苹果（ Sign in with Apple）漏洞未经授权访问链接服务

本篇文章640字，读完约2分钟

“登录苹果”是苹果去年在wwdc推出的一项登录服务。用户不需要填写繁琐的账号和密码，只需点击此选项，系统就可以自动识别和验证您的个人身份，并通过匿名邮件服务注册您的账号。

具体来说，用户通过jwt(json网络令牌)或苹果服务器生成的代码进行认证。苹果为用户提供了共享电子邮件或绑定到其苹果id的私人中继电子邮件地址的选项，这将为登录用户创建jwt。一旦用户向jwt请求苹果id电子邮件和专用中继电子邮件地址，并用苹果的公钥验证令牌的签名，它将显示为有效。如果没有发现错误，您可以创建一个jwt并使用它来访问一个人的帐户。

最近，研究员bhavuk jain发现，苹果登录苹果的漏洞可以访问链接的第三方服务的用户帐户。

值得一提的是，这个漏洞是专门针对第三方应用程序的，这些应用程序使用apple的登录功能，并且不实施其他安全措施。由于苹果的审计机制，开发者通常会将苹果登录整合到社交应用中。例如:dropbox、spotify、airbnb、giphy(现已被facebook收购)。

由于该安全漏洞将导致用户个人账户的隐私数据以及被黑客攻击和窃取的高风险，在bhavuk jain回到苹果安全团队后，苹果确认了该漏洞并给予10万美元的奖励；与此同时，该公司还发起了一项调查，并回应称，已知存在于“登录苹果”中的漏洞已经修复；此外，在修复此漏洞之前，没有发现苹果id帐户被黑客入侵和窃取。此外，在此之前，一些使用苹果登录的应用程序和服务可以通过启用双重身份验证来防止此漏洞。

来源：搜狐微门户