蘋果用戶在使用APP或者登錄網站賬號時，不可避免地會遇到“使用Apple ID登錄”的彈框提示，這種操作可以免去重新注冊賬號的麻煩。

[[328582]]

但是，近日曝出蘋果這一“使用Apple ID登錄”功能存在高危漏洞，黑客可以利用該漏洞攻擊用戶設備，甚至進行賬號劫持。

原本是為了提高蘋果用戶賬號安全的一項功能，如今卻因存在漏洞反被黑客利用?

去年，蘋果宣布引入“使用Apple ID登錄”功能，作為一種隱私保護工具，旨在提高用戶安全性，用戶可以直接使用蘋果賬號登錄，而無需透露自己的電子郵件、Twitter、Facebook等其他平臺賬號。不僅如此，蘋果還承諾不會跟蹤這一登錄情況，僅保留登錄所需信息。

對于用戶來說，這一便利性功能廣受歡迎，所以目前很多應用程序和網站都會采用這一功能，比如Spotify，Dropbox，Airbnb等。

技術便捷是一把雙刃劍，使用得好則利于人們的生活，但是如果不法分子使用得好，則是竊取用戶信息的利器。

漏洞允許使用任何其他Apple ID登錄

4月，全棧研發人員Bhavuk Jain發現了蘋果“使用Apple ID登錄”功能的這一嚴重漏洞，該漏洞允許黑客使用任何其他Apple ID進行登錄，帶來的直接后果就是用戶的第三方賬戶劫持。

隨后，Bhavuk Jain向蘋果上報了這一嚴重漏洞，獲得了10萬美元的漏洞賞金。

在Jain發布的博客中可以看到一些漏洞細節。一般而言，使用蘋果服務器生成的JWT(JSON Web Token)身份驗證令牌或者代碼(可生成JWT)可進行用戶驗證。

蘋果用戶可自行選擇是否與第三方應用程序共享Apple電子郵件 ID，如果用戶同意共享，并對此進行授權，蘋果將創建一個JWT，內含郵件ID，允許第三方應用程序登錄賬戶。

因此，問題來了。攻擊者可以將任何電子郵件ID鏈接到JWT上，偽造JWT來獲取用戶的訪問權，而這一過程中使用的那個郵件ID無法驗證是否是用戶的真實賬號。

因此，攻擊者從而達到劫持用戶第三方賬號的目的。 所幸，目前蘋果已經修復了該漏洞，且尚未發現由此引發的用戶數據泄露。

Apple ID是蘋果設備的安全鑰匙，一旦被獲取或者被利用則容易導致用戶數據泄露或者引發勒索。利用Apple ID進行的詐騙案例也不在少數。比如，利用社會工程學引導用戶登錄詐騙分子的Apple ID，隨后再進行設備鎖定，勒索用戶繳納贖金。

因此，注意Apple ID要謹慎使用，比如盡量不要使用不正規的第三方助手，或者開啟二步驗證或者雙重認證來提高安全性。