در بهمن ماه سال پیش، شرکت اپل آسیب‌پذیری خطرناکی که مهاجم به واسطه آن می‌توانست به حساب iCloud کاربران بدون اجازه وارد شود، را برطرف نمود.
محققی از تیم کامپیوتست در فروردین ماه آسیب‌پذیری دیگری در تاچ آی‌دی (Touch ID یا FaceID) اپل پیدا کرد. کاربران از این قابلیت بیومتری برای احراز هویت و ورود به حساب‌هایی که نیاز به Apple ID دارند، استفاده می‌کنند.
پس از اینکه آسیب‌پذیری فوق به شرکت اپل گزارش شد، این شرکت سریعا دست به کار شده و ایراد مورد نظر را در سمت سرورهای خود برطرف ساخت.
آسیب‌پذیری احراز هویت:
زمانی که کاربر می‌خواهد به وب‌سایتی وارد شود که نیاز به اپل آی‌دی دارد، یک پنجره فرعی به کاربر نمایش داده می‌شود تا کاربر با استفاده از تاچ آی‌دی احراز هویت شود. با این کار دیگر نیازی به گذراندن احراز هویت دو مرحله‌ای نیست چرا که در این فرایند از ترکیب چند عامل برای احراز هویت کاربر استفاده شده، یکی شناسه بیومتری که همان اثر انگشت بوده و دیگری تلفن همراه.
در مقابل زمانی که کاربر بخواهد با رمز و نام کاربری وارد حساب خود شود، هر وب‌سایت دارای یک iFrame می‌باشد که آن را به سرور تایید هویت اپل (که وظیفه احراز هویت کاربر را بر عهده دارد) متصل می‌کند.
در iFrame دو پارامتر دیگر نیز وجود دارد که یکی کلاینت آی‌دی که برای شناسایی سرور از آن استفاده می‌شود و دیگری آدرس تغییر مسیر است تا زمانی که فرایند احراز هویت با موفقیت به اتمام رسید، دوباره کاربر به صفحه مورد نظر هدایت شود.
زمانی که کاربر برای احراز هویت از شناساگرهای بیومتری استفاده می‌کند، فرایند احراز هویت و iFrame به شکل دیگری مدیریت می‌شود. در این حالت برای احراز هویت کاربر، سرور به AuthKit daemon متصل شده و پس از تکمیل فرایند احراز هویت یک توکن ایجاد می‌کند که در فرایند ورود به iCloud مورد استفاده قرار می‌گیرد.
برای انجام این کار AuthKit daemon با رابط برنامه‌نویسی وب‌سایت gsa.apple.com ارتباط برقرار کرده و اطلاعات کاربر را به آن ارسال کرده و در پاسخ توکن دریافت می‌کند.
این آسیب‌پذیری از سمت وب‌سایت gsa.apple.com بوده که می‌توان با بهره‌‌جویی از آن، بدون احراز هویت، کلاینت آی‌دی را تایید کرده و توکن دریافت کرد.
این اولین آسیب‌پذیری کشف شده در زیرساخت فرایند احراز هویت اپل نیست. چندی پیش ایرادی در سیستم ورود با حساب اپل پیدا شده بود که با کمک آن مهاجم می‌توانست سیستم احراز هویت را رد کرده و حساب کاربری قربانی را از طریق سرویس‌های سوم شخص، سرقت کند.
هنوز نظری ثبت نشده است. شما اولین نظر را بنویسید.