Phát hiện lỗ hổng nghiêm trọng liên quan tới tính năng Sign in with Apple

TH| 01/06/2020 14:33
Theo dõi ICTVietnam trên

Mới đây, Apple đã trả cho nhà nghiên cứu lỗ hổng Ấn Độ Bhavuk Jain khoản tiền thưởng trị giá 100.000 USD do phát hiện ra một lỗ hổng nghiêm trọng liên quan đến tính năng đăng nhập bảo mật "Sign in with Apple" trên các thiết bị của hãng này.

Lỗ hổng cho phép kẻ tấn công từ xa có thể bỏ qua xác thực và đánh cắp tài khoản của người dùng thông qua việc đăng nhập vào các ứng dụng hoặc dịch vụ của bên thứ ba bằng tính năng "Sign in with Apple".

Ra mắt tại hội nghị các nhà phát triển toàn thế giới (WWDC) năm ngoái của Apple, tính năng "Sign in with Apple" giúp người dùng tạo tài khoản cho ứng dụng cũng như các website của bên thứ ba bằng cách sử dụng Apple ID thay vì việc phải cung cấp các thông tin cá nhân. Do không cần địa chỉ email thực tế của người dùng, nên tính năng này được coi là một cơ chế đăng nhập giúp bảo vệ quyền riêng tư hơn.

Trong một cuộc phỏng vấn với The Hacker News, Bhavuk Jain tiết lộ rằng lỗ hổng mà anh phát hiện ra nằm ở cách Apple xác thực người dùng ở phía máy khách (client) trước khi khởi tạo yêu cầu từ các máy chủ xác thực của Apple.

Để xác thực người dùng thông qua tính năng "Sign in with Apple", đầu tiên máy chủ sẽ tạo JWT (JSON Web Token) chứa thông tin bí mật mà ứng dụng bên thứ ba sử dụng để xác nhận danh tính của người dùng đăng nhập. Cách tạo và xác thực JWT như sơ đồ dưới đây:

Phát hiện lỗ hổng nghiêm trọng liên quan tới tính năng Sign in with Apple - Ảnh 1.

Khi xác nhận tài khoản, Apple sẽ cung cấp cho người dùng tùy chọn chia sẻ ID Apple với ứng dụng bên thứ ba hoặc không. Nếu chọn không cho phép chia sẻ, Apple sẽ tự tạo ra Email ID tạm thời gán cho tài khoản đó. Sau khi xác nhận tài khoản thành công, Apple sẽ tạo ra một token JWT chứa Email ID để ứng dụng và trang web bên thứ ba đăng nhập.

Đến bước này thì lỗ hổng bảo mật được phát hiện. Jain cho biết có thể yêu cầu token JWT cho bất kỳ Email ID nào của Apple. Điều này đồng nghĩa với việc tin tặc có thể làm giả một token JWT bằng bất kỳ Apple Email ID nào để chiếm quyền kiểm soát tài khoản Apple của người dùng.

Bhavuk cho hay: "Tôi nhận thấy có thể yêu cầu JWT cho bất kỳ ID Email nào từ Apple và khi các mã xác nhận này được xác minh bằng khóa chung của Apple, chúng được coi là hợp lệ. Điều này có nghĩa là kẻ tấn công có thể giả mạo JWT bằng cách liên kết bất kỳ ID email nào và có quyền truy cập vào tài khoản của nạn nhân".

Bhavuk Jain cũng cho biết thêm lỗ hổng này tương đối nghiêm trọng vì có thể giúp tin tặc chiếm hoàn toàn quyền kiểm soát một tài khoản Apple. Ông đã báo cáo vấn đề với nhóm bảo mật Apple vào tháng trước. Hiện công ty đã vá lỗ hổng này. Về phần mình, Apple cũng đã tiến hành điều tra và chưa phát hiện ra vụ việc nào khai thác lỗ hổng này.

Nổi bật Tạp chí Thông tin & Truyền thông
  • Xuất bản Việt Nam cần đẩy mạnh ứng dụng khoa học công nghệ để sớm trở thành công nghiệp xuất bản
    Ngành xuất bản Việt Nam đang trải qua quá trình chuyển đổi mạnh mẽ để thích ứng với sự phát triển của khoa học công nghệ. Trong bối cảnh toàn cầu hóa và cuộc Cách mạng công nghiệp 4.0, việc ứng dụng công nghệ hiện đại không chỉ là xu hướng mà còn là yêu cầu cấp thiết giúp ngành xuất bản phát triển bền vững và tiệm cận với mô hình công nghiệp xuất bản hiện đại.
  • Báo chí trong bối cảnh bùng nổ mạng xã hội và chuyển đổi số
    Báo chí là một trong những loại hình phương tiện truyền thông đại chúng hiện đại. Các tác phẩm, sản phẩm báo chí luôn phải mang đến công chúng những giá trị thông tin thời sự, chân thật, khách quan về các sự kiện, vấn đề diễn ra trong đời sống xã hội. Dù trong bối cảnh phát triển nào thì các loại hình báo chí vẫn đóng vai trò quan trọng là phương tiện truyền thông chủ lực, thiết yếu dẫn dắt, định hướng dư luận xã hội.
  • Duy trì cam kết với cổ đông, VPBank năm thứ 3 liên tiếp trả cổ tức tiền mặt
    Năm thứ 3 liên tiếp, VPBank dự kiến duy trì chính sách cổ tức tiền mặt, thể hiện năng lực tài chính vững mạnh, chiến lược tăng trưởng hợp lý và cam kết mang lại lợi ích lớn nhất cho cổ đông.
  • Cảnh báo lợi dụng hình thức "xe ôm công nghệ" để lừa đảo
    Công an thành phố Hà Nội cho biết thời gian qua, Phòng An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Công an thành phố đã xử lý nhiều vụ việc liên quan đến hành vi chiếm đoạt tài sản của khách hàng do các đối tác tài xế xe công nghệ thực hiện.
  • Chuyển đổi số - liều vắc-xin hiệu quả
    Trong thời cách mạng công nghiệp 4.0, chuyển đổi số được kỳ vọng là chiếc "đũa thần" giải quyết bài toán tăng trưởng chậm và năng suất thấp. Ở nhiều quốc gia, đó cũng là công cụ quan trọng để xử lý tình trạng lãng phí nguồn lực - căn bệnh kinh niên của khu vực công.
Đừng bỏ lỡ
Phát hiện lỗ hổng nghiêm trọng liên quan tới tính năng Sign in with Apple
POWERED BY ONECMS - A PRODUCT OF NEKO