साइन इन विद ऐप्पल फ़ीचर में एक भेद्यता का उपयोग किसी भी खाते को हैक करने के लिए किया जा सकता है।

सूचना सुरक्षा के क्षेत्र में काम करने वाले भारतीय शोधकर्ता भावुक जैन को "साइन इन विद ऐप्पल" फ़ंक्शन में एक खतरनाक भेद्यता की खोज के लिए $ 100 का इनाम मिला। इस फ़ंक्शन का उपयोग ऐप्पल उपकरणों के मालिकों द्वारा तीसरे पक्ष में सुरक्षित प्राधिकरण के लिए किया जाता है व्यक्तिगत आईडी का उपयोग करने वाले एप्लिकेशन और सेवाएँ।

हम एक भेद्यता के बारे में बात कर रहे हैं, जिसके उपयोग से हमलावर उन अनुप्रयोगों और सेवाओं में पीड़ितों के खातों का नियंत्रण ले सकते हैं जिनके लिए प्राधिकरण के लिए साइन इन विद ऐप्पल टूल का उपयोग किया गया था। एक अनुस्मारक के रूप में, साइन इन विद ऐप्पल एक गोपनीयता-संरक्षण प्रमाणीकरण तंत्र है जो आपको अपना ईमेल पता बताए बिना तीसरे पक्ष के ऐप्स और सेवाओं के लिए साइन अप करने देता है।

ऐप्पल प्रमाणीकरण प्रक्रिया के साथ साइन इन करने से एक JSON वेब टोकन उत्पन्न होता है, जिसमें संवेदनशील जानकारी होती है जिसका उपयोग एक तृतीय-पक्ष एप्लिकेशन साइन-इन उपयोगकर्ता की पहचान को सत्यापित करने के लिए कर सकता है। उल्लिखित भेद्यता के शोषण ने एक हमलावर को किसी भी उपयोगकर्ता आईडी से जुड़े JWT टोकन को बनाने की अनुमति दी। परिणामस्वरूप, हमलावर इस टूल का समर्थन करने वाले तृतीय-पक्ष सेवाओं और एप्लिकेशन में पीड़ित की ओर से साइन इन विद ऐप्पल फ़ंक्शन के माध्यम से लॉग इन करने में सक्षम हो सकता है।

शोधकर्ता ने पिछले महीने Apple को भेद्यता की सूचना दी थी और अब इसे ठीक कर लिया गया है। इसके अलावा, Apple विशेषज्ञों ने एक जांच की, जिसके दौरान उन्हें एक भी मामला नहीं मिला जिसमें व्यवहार में हमलावरों द्वारा इस भेद्यता का उपयोग किया गया हो।

स्रोत: 3dnews.ru