正在閱讀:這個高危漏洞讓蘋果花了10萬美元用來“打點”這個高危漏洞讓蘋果花了10萬美元用來“打點”

2020-06-03 00:15 出處:PConline原創 作者:卡夫卡 責任編輯:sunziyi

  [PConline 資訊]使用過蘋果產品的朋友大多知道,透過Sign in with Apple,用戶可利用現有的Apple ID快速輕鬆地登錄App和網站。然而就在近日,印度漏洞安全研究專家Bhavuk Jain,發現了存在於Sign in with Apple中的嚴重高危漏洞。

  目前,該漏洞已經得到修復,蘋果也為此向Bhavuk Jain支付了高達10萬美元的巨額賞金。進一步了解得知,此漏洞允許遠端攻擊者繞過身份驗證,接管目標用戶在第三方服務和應用中使用Sign in with Apple創建的帳號。

  對此,Bhavuk Jain表示在向蘋果的身份驗證伺服器發出請求之前,蘋果用戶端驗證用戶方式上存在漏洞。透過“Sign in with Apple”驗證用戶時,伺服器會包含秘密資訊的JSON Web Token(JWT),第三方應用會使用JWT來確認登錄用戶的身份。

  Bhavuk發現,雖然蘋果公司在發起請求之前要求用戶先登錄到自己的蘋果賬戶,但在下一步的驗證伺服器上,卻並沒有驗證是否是同一個人在請求JSON Web Token(JWT)。因此,該機制中缺失的驗證可能允許攻擊者提供一個屬於受害者的單獨的蘋果ID,欺騙蘋果伺服器產生JWT有效的有效載荷,以受害者的身份登錄到第三方服務中。

  據Bhavuk介紹:“我發現自己可以向蘋果公司的任何Email ID請求JWT,當這些令牌的簽名用蘋果公司的公鑰進行驗證時,顯示為有效。這意味著攻擊者可以透過鏈接任何Email ID來偽造JWT,並穫得對受害者賬戶的訪問權限。”

  即使用戶選擇隱藏自己的電子郵件ID,這個漏洞同樣能夠生效;選擇向第三方服務隱藏你的電子郵件ID,也可以利用該漏洞用受害者的Apple ID註冊一個新賬戶。“這個漏洞的影響是相當關鍵的,因為它可以讓人完全接管賬戶。許多開發者已經將Sign in with Apple整合到應用程式中,目前Dropbox、Spotify、Airbnb、Giphy(現在被Facebook收購)都支援這種登錄方式”,Bhavuk補充道。

  實際上,這個漏洞的關鍵影響是它可以讓不法分子完全接管賬戶。許多開發者已經將Sign in with Apple整合到應用程式中,目前Dropbox、Spotify、Airbnb、Giphy都支援這種登錄方式。目前,蘋果公司已經修補了漏洞,除了向Bhavuk支付賞金外,還在回應中確認漏洞對他們的伺服器日誌進行了調查,發現該漏洞沒有被利用來危害任何賬戶。

 
投影機也許是更好的選擇 孩爸孩媽都看過來了 用什麼設備看電影最爽?投影機是個不錯的選擇 路由器需要每天都關嗎?其實很多人都弄錯了 極具創意的人臉口罩來了 可多次反覆使用 繼第一顆3D列印心臟問世後 現在怎麼樣了?

為您推薦

加載更多
加載更多
加載更多
加載更多
加載更多
加載更多
加載更多
加載更多
加載更多

網路設備論壇帖子排行

最高點擊 最高回覆 最新
最新資訊離線隨時看 聊天吐槽贏獎品