首页 > 动态 > 关键词  > 苹果漏洞最新资讯  > 正文

苹果( Sign in with Apple)漏洞未经授权访问链接服务

2020-06-01 14:02 · 稿源: TechWeb.com.cn

"Apple登录(Sign in with Apple)"是苹果公司在去年WWDC推出的一项登录服务,用户不需要再繁琐地填入账号和密码,而只需要点击这个选项,系统便可以自动识别并认证你的个人身份,并通过匿名邮件服务为你注册账号。

具体的是通过JWT(JSON Web令牌)或苹果服务器生成的代码对用户进行身份验证的。苹果提供给用户选择共享与他们的Apple ID绑定的电子邮件或私有中继电子邮件地址的选项,这将创建用于登录用户的JWT。一旦用户请求了用于Apple ID电子邮件和专用中继电子邮件地址的JWT,并且使用苹果的公钥验证了令牌的签名,它就会”显示为有效”。 如果尚未发现该错误,则可以创建一个JWT并将其用于访问一个人的帐户。

近日,研究者Bhavuk Jain发现“Apple登录(Sign in with Apple)”功能的漏洞可以访问链接的第三方服务上的用户帐户.

值得一提的是,这个Bug特定于使用“Apple登录(Sign in with Apple)”功能且未实施其它安全措施的第三方应用。由于Apple审核机制,在社交应用中,开发人员通常会将“Apple登录”集成在一起。比如:Dropbox,Spotify,Airbnb,Giphy(现已被Facebook收购).

由于该安全漏洞将导致用户个人账号隐私数据,恐遭黑客入侵窃取的高度风险,经Bhavuk Jain回报给苹果安全团队后,苹果确认了该漏洞并给予了 10 万美元的奖励;同时也展开调查并响应表示,目前这个已知存在于"Sign In with Apple"的漏洞已获得修补;此外在修补该项漏洞之前,并未发现有任何Apple ID账号曾遭黑客入侵盗用.另外,在此之前,一些使用了Sign in with Apple的应用以及服务,启用双重认证也可以预防这个漏洞。

举报

  • 相关推荐
  • 苹果用户最好购车选择!小米YU7深度兼容:iPhone、Apple Watch都能控车

    小米YU7已开启交付,首批车主都已经提车回家了。 今天小米汽车官方介绍,YU7延续了SU7的设计理念,充分针对苹果用户优化用车体验,打造让苹果用户也能轻松上手的车型。 首先是iPhone控车更加便捷高效: 支持UWB近场控车与iOS小组件远程控车,比如携带激活了UWB钥匙的苹果手机站在车前3秒,就能打开前备箱; 也可以通过iPhone上的Action Button自定义车控功能,比如一键控车�

  • 落后华为2年半!Apple Watch Ultra 3有望今年登场:支持卫星消息

    据彭博社记者透露,Apple Watch Ultra 3有望于今年发布,将带来卫星连接与5G网络支持等 重要” 新功能,打破该系列自2023年以来的硬件升级停滞局面。 目前,华为是首个在智能手表上实现卫星通信功能的厂商。 2023年3月,华为Watch Ultimate非凡大师全球首发搭载双向北斗卫星消息功能,成为业界首款支持该技术的智能手表。 Apple Watch Ultra 3预计将会在今年9月份发布,落后华为整�

  • 王自如要回归老本行了:第一次正式播客讲苹果WWDC和Apple Intelligence

    王自如今天发文称,今晚会上线AI认知小宇宙”系列的最后一期视频,系列一共4期。 他表示,在在正式提笔前就有预感这个系列对于受众和流量的局限性,但依旧坚持把它放在我的频道中最优先需要创作的内容。 王自如称:如果把我的频道内容理解为一部电影,那这个系列就是电影的前传,它最核心的使命是在主线剧情出来前构建宏观的故事背景,是让我和我的用户之间拉�

