Une faille majeure dans "Sign in with Apple" comblée, Réactions à la publication du 01/06/2020

[Lionel]

La fonction "Connexion avec Apple" permet aux utilisateurs d'utiliser leur compte iCloud pour se connecter à des applications tierces si leurs éditeurs ont exploité les APIs mises en place par Apple. On a des choses équivalentes chez Google ou Facebook.
Un hacker rapporte qu'Apple lui a versé 100 000$ pour avoir découvert une faille 0-day permettant d'outrepasser toutes les sécurités de ce système et de se connecter aux applications tierces sans connaître les identifiants iCloud de la cible.
Une faille majeure permettait en effet de demander aux serveurs Apple un jeton d'authentification valable pour n'importe quel identifiant iCloud sans en connaître le mot de passe. Ce jeton pouvait ensuite être injecté dans les applications tierces utilisant l'API sans autre forme de sécurité pour s'y connecter.

La faille était donc bien majeure et l'on ignore si elle a été exploitée avant sa découverte par ce hacker blanc, et exploitée activement.

Lien vers le billet original

[Tom25]

Je n'ai pas eu le temps de lire les messages qui ont été modérés, sans doute que ces derniers étaient plus virulents. Personnellement je comprend les remarques de marc_os, même s'ils ne faut pas chercher la petite bête partout. Il y a des expressions employées par beaucoup par habitude mais sans y penser, comme "on n'est pas des gonzesses" ou "on n'est pas des PDs" ou "c'est du travail d'arabe" etc. . L'origine de ces expressions est certes bien différentes que le blanc et le noir, toutefois, elles sont employées par habitudes sans penser aux origines de l'expression. S'interroger sur l'éventualité d'utiliser d'autres expressions parce qu'elles peuvent blesser une catégorie de personnes n'est pas débile. Que l'origine de l'expression, bonne ou mauvaise, influence le choix est normal, mais ne justifie pas de ne pas se poser la question. L'actualité, à l'inverse, devrait pousser à s'interroger.
J'ajouterai, pour terminer, que l'origine de l'expression soit religieuse n'en fait pas forcément un bon point.