苹果为id验证漏洞，支付十万美元赏金 | 雷峰网-亚博电竞网

雷锋网消息，近日，苹果最近向印度漏洞研究人员bhavuk jain支付了100,000美元赏金，奖励其发现影响“ 使用apple登录 ”系统的严重漏洞。该漏洞是bhavuk上个月向苹果安全团队报告，目前苹果现在已修复此漏洞。

这个已修补的漏洞，可以使远程攻击者绕过身份验证，接管使用“使用apple登录”选项注册的第三方服务和应用程序上的帐户。

去年，苹果公司在wwdc会议启动了“ 苹果id ”登录第三方的保护隐私机制，该机制允许用户使用苹果id注册第三方应用程序帐户，并且无需透露实际电子邮件地址。

bhavuk jain 在向媒体表示，他发现的漏洞存在于apple在启动过程中，与苹果服务器认证过程中。

对于那些不了解实际情况的用户，在服务器上通过“使用apple登录”进行用户身份验证时，可以生成json web令牌（jwt），其中就包含第三方应用程序发来确认登录用户身份的机密信息。

bhavuk发现，尽管apple会要求用户在发起请求之前，登录apple帐户，但是并没有验证是否是同一个人在身份验证服务器请求json web令牌（jwt）。

所以，该机制中缺少的验证问题，可能允许攻击者获取属于受害者的单独apple id，从而诱骗apple服务器生成有效的jwt，最终导致受害者的身份信息被其他人从第三方获取。

bhavuk表示：“我发现可以向jwt请求来自apple的任何电子邮件id，并且使用apple公钥验证获取的令牌签名后，就可以登录。这意味攻击者可以通过链接获取任何email id 并通过访问权限伪造jwt，进而访问受害者帐户。”

即使在第三方服务中隐藏电子邮件id，该漏洞仍然有效，并且黑客可以利用该漏洞利用受害者的apple id来注册新帐户。

bhavuk还补充说：“此漏洞的影响非常严重，因为它可能导致整个帐户被黑客接管。”

现在许多开发人员已将sign in与apple集成在一起，因为这种方式可以帮助其他社交工具减少获客成本。

开发人员表示，尽管该漏洞存在于apple代码端，但是用户“使用apple登录”的服务和应用程序中并不受到影响，而且苹果公司现在已修复此漏洞。

雷锋网了解到，在发放奖金之后，苹果公司正在公司的服务器进行调查，从而确定过去因为该漏洞被影响和破坏的帐户。

需要注意的是，除了这次漏洞，本月早些时候德国达姆施塔特大学的研究人员检查了 magicpairing 协议中，还发现了ios、macos 和它们之间的十个公开漏洞，这些漏洞至今尚未得到解决。雷锋网