Une faille majeure dans "Sign in with Apple" comblée, Réactions à la publication du 01/06/2020

[Lionel]

La fonction "Connexion avec Apple" permet aux utilisateurs d'utiliser leur compte iCloud pour se connecter à des applications tierces si leurs éditeurs ont exploité les APIs mises en place par Apple. On a des choses équivalentes chez Google ou Facebook.
Un hacker rapporte qu'Apple lui a versé 100 000$ pour avoir découvert une faille 0-day permettant d'outrepasser toutes les sécurités de ce système et de se connecter aux applications tierces sans connaître les identifiants iCloud de la cible.
Une faille majeure permettait en effet de demander aux serveurs Apple un jeton d'authentification valable pour n'importe quel identifiant iCloud sans en connaître le mot de passe. Ce jeton pouvait ensuite être injecté dans les applications tierces utilisant l'API sans autre forme de sécurité pour s'y connecter.

La faille était donc bien majeure et l'on ignore si elle a été exploitée avant sa découverte par ce hacker blanc, et exploitée activement.

Lien vers le billet original

[Digitalex]

Fidèle lecteur de MacBidouille depuis longtemps (dont je salue le travail de toute l’équipe au passage),
je n’ai pas pu m’empêcher de réagir à la lecture des commentaires.

MacBidouille est un site d’informations sérieux autour du Mac, apolitique, dont les articles et les forums sont une mine d’or pour qui souhaite bricoler ses machines, s’informer et surtout apprendre, avec des valeurs simples de partage, d’entraide et de plaisir.

Il ne faut pas envisager autre chose, ou voir le mal dans les propos de la rédaction, on a chacun une plume différente, des expressions, etc. Pour avoir lu plusieurs (milliers ?) d’articles et de news, je n’ai jamais ressenti la moindre atteinte / critique envers qui que ce soit, excepté peut-être Apple

Un peu off-topic, veuillez m’excuser, j’avais besoin de le rappeler.

PS: j’hallucine un peu des commentaires sur les news récentes... et du ton général que peuvent prendre les discussions sur le forum parfois.

Ce message a été modifié par Digitalex - 3 Jun 2020, 01:53.