Under en vecka har vi observerat att vi på olika webbplatser och tredje parts internettjänster kan "logga in" med våra Apple ID. Sanningen är att första gången jag såg honom rynkade jag på näsan och jag var inte så rolig. För dessa saker har jag redan ett "skräp" Gmail-konto, där jag inte bryr mig om jag får skräppost eftersom jag aldrig tittar på det.
Om det är sant att när Apple har etablerat detta system har det sett till att webbtjänsten som använder det inte får användardata eller tillåter det att skicka skräppost. Men jag tänker inte använda den. Nu vet vi att det fanns en säkerhetsintrång i detta system och företaget har belönat upptäckaren av felet mycket bra.
En säkerhetsproblem med "Logga in med Apple" kunde ha gjort det möjligt för hackare att utföra fullständig kontroll över användarkonton som nås via detta system. Lyckligtvis upptäcktes felet av den Indien-baserade säkerhetsforskaren Bhavuk jain.
En 100.000 XNUMX $ bonus
Här är min första sexsiffriga bounty från @Äpple. Blogginlägg kommer upp nästa vecka. #bugbounty pic.twitter.com/QygxvtGYJb
- Bhavuk Jain (@ bhavukjain1) Maj 24, 2020
I ett blogginlägg som publicerades under helgen noterade Jain att han gjorde Apple medvetet om sårbarheten i april. Snabbt från Cupertino verifierade de felet och det löstes. Tack vare Apples bug bounty-program har datavetaren belönats med US-dollar 100.000 som tack för den viktiga upptäckten.
Felet innebar ett problem med webbtoken som genererades vid användning av systemet «Logga in med Apple»I webbtjänster från tredje part. Jain noterade att sårbarheten gjorde det möjligt för alla att begära tokens för något Apple-e-post-ID. De kan sedan användas som tokens för att verifiera identitet. Detta skulle göra det möjligt för angripare att förfalska en token genom att länka den till ett Apple-ID. Härifrån kommer främlingen att ha full tillgång med den hackade Apple iD.
Många utvecklare har integrerat "Logga in med Apple" där ett konto krävs och de redan har andra sociala inloggningar. Till exempel, Facebook, Dropbox, Spotify, Airbnb, Giphy och så vidare
Dessa appar kunde ha varit utsatta för en fullständig kontoövertagning om det inte fanns några andra säkerhetsåtgärder på plats medan en användare verifierades. Enligt Jain genomförde Apple en utredning och bestämde det inget konto komprometterades på grund av denna inloggning innan du åtgärdar säkerhetsöverträdelsen.