Indijas pētnieks Bhavuks Džains, kurš strādā informācijas drošības jomā, saņēma 100 000 ASV dolāru atlīdzību par bīstamas ievainojamības atklāšanu funkcijā “Sign in with Apple”. Šo funkciju Apple ierīču īpašnieki izmanto drošai autorizācijai trešās puses ietvaros. lietojumprogrammas un pakalpojumi, izmantojot personīgo ID.
Mēs runājam par ievainojamību, kuras izmantošana var ļaut uzbrucējiem pārņemt kontroli pār upuru kontiem lietojumprogrammās un pakalpojumos, kuru autorizācijai tika izmantots rīks Pierakstīties ar Apple. Atgādinām, ka Pierakstīties ar Apple ir privātumu saglabājošs autentifikācijas mehānisms, kas ļauj reģistrēties trešo pušu lietotnēm un pakalpojumiem, neatklājot savu e-pasta adresi.
Pierakstīšanās, izmantojot Apple autentifikācijas process ģenerē JSON tīmekļa marķieri, kas satur sensitīvu informāciju, ko trešās puses lietojumprogramma var izmantot, lai pārbaudītu pierakstītā lietotāja identitāti. Minētās ievainojamības izmantošana ļāva uzbrucējam viltot JWT marķieri, kas saistīts ar jebkuru lietotāja ID. Rezultātā uzbrucējs varētu upura vārdā pieteikties, izmantojot funkciju Pierakstīties ar Apple trešo pušu pakalpojumos un lietojumprogrammās, kas atbalsta šo rīku.
Pētnieks pagājušajā mēnesī ziņoja par Apple ievainojamību, un tagad tā ir novērsta. Turklāt Apple speciālisti veica izmeklēšanu, kuras laikā neatrada nevienu gadījumu, kad šo ievainojamību uzbrucēji būtu izmantojuši praksē.
Avots: 3dnews.ru