfde gewone consument die ook vrolijk films etc download? Als ze van het bestaan weten (en na alle berichten is dat waarschijnlijk) kunnen ze het echt wel vinden..

[k995]

Dit is net zo ingewikkeld als vinden waar je de illegale WM apps vandaan moet halen.

Daarbij heb je bij de iphone gewoon een app voor de illegale apps :-)

[.oisyn]

De ontwikkelaar kan zelf kiezen hoe vaak zijn software checkt of de serial juist is door contact te maken met zijn server: dat mag eens in de zoveel tijd zijn of elke keer dat de applicatie wordt opgestart. Als de serial niet klopt, sluit het programma zichzelf af.

Begin je nu al weer? Daar hebben we het gisteren al over gehad. Er wordt geen contact gemaakt met de server, zoals duidelijk in de whitepaper valt te lezen:

It is also important to note that the validation takes place locally on the phone without the need for an outside connection to the Windows Marketplace service.

.edit: ah, aangepast, mooi

[Reactie gewijzigd door .oisyn op 28 juli 2024 02:16]

[arnoudwokke]

heb het voor de zekerheid nog even elders gecheckt, maar je hebt inderdaad gelijk: nadat de serial is opgeslagen gebeurt de verificatie offline. Dit artikel en het artikel van gisteren daar inmiddels op aangepast en ter verduidelijking onderaan gezet dat de tekst is geüpdatet.
Thx voor het melden

[GekooktEi]

Ik was heel blij toen ik las dat de Marketplace te downloaden was voor WinMo 6.1, maar toen ik in de Catalogus keek was ik meteen diep teleurgesteld. In de Nederlandse Store staan hooguit 15 applicaties, en het worden er ook niet meer per week, dag, of maand, dat is het stomste.

Maar, goed dat iemand Marketplace nu heeft gekraakt en het openbaar heeft gemaakt; zo kan Microsoft mooi haar beveiling verbeteren en weten ze dat ze iets totaal anders moeten proberen om het te beveiligen. Altijd respect voor hackers die de gehackte technologie juist verbeteren door het publiek te maken en niet voor eigen doeleinden te maken, zoals toen ook met de beveiliging van de ov-chipkaart was gedaan door een student. Wat zou het een fail zijn geweest als diegene dat gewoon geheim had gehouden...

[vgroenewold]

Dat begint nu al een probleem te worden, terwijl er nog nauwelijks apps in staan, dat is niet echt een lokkertje voor developers op deze manier. Als ik ervoor wil schrijven, zie ik toch graag dat de beveiliging niet zooo makkelijk te omzeilen is. Feitelijk een probleem van WM omdat je daar simpelweg op mag installeren wat je wilt, de drempel is daarmee heel wat lager dan bijv. het moeten jailbreaken van een telefoon.

[Reactie gewijzigd door vgroenewold op 28 juli 2024 02:16]

[Verwijderd]

Dus het "nadeel" van Windows Mobile is dat je ermee kan doen wat je wil. Dit in tegenstelling tot de iPhone waar Apple bepaalt wat je ermee kan doen.

Volgens mij is dit 100% het tegengestelde van wat de consument wil.

[vgroenewold]

Volgens mij niet, aangezien de AppStore van Apple de meest succesvolle is. Het is wat Tweakers niet prettig vinden en dat begrijp ik goed, maar gewone consumenten willen een ruime keus met voornamelijk supersimpele manieren om alles te vinden en te installeren. Developers willen vervolgens een systeem wat ervoor zorgt dat er niet zo gemakkelijk vanalles illegaal gebruikt kan worden (ik als developer zie dat in ieder geval niet graag met alle vrije tijd die in een app zit). Dit soort berichten helpt daarbij dus niet om van de marketplace een succes te maken.

[BeosBeing]

Als de devellopers WM masaal links laten liggen wordt WM ook minder interessant en is er daarmee ook een doel behaald.

[GuntherDW]

Dit geldt vooral dan voor mensen die geld willen zien voor hun vrije tijd.

Ik ben ook een dev, maar geef alles wat gemaakt heb vrij onder de GPL licentie. Al komen mijn apps dan niet op de marketplace,
maar ik zie niet in waarom devs soms voor de meest banale apps geld durven vragen.