  • vivo X Fold5支持连接Apple Watch 安卓史上第一次

    今日,vivo X Fold5正式发布,目标是最强生态破壁机”。 vivo X Fold5支持连接Apple Watch,这也是安卓手机史上第一次,可接听来电、查看信息,甚至同步健康数据到vivo健康应用,同时支持AirPods原生级体验。 此外,X Fold5还可在文件管理访问Mac,查看电脑文件,同时支持跨应用拖拽发送文件,X Fold5还可作为Mac的扩展屏。

  • 推荐几个国内比较主流的API管理平台

    本文介绍了国内主流的API管理平台,包括Apifox、RestCloud iPaaS、YApi、API Umbrella、Postcat、白山云和数环通。这些平台各具特色:Apifox集文档、调试、Mock和测试于一体;RestCloud iPaaS支持AI助手和300+ SaaS应用连接;YApi适合跨语言开发团队;API Umbrella提供多团队协同和实时监控;Postcat轻量可扩展;白山云专注企业级全流程管理;数环通主打智能化自动化。企业应根据自身规模、行业需�

  • 国内MCP服务器搜索引擎有哪些?MCP服务网站推荐

    在人工智能技术飞速发展的今天,AI模型与外部工具和服务的交互能力正逐渐成为推动技术进步的关键因素。今天,我们聚焦于一个新兴的、极具潜力的平台——AIbase(https://mcp.aibase.cn/),它为全球的AI开发者和研究人员提供了一个前所未有的MCP(Model Context Protocol,模型上下文协议)服务器集合平台,助力AI技术的进一步发展。 MCP协议是一种开放标准协议,旨在允许AI模型与外部

  • 股东担心Switch 2太贵大家买不起 任天堂:价格对得起游戏体验!

    任天堂Switch 2的售价比前几代贵了不少,近日任天堂发布的股东会QA问答PDF中,就有股东问到售价太贵可能会让小孩买不起的问题”,而任天堂则认为,这价格对得起Switch 2游戏所提供的体验。 Switch 2日语版本售价为49980日元,虽然相较于多国语言版的69980日元,已经便宜2万日元,但跟初代Switch的32978日元比,还是贵了非常多。 一位股东问:Switch 2和过去的红白机等相比价格较�

  • OpenAI 30亿收购告吹 谷歌24亿截胡Windsurf

    据媒体报道,原本预计由OpenAI斥资30亿美元收购的热门AI编程初创公司Windsurf,周五突然宣布交易取消,转而与谷歌达成合作。 据悉,谷歌DeepMind正积极招募Windsurf首席执行官Varun Mohan、联合创始人Douglas Chen及多位核心研究人员。虽然谷歌不直接持股或获得控制权,但将投入24亿美元获取Windsurf技术授权并招揽其顶尖人才。 根据协议,谷歌将获得Windsurf部分技术的非独家使用许可�

  • 苹果最强平板!iPad Pro将首发M5芯片

    苹果记者Mark Gurman爆料称,iPad Pro将会成为首款搭载苹果M5芯片的智能设备,新品最快会在10月份登场,这将是苹果最强平板。 据悉,苹果上一次更新iPad Pro系列是在2024年5月,该系列首次搭载了M4芯片和OLED显示屏,从M4到M5间隔了大约17个月时间。 由于2024款iPad Pro首次引入了OLED屏幕,完成了从Mini LED到OLED的过渡,所以2025款不会有太大改动,其外观、OLED屏都将会延续2024款的设计

  • 探索AI时代出海新范式!impact.com荣获TopDigital创新营销奖「年度营销技术公司」

    2025年7月1日,impact.com在第十三届TopDigital创新营销盛典上荣获"年度营销技术公司"大奖。该平台凭借技术能力、商业影响和全球化战略的综合表现获得认可,其AI技术正深刻改变品牌营销工作方式,尤其在效率提升与流程优化方面成效显著。impact.com通过智能推荐、智能审批等功能,将AI能力引入合作伙伴管理核心环节,帮助出海企业构建全球化合作网络。大中华区总裁Jennifer Zhang表示,AI不是替代营销人,而是释放其判断力与创造力。作为全球合作伙伴经济核心引擎,impact.com已服务众多中国出海品牌,未来将继续深化AI在营销管理平台的应用。