O melhor pedaço da Maçã.

Desenvolvedor recebe US$100 mil por descobrir bug no “Iniciar sessão com a Apple”

Falha abria uma porta para a invasão de qualquer conta

Quando a gigante de Cupertino anunciou o recurso “Iniciar sessão com a Apple” (“Sign in with Apple”), no ano passado, a empresa chamou a novidade de “uma maneira mais simples e privativa de acessar rapidamente aplicativos e sites”. A ideia é interessante: substituir os logins comuns que podem ser usados para coletar dados pessoais por um sistema de autenticação seguro que não fornece informações pessoais a terceiros.

Publicidade
"Iniciar sessão com a Apple"

Entretanto, como qualquer outro sistema, o recurso da Maçã pode ter alguns buracos; de fato, o desenvolvedor e pesquisador de segurança Bhavuk Jain descobriu, em abril passado, uma vulnerabilidade zero-day no “Iniciar sessão com a Apple” que poderia ter resultado na invasão de basicamente qualquer conta — se a Maçã já não tivesse resolvido isso, claro.

Segundo ele, a falha comprometia, especificamente, apps de terceiros que usavam o recurso de login da Apple e não implementavam medidas de segurança adicionais. É importante destacar que o desenvolvedor só veio a público após informar à Apple sobre o bug e ela ter lançado uma correção para o problema (bem como ter pago uma boa grana pela descoberta).

De volta ao bug: Jain descreve que o “Iniciar sessão com a Apple” faz a autenticação de um login por meio de um JWT1JSON Web Token., um tipo de código gerado pelo servidor da Apple. Além disso, a empresa oferece a opção de compartilhar o email vinculado ao seu ID Apple ou um endereço de retransmissão privado — ambos, porém, requisitam a autenticação pelo JWT.

O desenvolvedor descobriu então que, uma vez que os JWTs eram solicitados para os IDs Apple (ou de retransmissão privada), a assinatura do token era feita usando uma chave pública. Caso o bug não fosse descoberto, um JWT poderia ser criado e usado para obter acesso à conta.

Publicidade

O impacto dessa vulnerabilidade era bastante crítico, pois poderia ter permitido uma invasão completa da conta. Muitos desenvolvedores integraram o “Iniciar sessão com a Apple”, pois é obrigatório para aplicativos que oferecem suporte a outros logins sociais.

Resumo da ópera: Jain disse que a Apple conduziu uma investigação e concluiu que nenhuma conta foi comprometida pelo bug. Pela descoberta, o desenvolvedor recebeu US$100.000 do Apple Security Bounty (programa de recompensa da companhia). Nada mau, hein?

via Hacker News

Notas de rodapé

  • 1
    JSON Web Token.

Ver comentários do post

Compartilhe este artigo
URL compartilhável
Post Ant.

Leaker diz que o “Apple Watch Series 6” não terá display de microLED

Próx. Post

★ MobileTrans facilita toda a migração do Android pro iPhone (ou ao contrário)

Posts Relacionados