Apple a récompensé un chercheur de 100 000 $ pour la découverte d’un bogue «Connectez-vous avec Apple»

Des chercheurs en cybersécurité ont découvert la vulnérabilité «Se connecter avec Apple» et expliqué que la nouvelle fonctionnalité de confidentialité d’Apple est utilisée par les applications de tiers comme mécanisme de connexion, mais ce mécanisme est défectueux de sorte qu’il était possible pour un attaquant de pirater les comptes d’utilisateurs avec des propriétés Web. qui s’appuyait sur «Se connecter avec Apple». Le chercheur Bhabuk Jain a obtenu un Bug Bounty de 100 000 $ après avoir découvert les failles de la technologie d’authentification d’Apple.

 Selon eux, la vulnérabilité du mécanisme d’authentification Web pourrait devoir prendre le contrôle intégral du compte s’il n’y avait pas d’autres mesures de sécurité en place lors de la vérification des utilisateurs. En fait, la fonctionnalité «Se connecter avec Apple» a été introduite pour permettre aux utilisateurs de se connecter aux services avec leur identifiant Apple, par opposition à un identifiant de messagerie et un mot de passe. Cette fonctionnalité permet aux utilisateurs de se connecter aux services en ligne sans révéler vos informations de compte Twitter, Facebook ou Google. Sinon, cela pourrait sembler malveillant pour certains.

D’un autre côté, Apple a été promis que les utilisateurs non autorisés ne pourraient pas suivre les applications et les sites Web auxquels vous vous connectez et uniquement pour conserver les informations nécessaires à votre connexion. Cette fonctionnalité ne vous suivra pas ou ne vous profilera pas lorsque vous utilisez vos applications et sites Web préférés. . Apple ne conserve que les informations nécessaires pour vous connecter et gérer votre compte.

Le chercheur en sécurité Jain a expliqué que la vulnérabilité de la fonctionnalité «Se connecter avec Apple» permettait une prise de contrôle complète des utilisateurs sur l’application de ces tiers en utilisant n’importe quel identifiant Apple. Le jeton d’authentification (jeton JWT) généré par le serveur Apple lors de la connexion au service est lié à l’ID Apple des utilisateurs, que la personne utilisant le jeton d’authentification ou non, le flux de travail réel impliqué dans la connexion des utilisateurs aux services ne soit pas vérifiée.

Les chercheurs ont en outre expliqué que les attaquants pouvaient forger JWT en reliant tout identifiant Apple qui pourrait leur permettre d’accéder aux comptes des victimes. Une fois que les attaquants ont eu accès au compte des victimes, ils peuvent compromettre plusieurs comptes et entraîner également la divulgation des données. Si vous avez des suggestions ou des questions, veuillez écrire dans la boîte de commentaires ci-dessous.