Nekoliko tjedana primijetili smo da se na različitim web mjestima i internetskim uslugama trećih strana možemo "prijaviti" s našim Apple ID. Istina je da sam ga prvi put kad sam ga vidio naborala nos i nisam bila baš zabavna. Za te stvari već imam "smeće" Gmail računa, gdje me nije briga ako dobijem neželjenu poštu jer ga nikad ne gledam.
Ako je istina da je Apple, kada je instalirao ovaj sustav, osigurao da web usluga koja ga koristi ne dobiva korisničke podatke niti mu dopušta slanje neželjene pošte. Ali ja ga, za svaki slučaj, ne namjeravam koristiti. Sada znamo da je postojao narušavanje sigurnosti u ovom sustavu i tvrtka je vrlo dobro nagradila otkrivača pogreške.
Sigurnosna ranjivost s "Prijavi se s Appleom" mogla je omogućiti hakerima da izvrše potpunu kontrolu nad korisničkim računima kojima se pristupa putem ovog sustava. Srećom, grešku je uočio indijski istraživač sigurnosti Bhavuk jain.
Bonus od 100.000 USD
Evo moje prve nagrade od 6 znamenki od @Jabuka. Objava na blogu bit će objavljena sljedeći tjedan. #bugbounty pic.twitter.com/QygxvtGYJb
- Bhavuk Jain (@ bhavukjain1) Neka 24, 2020
U postu na blogu objavljenom tijekom vikenda, Jain je napomenuo da je Apple upoznao s ranjivošću u travnju. Iz Cupertina su brzo provjerili grešku i ona je riješena. Zahvaljujući Appleovom programu nagrađivanja protiv bugova, informatičar je nagrađen Američki dolar 100.000 kao zahvala za otkriveni važan nalaz.
Pogreška je uključivala problem s web tokenima generiranim pri korištenju sustava «Prijavite se s Appleom»U web uslugama trećih strana. Jain je primijetio da je ranjivost omogućila svima da zatraže tokene za bilo koji Appleov ID e-pošte. Tada bi se mogli koristiti kao žetoni za provjeru identiteta. To bi omogućilo napadačima da lažiraju token povezujući ga s Apple ID-om. Odavde će stranac imati puni pristup s hakiranim Apple iD-om.
Mnogi su programeri integrirali "Prijavi se s Appleom" tamo gdje je potreban račun i oni već imaju druge društvene prijave. Na primjer, Facebook, Dropbox, Spotify, Airbnb, Giphy i tako dalje
Te bi aplikacije mogle biti ranjive na potpuno preuzimanje računa da nije bilo drugih sigurnosnih mjera dok je korisnik bio provjeren. Prema Jainu, Apple je proveo istragu i utvrdio da nijedan račun nije ugrožen zbog ove prijave prije otklanjanja kršenja sigurnosti.