最近，蘋果修復了 iCloud 中的一個重大安全漏洞。一位名叫 Laxman Muthiyah 的研究人員確實發現了密碼修改系統中的一個漏洞，駭客可以劫持該漏洞來控制受害者的帳戶。專家聲稱庫比蒂諾公司已將問題的嚴重程度降至最低。
在線上儲存資料是一個非常實用的解決方案，可以節省設備上的可用空間，但這當然並非沒有風險。 iCloud 曾多次經歷過這種情況，特別是在名人照片被盜事件中，但也因為針對雲端服務的多次惡意軟體攻擊。更何況蘋果試圖向用戶隱藏的漏洞。
網路安全研究員 Laxman Muthiyah 發現了一個影響密碼變更功能的大規模安全漏洞。為了讓使用者在忘記時重新獲得帳戶存取權限，該服務透過簡訊或電子郵件發送 6 位數的代碼。如果駭客想要達到他的目的，他必須知道受害者的電話號碼或電子郵件地址，然後猜測其中發送的 6 位代碼百萬和一些可能性。
對駭客來說，最有效的解決方案就是使用暴力破解方法。蘋果已經預見了這種可能性並阻止了任何嘗試將嘗試次數限制為 5 次。此外，來自相同 IP 位址的請求數量不能超過 6 個。28,000 個不同的 IP 位址「暴力破解」iCloud 發送的 6 位元代碼。最後，為了進一步加強其平台的安全性，Apple 阻止來自雲端服務的所有請求例如亞馬遜網路服務和谷歌雲端。
但實際上，正如 Laxman Muthiyah 所發現的那樣，並非所有雲端服務都被阻止，這為暴力嘗試打開了大門。“我們必須先繞過簡訊中的 6 位數代碼，然後繞過電子郵件地址中收到的 6 位數代碼”，研究人員解釋。“兩種解決方法都基於相同的方法和環境，因此當我們嘗試第二種解決方法時，我們不需要更改任何內容”。拉克斯曼指出即使雙重認證也無法解決此缺陷，儘管他承認「攻擊實施起來並不容易」。
關於同一主題：Windows 10 — iTunes 和 iCloud 可能會用勒索軟體感染您，請更新它們！
研究人員立即於 2020 年 7 月就此漏洞向 Apple 發出警告。直到今年4月才得到糾正，而沒有通知拉克斯曼。“極少數帳戶面臨風險，極少數蘋果設備用戶容易受到攻擊。”庫比蒂諾公司最終告訴他，並補充說“這種攻擊僅適用於從未用於在受密碼保護的 iPhone、iPad 或 Mac 上登入的 Apple ID 帳戶”。
蘋果淡化了情況的嚴重性
這個理由讓拉克斯曼·穆蒂亞不為所動。據他介紹，該缺陷已於 2020 年 10 月修復，在他發出警報幾個月後。蘋果表示密碼驗證漏洞從未存在過，但研究人員確信在報告後已更新了。
「如果他們在我報告後修復了這個問題，那麼這個漏洞就會變得比我最初想像的要嚴重得多。透過暴力破解來確定密碼，我們將能夠透過區分回應來識別正確的存取代碼。因此我們不僅可以控制任何 iCloud 帳戶，還可以發現與其關聯的 Apple 裝置的程式碼 »。
無論蘋果是否試圖向用戶隱瞞該缺陷的嚴重性，事實是該缺陷已經消失。因此很難知道 Laxman Muthiyah 的說法是否屬實。後者聲稱蘋果向他提供了18,000美元換取他的報告，他拒絕了這筆金額，認為相對於脆弱性的程度來說這個金額太低了。
來源 ：安全週刊
詢問我們最新的！
谷歌正在透過谷歌文件的一項有前途的新功能來擴展其人工智慧工具庫。這項創新被稱為“幫助我創建”，它遠遠超出了簡單的寫作幫助，它允許完整生成結構化文件。這個消息…
應用領域