Dat de MP minder interessant zou worden denk ik niet, kijk naar de iphone (zonder al te fanboyish over te komen). Veel mensen hebben hem homebrew capable gemaakt, maar toch blijft de appstore populair.
Alleen zouden ze iets aan het itunes gedeelte mogen doen imo.

[vgroenewold]

Banale apps niet nee, maar ik maak momenteel een app voor de iPhone welke in het laboratorium goed kan worden gebruikt, daar zit maanden aan tijd in (ook om de taal goed eigen te maken) en ik vind het vrij normaal om daar iets voor te vragen. Als ik niks verkoop merk ik dat vanzelf wel.

[PJJ]

Je kan ook je code onder GPL vrijgeven en nog steeds de applicatie verkopen lijkt me?

[k995]

Apple apps zijn voor elkeen simpel illegaal te verkrijgen. Een jailbreak is doodsimpel en de apps verkrijgen is even simpel als ze in de apps winkel zelf halen.

Als over de ruime keuze: die heb ik ten dele niet bij apple juist omdat ze zelf liever bepalen welke soort apps erop mogen. Daardoor zijn er een heboel al bij voorbaat uitgesloten. Iets wat WM niet heeft. Developers hebben dus meer vrijheid bij WM .

Daartegenover staat dat apple natuurlijk al een enorme gebruikers basis heeft en een heel goed werkend systeem.

Ach ja goed dat er concurentie is.

[Verwijderd]

Inderdaad, de consument wil gewoon een ruime keuze hebben tussen applicaties, zonder aan die van een bepaald merk vast te zitten.
Dat heb ik nu wel gemerkt met mijn N97 tov de Iphone, een ruime keuze tussen applicaties, en die ik gebruik zijn allen gratis, die op de Iphone niet gratis waren.

Maar die hacker heeft er weer voor gezorgt dat niet alles beveiligt kan worden, alhoewel Microsoft zal dit waarschijnlijk aanpassen ?

[OpenMinded]

elke iPhone kun je eenvoudig jailbreaken waardoor je simpelweg alles kunt draaien wat je wilt.
Daarbij zorgt Apple voor een mooiplatform waar developers vertrouwen in hebben.
WM heeft een marktaandeel van niks, het OS ziet er niet uit en is over het algemeen zo traag als dikke stront tegen een berg op met wind tegen en een stevige vorst.

Ik begrijp helemaal niet waarom er ook maar iemand voor zou willen ontwikkelen, zeker niet omdat er een visieloos bedrijf als Microsoft achter zit.
Waarschijnlijk door hergebruik van code van de desktop zodat er tijd bespaard kan worden. Kun je beter je apps in Java maken, draaien ze gelijk veel gemakkelijker over allerlei platformen heen (met kleine aanpassingen)
Simpelweg elk mobiel platform is beter en het is een wonder dat Windows Mobile nog bestaat.
Lijkt mij dat je dus beter een applicatie kunt ombouwen (C# compiled bijna op Java), dan draait het al op Android, Symbian (nog steeds het grootste marktaandeel), Maemo (en jailbroken iPhone).

En dan als Microsoft nog roepen dat developers een 10-tje moeten vragen voor apps, dan wil toch helemaal geen mens daar uberhaupt in kijken.
Wat mij betreft zoveelste fail van Microsoft.
next :)!

[johnbetonschaar]

Ja maar, met WM kun je... uhh... ehh... beter met outlook synchroniseren!! En je kunt zelfs in de verkenner door alle mappen op je telefoon heen bladeren en allemaal settings en friemeltjes aanpassen in het control panel, of allerlei vage .exe's overal vandaan downloaden en op je telefoon installeren! Take that, iPhone en Android!

[johnbetonschaar]

Jaja, zoals jij het formuleert is het dus een "voordeel" van Windows Mobile dat apps waar je voor moet betalen makkelijk gekraakt kunnen worden ... Aparte redenering... Kijken hoe succesvol zo'n app store gaat zijn dan, ik zou het in ieder geval wel weten voor welk platform ik mijn app zou maken als ik er ook nog iets voor terug wil zien.

