节点/小火箭/美区ID/国外苹果ID/美区小火箭购买/美区小火箭兑换码/shadowrocket兑换码/苹果商店下载shadowrocket网址
Apple 已向印度漏洞安全研究人员 Jain 支付了高达 100,000 美元的巨额奖金，原因是他们在 Sign in with Apple 中报告了一个严重且严重程度高的漏洞。通过 Apple 登录，您可以使用现有的 Apple ID 快速轻松地登录应用和网站苹果香港账号付款方式，此漏洞已得到修复。
该漏洞允许远程攻击者绕过身份验证并接管目标用户在第三方服务和应用程序中使用 Sign in with Apple 创建的帐户。 Jain 在接受外媒 The News 采访时表示，苹果客户端在向苹果认证服务器发出请求之前对用户进行认证的方式存在漏洞。
当用户通过“Sign in with Apple”进行身份验证时，服务器会包含一个秘密信息的 JSON Web Token (JWT)，第三方应用程序会使用 JWT 来确认登录的身份——在用户中。发现虽然Apple要求用户在发起请求前先登录自己的Apple账号，但在下一步的验证服务器上并没有验证是否是同一个人在请求JSON Web Token（JWT）。
因此，这部分机制缺乏身份验证可能允许攻击者提供属于受害者的单独 Apple ID，诱骗 Apple 服务器生成 JWT 有效负载，并以受害者身份登录第三方服务说：“我发现我可以从任何 Apple 电子邮件 ID 请求 JWT，当这些令牌的签名通过 Apple 的公钥验证时，它们似乎是有效的。这意味着攻击者可以将任何电子邮件 ID 链接到伪造一个JWT 并获得对受害者帐户的访问权限。”
表示即使您选择隐藏您的电子邮件 ID，此漏洞仍然有效。即使您选择向第三方服务隐藏您的电子邮件 ID苹果香港账号付款方式，该漏洞也可能被利用以使用受害者的 Apple ID 注册一个新帐户。
补充说：“此漏洞的影响非常关键，因为它允许完全接管帐户。许多开发人员已将 Sign in with Apple 集成到他们的应用程序中，目前，,,, Giphy（现已收购）支持此登录方法。”
上个月，该问题已负责任地报告给 Apple 安全团队，该公司此后已修补该漏洞。除了向研究人员支付漏洞赏金外，该公司还在回复中证实，它调查了他们的服务器日志，发现该漏洞未被利用来破坏任何帐户。
节点/小火箭/美区ID/国外苹果ID/美区小火箭购买/美区小火箭兑换码/shadowrocket兑换码/苹果商店下载shadowrocket网址
原文链接：SigninwithApple被曝存10万美元漏洞远程攻击者绕过身份验证，转载请注明来源！