Apple thưởng 100 ngàn USD cho người phát hiện lỗi bảo mật ‘Đăng nhập bằng Apple’

Tính năng “Đăng nhập bằng Apple” (Sign in with Apple) được ra mắt vào tại sự kiện Apple Worldwide Developers Conference vào tháng 6.2019. Với tính năng này, người dùng Apple có thể đăng nhập vào các trang web và ứng dụng của bên thứ 3 bằng ID Apple một cách nhanh chóng và dễ dàng. Theo tuyên bố của Apple, việc đăng nhập bằng Apple ID sẽ bảo vệ quyền riêng tư của người dùng bằng cách không tiết lộ địa chỉ email thực tế của họ cho các dịch vụ của bên thứ 3.

Tuy nhiên mới đây, nhà nghiên cứu bảo mật người Ấn Độ Bhavuk Jain đã phát hiện ra một lỗi rất nghiêm trọng trong tính năng Sign in with Apple. Lỗ hổng (mà ông Bhavuk tìm ra) cho phép kẻ xấu, hacker vượt qua hệ thống xác thực của Apple. Bằng cách đó, tin tặc có thể chiếm quyền kiểm soát tài khoản của nạn nhân trên ứng dụng và dịch vụ của bên thứ 3 sử dụng phương thức đăng nhập "Sign in with Apple".

Apple ra mắt tính năng Đăng nhập bằng Apple ID tập trung vào quyền riêng tư tại WWDC 2019

Trong cuộc phỏng vấn của The Hacker News, nhà nghiên cứu Bhavuk Jain cho biết lỗ hổng này xuất phát từ cách hoạt động của Sign in with Apple. Khi người dùng sử dụng Sign in with Apple, máy chủ của Apple sẽ tạo ra một đoạn mã JSON Web Token (JWT) chứa các thông tin bí mật, định danh người dùng. JWT sẽ được ứng dụng và dịch vụ của bên thứ 3 sử dụng để xác thực danh tính của người dùng đăng nhập.

Bhavuk cho biết Apple yêu cầu người dùng đăng nhập lại vào Apple ID mỗi khi sử dụng "Sign in with Apple". Chỉ khi đăng nhập đúng thông tin tài khoản, máy chủ của Apple mới cấp mã JWT. Tuy nhiên, nếu người dùng tiếp tục yêu cầu cấp JWT sau khi vừa nhận một JWT, hệ thống của Apple sẽ bỏ qua yêu cầu đăng nhập.

Điều này tạo ra một lỗ hổng cho phép hacker lợi dụng để chiếm quyền kiểm soát tài khoản của người dùng. Bằng cách đánh lừa hệ thống của Apple, hacker có thể lấy được JWT hợp lệ để đăng nhập vào tài khoản của người dùng trên các ứng dụng và dịch vụ của bên thứ 3

Nhà nghiên cứu bảo mật người Ấn Độ cho biết rằng lỗ hổng này vẫn có thể gây tác động ngay cả khi người dùng chọn ẩn email với ứng dụng và dịch vụ của bên thứ 3. Với mã JWT được cấp, kẻ xấu cũng có thể đăng ký tài khoản mới trên các dịch vụ/ứng dụng bằng Apple ID của người dùng.

"Lỗ hổng này có nguy cơ gây thiệt hại lớn cho người dùng bởi nó cho phép kẻ xấu kiểm soát toàn bộ tài khoản của người dùng. Trong khi đó, nhiều người dùng, đặc biệt là các nhà phát triển phần mềm đang có xu hướng sử dụng "Sign in with Apple" cho mọi ứng dụng quan trọng của họ như Dropbox, Spotify, Airbnb...", Bhavuk nói.

Sau khi nhận báo cáo của Bhavuk Jain, Apple đã lập tức cho vá lỗi bảo mật nghiêm trọng này. Bên cạnh việc trả thưởng cho Bhavuk Jain, Apple cũng đã mở một cuộc điều tra nhật ký máy chủ để xem có cuộc xâm nhập bất hợp pháp nào vào tài khoản của người dùng hay chưa. Rất may là lỗ hổng này chưa bị tin tặc khai thác.

Thời gian vừa qua Apple đã vật lộn với hàng loạt vấn đề bảo mật, bao gồm phát hiện về lỗ hổng mail trước đó. Dù những lỗi này ngay sau đó được Apple vá lại rất nhanh, nhưng người dùng sản phẩm của hãng công nghệ nổi tiếng này tiếp tục lo ngại rằng liệu có một lỗi bảo mật nào lại được phát hiện trong tương lai nữa không.

Tiểu Vũ