Содержание
- На чём держится защита iPhone
- Джейлбрейк
- Профили конфигурации и MDM
- Переподписанные приложения и IPA-файлы
- «Альтернативные магазины» и поддельные App Store
- Фразы, после которых стоит остановиться
- Сравнение способов
- Чем отличается повторная загрузка покупок
- Как проверить свой iPhone
- Как вернуть банк без этих рисков
- Частые вопросы
Когда приложения банка нет в App Store, в чатах и объявлениях быстро находятся «решения»: поставить профиль, скачать IPA-файл, установить «альтернативный магазин» или сделать джейлбрейк. Все они действительно позволяют запустить приложение. Вопрос в цене: каждый такой способ ломает одно из звеньев защиты, на которых держится безопасность iPhone. Для игры это неприятно, для банка с доступом к вашим деньгам опасно.
На чём держится защита iPhone
Чтобы понять риски, полезно знать три базовых правила iOS:
- Подпись. iPhone запускает только приложения с действующей цифровой подписью. Приложения из App Store подписывает Apple, и подпись гарантирует, что файл не меняли после проверки.
- Песочница. Каждое приложение живёт в своей изолированной области и не может читать данные других приложений, в том числе банка.
- Доверенные настройки. Сертификаты, VPN и правила управления телефоном меняются только с вашего явного согласия, и всё это видно в настройках.
Джейлбрейк ломает первые два правила, профили обходят третье, а переподписанные приложения подменяют первое. Разберём по очереди.
Джейлбрейк
Джейлбрейк использует уязвимость в iOS, чтобы снять ограничения системы. После него можно ставить любые программы и твики, в том числе из неизвестных источников, а они получают доступ далеко за пределами своей песочницы.
- Банк может не запуститься. Банковские приложения часто проверяют, не взломан ли телефон, и отказываются работать или отключают часть функций.
- Защита ослаблена. Любой установленный твик потенциально видит то, что происходит в других приложениях, включая ввод паролей.
- Нужна старая iOS. Джейлбрейк привязан к конкретным версиям системы, поэтому телефон остаётся без обновлений безопасности.
- Сбои и откаты. Apple предупреждает, что неавторизованные изменения iOS приводят к нестабильной работе, разряду батареи и проблемам с обновлениями.
Итог простой: для телефона, где стоит банк, джейлбрейк не подходит. Если вы уже сделали его, единственный надёжный путь назад это восстановить iOS через компьютер.
Профили конфигурации и MDM
Профилем конфигурации называют файл с настройками, который ставится через «Настройки». Компании используют их для рабочих телефонов: профиль может добавить Wi-Fi, почту, VPN, сертификаты, ограничения. Профиль MDM идёт дальше и подключает телефон к серверу управления, с которого можно устанавливать и удалять управляемые приложения и менять настройки удалённо.
Продавцы «установки банков» иногда просят поставить такой профиль. Чем это грозит:
- Ваш трафик может идти через чужой сервер. Профиль способен включить VPN или прокси, и данные будут проходить через оборудование постороннего человека.
- Чужой корневой сертификат. Если вы разрешите доверие такому сертификату, владелец сервера теоретически сможет читать защищённые соединения, проходящие через его сервер.
- Удалённое управление. Через MDM можно ставить и удалять приложения, ограничивать функции и собирать сведения об устройстве.
- Связь остаётся. Профиль работает, пока вы его не удалите. Многие забывают о нём через неделю.
Где посмотреть профили
Откройте «Настройки → Основные → VPN и управление устройством». Если там есть профиль, который вы не узнаёте, нажмите на него и выберите «Удалить профиль». Рабочий профиль от работодателя удаляйте только после разговора с ним.
Не все профили плохие. Сертификат НУЦ Минцифры, который некоторые банки просят установить для работы сайта, ставится именно так. Разница в источнике: его берут по инструкции с Госуслуг или сайта банка, и он только помогает проверять подлинность сайтов. Если же профиль присылает частный «установщик», от него лучше отказаться.
