ភាពងាយរងគ្រោះនៅក្នុងមុខងារ Sign in with Apple អាចត្រូវបានប្រើដើម្បី hack គណនីណាមួយ។

អ្នកស្រាវជ្រាវជនជាតិឥណ្ឌា Bhavuk Jain ដែលធ្វើការក្នុងវិស័យសន្តិសុខព័ត៌មានបានទទួលរង្វាន់ $100 សម្រាប់ការរកឃើញភាពងាយរងគ្រោះដ៏គ្រោះថ្នាក់នៅក្នុងមុខងារ “Sign in with Apple” មុខងារនេះត្រូវបានប្រើប្រាស់ដោយម្ចាស់ឧបករណ៍ Apple សម្រាប់ការអនុញ្ញាតដោយសុវត្ថិភាពនៅក្នុងភាគីទីបី កម្មវិធី និងសេវាកម្មដោយប្រើលេខសម្គាល់ផ្ទាល់ខ្លួន។

យើងកំពុងនិយាយអំពីភាពងាយរងគ្រោះ ការប្រើប្រាស់ដែលអាចអនុញ្ញាតឱ្យអ្នកវាយប្រហារគ្រប់គ្រងគណនីជនរងគ្រោះនៅក្នុងកម្មវិធី និងសេវាកម្មដែលឧបករណ៍ Sign in with Apple ត្រូវបានប្រើប្រាស់សម្រាប់ការអនុញ្ញាត។ ជាការរំលឹក ចូលជាមួយ Apple គឺជាយន្តការផ្ទៀងផ្ទាត់ភាពឯកជនដែលអនុញ្ញាតឱ្យអ្នកចុះឈ្មោះសម្រាប់កម្មវិធី និងសេវាកម្មភាគីទីបីដោយមិនបង្ហាញអាសយដ្ឋានអ៊ីមែលរបស់អ្នក។

ដំណើរការនៃការចូលដោយប្រើការផ្ទៀងផ្ទាត់ Apple បង្កើត JSON Web Token ដែលមានព័ត៌មានរសើបដែលកម្មវិធីភាគីទីបីអាចប្រើដើម្បីផ្ទៀងផ្ទាត់អត្តសញ្ញាណរបស់អ្នកប្រើដែលបានចូល។ ការកេងប្រវ័ញ្ចលើភាពងាយរងគ្រោះដែលបានលើកឡើងបានអនុញ្ញាតឱ្យអ្នកវាយប្រហារបង្កើតនិមិត្តសញ្ញា JWT ដែលភ្ជាប់ជាមួយលេខសម្គាល់អ្នកប្រើប្រាស់ណាមួយ។ ជាលទ្ធផល អ្នកវាយប្រហារអាចចូលតាមរយៈមុខងារ Sign in with Apple ក្នុងនាមជនរងគ្រោះនៅក្នុងសេវាកម្មភាគីទីបី និងកម្មវិធីដែលគាំទ្រឧបករណ៍នេះ។

អ្នកស្រាវជ្រាវបានរាយការណ៍ពីភាពងាយរងគ្រោះទៅកាន់ Apple កាលពីខែមុន ហើយឥឡូវនេះវាត្រូវបានជួសជុលហើយ។ លើសពីនេះ អ្នកឯកទេសរបស់ Apple បានធ្វើការស៊ើបអង្កេត ក្នុងអំឡុងពេលនោះ ពួកគេមិនបានរកឃើញករណីតែមួយ ដែលភាពងាយរងគ្រោះនេះ ត្រូវបានអ្នកវាយប្រហារប្រើប្រាស់ក្នុងការអនុវត្តជាក់ស្តែង។

ប្រភព: 3dnews.ru