സൈൻ ഇൻ വിത്ത് ആപ്പിൾ ഫീച്ചറിലെ ഒരു അപകടസാധ്യത ഏത് അക്കൗണ്ടും ഹാക്ക് ചെയ്യാൻ ഉപയോഗിക്കാം.

"ആപ്പിൾ ഉപയോഗിച്ച് സൈൻ ഇൻ ചെയ്യുക" ഫംഗ്‌ഷനിലെ അപകടകരമായ അപകടസാധ്യത കണ്ടെത്തിയതിന് വിവര സുരക്ഷാ മേഖലയിൽ പ്രവർത്തിക്കുന്ന ഇന്ത്യൻ ഗവേഷകനായ ഭാവുക് ജെയിന് $100 പ്രതിഫലം ലഭിച്ചു. മൂന്നാം കക്ഷിയിൽ സുരക്ഷിതമായ അംഗീകാരത്തിനായി Apple ഉപകരണങ്ങളുടെ ഉടമകൾ ഈ ഫംഗ്‌ഷൻ ഉപയോഗിക്കുന്നു. ഒരു വ്യക്തിഗത ഐഡി ഉപയോഗിക്കുന്ന ആപ്ലിക്കേഷനുകളും സേവനങ്ങളും.

ഞങ്ങൾ ഒരു അപകടസാധ്യതയെക്കുറിച്ചാണ് സംസാരിക്കുന്നത്, അതിന്റെ ഉപയോഗം, അംഗീകാരത്തിനായി Apple ടൂൾ ഉപയോഗിച്ച് സൈൻ ഇൻ ചെയ്‌ത ആപ്ലിക്കേഷനുകളിലും സേവനങ്ങളിലും ഇരകളുടെ അക്കൗണ്ടുകളുടെ നിയന്ത്രണം ആക്രമണകാരികളെ അനുവദിക്കും. ഒരു ഓർമ്മപ്പെടുത്തൽ എന്ന നിലയിൽ, നിങ്ങളുടെ ഇമെയിൽ വിലാസം വെളിപ്പെടുത്താതെ തന്നെ മൂന്നാം കക്ഷി ആപ്പുകൾക്കും സേവനങ്ങൾക്കുമായി സൈൻ അപ്പ് ചെയ്യാൻ നിങ്ങളെ അനുവദിക്കുന്ന സ്വകാര്യത സംരക്ഷിക്കുന്ന ഒരു പ്രാമാണീകരണ സംവിധാനമാണ് Apple ഉപയോഗിച്ച് സൈൻ ഇൻ ചെയ്യുക.

ആപ്പിൾ പ്രാമാണീകരണ പ്രക്രിയ ഉപയോഗിച്ചുള്ള സൈൻ ഇൻ ഒരു JSON വെബ് ടോക്കൺ സൃഷ്ടിക്കുന്നു, അതിൽ സൈൻ ഇൻ ചെയ്‌ത ഉപയോക്താവിന്റെ ഐഡന്റിറ്റി പരിശോധിക്കാൻ ഒരു മൂന്നാം കക്ഷി അപ്ലിക്കേഷന് ഉപയോഗിക്കാനാകുന്ന തന്ത്രപ്രധാനമായ വിവരങ്ങൾ അടങ്ങിയിരിക്കുന്നു. സൂചിപ്പിച്ച അപകടസാധ്യത ചൂഷണം ചെയ്യുന്നത് ഏതെങ്കിലും ഉപയോക്തൃ ഐഡിയുമായി ബന്ധപ്പെട്ട ഒരു JWT ടോക്കൺ ഉണ്ടാക്കാൻ ആക്രമണകാരിയെ അനുവദിച്ചു. തൽഫലമായി, മൂന്നാം കക്ഷി സേവനങ്ങളിലും ഈ ടൂളിനെ പിന്തുണയ്ക്കുന്ന ആപ്ലിക്കേഷനുകളിലും ഇരയുടെ പേരിൽ സൈൻ ഇൻ വിത്ത് ആപ്പിൾ ഫംഗ്ഷനിലൂടെ ആക്രമണകാരിക്ക് ലോഗിൻ ചെയ്യാൻ കഴിയും.

ഗവേഷകർ കഴിഞ്ഞ മാസം ആപ്പിളിന് അപകടസാധ്യത റിപ്പോർട്ട് ചെയ്തു, ഇപ്പോൾ അത് പരിഹരിച്ചു. കൂടാതെ, ആപ്പിൾ സ്പെഷ്യലിസ്റ്റുകൾ ഒരു അന്വേഷണം നടത്തി, ഈ സമയത്ത് ആക്രമണകാരികൾ പ്രായോഗികമായി ഈ ദുർബലത ഉപയോഗിച്ച ഒരു കേസ് പോലും അവർ കണ്ടെത്തിയില്ല.

അവലംബം: 3dnews.ru