Overigens kan je op een Symbian, WebOS, Android of weet ik wat voor telefoon ook alleen maar doen wat de fabrikant wil hoor, tenzij je hem gaat hacken (een klein aantal uitzonderingen zoals een T1 dev phone, de OpenMoko telefoons of sinds kort de N900 daargelaten). Ik kan in ieder geval ook niet zomaar alle software op mijn telefoon aanpassen of willekeurige hello world applicaties in de Ovi store uploaden. Wat dat betreft weinig verschil met Apple, maargoed ik begrijp dat het altijd lekker oplucht om in elk artikel nog even snel Apple te bashen.

[Reactie gewijzigd door johnbetonschaar op 28 juli 2024 02:16]

[Hiub]

"Overigens kan je op een (...) Android of weet ik wat voor telefoon ook alleen maar doen wat de fabrikant wil hoor, tenzij je hem gaat hacken"

hoe kom je daarbij? je kan inderdaad makkelijk via de market iets installeren, maar je kan ook gewoon .apk files op je telefoon zetten en die installeren, wordt dan netjes bijgehouden door de app manager.. gisteren nog getest met een zelfgemaakte app

[johnbetonschaar]

Dat zei ik toch niet, dat je geen applicaties op een android telefoon kunt installeren? Wat ik wilde zeggen is dat je ook bij bijvoorbeeld android alleen maar kunt doen wat de fabrikant wil dat jij er mee kunt doen, je kunt bijvoorbeeld geen applicatie maken die rechtstreeks met het GSM netwerk communiceert, je kunt niet zomaar de firmware aanpassen en je kunt ook niet zomaar een app in de Android market uploaden zonder verificatie. Op Symbian (om maar een ander voorbeeld te noemen) moet je je applicatie ook laten goedkeuren en signen als je gebruik wilt maken van bepaalde functies (heel veel functies zelfs, zoals GPS, bluetooth, het adresboek, voice-toepassingen, etc). Je kunt standaard op de meeste toestellen dus wel iets meer dan op de iPhone maar dat de fabrikant bepaalt wat jij wel en niet met je telefoon kunt doen geldt dus voor bijna alle platforms. Dit als reactie op sanderev66 die zegt: "Dit in tegenstelling tot de iPhone waar Apple bepaalt wat je ermee kan doen."

[Reactie gewijzigd door johnbetonschaar op 28 juli 2024 02:16]

[Hiub]

"je kunt bijvoorbeeld geen applicatie maken die rechtstreeks met het GSM netwerk communiceert, je kunt niet zomaar de firmware aanpassen en je kunt ook niet zomaar een app in de Android market uploaden zonder verificatie"

gelukkig niet nee, dan zou iedereen een onzin sms service kunnen beginnen, een virus schrijven dat smsjes daarheen stuurt, inpakken in een of andere fancy spelletje en op de market gooien

van mij mag het dus best wat dichtgetimmerd zijn, maar er zit nog best wat verschil in "dichtgetimmerdheid" tussen de verschillende platformen

[SunnieNL]

Hoe test je dat die exe het daadwerkelijk goed doet, als er nog geen enkele applicatie uit is die van de nieuwe beveiliging gebruik maakt...

[Blokker_1999]

De documentatie is er, en hij kan zelf een kleine app geschreven hebben en alle stappen doorlopen hebben.

[Verwijderd]

In de muziekwereld geldt, als je van een nummer een exacte kopie probeert te maken tov het origineel, zal de kopie altijd als slechter worden ervaren. Dus je eigen saus toevoegen helpt. Nu heb ik de indruk dat ze dat proberen te doen bij MS, MAAR het doel is een gebruikerservaring creëren gelijk aan die van de Apple appstore (anders hadden ze immers geen nieuw distributiekanaal opgezet, Marketplace). Ze gooien vervolgens continue zand in hun machine door niet doordacht en nauwkeurig te werk te gaan, met als gevolg afhakende ontwikkelaars (het is mij nu minder een raadsel dat zo'n groot platform zo weinig kan aanbieden in een korte tijd in Marketplace) en dan straks afhakende klanten. Deze benadering plaagt MS al jaren en gaat op deze manier nog wel even duren. Ze hebben bij het overgrote publiek de 'angst' er zo inzitten dat dat publiek wel wil overstappen van Vista naar 7 (wat begrijpelijk is), maar niet van XP naar 7. Wat denk je dat er gebeurd met de adoptie van marketplace... ik weet het wel.

