As coisas começaram bastante mal para o "Sign in with Apple", que contava com uma vulnerabilidade que permitia que qualquer pessoa pudesse fazer o login em nome de qualquer outra, em qualquer serviço que utilizasse este sistema, bastando saber o seu email.
A Apple decidiu entrar no campo das autenticações, prometendo maior segurança e coisas como permitir o login sem partilhar o email do utilizador com o serviço, mas as coisas começaram com erros de primeira linha cuja única vantagem foram render 100 mil dólares de recompensa ao investigador que alertou a Apple para a situação.
A falha permitia que qualquer pessoa pedisse um token de autenticação em nome de qualquer email utilizado para o "Sign in with Apple" - e uma vez que a Apple, na sua melhor tradição, está a exigir que qualquer app ou serviço que permita fazer login usando serviços externos tenha obrigatoriamente que também incluir o "Sign in with Apple", isso significa que quem caísse no erro de o fazer, estaria a dar acesso directo às suas contas em serviços como o Dropbox, Spotify, Airbnb, e outros.
Neste momento a Apple já corrigiu este problema, e diz que analisou todos os registos de utilização e não encontrou qualquer sinal desta falha ter sido explorada maliciosamente. Mas, ver um produto que promete ser de maior segurança que todos os demais, arrancar com uma falha tão flagrante, não é definitivamente o tipo de publicidade que inspirará confiança aos utilizadores.
Apple sendo Apple!
ResponderEliminar