Хакер обнаружил уязвимость при использовании Apple ID и получил $100 000

Ключ, который генерировался для аутентификации пользователя, было возможно подделать.

В новой системе авторизации "Вход с Apple" (Sign In With Apple) была обнаружена уязвимость, которая позволяла злоумышленникам получить доступ к аккаунтам владельцев устройств Apple. Об этом сообщает Forbes.

Уязвимость обнаружил в апреле специалист по кибербезопасности из Дели Бхавук Джайн. Он получил от Apple вознаграждение в $100 000. В компании утверждают, что провели внутреннее расследование и не зафиксировали случаев взлома. Уязвимость уже устранили.

Функция "Вход с Apple" была запущена в прошлом году. В процессе аутентификации пользователя через Apple ID сервер генерирует ключ JSON Web Token (JWT). Он содержит конфиденциальную информацию, которую стороннее приложение использует для подтверждения личности пользователя. Джайн обнаружил, что злоумышленник мог подделать JWT, связав с ним любой идентификатор электронной почты и получив доступ к учетной записи жертвы.

ЛIГАБiзнесIнформ