蘋果為系統(tǒng)ID驗證嚴重漏洞 支付十萬美元賞金
近日，蘋果最近向印度漏洞研究人員Bhavuk Jain支付了100,000美元賞金，獎勵其發(fā)現(xiàn)影響“使用Apple登錄”系統(tǒng)的嚴重漏洞。該漏洞是Bhavuk上個月向蘋果安全團隊報告，目前蘋果現(xiàn)在已修復(fù)此漏洞。
這個已修補的漏洞，可以使遠程攻擊者繞過身份驗證，接管使用“使用Apple登錄”選項注冊的第三方服務(wù)和應(yīng)用程序上的帳戶。
去年，蘋果公司在WWDC會議啟動了“ 蘋果ID ”登錄第三方的保護隱私機制，該機制允許用戶使用蘋果ID注冊第三方應(yīng)用程序帳戶，并且無需透露實際電子郵件地址。
Bhavuk Jain在向媒體表示，他發(fā)現(xiàn)的漏洞存在于Apple在啟動過程中，與蘋果服務(wù)器認證過程中。
對于那些不了解實際情況的用戶，在服務(wù)器上通過“使用Apple登錄”進行用戶身份驗證時，可以生成JSON Web令牌（JWT），其中就包含第三方應(yīng)用程序發(fā)來確認登錄用戶身份的機密信息。
Bhavuk發(fā)現(xiàn)，盡管Apple會要求用戶在發(fā)起請求之前，登錄Apple帳戶，但是并沒有驗證是否是同一個人在身份驗證服務(wù)器請求JSON Web令牌（JWT）。
所以，該機制中缺少的驗證問題，可能允許攻擊者獲取屬于受害者的單獨Apple ID，從而誘騙Apple服務(wù)器生成有效的JWT，最終導(dǎo)致受害者的身份信息被其他人從第三方獲取。
Bhavuk表示：“我發(fā)現(xiàn)可以向JWT請求來自Apple的任何電子郵件ID，并且使用Apple公鑰驗證獲取的令牌簽名后，就可以登錄。這意味攻擊者可以通過鏈接獲取任何Email ID 并通過訪問權(quán)限偽造JWT，進而訪問受害者帳戶。”
即使在第三方服務(wù)中隱藏電子郵件ID，該漏洞仍然有效，并且黑客可以利用該漏洞利用受害者的Apple ID來注冊新帳戶。
Bhavuk還補充說：“此漏洞的影響非常嚴重，因為它可能導(dǎo)致整個帳戶被黑客接管。”
現(xiàn)在許多開發(fā)人員已將Sign In與Apple集成在一起，因為這種方式可以幫助其他社交工具減少獲客成本。
開發(fā)人員表示，盡管該漏洞存在于Apple代碼端，但是用戶“使用Apple登錄”的服務(wù)和應(yīng)用程序中并不受到影響，而且蘋果公司現(xiàn)在已修復(fù)此漏洞。
雷鋒網(wǎng)了解到，在發(fā)放獎金之后，蘋果公司正在公司的服務(wù)器進行調(diào)查，從而確定過去因為該漏洞被影響和破壞的帳戶。
需要注意的是，除了這次漏洞，本月早些時候德國達姆施塔特大學(xué)的研究人員檢查了 MagicPairing 協(xié)議中，還發(fā)現(xiàn)了iOS、macOS 和它們之間的十個公開漏洞，這些漏洞至今尚未得到解決。
- 相關(guān)閱讀:
-
柘榮縣富源工業(yè)區(qū)乍洋產(chǎn)業(yè)園匠造高效“微城市”2020-05-27前四個月寧德市利用外資大幅上升 合同外資比增4倍2020-05-25
- 新聞 娛樂 福建 泉州 漳州 廈門
-
- 10月平均氣溫“前暖后冷” 11月仍將有臺風(fēng)影響我國
2025-10-31 15:21 - 俄外交部：第八屆中國進博會將為俄中經(jīng)貿(mào)合作提供新機
2025-10-31 09:55 - 英國安德魯王子被剝奪王室頭銜 將搬離王室住所
2025-10-31 09:53 - 學(xué)習(xí)貫徹黨的二十屆四中全會精神中央宣講團在重慶宣講
2025-10-31 09:42 - 學(xué)習(xí)貫徹黨的二十屆四中全會精神中央宣講團在上海宣講
2025-10-31 09:42 - 學(xué)習(xí)貫徹黨的二十屆四中全會精神中央宣講團報告會在國
2025-10-31 09:42 - 錨定“排頭兵” 堅決“挑大梁”——在改革開放前沿廣
2025-10-31 09:42
- 10月平均氣溫“前暖后冷” 11月仍將有臺風(fēng)影響我國
- 猜你喜歡:
-
港珠澳大橋開通7周年 客流量超9300萬人次2025-10-23今天（10月22日）油價調(diào)整最新消息：92號汽油或重返6元時代2025-10-22中共中央新聞發(fā)布會即將召開 中外媒體關(guān)注這些問題→2025-10-24
-
評論(蘋果為系統(tǒng)ID驗證嚴重漏洞 支付十萬美元賞金)