اهدای جایزه ۱۰۰ هزار دلاری به یک توسعه‌دهنده برای یافتن باگ سیستم ورود اپل

اپل به یک توسعه دهنده جایزه‌ای ۱۰۰هزار دلاری برای یافتن باگ در سیستم Sign in with Apple (ورود از طریق حساب کاربری اپل) پرداخت کرده است.

«Bhavuk Jain» که برنده جایزه است موفق به یافتن باگی شده که به هکرها اجازه در دست گرفتن حساب‌های کاربران از طریق اپلیکیشن‌ها یا وب‌سایت‌های واسط را می‌داده است. به گفته این توسعه‌دهنده اشکال مورد بحث مربوط به نحوه اعتبار سنجی اپل از کاربرانی بوده که از سیستم ورود از طریق حساب کاربری اپل استفاده می‌کنند.

سرویس ورود به حساب‌های کاربری در سال ۲۰۱۹ توسط اپل رونمایی شد و با این هدف طراحی شده بود که میزان ردیابی کاربران به واسطه ورود به سرویس‌هایی از جمله فیسبوک و گوگل را محدود کند. یکی از مهمترین مزایای این سرویس مخفی کردن ایمیل از دید اپلیکیشن‌های ثالث یا سرویس‌ها بود.

برای این که یک کاربر اجازه استفاده از این ویژگی را داشته باشد سیستم ورود اپل از یک کد تولید شده در سرورهای این شرکت به نام JWT (سرواژه JSON Web Token) بهره می‌برد. پس از این که اجازه ورود کاربر صادر می‌شد اپل این گزینه را در اختیار کاربر قرار می‌دهد که در مورد به اشتراک گذاشته شدن یا مخفی ماندن ایمیل در یک اپلیکیشن خاص تصمیم بگیرد. در صورتی که کاربر تصمیم به مخفی ماندن ایمیل بگیرد اپل یک ایمیل مخصوص به کاربر را برای این سرویس تولید می‌کند. پس از صدور مجوز، در نهایت اپل کد JWT حاوی یک آدرس ایمیل را تولید می‌کند که در دفعات بعد هم برای ورود به اپ‌های ثالث کاربرد خواهد داشت.

به گفته هکر نیوز و به نقل از گیزمودو باگی که کشف شده به درخواست‌های JWT  مرتبط بوده است. زمانی که امضای توکن‌ها توسط کلید عمومی اپل تایید شدند، معتبر در نظر گرفته می‌شوند. به همین دلیل یک هکر می تواند کد JWT را با هر آدرس ایمیل دلخواه مرتبط کند و در نهایت به حساب کاربری قربانی دسترسی یابد. به گفته توسعه‌دهنده به عبارت دیگر دلیل این امر این بود که اگرچه اپل قبل از آغاز درخواست مجوز از کاربران خواسته بود که به حساب کاربری اپل خود وارد شوند،‌ اما این موضوع را بررسی نمی‌کرد که آیا شخصی که درخواست JWT را داده همان فردی است که پیش از این اعتبار سنجی شده یا خیر.

این آسیب‌پذیری شامل اپلیکیشن‌های ثالثی بوده که راهکارهای امنیتی ویژه خود را پیاده‌سازی نکرده بودند. هکر نیوز همچنین اشاره کرده که حتی اگر کاربر گزینه مخفی کردن ایمیل اپل از دید سرویس‌های ثالث را انتخاب کرده بود هم هکرها امکان سوء استفاده از این آسیب پذیری را داشتند و علاوه بر این می‌توانستند با اپل آی‌دی قربانی اقدام به ثبت نام حساب جدید نمایند.

به گفته توسعه‌دهنده‌ای که این آسیب‌پذیری را کشف کرده اپلیکیشن‌های متعددی از جمله دراپ‌باکس،‌ اسپاتیفای،‌ ایر بی اند بی و گیفی از این روش بهره برده‌اند. البته احتمال آسیب‌پذیری آنها در برابر این باگ مشخص نیست و ممکن است در صورتی که فاقد اقدامات امنیتی اضافی باشند کاربران را در معرض از دست دادن حساب کاربری قرار داده باشند.

در حال حاضر اپل این آسیب‌پذیری را رفع و اعلام کرده که هیچ  سوء استفاده ای از این باگ صورت نگرفته است.