[Verwijderd]

I told you so...
Maar ff serieus dit soort 'beveligingsupdates' zijn dus te triest voor woorden. Dit is dan werelwijd op tech blog te lezen.. De volgende dag is het al gekraakt.. Wanneer gaat MS eens wat experts inhuren of nog een beetje afkijken?

edit:
Ok die laatste link is echt way off topic maar illustreerd wel het afkijkgedrag

[Reactie gewijzigd door Verwijderd op 28 juli 2024 02:16]

[hiostu]

Ze hebben het toch ook gewoon goed van Apple afgekeken. De iPhone wordt ook elke keer snel gekraakt.

[ZpAz]

Oww ja, kan je de 3GS* al jailbreaken dan, of de nieuwe iPod Touches?

*Waar vanuit de winkel al de nieuwste firmware op staat.

[hiostu]

http://www.iphonehacks.co...-and-baseband-051107.html

[Verwijderd]

Beetje appels met peren vergelijken wat jij zegt.

De beveiligingsmethode met lokaal opgeslagen activatiecodes kan worden omzeild door op de achtergrond een .exe te draaien.

Applicaties op de achtergrond draaien is niet mogelijk op de Iphone(behalve ipod of course)... Die zit helemaal dichtgetimmerd, en windows gelukkig niet.

Beetje jammer dat die vergelijking altijd getrokken wordt, maar o zo vaak verkeerd.

[Reactie gewijzigd door Verwijderd op 28 juli 2024 02:16]

[HerrPino]

Ik begrijp het niet, het moet toch niet moeilijk zijn om applicaties te beveiligen tegen kopieren. Iets van: encrypt iedere applicatie 'serverside' en gebruik het id van het mobieltje als soort van public key.

Maar goed, dan komt er wel weer een applicatie die de gedecrypte applicatie weer uit het geheugen leest. De kernel kan hier dan wel weer een stokje voor steken op de een of andere manier, bijvoorbeeld een sandbox.

[XIU]

Het moet offline ook kunnen draaien en dan moet de key om te decrypten ook offline staan.

De enigste 100% veilige encryptie is onetime encryption en die kun je nu eenmaal niet gebruiken voor consumenten applicaties.

Hierdoor kan ELKE beveiliging omzeilt worden.

[SvMp]

Die hele marketplace vind ik niet passen bij een redelijk open platform zoals Windos Mobile. Met "open platform" bedoel ik in dit geval dat er deveolopertools beschikbaar zijn en dat iedereen vrij is om software te ontwikkelen zonder dat goedkeuring van MS nodig is. Programmeurs kunnen dankzij het internet juist moeiteloos zelf applicaties eventueel verkopen. Ze hebben dan ook geen afdrachten of extra kosten, en ze hoeven hun betalende gebruikers niet te vervelen met allerlei activaties.

[Keypunchie]

Je hoeft de marketplace ook niet te gebruiken. Net als bij Android is er toch ook gewoon de mogelijkheid tot "side-loading"?

Maar een meerwaarde is zo'n platform wel voor de telefoon.

[Verwijderd]

Als een gebruiker een applicatie downloadt, krijgt het programma een serienummer mee dat is gekoppeld aan het Live ID en het toestel van de gebruiker.

Dus ehm... als je toestel een keer stuk gaat en het ID dus verandert, kan je al je applicaties opnieuw aanschaffen?

[hiostu]

Waarschijnlijk moet je de applicatie opnieuw downloaden (moet toch aangezien je een nieuwe telefoon hebt). Dan wordt ook het nieuwe serienummer meegestuurd naar je telefoon.

[Verwijderd]

volgens het artikel word de serial aan je Windows Live (aka MSN, Hotmail e.d.) ID gekoppeld.

Vraag me af hoe dat dan zal zitten met de mensen die niet een windows live ID hebben gehangen aan hun mobieltje

[XIU]

Je zal je waarschijnlijk eerst moeten inloggen met een Live ID en deze zal dan gekoppeld worden aan je mobile.