Une faille majeure dans "Sign in with Apple" comblée, Réactions à la publication du 01/06/2020

[Lionel]

La fonction "Connexion avec Apple" permet aux utilisateurs d'utiliser leur compte iCloud pour se connecter à des applications tierces si leurs éditeurs ont exploité les APIs mises en place par Apple. On a des choses équivalentes chez Google ou Facebook.
Un hacker rapporte qu'Apple lui a versé 100 000$ pour avoir découvert une faille 0-day permettant d'outrepasser toutes les sécurités de ce système et de se connecter aux applications tierces sans connaître les identifiants iCloud de la cible.
Une faille majeure permettait en effet de demander aux serveurs Apple un jeton d'authentification valable pour n'importe quel identifiant iCloud sans en connaître le mot de passe. Ce jeton pouvait ensuite être injecté dans les applications tierces utilisant l'API sans autre forme de sécurité pour s'y connecter.

La faille était donc bien majeure et l'on ignore si elle a été exploitée avant sa découverte par ce hacker blanc, et exploitée activement.

Lien vers le billet original

[CAMEO172]

Le noir et le blanc c'est un peu du binaire. Blanc sera toujours opposé à noir comme le chaud s'oppose au froid ou l'est à l'oust.

C'est même le principe aux échecs. Gandalf est blanc, le méchant est habillé de noir.. même dans Harry Potter, on va se méfier de celui qui est en noir et le blanc va rassurer. Même en code hex les deux sont diamétralement opposé etc..

c'est impossible à changer, c'est 3000 ans de civilisation quelque soit le continent.

parler de chapeau blanc, c'est pas chercher une supériorité via la couleur juste coller aux rapports entre les couleurs et ce qu'elles dégagent dans la culture.

ça ne justifie pas pour autant le racisme.