Une faille majeure dans "Sign in with Apple" comblée, Réactions à la publication du 01/06/2020

[Lionel]

La fonction "Connexion avec Apple" permet aux utilisateurs d'utiliser leur compte iCloud pour se connecter à des applications tierces si leurs éditeurs ont exploité les APIs mises en place par Apple. On a des choses équivalentes chez Google ou Facebook.
Un hacker rapporte qu'Apple lui a versé 100 000$ pour avoir découvert une faille 0-day permettant d'outrepasser toutes les sécurités de ce système et de se connecter aux applications tierces sans connaître les identifiants iCloud de la cible.
Une faille majeure permettait en effet de demander aux serveurs Apple un jeton d'authentification valable pour n'importe quel identifiant iCloud sans en connaître le mot de passe. Ce jeton pouvait ensuite être injecté dans les applications tierces utilisant l'API sans autre forme de sécurité pour s'y connecter.

La faille était donc bien majeure et l'on ignore si elle a été exploitée avant sa découverte par ce hacker blanc, et exploitée activement.

Lien vers le billet original

[JayTouCon]

Alors cela m’etonnerait enoooormement qu’elle n’ait pas été exploitée pour que la pomme lache si facilement 100.000 balles.

Et Comme avec iCloud et la montre on peut y stocker ses données de santé (il me semble qu’il y a eu un problème justement il y a 10/15 jours)Youpii la préservation de la vie privée qu’elle vante à travers ses pubs. Alors Maintenant évidemment Si le référent c’est Facebook on est mal barré

En février 2019 il y avait déjà eu une faille de sécurité avec iCloud, Ça continue. Sans compter celle qui n?est toujours pas comblée sur iOS
Opération portes ouvertes.

[jeep1981]

Alors cela m’etonnerait enoooormement qu’elle n’ait pas été exploitée pour que la pomme lache si facilement 100.000 balles.

Et Comme avec iCloud et la montre on peut y stocker ses données de santé (il me semble qu’il y a eu un problème justement il y a 10/15 jours)Youpii la préservation de la vie privée qu’elle vante à travers ses pubs. Alors Maintenant évidemment Si le référent c’est Facebook on est mal barré

En février 2019 il y avait déjà eu une faille de sécurité avec iCloud, Ça continue. Sans compter celle qui n?est toujours pas comblée sur iOS
Opération portes ouvertes.

La faille dont il est semble-t-il question est en rapport avec la fonction « sign in with Apple ID » et n’est, en soi, pas liée à iCloud.

https://support.apple.com/fr-be/HT210318

Au risque, surtout pour un nouveau, de vous paraître trop pro-Apple, vous rendez-vous compte que des failles critiques il y en a régulièrement chez TOUS les éditeurs? Jusqu’aux plateformes vraiment critiques comme les DB, les firewalls, les routeurs, etc.

Je crois que certains vivent dans un monde de bisounours qui n’existe pas, et n’a jamais existé.

Ce message a été modifié par jeep1981 - 1 Jun 2020, 19:00.

[JayTouCon]

Je crois que certains vivent dans un monde de bisounours qui n’existe pas, et n’a jamais existé.

C’est quoi le rapport ? Diluer la responsabilité de la pomme en disant qu’il y en a partout tout le temps ?
Mais
La faille sous iOS qui touche quasiment tous les téléphones, ne date pas d’hier. Peut être est elle comblée ce soir, je l’espere.

Quand on sûrvend la préservation de la vie privée notamment par rapport à la concurrence, pouvant par là expliquer le tarif prohibitif de ses téléphones, lavec une sécurité accrue, la moindre des choses est d’etre béton de ce côté là. Attendre des mois pour combler une faille c’est de l’amateurisme.

Avec le budget colossal de la pomme, elle n’a pas une équipe de Hackers à qui elle propose en interne en plus du salaire une prime pour trouver les failles ? C’est pas la pme du coin..

100.000€ ou moins n’est pas cher payé. Au passage elle se fait une belle contre pub à propos de sa sécurité soit disant supérieure à la concurrence et pour ses équipes qui ne sont pas capables de la combler en interne.

Si c’est pour faire du Windows ou de l’android autant s’aligner sur les prix, ce sera plus cohérent.

[linus]

Je crois que certains vivent dans un monde de bisounours qui n’existe pas, et n’a jamais existé.

Avec le budget colossal de la pomme, elle n’a pas une équipe de Hackers à qui elle propose en interne en plus du salaire une prime pour trouver les failles ? C’est pas la pme du coin..

Peut-être que Apple a une équipe de hackers mais ni toi ni moi n'en savons rien et ce n'est pas Apple qui t'en informera !
Si tu as des notions de développement informatique, tu imagineras sans peine qu'une telle équipe (quelque soit sa taille et quelque soit la somme investie) ne peut en aucun cas garantir qu'aucune faille ne passe au travers des vérifications de quelque niveau que ce soit. En fait, je suis bien certain que tu le sais parfaitement mais il est plus facile de faire semblant de ne pas afin de préserver le plaisir de râler.

Ce message a été modifié par linus - 3 Jun 2020, 14:39.