Apple награждает индийского разработчика за обнаружение ошибки нулевого дня

Сообщается, что индийский разработчик получил чек на 100 000 долларов от Apple за обнаружение ошибки в одном из своих продуктов. Сообщается, что 27-летний разработчик по имени Бхавук Джайн обнаружил ошибку в Apple”Войти с помощью Apple” система.

Джайн сказал, что обнаружил ошибку нулевого дня при входе с помощью Apple система, которая может позволить хакерам получить доступ к учетной записи пользователя при входе в систему. Apple признал наличие критической ошибки безопасности, компания также, как сообщается, исправила ошибку и также обнаружила в ходе своего расследования, что ошибка не использовалась.

«Я обнаружил, что могу запросить JWT для любого идентификатора электронной почты из Apple и когда подпись этих токенов была проверена с помощью Appleоткрытый ключ, они были показаны как действительные. Это означает, что злоумышленник может подделать JWT, связав с ним любой идентификатор электронной почты и получив доступ к учетной записи жертвы », – сказал Джейн.

Войти в систему с Apple является Appleпредлагает разработчикам без особых усилий создавать более легкую, простую и безопасную систему входа в систему. Разработчики могут добавить «Войти через Apple»В свои приложения или на веб-платформы, такие как веб-сайты и веб-приложения.

Apple представил “Войти с помощью Apple’в июне прошлого года и сказал, что пользователи могут также отказаться от предоставления фактического идентификатора электронной почты, а позволить Apple поделитесь временным идентификатором электронной почты. AppleРеализация системы безопасного входа в систему на данный момент является лучшей в отрасли.

Однако в своем объяснении Джайн сказал, что AppleСистема входа в систему генерирует JSON Web Token (JWT), который содержит некоторую информацию о пользователе и отправляется в приложение или веб-сайт, в который пользователь пытается войти.

По словам Джейна, обнаруженная им ошибка нулевого дня раскрывает информацию о пользователе из веб-токена JSON. Apple сообщил, что проблема теперь решена и Джайн щедро вознагражден.