Khi Apple công bố Sign in with Apple vào năm ngoái, công ty này đã quảng cáo tính năng đăng nhập một lần mới như một cách tuyệt vời để người dùng có ý thức bảo mật, nhưng có vẻ không đơn giản vậy.
Sign in with Apple tận dụng các tính năng đăng nhập đơn giản và thống nhất đã được cung cấp từ lâu của các gã khổng lồ công nghệ như Facebook và Google. Vì Apple là công ty nổi tiếng với việc bảo vệ quyền riêng tư của người dùng nên sự xuất hiện của Sign in with Apple như một luồng gió mới – một giải pháp mà Apple đảm bảo rằng người dùng thậm chí sẽ không cần cung cấp địa chỉ email của mình khi đăng ký dịch vụ của bên thứ ba.
Mặc dù vậy, trong khi Sign in with Apple là lựa chọn tuyệt vời cho quyền riêng tư thì tính năng này không hoàn toàn tốt về bảo mật sau khi một nhà nghiên cứu mới vừa phát hiện ra điều này.
Tiếp quản toàn bộ tài khoản
Nhà nghiên cứu bảo mật Bhavuk Jain gần đây đã phát hiện ra lỗ hổng zero-day trong tính năng Sign in with Apple, cho phép tin tặc truy cập vào bất kỳ trang web bên thứ ba nào mà người dùng đã liên kết với Apple ID của họ nếu trang web đó không có biện pháp bảo mật bổ sung.
Tương tự như các dịch vụ đăng nhập hợp nhất khác, Sign in with Apple hoạt động bằng cách tạo mã thông báo (token) dựa trên Apple ID của người dùng. Sau khi được xác thực, người dùng sẽ được Apple cung cấp tùy chọn chia sẻ Apple ID với ứng dụng bên thứ ba hoặc không. Nếu chọn không cho phép chia sẻ, Apple sẽ tự tạo ra Email ID tạm thời gán cho tài khoản đó.
Sau khi xác nhận tài khoản thành công, Apple sẽ tạo ra một mã xác thực tạm (Token) chứa Email ID để ứng dụng và trang web bên thứ ba đăng nhập. Tuy nhiên, khi đến bước này, tin tặc có thể làm giả một Token bằng bất kỳ Apple Email ID nào để chiếm quyền kiểm soát tài khoản Apple của người dùng.
Lỗ hổng bảo mật được cho là bắt nguồn từ việc các máy chủ của Apple chỉ tạo mã thông báo hợp lệ cho người dùng đã đăng nhập nhưng lại thiếu bước thứ hai để đảm bảo rằng yêu cầu mã thông báo thực sự khớp với địa chỉ email của người dùng hiện được xác thực.
Ai là đối tượng rủi ro?
Dựa vào cách hoạt động, về cơ bản đây là một cuộc tấn công có chủ đích vào những người dùng cụ thể vì kẻ tấn công sẽ phải biết cụ thể địa chỉ email của người dùng đó. Ngay cả khi người dùng chọn Sign in with Apple với email được ẩn vẫn có thể bị tổn thương vì đó là địa chỉ email thực tế của người dùng để yêu cầu mã thông báo.
Rủi ro này sẽ chỉ xảy ra với các dịch vụ chỉ dựa vào Sign in with Apple, trong khi các dịch vụ dựa vào yếu tố thứ hai để xác thực, kẻ tấn công sẽ bị chặn tại thời điểm đó. Ngoài ra, nếu người dùng đã có tài khoản trên một dịch vụ nhưng chưa liên kết với Apple ID của họ, lỗ hổng không thể bị khai thác vì hầu hết các dịch vụ của bên thứ ba yêu cầu người dùng cung cấp mật khẩu cho tài khoản hiện tại của họ trước khi họ sử dụng để liên kết với Apple ID riêng.
Cũng cần lưu ý rằng, điều này chỉ ảnh hưởng đến các dịch vụ của bên thứ ba, nơi Sign in with Apple được áp dụng. Kẻ tấn công không thể sử dụng công cụ này để truy cập dữ liệu Apple ID hoặc iCloud của người dùng vì tính năng này chỉ để giả mạo thông tin đăng nhập Apple ID cho các dịch vụ của bên thứ ba.
