Se connecter avec une faille Apple a permis un accès non autorisé aux services liés, maintenant corrigé

Se connecter avec une faille Apple a permis un accès non autorisé aux services liés, maintenant corrigé

Une vulnérabilité désormais corrigée dans Se connecter avec Apple permet aux attaquants d'accéder aux comptes d'utilisateurs des services tiers liés. La faille a été découverte par le chercheur Bhavuk Jain, qui a signalé le problème à Apple via le programme de primes aux bogues de la société.

Comme détaillé par The Hacker News, la vulnérabilité reposait sur la façon dont Apple a validé les utilisateurs «côté client avant de lancer une demande auprès des services d'authentification d'Apple». Le processus d'authentification Se connecter avec Apple consiste à ce que le serveur génère un jeton Web JSON, que l'application tierce utilise pour confirmer l'indemnité de l'utilisateur.

La vulnérabilité a forgé un jeton et a trompé le processus d'authentification d'Apple:

Bhavuk a constaté que bien qu'Apple demande aux utilisateurs de se connecter à leur compte Apple avant de lancer la demande, il ne validait pas si la même personne demandait le jeton Web JSON (JWT) à l'étape suivante à partir de son serveur d'authentification.

Par conséquent, la validation manquante dans cette partie du mécanisme aurait pu permettre à un attaquant de fournir un identifiant Apple distinct appartenant à une victime, incitant les serveurs Apple à générer une charge utile JWT qui était valide pour se connecter à un service tiers avec l'identité de la victime .

L'impact de la vulnérabilité aurait pu permettre la prise en charge de comptes de services tiers utilisant Connexion avec Apple, à moins que l'application tierce n'ait mis en place d'autres mesures de sécurité lors de la vérification des utilisateurs.

«L'impact de cette vulnérabilité a été assez critique car il aurait pu permettre une prise de contrôle complète du compte. De nombreux développeurs ont intégré la connexion à Apple, car elle est obligatoire pour les applications qui prennent en charge d'autres connexions sociales. Pour en nommer quelques-uns qui utilisent Se connecter avec Apple – Dropbox, Spotify, Airbnb, Giphy (maintenant acquis par Facebook) », a écrit Jain.

Après que Jain ait signalé la faille, Apple a résolu le problème et payé 100 000 $ au chercheur conformément à son programme de primes de bogues. Apple dit qu'il a enquêté sur les journaux du serveur et n'a trouvé aucune preuve que la vulnérabilité a été exploitée à l'état sauvage.

Ce qui est important à clarifier ici, c'est que la vulnérabilité ne permettait pas d'accéder au compte Apple concerné. Cela aurait permis une prise de contrôle du service tiers auquel un utilisateur a accédé en se connectant à l'aide de Se connecter avec Apple. Vous pouvez lire le rapport complet détaillant la vulnérabilité sur le blog de Jain.

Apple a fait ses débuts Connectez-vous avec Apple à la WWDC l'année dernière. Il permet aux utilisateurs de se connecter à des services tiers à l'aide de leur identifiant Apple et de s'authentifier avec des données biométriques comme Face ID et Touch ID. L'un des plus grands avantages de la plate-forme est une fonctionnalité qui permet aux utilisateurs de masquer leur adresse e-mail des services tiers.

FTC: Nous utilisons des liens d'affiliation auto générateurs de revenus. Plus.


Consultez 9to5Mac sur YouTube pour plus d'informations sur Apple:

No Comment

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *

Articles récents