Без профилей и джейлбрейка
Rebound возвращает оригинальное приложение из истории покупок вашего Apple ID. Телефон ничего не теряет в защите.
Открыть в Telegram
Переподписанные приложения и IPA-файлы
В IPA-файле хранится приложение для iPhone. Чтобы поставить чужой IPA, его переподписывают своим сертификатом. Обычно используют один из двух вариантов:
- Корпоративный сертификат. Предназначен для внутренних приложений компаний. При первом запуске iPhone пишет про ненадёжного корпоративного разработчика и просит разрешить его в настройках. Apple отзывает такие сертификаты, когда их используют для раздачи приложений всем подряд, и в один день все приложения с этой подписью перестают открываться.
- Сертификат разработчика. Нужен компьютер или специальная программа, а на новых версиях iOS ещё и режим разработчика. С бесплатным аккаунтом подпись действует 7 дней, потом приложение нужно переподписывать.
Главная проблема не в неудобстве. Переподписать можно любой файл, в том числе изменённый: с добавленным кодом, который отправляет логины, пароли и коды из SMS на чужой сервер. Проверить, что внутри IPA из Telegram-канала, обычный пользователь не может. Для мессенджера или игры это неприятно, для банка это прямой путь к потере денег.
«Альтернативные магазины» и поддельные App Store
В Евросоюзе Apple разрешила альтернативные магазины приложений, но пользоваться ими можно только с европейским Apple ID и находясь в ЕС. В России их нет. Поэтому сайты, которые выдают себя за App Store, AltStore или «магазин удалённых приложений», почти наверняка мошеннические: они просят войти через Apple ID, поставить профиль или скачать «установщик». О таких сайтах уже не раз предупреждали СМИ.
Фразы, после которых стоит остановиться
Обходные способы редко называют своими именами. Обычно их описывают словами, которые звучат безобидно. Если продавец «установки» говорит что-то из этого списка, вам предлагают один из рискованных вариантов:
- «Установим специальный профиль, чтобы приложение открылось».
- «После установки зайдите в настройки и нажмите „Доверять разработчику“».
- «Войдите в настройках телефона в наш Apple ID, потом выйдете».
- «Отключите „Локатор“ на время установки».
- «Поставим любой банк, даже если его у вас никогда не было, без Apple ID».
- «Приложение будет работать месяц, потом переустановим».
- «Пришлите пароль и код, мы всё сделаем сами».
Последняя фраза особенно важна. Даже если всё остальное честно, пароль и код подтверждения не должны уходить к постороннему человеку в чат или по телефону. Вводите их сами, на своём устройстве.
Почему банки так строги к телефону
Банковское приложение отвечает за ваши деньги, поэтому банки стараются убедиться, что оно работает в нормальной, неизменённой среде. Взломанная система, чужой сертификат или подменённый файл означают, что посторонний код мог оказаться рядом с вашими данными. Отсюда проверки на джейлбрейк и отказ работать в подозрительной среде. Это неудобно, но такие проверки защищают и вас.
Сравнение способов
| Способ | Что меняется в телефоне | Чьё приложение ставится | Риск для банка | Как отменить |
|---|---|---|---|---|
| Джейлбрейк | Сняты ограничения iOS | Любое | Высокий: банк может не работать, защита ослаблена | Восстановить iOS через компьютер |
| Профиль или MDM от «установщика» | VPN, прокси, сертификаты, удалённое управление | Зависит от схемы | Высокий: трафик и управление у постороннего | Удалить профиль в настройках |
| IPA с корпоративным сертификатом | Доверие чужому разработчику | Копия неизвестного происхождения | Высокий: файл могли изменить, сертификат отзовут | Удалить приложение |
| IPA с сертификатом разработчика | Режим разработчика | Копия неизвестного происхождения | Высокий: файл могли изменить | Удалить приложение |
| Повторная загрузка покупок | Ничего | Оригинал от Apple из вашей покупки | Как у приложения из App Store | Не требуется |
Чем отличается повторная загрузка покупок
Повторная загрузка не обходит защиту, а пользуется ею. Если приложение когда-то скачивалось на ваш Apple ID, Apple хранит запись о покупке и отдаёт владельцу аккаунта оригинальный файл с лицензией. Подпись остаётся подписью Apple, песочница работает как обычно, профили не нужны. Приложение ставится так же, как из App Store, только без витрины магазина. Подробно о механизме: как работает повторная загрузка покупок.
