„Sign in with Apple“: Bug ist 100.000 US-Dollar wert

[Gast-Autor]

<div class="bbWrapper"><script class="js-extraPhrases" type="application/json"> { "lightbox_close": "Schließen", "lightbox_next": "Nächste", "lightbox_previous": "Vorherige", "lightbox_error": "Der angeforderte Inhalt kann nicht geladen werden. Bitte versuche es später noch einmal.", "lightbox_start_slideshow": "Slideshow starten", "lightbox_stop_slideshow": "Slideshow stoppen", "lightbox_full_screen": "Vollbild", "lightbox_thumbnails": "Vorschaubilder", "lightbox_download": "Download", "lightbox_share": "Teilen", "lightbox_zoom": "Vergrößern", "lightbox_new_window": "Neues Fenster", "lightbox_toggle_sidebar": "Seitenleiste umschalten" } </script> <div class="bbImageWrapper js-lbImage" title="sign_in_with_apple-700x390.jpg" data-src="https://www.apfeltalk.de/magazin/wp-content/uploads/2020/06/sign_in_with_apple-700x390.jpg" data-lb-sidebar-href="" data-lb-caption-extra-html="" data-single-image="1"> <img src="https://www.apfeltalk.de/magazin/wp-content/uploads/2020/06/sign_in_with_apple-700x390.jpg" data-url="https://www.apfeltalk.de/magazin/wp-content/uploads/2020/06/sign_in_with_apple-700x390.jpg" class="bbImage" data-zoom-target="1" style="" alt="sign_in_with_apple-700x390.jpg" title="" width="" height="" loading="lazy" /> </div><br /> <br /> Gast-Autor<br /> Schon seit <a href="https://www.apfeltalk.de/magazin/ios/sign-in-with-apple-soll-prominent-in-apps-platziert-werden/" target="_blank" class="link link--external" rel="nofollow ugc noopener">letztem Jahr</a> könnt ihr zum Login auf diversen Internetseiten eure Apple-ID nutzen. Dadurch entstand eine praktische Alternative zur Anmeldung per Facebook oder Google.<br /> <br /> <br /> <br /> „Sign in with Apple“ enthielt jedoch eine bislang unbekannte Sicherheitslücke. Entdeckt wurde diese vom Entwickler Bhavuk Jain.<br /> <span style="font-size: 18px"><b>Schwachstelle bereits behoben</b></span><br /> <br /> <br /> Bei der Anmeldung mit der Apple-ID wird nach Zustimmung durch den User die Mailadresse an den jeweiligen Drittanbieter übermittelt. Dies startet dann eine Anfrage auf den Apple-Servern. Der Server wiederum sendet eine Antwort in Form eines JWT (JSON Web Token) oder eines vom Server generierten Codes. Das funktionierte aber mit jeder beliebigen Mailadresse. Bhavuk Jain hatte den Fehler an Apple gemeldet und erhielt dafür eine Prämie von 100.000 US-Dollar.<br /> <br /> via <a href="https://appleinsider.com/articles/20/05/30/sign-in-with-apple-bug-discovery-earns-developer-100000" target="_blank" class="link link--external" rel="nofollow ugc noopener">appleinsider.com</a><br /> <br /> <a href="https://www.apfeltalk.de/magazin/news/sign-in-with-apple-bug-ist-100-000-us-dollar-wert/" target="_blank" class="link link--external" rel="nofollow ugc noopener">Den Artikel im Magazin lesen.</a><br /></div>

 

[Benutzer 239228]

<div class="bbWrapper">Wow. <img class="smilie smilie--emoji" loading="lazy" alt="😲" title="Erstauntes Gesicht :astonished:" src="https://cdn.jsdelivr.net/joypixels/assets/8.0/png/unicode/64/1f632.png" data-shortname=":astonished:" /></div>

 

[WulleWuu]

<div class="bbWrapper">Kenne keine Seite bei der ich jemals dieses Sign in with Apple hätte nutzen können?</div>

