Apple premia con 100.000 dollari un ricercatore per aver individuato un bug altamente critico.

#Apple ha assegnato ad un cacciatore di #bug una taglia di 100.000 dollari per aver trovato e segnalato un grave problema di sicurezza che potrebbe portare all'acquisizione di account utente di terze parti.


Come riportato da Hacker News, il ricercatore Bhavuk #Jain ha scoperto la #vulnerabilità della funzione "Accedi con Apple", una funzione di sviluppo che consente agli utenti di accedere ai servizi utilizzando gli ID Apple.


La funzionalità è stata introdotta per migliorare la #privacy e creare procedure di accesso per siti Web e app di terze parti utilizzando l'ID Apple e i processi di autenticazione a due fattori.


Tuttavia, Jain ha trovato un modo per aggirare i meccanismi di autenticazione e rilevare account utente di terze parti, semplicemente conoscendo l'ID e-mail di un utente target.


Secondo il cacciatore di bug, il difetto di sicurezza risiedeva nel modo in cui il produttore di iPad e iPhone ha gestito le richieste di convalida degli utenti sul lato client.


Sicuramente meglio questo comportamento etico che rivenderli ai broker.


#redhotcyber #cybersecurity #ricerca #disclosure


https://www.zdnet.com/article/researcher-lands-100000-reward-for-sign-in-with-apple-authentication-bypass-bug/