Arendaja saab vigu leidmise eest jaotises „Apple’iga sisselogimine” 100 000 dollarit

Kui Cupertino hiiglased teatasid pöördumisest “Logi sisse Apple’iga” (“Logi sisse Apple’iga”), nimetas ettevõte eelmisel aastal uudsust “lihtsamaks ja isikupärasemaks viisiks, kuidas kiiresti rakendustele ja veebisaitidele juurde pääseda”. Idee on huvitav: asendage avalikud sisselogimised, mida saab kasutada isikuandmete kogumiseks, turvaliste autentimissĂĽsteemidega, mis ei anna isiklikke andmeid kolmandatele isikutele.

Kuid nagu igal teisel sĂĽsteemil, võib ka Apple’i funktsioonidel olla mitu auku; tegelikult turvalisuse arendajad ja teadlased Bhavuk Jain avastas mullu aprillis haavatavuse null päeva jaotises „Apple’iga sisselogimine”, mis võib kaasa tuua põhimõtteliselt kõigi kontode häkkimise – kui Apple pole seda muidugi teinud.

Tema sõnul segab viga konkreetselt kolmandate osapoolte rakendusi, mis kasutavad Apple’i sisselogimisfunktsiooni ega rakenda täiendavaid turvameetmeid. Oluline on märkida, et arendaja tuli börsile alles pärast veast Apple’ile teatamist ja probleemi lahenduse vabastamist (samuti kui ta oli avastuse eest maksnud korraliku summa).

Tagasi vigade juurde: Jain selgitab, et „Logi sisse Apple’iga” autentib sisselogimised JWT kaudu, mis on Apple’i serverite loodud kooditĂĽĂĽp. Lisaks pakub ettevõte võimalust jagada oma Apple ID-ga lingitud e-posti aadressi või privaatset relee aadressi – mõlemad vajavad JWT poolt autentimist.

Arendaja avastas hiljem, et kuna JWT-lt küsiti Apple ID-d (või privaatset relee), märk seda tehakse avaliku võtme abil. Kui vigu ei leita, saab JWT luua ja kasutada kontole juurdepääsu saamiseks.

Selle haavatavuse mõju on üsna kriitiline, kuna see võib lubada konto täielikku häkkimist. Paljud arendajad on integreerinud jaotise „Logi sisse Apple’iga”, kuna see on kohustuslik teiste sotsiaalse sisselogimist võimaldavate rakenduste jaoks.

Ooperi kokkuvõte: Jain ütles, et Apple viis läbi uurimise ja jõudis järeldusele, et viga ei ohustanud ühtegi kontot. Avastuse jaoks nõustub arendaja 100 000 dollarit alates Apple Security Bounty (ettevõtte preemiaprogramm). Pole paha, mis?

News Hackeri kaudu