Apple belohnte den Forscher mit 100.000 US-Dollar für die Fehlererkennung „Mit Apple anmelden“

Cyber-Sicherheitsforscher haben die Sicherheitsanfälligkeit “Mit Apple anmelden” entdeckt und erklärt, dass die neue Datenschutzfunktion von Apple von Anwendungen Dritter als Anmeldemechanismus verwendet wird. Dieser Mechanismus ist jedoch so fehlerhaft, dass ein Angreifer Benutzerkonten mit Web-Eigenschaften entführen konnte das beruhte auf “Mit Apple anmelden”. Der Forscher Bhabuk Jain hat eine Bug Bounty in Höhe von 100.000 US-Dollar erhalten, nachdem er die Mängel in der Authentifizierungstechnologie von Apple aufgedeckt hat.

 Demnach muss die Sicherheitsanfälligkeit im Webauthentifizierungsmechanismus möglicherweise vollständig übernommen werden, wenn bei der Überprüfung eines Benutzers keine anderen Sicherheitsmaßnahmen getroffen wurden. Tatsächlich wurde die Funktion “Mit Apple anmelden” eingeführt, mit der sich Benutzer mit ihrer Apple-ID bei Diensten anmelden können, im Gegensatz zu einer E-Mail-ID und einem Kennwort. Mit dieser Funktion können sich Benutzer bei Onlinediensten anmelden, ohne Ihre Twitter-, Facebook- oder Google-Kontoinformationen preiszugeben. Andernfalls könnte es sich für einige bösartig anfühlen.

Auf der anderen Seite wurde Apple versprochen, dass nicht autorisierte Benutzer die Apps und Webstis, bei denen Sie angemeldet sind, nicht nachverfolgen können, nur um die für die Anmeldung erforderlichen Informationen zu speichern. Diese Funktion erfasst oder profiliert Sie nicht, wenn Sie Ihre bevorzugten Apps und Websites verwenden . Apple speichert nur die Informationen, die erforderlich sind, damit Sie sich anmelden und Ihr Konto verwalten können.

Der Sicherheitsforscher Jain erklärte, dass die Sicherheitsanfälligkeit in der Funktion “Mit Apple anmelden” eine vollständige Übernahme von Benutzern in der Anwendung dieses Drittanbieters unter Verwendung einer beliebigen Apple-ID ermöglichte. Das Authentifizierungstoken (JWT-Token), das vom Apple-Server beim Singen in den Dienst generiert wird, ist an die Apple-ID des Benutzers gebunden. Unabhängig davon, ob die Person das Authentifizierungstoken verwendet oder nicht, wird der tatsächliche Workflow für die Anmeldung der Benutzer bei Diensten nicht überprüft.

Die Forscher erklärten weiter, dass die Angreifer JWT fälschen könnten, indem sie eine Apple-ID verknüpfen, die ihnen den Zugriff auf die Konten der Opfer ermöglichen könnte. Sobald die Angreifer Zugriff auf das Konto des Opfers erhalten haben, können sie mehrere Konten kompromittieren und auch Daten offenlegen. Wenn Sie Vorschläge oder Fragen haben, schreiben Sie bitte in das Kommentarfeld unten.