[Cảnh báo] Lổ hỗng nguy hiểm của tính năng “Sign in with Apple”

June 8, 2020

Vừa qua, Apple vừa trao thưởng 100,000 đô la cho Bhavuk Jain về việc giúp hãng này phát hiện ra một lỗ hổng nguy hiểm liên quan đến tính năng “Đăng nhập với Apple ID” (Sign-in with Apple). Lỗ hổng này cho phép hacker đánh cắp các tài khoản liên kết hoặc đăng nhập thông qua Apple ID. Cùng nhìn lại cái tin năng nghe quen mà lạ, lạ mà quen này nhé.

ĐĂNG NHẬP VỚI APPLE ID LÀ GÌ?

Các bạn còn nhớ khi các bạn vào một diễn đàn, game mới hoặc đăng ký một dịch vụ, tài khoản thì sẽ có phần đăng ký bằng tài khoản Gmail hoặc Facebook. Đến đây thì các bạn hẵn sẽ thấy quen hơn nhỉ. Về cơ bản thì tính năng “Đăng nhập với Apple ID” hoàn toàn không khác gì cả, có khác chăng thì Apple tự tin về vấn đề bảo mật của mình so với các bên khác thôi.

Về cơ bản, nếu bạn dùng “Đăng nhập với Apple ID” thì ID email hoặc Apple ID của bạn sẽ không được cung cấp mà Apple sẽ tạo ra một Mã số tạm thời (JSON Web Token) để bên thứ 3 xác nhận: à đó là chủ của tài khoản Apple ID này và thế là cho bạn đăng nhập và dùng dịch vụ.

THẾ THÌ LỔ HỖ Ở ĐÂU?

Bhavuk nhận thấy rằng mặc dù Apple yêu cầu người dùng đăng nhập vào tài khoảng Apple ID để xác thực sau đó hệ thống mới bắt đầu tạo một Token xác thực cho bên thứ ba. Tuy nhiên server Apple không xác minh lại liệu người đăng nhập và người gửi yêu cầu lên server có phải là cũng 1 người không. Từ việc này, hacker có thể hoàn toàn sử dụng Apple ID của nạn nhân để tạo mới và/hoặc đăng nhập bất cứ dịch vụ nào cho phép đăng nhập bằng Apple ID. Một vài tên tuổi lớn đang chơi với Apple có thể kể tên: Apple-Dropbox, Spotify, Giphy (Kết hợp với Zoom ở bài viết trước là gần như khỏi đỡ nhé).

NÓ CÓ NGUY HIỂM?

Phải nói rằng nó cực kỳ nguy hiểm vì bạn nghĩ xem Apple ID mang trong đó không chỉ tài khoản để tải app mà còn có thẻ và tài khoản ngân hàng của bạn. Nếu hacker cố tình chuyển hướng dùng tài khoản Apple của bạn để đăng ký mấy dịch vụ trả tiền thì con số hoá đơn sẽ là… rất đau đầu.

Phải nói rằng nó cực kỳ nguy hiểm vì bạn nghĩ xem các tài liệu của mình hoặc thông tin của mình lưu ở các bên thứ 3 sẽ bị hacker toàn quyền truye cập.

Tuy nhiên, điều may mắn là Apple đã nhanh chóng vá lỗi này cũng như đã kiểm tra lại toàn bộ hệ thống xem đã có những ai đã khai thác lỗi này chưa. Điều đáng mừng là hiện tại Apple “không thấy” có gì bất thường hoặc có bất cứ manh mối nào xác định là đã có người khai thác lổ hỗng.

Tuy nhiên, Để an toàn thì người viết vẫn khuyên các Apple fan tạm ngưng dùng tính năng Đăng nhập với Apple ID để trong khoảng thời gian này để tránh các rủi ro không cần thiết

BTV DSH