Tìm ra lỗ hổng bảo mật của Sign in with Apple, hacker Ấn Độ được thưởng 100 nghìn USD

Bhavuk Jain, một hacker 27 tuổi đến từ Delhi, Ấn Độ vừa tìm ra và thông báo cho Apple một lỗ hổng zero-day liên quan đến tính năng đăng nhập bảo mật Sign in with Apple trên các thiết bị của hãng này, cho phép hacker có thể đánh cắp thông tin tài khoản của người dùng thông qua việc đăng nhập vào một ứng dụng hoặc dịch vụ trực tuyến bằng Sign in with Apple.

Với phát hiện này, Jain được Apple thưởng 100.000 USD. Nhưng anh vẫn có bài viết giải thích cách lỗ hổng này hoạt động.

Theo Jain, Sign in with Apple hoạt động tương tự như Oauth 2.0. Có hai cách để xác nhận người dùng đăng nhập. Một là dùng JWT (JSON Web Token) hoặc một đoạn code gửi về từ máy chủ của Apple. Đoạn code này được dùng để tạo ra token JWT như sơ đồ dưới đây mà hacker Ấn Độ mô tả:



Bước thứ hai, khi xác nhận tài khoản, Apple sẽ cho người dùng tùy chọn chia sẻ ID Apple email với ứng dụng bên thứ ba. Nếu người dùng quyết định không cho bên thứ ba biết địa chỉ Apple Email, Apple sẽ tự tạo ra Email ID private relay tạm thời gán cho tài khoản đó. Tùy vào lựa chọn của anh em khi đăng nhập, sau khi xác nhận tài khoản thành công, Apple sẽ tạo ra một token JWT chứa Email ID để ứng dụng và trang web bên thứ 3 đăng nhập. Trông một JWT từ Apple trông sẽ như thế này:

​

Đến bước này thì lỗ hổng bảo mật được phát hiện. Jain phát hiện ra anh có thể xin token JWT cho bất kỳ Email ID nào của Apple, và khi chữ ký của những token này được Apple xác nhận, chúng sẽ được coi là token chính chủ cho phép đăng nhập dịch vụ. Điều này đồng nghĩa, hacker có thể làm giả một token JWT bằng bất kỳ Apple Email ID nào để chiếm quyền kiểm soát tài khoản Apple của một người dùng nào đó:

​

Jain cho biết, tác động của lỗ hổng này tương đối nghiêm trọng vì như đã nói, nó có thể giúp hacker chiếm hoàn toàn quyền kiểm soát một tài khoản Apple. Về phần Apple, họ cũng đã điều tra và chưa phát hiện ra vụ việc nào nơi lỗ hổng này bị lợi dụng.

Theo Bhavuk Jain​

---

Khóa học Hacker và Marketing từ A-Z trên ZALO!

Nhấn vào đây để bắt đầu khóa học

Khóa học Hacker và Marketing từ A-Z trên Facebook!

Nhấn vào đây để bắt đầu khóa học

Khóa đào tạo Power BI phân tích báo cáo để bán hàng thành công

Nhấn vào đây để bắt đầu khóa học

Bảo mật và tấn công Website - Hacker mũ trắng

Nhấn vào đây để bắt đầu khóa học ​

KHÓA HỌC LẬP TRÌNH PYTHON TỪ CƠ BẢN ĐẾN CHUYÊN NGHIỆP

Nhấn vào đây để bắt đầu khóa học

Nhấn vào đây để bắt đầu khóa học

Khóa học Lập trình Visual Foxpro 9 - Dành cho nhà quản lý và kế toán

Nhấn vào đây để bắt đầu khóa học

Khóa học hướng dẫn về Moodle chuyên nghiệp và hay

Xây dựng hệ thống đào tạo trực tuyến chuyên nghiệp tốt nhất hiện nay.

Nhấn vào đây để bắt đầu khóa học

KHÓA EXCEL CHUYÊN NGHIỆP

Nhấn vào đây để bắt đầu khóa học

Khóa học AutoIt dành cho dân IT và Marketing chuyên nghiệp

Nhấn vào đây để bắt đầu khóa học

Khoá học Word từ cơ bản tới nâng cao, học nhanh, hiểu sâu

Nhấn vào đây để bắt đầu khóa học

Khóa học hướng dẫn sử dụng Powerpoint từ đơn giản đến phức tạp HIỆU QUẢ

Nhấn vào đây để bắt đầu khóa học

Khóa học Thiết kế, quản lý dữ liệu dự án chuyên nghiệp cho doanh nghiệp bằng Bizagi

Khóa học Phân tích dữ liệu sử dụng Power Query trong Excel

Nhấn vào đây để bắt đầu khóa học

Khóa học Phân tích dữ liệu sử dụng TableAU - Chìa khóa thành công!

Nhấn vào đây để bắt đầu khóa học

Khóa học Phân tích dữ liệu sử dụng SPSS - Chìa khóa thành công!

Nhấn vào đây để bắt đầu khóa học

Khóa học "Thiết kế bài giảng điện tử", Video, hoạt hình 

kiếm tiền Youtube bằng phần mềm Camtasia Studio

Nhấn vào đây để bắt đầu khóa học

Khóa học HƯỚNG DẪN THIẾT KẾ VIDEO CLIP CHO DÂN MARKETING CHUYÊN NGHIỆP

​​​​​

HƯỚNG DẪN THIẾT KẾ QUẢNG CÁO VÀ ĐỒ HỌA CHUYÊN NGHIỆP VỚI CANVA

Hãy tham gia khóa học để trở thành người chuyên nghiệp. Tuyệt HAY!😲👍

 KHÓA HỌC VIDEO- XÂY DỰNG PHẦN MỀM QUẢN LÝ BẰNG MICROSOFT ACCESS

GOOGLE SPREADSHEETS phê không tưởng

Khóa hoc lập trình bằng Python tại đây

Hãy tham gia khóa học để biết mọi thứ

Để tham gia tất cả các bài học, Bạn nhấn vào đây 

Nhấn vào đây để bắt đầu học

Khóa học sử dụng Adobe Presenter-Tạo bài giảng điện tử

Khóa học vẽ tạo giao diện demo cho website

Để thành thạo Wordpress bạn hãy tham gia khóa học 

Tham gia khóa học tại đây

Khóa học sử dụng Edmodo để dạy và học hiện đại để thành công

Nhấn vào đây để bắt đầu khóa học

Cập nhật công nghệ từ Youtube tại link: congnghe.hocviendaotao.com
Tham gia nhóm Facebook
Để tham gia khóa học công nghệ truy cập link: http://thuvien.hocviendaotao.com
Mọi hỗ trợ về công nghệ email: dinhanhtuan68@gmail.com