Apple выплатила $100 000 за критическую уязвимость в Sign in with Apple

Apple выплатила $100 000 за критическую уязвимость в Sign in with Apple

Apple выплатила $100 000 за критическую уязвимость в Sign in with Apple

Специалист в области кибербезопасности из Дели выявил критическую уязвимость в функции «Вход с Apple» (Sign in with Apple), которую купертиновцы представили в июне 2019 года. В ответ корпорация выплатила эксперту щедрое вознаграждение.

Напомним, что Apple позиционирует свою разработку Sign in with Apple как «более защищённый способ входа в приложения или на сайты». Другими словами, это безопасная система аутентификации.

Как это обычно бывает, нововведение не обошли стороной проблемы безопасности. Исследователь обнаружил уязвимость, которая в теории позволяет атакующему получить контроль над учётной записью пользователя.

Брешь признали критической, а Apple выплатила специалисту $100 000 в рамках собственной программы по поиску уязвимостей.

Поскольку купертиновцы уже устранили баг на стороне сервера, эксперт смог опубликовать подробности выявленной проблемы безопасности. Из соответствующего отчёта можно сделать вывод, что уязвимость затрагивает сторонние приложения, использующие функцию «Вход с Apple».

Если бы злоумышленники взяли на вооружение эту брешь, им бы удалось получить контроль над аккаунтами пользователей. При этом атака бы сработала даже в том случае, если жертва указала некорректный Apple ID.

Как объяснил исследователь, ему удалось запросить токены аутентификации для идентификатора электронной почты. Впоследствии этот ID можно верифицировать с помощью публичного ключа Apple.

Далее потенциальный злоумышленник мог подделать токен, связанный с любым идентификатором Apple, что в итоге приводило к взлому аккаунта атакуемого пользователя.

Стоит отметить, что Apple крайне ответственно отнеслась к полученной информации и провела внутреннее расследование, в ходе которого удалось установить, что киберпреступники не успели использовать уязвимость в атаках. Следовательно, нет повода переживать — аккаунты пользователей не пострадали.

В Госдуму внесли второй пакет мер против телефонного мошенничества

Правительство внесло в Госдуму второй пакет законопроектов, направленных на противодействие телефонному и дистанционному мошенничеству. Он включает около 20 различных мер. Руководство нижней палаты пообещало рассмотреть инициативу в приоритетном порядке. Подготовка второго антимошеннического пакета началась в марте 2025 года — практически сразу после внесения в Госдуму первого.

Как указано в пояснительной записке, цель инициативы — «комплексное совершенствование мер противодействия преступлениям, совершаемым с использованием информационно-коммуникационных технологий».

Пакет законопроектов был внесен в Госдуму в пятницу вечером.

Среди мер, вошедших во второй пакет, первый вице-премьер Дмитрий Григоренко особо выделил следующие инициативы:

  • Введение самозапрета на входящие вызовы из-за рубежа.
  • Обязательная маркировка операторами связи звонков с иностранных номеров.
  • Ограничения на работу виртуальных АТС: их размещение только на территории России и обязательное использование Единой системы аутентификации и идентификации абонентов.
  • Внедрение системы учета IP-адресов.
  • Обязанность операторов связи передавать выявленные номера мошенников в государственную информационную систему «Антифрод».
  • Ограничение количества виртуальных сим-карт — не более 10 на одного абонента.
  • Ограничение количества банковских карт — до 20 на одного человека и не более 5 в одном банке.
  • Введение детских сим-карт с ограниченным набором сервисов.
  • Упрощение процедуры внесудебной блокировки фишинговых ресурсов (в настоящее время таким правом наделен только Банк России).
  • Изменение порядка восстановления доступа к порталу «Госуслуги»: воспользоваться можно будет только доверенными способами — через биометрическую идентификацию, мессенджер Max или при личном обращении в МФЦ.

Как заявил председатель Госдумы Вячеслав Володин 27 декабря, законопроект будет рассмотрен нижней палатой в приоритетном порядке. Его обсуждение запланировано на 12 января — первую пленарную сессию после новогодних каникул.

RSS: Новости на портале Anti-Malware.ru