Apple로 로그인 기능의 취약점을 이용하면 모든 계정을 해킹할 수 있습니다.

정보 보안 분야에서 일하는 인도 연구원 Bhavuk Jain은 Apple 기기 소유자가 제100자 인증을 위해 사용하는 'Sign in with Apple' 기능에서 위험한 취약점을 발견하여 000달러의 보상을 받았습니다. 개인 ID를 사용하는 애플리케이션 및 서비스.

이는 공격자가 Apple로 로그인 도구를 사용하여 인증을 받은 응용 프로그램 및 서비스에서 피해자의 계정을 제어할 수 있는 취약점에 대해 이야기하고 있습니다. 다시 말씀드리지만, Apple로 로그인은 이메일 주소를 공개하지 않고도 타사 앱 및 서비스에 가입할 수 있게 해주는 개인 정보 보호 인증 메커니즘입니다.

Apple로 로그인 인증 프로세스에서는 제XNUMX자 애플리케이션이 로그인한 사용자의 신원을 확인하는 데 사용할 수 있는 중요한 정보가 포함된 JSON 웹 토큰을 생성합니다. 언급된 취약점을 악용하여 공격자는 모든 사용자 ID와 연결된 JWT 토큰을 위조할 수 있었습니다. 결과적으로, 공격자는 이 도구를 지원하는 제XNUMX자 서비스 및 애플리케이션에서 피해자를 대신하여 Apple로 로그인 기능을 통해 로그인할 수 있습니다.

연구원은 지난달 Apple에 취약점을 보고했으며 현재는 수정되었습니다. 또한, Apple 전문가들이 조사를 실시한 결과 실제로 공격자가 이 취약점을 사용한 사례는 단 한 건도 발견되지 않았습니다.

출처 : 3dnews.ru