100 tysięcy dolarów dla programisty za wykrycie luki Apple
Bhaviuk Jain, specjalista bezpieczeństwa z Infosec, otrzymał 100 tysięcy dolarów od Apple za wykrycie luki, która umożliwiała ominięcie uwierzytelnień i przejęcie konta użytkownika.
Podczas ubiegłorocznej konferencji WWDC Apple ogłosiło wprowadzenie funkcji „Zaloguj się z Apple. Pozwala ona użytkownikowi zalogować się przy użyciu swojego identyfikatora Apple ID bez konieczności korzystania z konta w mediach społecznościowych, wypełniania formularzy czy weryfikowania adresu e-mail i wybierania nowego hasła. Jednakże w kwietniu Bhaviuk Jain wykrył lukę 0-day, która mogła prowadzić do przejęcia konta osoby logującej się za pomocą Apple ID. Problem dotyczył aplikacji firm trzecich, które były zintegrowane z „Zaloguj się z Apple”, aczkolwiek nie posiadały własnych dodatkowych zabezpieczeń.
Funkcja „Zaloguj się z Apple” jest bardzo podobna do OAuth 2.0 i umożliwia uwierzytelnianie użytkownika na dwa sposoby: poprzez użycie JWT (JSON Web Token) lub kodu wygenerowanego na serwerze Apple. W czasie autoryzacji użytkownik może udostępnić identyfikator Apple ID aplikacji firm trzecich bądź nie zgodzić się na jego przekazanie. Jeśli identyfikator e-mail jest ukryty, Apple generuje token JWT zawierający informacje, która jest następnie wykorzystywana przez aplikację do uwierzytelnienia użytkownika.
Bhaviuk Jain zauważył, iż może zażądać od Apple tokenów uwierzytelniających dla każdego identyfikatora e-mail, które następnie zostają zweryfikowane przy użyciu klucza publicznego jako prawdziwe. Napastnik może zatem sfałszować token powiązany z dowolnym identyfikatorem e-mail i uzyskać za jego pomocą dostęp do konta ofiary.
- Choć dla osób niewtajemniczonych cała operacja może wydawać się nie do końca zrozumiała, luka wykryta przez Jaina była bardzo niebezpieczna, bowiem pozwalała przejąć pełną kontrolę nad kontami użytkowników. Warto dodać, że z opcją „Zaloguj się w Apple” zintegrowane są m.in serwisy Spotify, Dropbox, Airbnb czy Giphy. Po drugie tak duży błąd powinien być wykryty przez developerów Apple. Fakt, że znajduje go osoba z zewnątrz nie wystawia najlepszego świadectwa producentowi, który niemal na każdym kroku podkreśla, że prywatność klientów jest jednym z jego priorytetów. - mówi Mariusz Politowicz z firmy Marken, dystrybutora rozwiązań Bitdefender w Polsce.
Apple zapewnia, iż luka 0-day nigdy nie została wykorzystana, a błąd w usłudze „Zaloguj się z Apple” został usunięty.
Źródło: Bitdefender.pl; marken.com.pl
Generatywna sztuczna inteligencja m.in. w opinii Polaków to zrządzenie losu
Lena Lighting partnerem oprogramowania DIALux
Długoterminowa umowa TomTom i Microsoft
Kalendarium
Więcej ważnych informacji
![Farmaceuci z coraz większą rolą w opiece zdrowotnej. Apteki zasilają budżet olbrzymią kwotą [DEPESZA]](https://www.newseria.pl/files/1097841585/gemini-zdjecie,w_85,_small.jpg)
Jedynka Newserii
Jedynka Newserii
Handel
Branża tytoniowa alarmuje o drastycznych podwyżkach akcyzy. Są kilkukrotnie wyższe od zaplanowanych do 2027 roku
Ministerstwo Finansów chce wprowadzić drastyczne podwyżki akcyzy na wyroby tytoniowe. Ich skala ma być kilkukrotnie większa, niż zakładała obowiązująca od 2022 roku mapa akcyzowa, czyli porozumienie wypracowane po długich konsultacjach z rynkiem. Już w przyszłym roku akcyza na wyroby tytoniowe, zamiast o pierwotnie zakładane 10 proc. na wszystkie kategorie wyrobów, ma wzrosnąć: o 25 proc. na papierosy, o 38 proc. na tytoń do palenia oraz o 50 proc. na wkłady do podgrzewaczy tytoniu. Nowością jest objęcie podwyżkami również płynów do e-papierosów, na które w 2025 roku akcyza wzrośnie o 75 proc.
Bankowość
Większość małych i średnich firm przez całą swoją działalność nie zmienia banku. Wysoko oceniają dostępność do usług bankowych
– Mikro-, małe i średnie firmy są surowymi recenzentami usług bankowych, ale mimo to ich ocena pozostaje dość wysoka – mówi Wojciech Terlikowski z CBM Indicator. Kredyt bankowy jest drugim – po środkach własnych – najpopularniejszym źródłem finansowania działalności MŚP, ale firmy chętnie korzystają również z kredytów inwestycyjnych czy kart kredytowych. Są zainteresowane także dodatkowymi usługami ze strony banków, np. doradztwem przy pozyskiwaniu środków UE. Ekspert wskazuje, że to przekłada się na lojalność klientów – przedsiębiorcy przywiązują się do banków i rzadko je zmieniają.
Przemysł
W Polsce rośnie tempo robotyzacji. Pod względem zaangażowania robotów w przemyśle przegrywa wyścig z innymi krajami regionu
Z niemal 18 tys. robotów zainstalowanych w sektorze przetwórstwa przemysłowego Polska znajduje się na szóstym miejscu w UE. Jednak na 10 tys. pracowników zatrudnionych w tej branży przypada 54,6 robota, znacznie mniej niż nie tylko na Zachodzie, ale i w krajach Grupy Wyszehradzkiej. Jednocześnie 76 proc. przedsiębiorców badanych przez Polski Instytut Ekonomiczny zgadza się, że robotyzacja i automatyzacja będzie coraz bardziej stanowiła o przewadze konkurencyjnej firm na rynku.
Partner serwisu
Szkolenia
Akademia Newserii
Akademia Newserii to projekt, w ramach którego najlepsi polscy dziennikarze biznesowi, giełdowi oraz lifestylowi, a także szkoleniowcy z wieloletnim doświadczeniem dzielą się swoją wiedzą nt. pracy z mediami.
|
|
|