Un cercetător în domeniul securității a raportat o vulnerabilitate în sistemul de autentificare in 2 factori al Apple iCloud.
Vulnerabilitatea iCloud le-a permis hackerilor să preia un cont doar prin cunoașterea numărului de telefon al victimei. De atunci, vulnerabilitatea a fost reparată și nu mai funcționează.
Laxman Muthiyah de la The Zero Hack a reușit să pirateze un cont iCloud folosind o tehnică de „race hazard based brute forcing”. Această tehnică este puțin diferită de tehnica tipică a forței brute, in sensul ca un hacker exploatează vulnerabilitatea serverului și trimite mai multe cereri simultane pentru a reseta parola.
In principiul cererile esuate de logare si recuperare a parolei intr-un sistem informatic sunt limitate tocmai pentru a preveni aceste metode de tip brute force. In cazul Apple limita este de maximum 5 încercări, după care blochează contul „pentru câteva ore.” Cu toate acestea, Mutiyah a trimis mai multe cereri de la diferite adrese IP pentru a păcăli sistemul și a intrat într-un cont iCloud.
Muthiyah spune că, dacă cunoașteți numărul de telefon al unei persoane, puteți forța brutal codul 2FA din 6 cifre pentru a reseta parola unui cont. Cu toate acestea, după șase încercări eșuate, Apple blochează adresa IP pentru a împiedica hackerul să genereze cereri suplimentare. Iată câteva lucruri găsite de Muthiyah după testarea sistemului de securitate Apple:
iforgot.apple.com se rezolvă la 6 adrese IP din întreaga lume - (17.141.5.112, 17.32.194.36, 17.151.240.33, 17.151.240.1, 17.32.194.5, 17.111.105.243).
In cazul de fata cercetatorul a descoperit 2 limitari implementate ca si masura de protectia a contului: una este declanșată atunci când trimitem mai mult de 5 solicitări recuperare parolă la adresda http://iforgot.apple.com/password/verify/smscode și alta este pe serverul Apple când trimitem mai mult de 6 cereri POST simultane.
Ambele limite de sunt specifice fiecarui IP alocat serverului Apple, ceea ce înseamnă că putem trimite cereri (in limitele mentionate anterior) către un alt IP de server Apple.
Putem trimite până la 6 solicitări simultane către un server Apple (prin legarea iforgot.apple.com la IP) de la o adresă IP a unui singur client conform limitelor acestora.
Există 6 adrese IP Apple rezolvate așa cum s-a menționat mai sus. Deci, putem trimite până la 36 de cereri de pe o adresă IP si de la o singură adresă IP. Prin urmare, un atacator ar avea nevie de 28.000 de adrese IP pentru a trimite până la 1 milion de cereri pentru a obtine cu succes codul din 6 cifre.
Muthiyah a raportat problema către Apple în iunie 2020. Într-un răspuns, Apple i-a scris lui Muthiyah spunând că hack-ul funcționează numai cu conturi Apple care nu au fost niciodată conectate pe un iPhone, Mac sau iPad și ca accesul la 28.000 de adrese IP este destul de greu de realizat de catre un home user.
Apple reparat in cele din urma aceasta vulnerabilitate si după o mulțime de e-mailuri între ei și Muthiyah, Apple i-a oferit 18.000 de dolari în programul de recompensare a recompenselor pentru bug-uri. Cu toate acestea, Muthiyah a refuzat oferta, menționând că oferta este „nedreaptă” pentru impactul pe care l-ar fi putut crea.
Sursa - https://thezerohack.com/apple-vulnerability-bug-bounty
Descarcă aplicația My Orange:
