Une faille majeure dans "Sign in with Apple" comblée, Réactions à la publication du 01/06/2020

[Lionel]

La fonction "Connexion avec Apple" permet aux utilisateurs d'utiliser leur compte iCloud pour se connecter à des applications tierces si leurs éditeurs ont exploité les APIs mises en place par Apple. On a des choses équivalentes chez Google ou Facebook.
Un hacker rapporte qu'Apple lui a versé 100 000$ pour avoir découvert une faille 0-day permettant d'outrepasser toutes les sécurités de ce système et de se connecter aux applications tierces sans connaître les identifiants iCloud de la cible.
Une faille majeure permettait en effet de demander aux serveurs Apple un jeton d'authentification valable pour n'importe quel identifiant iCloud sans en connaître le mot de passe. Ce jeton pouvait ensuite être injecté dans les applications tierces utilisant l'API sans autre forme de sécurité pour s'y connecter.

La faille était donc bien majeure et l'on ignore si elle a été exploitée avant sa découverte par ce hacker blanc, et exploitée activement.

Lien vers le billet original

[flan]

Il faut voir le côté positif : si elle a été exploitée, ça ne peut qu'être de façon limitée vu que la techno est récente ET il n'y a pas beaucoup de sites qui l'utilisent

[zebigbug]

Il faut voir le côté positif : si elle a été exploitée, ça ne peut qu'être de façon limitée vu que la techno est récente ET il n'y a pas beaucoup de sites qui l'utilisent

Ce type de news rappelle qu'il ne faut pas avoir une foi aveugle dans les systemes informatiques.
Qu'il faut faire des sauvegardes ( ps le prix des disques durs a explosés récemment..)

et n'oubliez pas de nettoyer vos machines avec la chaleur , elles risquent de souffrir