Эксперт обнаружил уязвимость при входе на сайты через учетную запись Apple
Уязвимость при входе на сайты с использованием учетной записи Apple обнаружил 27-летний специалист по сетевой и мобильной безопасности Бхавук Джайн, о чем он 30 мая сообщил на своей личной странице в интернет.
Речь идет о предлагаемой Apple функции «Вход с Apple», которая позволяет не заводить отдельные пароли для поддерживающих данную функцию приложений или сайтов, а входить в свой аккаунт на них с помощью учетной записи Apple. Фирма рекламирует этот способ как «быстрый, простой и более безопасный способ входа в программы и на веб-сайты с помощью уже имеющегося идентификатора Apple ID».
«Что, если я скажу, что ваш идентификатор вашей электронной почты — это все, что мне нужно, чтобы захватить ваш аккаунт на вашем любимом веб-сайте или приложении? Звучит страшно, да? Это мне позволяла сделать ошибка во „Входе с Apple“», — написал Бхавук Джайн.
Эксперт объяснил, что при обмене данными с приложением, не имеющем дополнительной собственной защиты, злоумышленник мог подменить идентификатор электронной почты Apple, при этом из-за ошибки приложение принимало этот идентификатор за настоящий и давало злоумышленнику доступ к аккаунту пользователя. По словам эксперта, при этом вообще не имело значения, есть ли у вас в принципе действительный идентификатор Apple или его нет.
Обнаружив уязвимость еще в апреле, Бхавук Джайн обратился в Apple. Он отметил, что за ее обнаружение корпорация заплатила ему $100 000 в рамках программы поиска уязвимостей Apple Security Bounty.
Эксперт также сообщил, что по словам специалистов Apple, при анализе журналов безопасности не было обнаружено признаков того, чтобы кто-то реально воспользовался этой уязвимостью для доступа к чужим данным.
