ຊ່ອງໂຫວ່ໃນການເຂົ້າສູ່ລະບົບດ້ວຍຄຸນສົມບັດ Apple ສາມາດຖືກໃຊ້ເພື່ອແຮັກບັນຊີໃດນຶ່ງ.

ນັກຄົ້ນຄວ້າຊາວອິນເດຍ Bhavuk Jain, ຜູ້ທີ່ເຮັດວຽກໃນດ້ານຄວາມປອດໄພດ້ານຂໍ້ມູນ, ໄດ້ຮັບລາງວັນ $ 100 ສໍາລັບການຄົ້ນພົບຊ່ອງໂຫວ່ອັນຕະລາຍໃນຟັງຊັນ "ເຂົ້າສູ່ລະບົບດ້ວຍ Apple" ຟັງຊັນນີ້ຖືກໃຊ້ໂດຍເຈົ້າຂອງອຸປະກອນ Apple ສໍາລັບການອະນຸຍາດທີ່ປອດໄພໃນພາກສ່ວນທີສາມ ແອັບພລິເຄຊັນ ແລະບໍລິການໂດຍໃຊ້ ID ສ່ວນຕົວ.

ພວກເຮົາເວົ້າກ່ຽວກັບຊ່ອງໂຫວ່, ການນໍາໃຊ້ທີ່ສາມາດເຮັດໃຫ້ຜູ້ໂຈມຕີສາມາດຄວບຄຸມບັນຊີຂອງຜູ້ຖືກເຄາະຮ້າຍໃນແອັບພລິເຄຊັນແລະການບໍລິການທີ່ເຄື່ອງມືເຂົ້າສູ່ລະບົບດ້ວຍ Apple ສໍາລັບການອະນຸຍາດ. ໃນຖານະເປັນການເຕືອນ, ເຂົ້າສູ່ລະບົບດ້ວຍ Apple ແມ່ນກົນໄກການຢັ້ງຢືນຄວາມເປັນສ່ວນຕົວທີ່ຊ່ວຍໃຫ້ທ່ານລົງທະບຽນສໍາລັບແອັບຯແລະການບໍລິການພາກສ່ວນທີສາມໂດຍບໍ່ມີການເປີດເຜີຍທີ່ຢູ່ອີເມວຂອງທ່ານ.

ຂະບວນການເຂົ້າສູ່ລະບົບດ້ວຍ Apple authentication ສ້າງ JSON Web Token, ເຊິ່ງປະກອບດ້ວຍຂໍ້ມູນລະອຽດອ່ອນທີ່ແອັບພລິເຄຊັນພາກສ່ວນທີສາມສາມາດໃຊ້ເພື່ອຢືນຢັນຕົວຕົນຂອງຜູ້ໃຊ້ທີ່ເຂົ້າສູ່ລະບົບແລ້ວ. ການຂູດຮີດຊ່ອງໂຫວ່ທີ່ໄດ້ກ່າວມາເຮັດໃຫ້ຜູ້ໂຈມຕີສາມາດປອມແປງ JWT token ທີ່ກ່ຽວຂ້ອງກັບ ID ຜູ້ໃຊ້ໃດໆ. ດັ່ງນັ້ນ, ຜູ້ໂຈມຕີສາມາດເຂົ້າສູ່ລະບົບໂດຍຜ່ານຫນ້າທີ່ເຂົ້າສູ່ລະບົບດ້ວຍ Apple ໃນນາມຂອງຜູ້ຖືກເຄາະຮ້າຍໃນການບໍລິການຂອງພາກສ່ວນທີສາມແລະແອັບພລິເຄຊັນທີ່ສະຫນັບສະຫນູນເຄື່ອງມືນີ້.

ນັກຄົ້ນຄວ້າໄດ້ລາຍງານຄວາມອ່ອນແອຕໍ່ Apple ໃນເດືອນແລ້ວນີ້ແລະຕອນນີ້ມັນໄດ້ຖືກແກ້ໄຂແລ້ວ. ນອກຈາກນັ້ນ, ຜູ້ຊ່ຽວຊານຂອງ Apple ໄດ້ດໍາເນີນການສືບສວນ, ໃນໄລຍະທີ່ພວກເຂົາບໍ່ພົບກໍລະນີດຽວທີ່ຊ່ອງໂຫວ່ນີ້ຖືກນໍາໃຊ້ໂດຍຜູ້ໂຈມຕີໃນການປະຕິບັດ.

ແຫຼ່ງຂໍ້ມູນ: 3dnews.ru