一位安全研究人員最近宣布，他可以發現Apple功能之一 - 密碼重置功能的關鍵漏洞。研究人員聲稱，它可以用來接管任何現有的iCloud帳戶。
他還說，蘋果一直在輕描淡寫這個問題及其影響。
蘋果安全問題
蘋果繼續面對新問題，但是該公司以某種方式設法迅速解決了每個問題。
安全週報告說，根據Laxman Muthiyah的說法，該問題繞過了蘋果公司準備避免嘗試強制Apple帳戶“忘記密碼”功能的眾多安全措施。
在重置密碼時，用戶必須提供其電子郵件地址或電話號碼以獲取6位OTP（一次性密碼）。
希望入侵用戶帳戶的攻擊者將使用給定的信息將他們的動物轉移到OTP上。然後，6位代碼將允許他們登錄受害者的帳戶，而不會示例任何惡意活動。
蘋果做了什麼？
解決問題，蘋果急切地提供了一種防止6位代碼的蠻力的解決方案。
蘋果決定將用戶可以進行的嘗試數限制為五次。該公司還將在同一IP地址內的服務器的可用帖子請求數量限制為僅六個。結果，攻擊者將總共需要28,000個IP地址來發送超過一百萬個請求。
蘋果甚至加倍努力提供額外的安全措施。
這家位於庫比蒂諾的公司阻止了所有云服務提供商，似乎蘋果拒絕了大多數提供商的帖子請求。
AWS和Google Cloud只是已經被阻止的一些知名提供商。
作為獎勵Muthiyah的一種方式，這位巨大的科技公司最初提出要用18,000美元獎勵他。但是，他拒絕了獎勵，並說這家技術巨頭淡化了缺陷的影響。
Muthiyah還提到他應該得到100,000美元或35萬美元。
另請閱讀：蘋果面臨訴訟； XR Communications說，產品違反了MIMO無線技術專利
另一種攻擊方式？
儘管蘋果公司試圖提供足夠的安全措施，但Muthiyah發現，攻擊者仍然可以使用未封鎖的雲服務發送請求。通過這樣做，攻擊者仍然可以在未經所有者許可的情況下闖入6位OTP來入侵iCloud帳戶。
根據Muthiyah的說法，攻擊並不容易執行，因為需要適當的設置來利用漏洞。
攻擊者最初必須繞過用戶通過其電子郵件地址或電話號碼收到的6位一次性密碼。旁路主要基於相同的環境和方法，因此在嘗試第二個旁路時無需更改任何內容。
即使受害者啟用了兩因素身份驗證功能，攻擊者仍然可以訪問其帳戶，這要歸功於共享費率限制的2FA端點。
Muthiyah補充說，漏洞也在密碼驗證端點中。
本文由技術時報擁有
由弗蘭·桑德斯（Fran Sanders）撰寫
