苹果为ID验证漏洞 支付十万美元赏金

6·18勾当已全面开启 大促勾当进口汇总：

京东6·18十七周年庆大促主会场进口 – 最高可领618元红包

2020天猫6·18超等红包在此领取 6月1日追加40亿元斲丧券

客岁，苹果公司在WWDC集会会议启动了“苹果ID ”登录第三方的掩护隐私机制，该机制应承用户行使苹果ID注册第三方应用措施帐户，而且无需透露现实电子邮件地点。

Bhavuk Jain 在向媒体暗示，他发明的裂痕存在于Apple在启动进程中，与苹果处事器认证进程中。

对付那些不相识现实环境的用户，在处事器上通过“行使Apple登录”举办用户身份验证时，可以天生JSON Web令牌（JWT），个中就包括第三方应用措施发来确认登任命户身份的机要信息。

Bhavuk发明，尽量Apple会要求用户在提倡哀求之前，登录Apple帐户，可是并没有验证是否是统一小我私人在身份验证处事器哀求JSON Web令牌（JWT）。

以是，该机制中缺傲幽验证题目，也许应承进攻者获取属于受害者的单独Apple ID，从而拐骗Apple处事器天生有用的JWT，最终导致受害者的身份信息被其他人从第三方获取。

Bhavuk暗示：“我发明可以向JWT哀求来自Apple的任何电子邮件ID，而且行使Apple公钥验证获取的令牌署名后，就可以登录。这意味进攻者可以通过链接获取任何Email ID 并通过会见权限伪造JWT，进而会见受害者帐户。”

纵然在第三方处事中潜匿电子邮件ID，该裂痕如故有用，而且黑客可以操作该裂痕操作受害者的Apple ID来注册新帐户。

Bhavuk还增补说：“此裂痕的影响很是严峻，由于它也许导致整个帐户被黑客经受。”

此刻很多开拓职员已将Sign In与Apple集成在一路，由于这种方法可以辅佐其他交际器材镌汰获客本钱。

开拓职员暗示，尽量该裂痕存在于Apple代码端，可是用户“行使Apple登录”的处事和应用措施中并不受到影响，并且苹果公司此刻已修复此裂痕。

在发放奖金之后，苹果公司正在公司的处事器举办观测，从而确定已往由于该裂痕被影响和粉碎的帐户。

必要留意的是，除了这次裂痕，本月早些时辰德国达姆施塔特大学的研究职员搜查了 MagicPairing 协议中，还发明白iOS、macOS 和它们之间的十个果真裂痕，这些裂痕至今尚未获得办理。

相干文章:

Sign in with Apple被爆高危裂痕：可长途挟制恣意用户帐号

本文素材来自互联网

（编辑：湖南网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!