Apple nel 2019 ha lanciato la nuova funzionalità Accedi con Apple, che consente di utilizzare il nostro Apple ID per accedere a siti e servizi con maggiore attenzione alla privacy. Grazie alla scoperta di un bug di sicurezza uno sviluppatore ha ricevuto da Apple la somma di 100.000 dollari.
Il programma Apple Security Bounty è pensato proprio per spingere gli sviluppatori a segnalare ad Apple gravi bug dei suoi sistemi operativi, incentivati dal lauto compenso offerto dall’azienda di Cupertino. Come rivelato dallo sviluppatore di sicurezza Bhavuk Jain, un bug già corretto da Apple consentiva di ottenere l’accesso completo all’account di un utente in un’applicazione di terze parti.
La funzione Accedi con Apple si basa su gettoni JSON Web Token (JWT) o un codice generato dai server Apple. Nel corso dell’autorizzazione l’utente ha la possibilità di decidere quali informazioni condividere con lo sviluppatore terzo, incluso un ID email fittizio creato ad hoc per l’applicazione in questione da Apple. Una volta che l’utente ha finalmente deciso quali informazioni condividere viene prodotto il gettone JWT, che contiene l’indirizzo e-mail e viene utilizzato dall’applicazione di terze parti per l’accesso dell’utente. Jain ha scoperto ad aprile un bug che offriva la possibilità di richiedere un JWT per qualsiasi ID e-mail superando il processo di validazione attraverso la chiave pubblica di Apple; tale bug potenzialmente consentiva a malintenzionati di accedere a un’applicazione terza in maniera non autorizzata.
Secondo un’indagine condotta da Apple non c’è mai stata alcuna violazione tramite questo bug, che è ovviamente stato chiuso prontamente con un compenso di 100.000 dollari per lo sviluppatore.
[via]