Nhận phần thưởng hậu hĩnh
Báo cáo từ ông Jain nói rằng đã gửi thông báo lỗi cho Apple hồi tháng Tư như là một phần của chương trình săn lỗi nhận thưởng của mình trước khi ông công khai thông tin, từ đó cho Apple thời gian để khắc phục sự cố và hiện điều đó đã được thực hiện.
Ông Jain đã được Apple trả 100.000 USD (hơn 2,32 tỷ đồng) tiền thưởng cho khám phá của mình. Mức tiền thưởng vì ông Jain đã hỗ trợ Apple tìm và khắc phục vấn đề trước khi có thể gây ra bất kỳ thiệt hại nào. Theo Apple, một cuộc điều tra về nhật ký máy chủ của hãng đã xác nhận rằng lỗ hổng này chưa được tin tặc khai thác.
An Nhiên
Vào năm 2018, Apple đã bất ngờ ra mắt iPhone XR và nhận được thành công hơn cả kỳ vọng. Sản phẩm rất được đánh giá cao trong thời điểm giá bán iPhone ngày càng leo thang, trở thành luồng sinh khí mới trên thị trường.
Robot tiếp tục có việc làm trong mùa dịch bệnh Covid-19 và lần này là nghề phục vụ nhà hàng.
Liveshow âm nhạc trực tuyến mang tên: “Hoà nhạc marathon trực tuyến Hồi sinh” sẽ diễn ra trong 6 tiếng liên tục (từ 16h00 – 22h00) ngày 30/05/2020 trên Fanpage/Youtube Tạp chí Đẹp; Fanpage/Youtube VNPT VinaPhone; kênh truyền hình MyTV,…với sự tham gia của các nghệ sỹ hàng đầu Việt Nam như Đàm Vĩnh Hưng, Mỹ Linh, Quang Dũng, Uyên Linh…
Trong khi mọi con mắt vẫn đang hướng về iPhone 12 thì có vẻ như một số chi tiết về iPhone 13 đã bắt đầu được vén màn để mọi người có cái nhìn xa hơn.
Trong đại dịch, việc giãn cách xã hội làm con người trở nên cô đơn hơn, do đó việc có thêm một người bạn bên cạnh dù vô tri vô giác vẫn rất cần thiết. Có hình dáng như một đứa trẻ sơ sinh, xuất hiện ở Mỹ vào những năm 1990, búp bê tái sinh (reborn) nay lại càng thu hút nhiều người đam mê hơn.
We Are One: A Global Film Festival là liên hoan phim trực tuyến lần đầu tiên trên thế giới, bắt đầu từ ngày 29/5 trên YouTube, 100 phim điện ảnh tuyển chọn từ 21 liên hoan phim sẽ tề tựu tại đây.
Loạt Galaxy Note của Samsung dường như đang đi vào ngõ cụt mà không có tính năng nổi bật nào để thu hút khách hàng mới.
Hội sinh viên Việt Nam ngành Thạc sĩ Quản Trị Kinh Doanh (Master of Business Administration – MBA) tại Hoa Kỳ đã tổ chức một buổi lễ tốt nghiệp trên nền tảng video trực tuyến với sự có mặt của gần như toàn bộ các sinh viên MBA tại Hoa Kỳ từ hơn 50 tiểu bang
Được thiết kế dựa trên hình dáng của chiếc trực thăng chiến đấu Apache, thùng máy tính Thermaltake AH-T600 sẽ giúp người dùng, nhất là các game thủ dễ dàng xây dựng cho mình bộ PC cá tính.
Khu đô thị Central Park, nơi toạ lạc của toà nhà cao nhất Việt Nam – Landmark 81 là điểm check in thu hút và yêu thích của các bạn trẻ Sài Gòn, bên cạnh Bitexco, phố đi bộ Nguyễn Huệ hay phố đêm Bùi Viện cũng được các bạn ưa chuộng và tìm đến chơi. Mời các bạn cùng với OPPO Reno3 check-in những địa điểm hấp dẫn này nhé!