当前位置:滚动 > 正文

厉害了!苹果十万美金奖励漏洞发现者

2020-06-01 10:12:33  来源:雷锋网

据外媒报道,苹果最近向印度漏洞研究人员Bhavuk Jain支付了10万美元的巨额赏金,以奖励其发现的iOS系统中“使用Apple登录”(Sign in with Apple)的严重漏洞。

苹果方面现在已修补漏洞,该漏洞可使远程攻击者绕过身份验证,并接管使用“使用Apple登录”选项注册的第三方服务和应用程序上目标用户的帐户。

去年在苹果公司的WWDC会议上启动的“使用Apple登录”功能,作为保护隐私登录机制被引入iOS系统,该机制允许用户使用第三方应用程序注册帐户,而无需透露其实际电子邮件地址(也用作苹果ID)。

Bhavuk Jain在接受采访时透露,他发现的漏洞存在于Apple启动来自苹果认证服务器的请求之前,在客户端上验证用户的过程中。

对于那些不知道的用户,服务器在通过“使用Apple登录”对用户进行身份验证时,会生成JSON Web令牌(JWT),其中包含第三方应用程序用来确认登录用户身份的机密信息。

Bhavuk发现,尽管Apple要求用户在发起请求之前先登录其Apple帐户,但并未验证是否是同一个人,在下一步从身份验证服务器请求JSON Web令牌(JWT)。

因此,该机制缺少的验证可能允许攻击者提供属于受害者单独的Apple ID,从而诱骗Apple服务器生成有效的JWT有效负载,该有效负载可以使用受害者的身份登录到第三方服务。

“我发现我可以向JWT请求来自Apple的任何电子邮件ID,当使用Apple的公钥验证了这些令牌的签名后,它们就显示为有效。这意味着攻击者可以通过链接任何Email ID并获得访问权限来伪造JWT,从而获得受害者的帐户。”

研究人员证实,即使用户选择从第三方服务中隐藏电子邮件ID,该漏洞仍然有效,并且该漏洞还可以利用受害者的Apple ID来注册新帐户。

“此漏洞的影响非常严重,因为它可能会导致整个帐户被接管。许多开发人员已将“使用Apple登录”集成在一起,因为对于支持其他社交登录的应用程序来说,它是强制性的。举几个使用“使用Apple登录”的用户为例- Dropbox,Spotify,Airbnb,Giphy(现已被Facebook收购)。” Bhavuk补充说。

尽管该漏洞存在于Apple端代码,但研究人员表示,某些向其用户提供“使用Apple登录”的服务和应用程序可能已经在使用二次身份验证功能,从而可以缓解用户登录中的漏洞问题。

Bhavuk上个月向苹果安全团队报告了此问题,该公司现在已修复此漏洞。作为回应,除了向研究人员支付赏金之外,苹果公司还确认已对他们的服务器日志进行了调查,发现该漏洞并未被利用来破坏任何帐户。

推荐阅读

厉害了!苹果十万美金奖励漏洞发现者

据外媒报道,苹果最近向印度漏洞研究人员Bhavuk Jain支付了10万美元的巨额赏金,以奖励其发现的iOS系统中使用Apple登录(Sign in with A 【详细】

台积电5nm扩建延至明年第一季度

据中国台湾经济日报消息,台积电5nm扩建延至2021年第一季度。报道指出,因美国扩大对华为的封锁,台积电通知设备厂,决定延后5nm扩建及3nm 【详细】

俄艺术家制全球最小口罩:精致细密

央视网消息,受新冠病毒疫情的影响,许多人不得不戴起了口罩,而昆虫则没有合适的口罩可以佩戴。不过近日,一位俄罗斯微观艺术家专门为蚱蜢 【详细】

SpaceX将测试星链网络军用性能

5月27日消息,据外媒报道,美国太空探索技术公司SpaceX已经与美国陆军签署协议,允许国防服务部门在未来三年内测试其即将推出的、基于星链( 【详细】

尝到甜头了?董明珠又来直播带货?

5月28日消息格力电器官方消息,今日早间格力电器发布公告称,格力将于6月1日举行格力健康新生活直播活动,届时格力电器董事长董明珠将携3万 【详细】

关于我们  |  联系方式  |  免责条款  |  招聘信息  |  广告服务  |  帮助中心

联系我们:435 203 [email protected]

科技新闻网 版权所有