據(jù)外媒報道，研究人員 Bhavuk Jain 在四月份發(fā)現(xiàn)了一個嚴(yán)重的「使用 Apple 登錄」漏洞，該漏洞可能導(dǎo)致某些用戶帳戶被接管。值得一提的是，這個 Bug 特定于使用“通過蘋果登錄”功能且未實(shí)施其它安全措施的第三方應(yīng)用。

Jain 指出「使用 Apple 登錄」是通過 JWT（JSON Web 令牌）或蘋果服務(wù)器生成的代碼對用戶進(jìn)行身份驗(yàn)證的。 然后，蘋果提供給用戶選擇共享與他們的 Apple ID 綁定的電子郵件或私有中繼電子郵件地址的選項，這將創(chuàng)建用于登錄用戶的 JWT。

然后 Jain 發(fā)現(xiàn)，一旦請求了用于 Apple ID 電子郵件和專用中繼電子郵件地址的 JWT，并且使用蘋果的公鑰驗(yàn)證了令牌的簽名，它就會「顯示為有效」。 如果尚未發(fā)現(xiàn)該錯誤，則可以創(chuàng)建一個 JWT 并將其用于訪問一個人的帳戶。

Jain 在接受 The Hacker News 采訪時談到了該漏洞的嚴(yán)重性：

此漏洞的影響非常關(guān)鍵，因?yàn)樗赡茉试S完整的帳戶接管。許多開發(fā)人員已將「使用 Apple 登錄」集成在一起，因?yàn)閷τ谥С制渌缃坏卿浀膽?yīng)用是強(qiáng)制性的。 僅舉幾例「使用 Apple 登錄」功能的應(yīng)用-Dropbox，Spotify，Airbnb，Giphy（現(xiàn)已被 Facebook 收購）。

根據(jù) Jain 的說法，蘋果對此進(jìn)行了調(diào)查，得出的結(jié)論是，在修補(bǔ)漏洞之前，沒有任何帳戶使用此方法被破壞。而根據(jù)蘋果的 Apple Security Bounty Program（安全獎勵賞金）計劃，Jain 因報告該漏洞而獲得了100000美元的獎勵。