Volání v iOS vás může přijít draho. Aplikace vytočí libovolné číslo

26. 8. 2014

Dánský vývojář Andrei Neculaesei na svém blogu detailně popsal princip zneužití zdrojového kódu, který se má na iPhonu starat o automatické zavolání na telefonní číslo. Obecně jde o odkaz na webové stránce, který však, navzdory mínění řady uživatelů, lze aktivovat i bez přímého kliknutí ze strany uživatele.

Jako zcela nezbytná bezpečnostní pojistka se tak jeví třeba systémový dialog, skrze nějž uživatel zavolání ještě dodatečně potvrdí. Ten sice v iOS skutečně existuje, leč určený je pouze webovým stránkám otevřeným prostřednictvím Safari. Nativní aplikace mají cestu volnou. To, že každý musí pořádně zvážit, kterým programem svůj smartphone „obohatí“, je asi zřejmé.

Pověstný zakopaný pes však spočívá jinde. Pakliže na iOS otevírá webovou stránku aplikace, nepoužije se Safari, ale komponenta s názvem webView. Zamyslet se stačí pouze nad tím, ze kterých aplikací se dostanete na prakticky libovolné weby – bezesporu jde o všechny klienty typu Facebook Messenger, Google+, ale také Gmail a další pošťáky.

Vzhledem k tomu, že webová stránka dokáže aktivovat odkaz sama a webView nezobrazuje před vytočením hovoru onen spásný dialog, stačí v kterékoli aplikaci pouze otevřít přijatý webový odkaz. Část viny tak leží na programátorech aplikací třetích stran, kteří dané riziko nijak neošetřili. Lepší pořádek by si měl dozajista udělat i Apple v samotném iOS.

Nám ostatním zatím zbývá jen zvýšená opatrnost či rozumně omezený kredit. Případná podvodná aplikace by nám jej dokázala vysát během několika okamžiků.