Apple résout la vulnérabilité de son système de connexion tiers

Depuis qu’Apple a lancé son nouveau système de connexion pour les applications et services tiers en octobre dernier, de nombreuses applications iOS et iPadOS ont adopté ce système comme alternative à la connexion via des comptes de réseaux sociaux ou des adresses e-mail. e-mail, y compris les applications qui traitent de grandes quantités de données sensibles.

Et bien que le nouveau système de connexion se concentre sur la confidentialité et la sécurité, ce système présentait une vulnérabilité, enfin corrigée, qui aurait permis le détournement complet des comptes d’utilisateurs via ces applications. Ils n’ont pas eu d’autres mesures de sécurité, malgré le fait que les victimes puissent ou non avoir un identifiant Apple valide, selon Bhavuk Jain, développeur de logiciels, dimanche dernier.

Jain a participé a trouvé cette vulnérabilité de type zéro en avril dernier, soulignant qu’en pratique elle n’a pas été exploitée. Une fois la vulnérabilité découverte, Jaun a profité du programme de récompenses Apple par lequel il a divulgué tous les détails en privé à l’entreprise et, grâce à sa contribution, il a obtenu une récompense d’environ 100 000 dollars.

Une fois la vulnérabilité résolue, Jain a publié les détails de la vulnérabilité. Comme décrit:

J’ai découvert que je pouvais demander JWT pour n’importe quel identifiant de messagerie Apple et lorsque ces jetons étaient vérifiés à l’aide de la clé publique d’Apple, ils étaient affichés comme valides

Gardez à l’esprit que le système de connexion Apple fonctionne de manière similaire à la norme OAuth 2.0, générant un code JSON Web Token (JWT) dans le cas où les utilisateurs souhaitent garder leur identifiant de messagerie caché, générant un identifiant aléatoire et spécifique à eux.

Selon le développeur:

Cela signifie qu’un attaquant pourrait usurper un JWT en liant n’importe quel identifiant de messagerie et en accédant au compte de la victime

Heureusement, les utilisateurs peuvent désormais utiliser en toute sécurité le système de connexion d’Apple.