Так работает Rebound. Вы подключаете Apple ID в Telegram, вход идёт с телефона прямо в Apple, а ссылка в Safari ставит приложение меньше чем за минуту. После установки в «VPN и управление устройством» ничего не появляется, и разрешать разработчика в настройках не нужно.
Как проверить свой iPhone
Профили
«Настройки → Основные → VPN и управление устройством». Удалите всё, что не узнаёте и что не ставил работодатель.
VPN
«Настройки → Основные → VPN и управление устройством → VPN». Оставьте только те конфигурации, которые добавили сами.
Доверенные сертификаты
«Настройки → Основные → Об этом устройстве → Доверие сертификатам». Выключите доверие сертификатам, которые вы не устанавливали осознанно.
Приложения с чужой подписью
Если какое-то приложение при запуске просило разрешить корпоративного разработчика, удалите его, особенно если это банк.
Пароли
Если что-то нашлось, смените пароль от интернет-банка и Apple ID и проверьте последние операции по счёту.
Если подозреваете, что данные уже утекли
Позвоните в банк по номеру с обратной стороны карты, а не по номеру из SMS или звонка. Попросите проверить операции и при необходимости перевыпустить карту. О проверке Apple ID есть отдельная статья: безопасно ли вводить Apple ID.
Как вернуть банк без этих рисков
- Из истории покупок вашего Apple ID: через онлайн-сервис вроде Rebound или программу на компьютере.
- Через отделение банка или официальную программу банка с его сайта.
- Через веб-версию банка на экране «Домой», пока приложения нет: как это сделать.
- С Apple ID близкого человека, у которого приложение есть, с его согласия.
Оригинальное приложение, а не копия
Проверьте покупки бесплатно и верните банк меньше чем за минуту. Первая установка для новых пользователей в подарок.
Открыть в TelegramЧастые вопросы
Можно ли поставить банк через джейлбрейк?
Технически поставить можно что угодно, но банковские приложения часто проверяют, взломан ли телефон, и отказываются работать или ограничивают функции. К тому же взломанный телефон хуже защищён от вредоносных программ, а для приложения с доступом к деньгам это главный риск.
Профиль Минцифры с Госуслуг тоже опасен?
Это официальный сертификат для проверки российских сайтов, его ставят по инструкции с Госуслуг или сайта банка. Он не даёт управлять телефоном. Опасны профили неизвестного происхождения, особенно с VPN, прокси или правами управления устройством.
Как понять, что приложение переподписано?
Если при первом запуске iPhone пишет про ненадёжного корпоративного разработчика и просит разрешить его в настройках, приложение подписано не Apple, а чужим сертификатом. Оригинальные приложения из App Store и из ваших покупок такого не требуют.
Rebound ставит профили или сертификаты?
Нет. Rebound ставит оригинальное приложение, подписанное Apple, из истории покупок вашего Apple ID. В разделе «VPN и управление устройством» после установки ничего не появляется, а доверять разработчику в настройках не нужно.
Я уже ставил банк сомнительным способом. Что делать?
Удалите это приложение и все незнакомые профили, смените пароль от интернет-банка и проверьте последние операции. Если видите подозрительное, позвоните в банк по номеру с карты. Затем поставьте оригинальное приложение из истории покупок или через банк.
