苹果公司授予漏洞赏金猎人10万美元

　　苹果公司授予漏洞赏金猎人10万美元，奖励他发现并报告可能导致第三方用户账户被接管的严重安全问题。
　　据《黑客新闻》报道，研究人员巴乌克·贾恩发现了＂用苹果登录＂功能的漏洞，这是一项允许用户使用苹果id登录服务的开发功能。
　　引入＂与苹果登录＂(Sign in with Apple)是为了提高隐私，并为使用苹果的ID和双因素认证流程的第三方网站和应用创建登录程序，同时保持跟踪。
　　然而，Jain找到了一种绕过认证机制、接管第三方用户帐户的方法，只要知道目标的电子邮件ID。
　　这位漏洞赏金猎人曾披露过Bumble、Zomato、Udemy和Verizon Media的漏洞，他表示，安全漏洞的存在是因为iPad和iPhone制造商处理客户端用户验证请求的方式。
　　另见:Forescout因COVID-19原因对Advent撤销合并计划提起诉讼
　　用户可以通过JSON Web令牌(JWT)或服务器生成的代码被苹果认证，Jain在一篇博客文章中解释道。
　　作为认证过程的一部分，用户可以选择是否与第三方共享他们的电子邮件ID。如果电子邮件ID被隐藏，苹果会生成一个包含该信息的JWT令牌，然后由第三方服务来认证用户。
　　然而，研究人员发现，苹果处理JWT请求的方式与用户在开始请求之前登录账户所提供的身份验证存在冲突。
　　＂我发现我可以向JWTs索要苹果的任何电子邮件ID，当这些令牌的签名通过苹果的公钥验证后，它们就显示是有效的，＂Jain说。＂这意味着，攻击者可以通过链接任何电子邮件ID，进入受害者的账户，从而伪造JWT。＂
　　缩放视频聊天的完全加密将不是一个免费的功能
　　这个被忽略的验证步骤意味着任何使用苹果登录的第三方服务都很容易被滥用，用户也可能会被绑定到他们苹果ID的第三方服务和应用程序账户劫持。
　　＂这个漏洞的影响是非常关键的，因为它可能会导致全面的账户接管，＂Jain告诉媒体。＂许多开发者已经将登录与苹果整合在一起，因为这是支持其他社交登录的应用程序的强制性要求。＂
　　在接受报告后，苹果公司对服务器日志进行了调查和检查，认为安全漏洞并没有被肆意利用。然而，也有人认为，该安全漏洞的范围可能也导致了iCloud账户数据的泄露。
　　社会工程:商业专业人士的备忘单
　　该漏洞是通过苹果的安全赏金计划报告的，并获得了10万美元的奖金。这个漏洞现在已经修补好了。
　　四月底，谷歌的Zero项目披露了苹果图像元数据处理框架的图像I/O漏洞。该团队在映像I/O中发现了6个错误，在开放源码EXR解析库OpenEXR中发现了8个错误，所有这些错误现在都已经解决了。