找回密码
 加入会员

Sign in with Apple被爆高危漏洞:可远程劫持任意用户帐号

Firefox 76.0 macOS 10.15
通过“Sign in with Apple”验证用户的时候,服务器会包含秘密信息的JSON Web Token(JWT),第三方应用会使用JWT来确认登录用户的身份。Bhavuk发现,虽然苹果公司在发起请求之前要求用户先登录到自己的苹果账户,但在下一步的验证服务器上,它并没有验证是否是同一个人在请求JSON Web Token(JWT)。


因此,该部分机制中缺失的验证可能允许攻击者提供一个属于受害者的单独的苹果ID,欺骗苹果服务器生成JWT有效的有效载荷,以受害者的身份登录到第三方服务中。Bhavuk表示:“我发现我可以向苹果公司的任何Email ID请求JWT,当这些令牌的签名用苹果公司的公钥进行验证时,显示为有效。这意味着,攻击者可以通过链接任何Email ID来伪造JWT,并获得对受害者账户的访问权限。”





这么低端的错误,稍微像样点儿的公司都犯不出来,总结起来一句话:

What happens on your iPhone, stays on your iPhone.


DwGoq2uV4AA_Aov.jpg-large.jpeg




20-5-31 17:00:19
sohot16 ( ☆☆☆☆☆ ) ( 赞 119 )

Chrome 83.0.4103.61
目测这种新闻应该会越来越多 越来越频繁 拭目以待 。
20-5-31 19:03:43
zengerzen ( ☆☆☆☆☆ ) ( 赞 263 )

Safari 13.1 macOS 10.15.4
最安全,最环保,最隐私。。。
20-6-1 00:09:20 发自iPhone客户端
littletea ( ☆☆☆☆☆ ) ( 赞 57 )

? iPhone 11 Pro
疑问是,攻击者怎样可以伪造这个包含了用户认证信息的JWT?

 

您需要登录后才可以回帖 登录 | 加入会员

联系我们|急聘英才|移动版|站点地图|iPhone 客户端|保修查询|排行榜|Mac软件宝箱|麦克叉 ( 京ICP证110625号,京ICP备18054784号,公安部备案 11010802033015 )

Since Feb-16-2005

回顶部