據外媒報道，研究人員 Bhavuk Jain 在四月份發現了一個嚴重的「使用 Apple 登入」漏洞，該漏洞可能導致某些使用者帳戶被接管。值得一提的是，這個 Bug 特定於使用“透過蘋果登入”功能且未實施其它安全措施的第三方應用。
Jain 指出「使用 Apple 登入」是透過 JWT（JSON Web 令牌）或蘋果伺服器生成的程式碼對使用者進行身份驗證的。然後，蘋果提供給使用者選擇共享與他們的 Apple ID 繫結的電子郵件或私有中繼電子郵件地址的選項，這將建立用於登入使用者的 JWT。
然後 Jain 發現，一旦請求了用於 Apple ID 電子郵件和專用中繼電子郵件地址的 JWT，並且使用蘋果的公鑰驗證了令牌的簽名，它就會「顯示為有效」。如果尚未發現該錯誤，則可以建立一個 JWT 並將其用於訪問一個人的帳戶。
Jain 在接受 The Hacker News 採訪時談到了該漏洞的嚴重性：
此漏洞的影響非常關鍵，因為它可能允許完整的帳戶接管。許多開發人員已將「使用 Apple 登入」整合在一起，因為對於支援其它社交登入的應用是強制性的。僅舉幾例「使用 Apple 登入」功能的應用-Dropbox，Spotify，Airbnb，Giphy（現已被 Facebook 收購）。
根據 Jain 的說法，蘋果對此進行了調查，得出的結論是，在修補漏洞之前，沒有任何帳戶使用此方法被破壞。而根據蘋果的 Apple Security Bounty Program（安全獎勵賞金）計劃，Jain 因報告該漏洞而獲得了100000美元的獎勵。
溫馨提示：買二手手機怕入坑？微信公眾號"速果查詢”蘋果使用者都在用的驗機工具。
