اپل باگ امنیتی خطرناک دسترسی کامل به حساب کاربری را برطرف کرد

یکی از ابزارهای کاربردی اپل برای کاربران اکوسیستم، امکان ورود با استفاده از حساب کاربری آن‌ها در سرویس‌های اپل است. این قابلیت که به‌نام Sign in with Apple شناخته می‌شود، ابزاری متمرکز بر حریم خصوصی به شمار می‌رود که ورود به اپلیکیشن‌های متفرقه را بدون نیاز به وارد کردن آدرس ایمیل شخصی ممکن می‌کند. سیستم مذکور دچار باگ امنیتی شده بود که مجرمان سایبری با سوءاستفاده از آن، کنترل کامل حساب کاربری قربانی را به دست می‌گرفتند. اکنون کوپرتینویی‌ها اعلام کرده‌اند که باگ در سیستم ورود امن، برطرف شد.

باووک جین، توسعه‌دهنده‌ای بود که درباره‌ی شناسایی و رفع باگ از سوی اپل نوشت:

من در ماه آوریل یک آسیب‌پذیری روز صفر در سیستم ورود با حساب اپل پیدا کردم که در اپلیکیشن‌های متفرقه اشکال ایجاد می‌کرد. اپلیکیشن‌هایی که از این سیستم بهره می‌بردند و سیستم امنیتی اختصاصی نداشتند، در معرض آسیب امنیتی جدی بودند. مجرمان با سوءاستفاده از باگ امکان کنترل کامل حساب کاربری قربانی را در اپلیکیشن متفرقه پیدا می‌کردند.

جین گزارش آسیب‌پذیری را به‌صورت خصوصی و تحت برنامه‌ی کشف باگ اپل به شرکت اطلاع داد. او با ارسال گزارش، ۱۰۰ هزار دلار جایزه دریافت کرد. اطلاع‌رسانی عمومی پیرامون آسیب‌پذیری نیز پس از رفع باگ ازسوی اپل انجام شد.

اپل، سرویس ورود یکپارچه به حساب‌های کاربری را در ماه اکتبر و به‌عنوان ابزاری در مسیر بهبود امنیت و حفاظت از داده‌های خصوصی معرفی کرد. این ابزار با هدف حفظ حریم خصوصی کاربران در اپلیکیشن‌ها و وب‌سایت‌های متفرقه به محبوبیت مناسبی هم رسید. ارائه‌ی ابزار ازسوی اپل، با به‌کارگیری گسترده‌ی آن توسط وب‌سایت‌ها و اپلیکیشن‌ها همراه بود. آن‌ها راهکار جدید را موجب بهبود تجربه‌ی کاربری می‌دانستند و به سیستم اپل هم اعتماد داشتند.

ابزار Sign in with Apple به کاربر اکوسیستم این شرکت امکان می‌دهد تا به‌جای استفاده از حساب کاربری یک شبکه‌ی اجتماعی یا آدرس ایمیل، یا پر کردن فرم ثبت‌نام و تخصیص رمز عبور برای هر حساب، از تاچ‌ آی‌دی یا فیس آی‌دی یا رمز دستگاه اپلی خود برای ورود به حساب کاربری استفاده کند. باگی که اخیرا در سیستم اپل شناسایی شد، حساب کاربری کاربران را در وب‌سایت‌ها و اپلیکیشن‌های متفرقه در معرض آسیب‌پذیری جدی قرار دارد.

سیستم ورود اپل شبیه استاندارد OAuth 2.0 عمل می‌کند. در زمان استفاده‌ی کاربر از سرویس مذکور، یک توکن JWT (مخفف JSON Web Token) یا یک کد برای ورود استفاده می‌شود که در سرور اپل ساخته شده است. درواقع کد ساخته‌شده در سرور اپل هم درنهایت برای تعریف یک JWT استفاده می‌شود. اپل به کاربران امکان می‌دهد که آدرس ایمیل اپل آی‌دی خود را با اپلیکیشن یا وب‌سایت متفرقه به اشتراک بگذارند، یا آن را مخفی کنند. درصورتی‌که کاربر، مخفی شدن ایمیل را انتخاب کند، یک ID اختصاصی در JWT او ساخته می‌شود.

جین در توضیح باگی که کشف کرد، می‌نویسد: «من متوجه شدم که می‌توان با استفاده از هر آدرس ایمیل، از اپل JWT درخواست کرد و زمانی‌که این توکن‌ها با استفاده از کلید عمومی اپل تأیید شوند، معتبر نشان داده می‌شوند. درنتیجه یک مجرم سایبری می‌تواند با اتصال هر Email ID، یک توکن JWT بسازد و به حساب کاربری قربانی در اپلیکیشن متفرقه دست پیدا کند.»