 

[Benutzer 239228]

<div class="bbWrapper">Doch, ich sehe es immer öfter.</div>

 

[MichaNbg]

<div class="bbWrapper">Kunststück. Apple zwingt alle ja wieder in ihr System. Das wird jede immer häufiger sehen, weil Übergangsfristen auslaufen.</div>

 

[Jan Gruber]

<div class="bbWrapper">Perfekte Diskussion bis hier her *gg*. Ich kenne welche, es werden immer mehr, weil Devs dazu gezwungen sind =) <br /> Seite ist nur vielleicht etwas falsch. Geht primär um Apps. Aber ja es geht auch für Webseiten, ist da aber gefühlt noch sehr selten</div>

 

[MichaNbg]

<div class="bbWrapper"><blockquote data-attributes="member: 217507" data-quote="Jan Gruber" data-source="post: 5485151" class="bbCodeBlock bbCodeBlock--expandable bbCodeBlock--quote js-expandWatch"> <div class="bbCodeBlock-title"> <a href="/community/goto/post?id=5485151" class="bbCodeBlock-sourceJump" rel="nofollow" data-xf-click="attribution" data-content-selector="#post-5485151">Jan Gruber schrieb:</a> </div> <div class="bbCodeBlock-content"> <div class="bbCodeBlock-expandContent js-expandContent "> Perfekte Diskussion bis hier her *gg*. Ich kenne welche, es werden immer mehr, weil Devs dazu gezwungen sind =) <br /> Seite ist nur vielleicht etwas falsch. Geht primär um Apps. Aber ja es geht auch für Webseiten, ist da aber gefühlt noch sehr selten </div> <div class="bbCodeBlock-expandLink js-expandLink"><a role="button" tabindex="0">Zum Vergrößern anklicken....</a></div> </div> </blockquote>Wer es in die App einbaut bzw. einbauen muss, muss es auch auf seiner Website implementieren. Sonst sperrst ja User einseitig aus. <br /> <br /> Übrigens auch das größte Problem bei sign in with Apple. Mal kurz auf einem anderen Gerät einloggen?</div>

 

[Jan Gruber]

<div class="bbWrapper"><blockquote data-attributes="member: 217060" data-quote="MichaNbg" data-source="post: 5485162" class="bbCodeBlock bbCodeBlock--expandable bbCodeBlock--quote js-expandWatch"> <div class="bbCodeBlock-title"> <a href="/community/goto/post?id=5485162" class="bbCodeBlock-sourceJump" rel="nofollow" data-xf-click="attribution" data-content-selector="#post-5485162">MichaNbg schrieb:</a> </div> <div class="bbCodeBlock-content"> <div class="bbCodeBlock-expandContent js-expandContent "> Wer es in die App einbaut bzw. einbauen muss, muss es auch auf seiner Website implementieren. Sonst sperrst ja User einseitig aus.<br /> <br /> Übrigens auch das größte Problem bei sign in with Apple. Mal kurz auf einem anderen Gerät einloggen? </div> <div class="bbCodeBlock-expandLink js-expandLink"><a role="button" tabindex="0">Zum Vergrößern anklicken....</a></div> </div> </blockquote><br /> Das müssen ja nicht immer kommunizierende Gefäße sein. Zb Apfeltalk: Wir haben nur ein direktes Login, darum brauchen wirs in beiden nicht. Zb die App die ich gerade baue: Ich hab auf der Webseite gar keinen Login <img class="smilie smilie--emoji" loading="lazy" alt="🤷‍♂️" title="Achselzuckender Mann :man_shrugging:" src="https://cdn.jsdelivr.net/joypixels/assets/8.0/png/unicode/64/1f937-2642.png" data-shortname=":man_shrugging:" /> Und oft gibts ja nur ne App oder nur ne Webpage, darum im Web, meiner Meinung nach, deutlich weniger verbreitet</div>