Apple 登入爆出嚴重安全漏洞；任天堂續航版晶片遭破解；微信公眾號暫停 iOS 端虛擬支付

Editor發表於2020-06-01
APP晶片iOS

​因美國警察跪壓鎖脖黑人致死事件引發美國持續暴亂，事件不斷升級發酵。近日，黑客組織“匿名者（Anonymous）”釋出一個視訊。視訊中其成員戴著電影《V字仇殺隊》中標誌性的面具，譴責尼阿波利斯警察局，計劃將該警局多項罪行公諸於世，似乎已在暗中掌握多項重要機密情報。




1 蘋果 「Apple 登入」爆出嚴重安全漏洞


Apple 登入爆出嚴重安全漏洞；任天堂續航版晶片遭破解；微信公眾號暫停 iOS 端虛擬支付

現在，我們經常會使用一個賬戶繫結登入多個應用，這給我們的生活帶來了極大的便利。但同時，我們常用的賬戶若存在安全風險，就會“牽一髮而動全身”。

近期就有外媒報導，印度研究人員 Bhavuk Jain 發現了一個嚴重的「使用 Apple 登入」漏洞。該漏洞能讓黑客繞過身份驗證對目標使用者進行遠端攻擊，接管使用“通過Apple登入”註冊的第三方服務及對方的帳戶。

據瞭解，「使用 Apple 登入」允許使用者使用第三方應用程式註冊帳戶，無需透露實際的電子郵箱地址用作蘋果ID，並通過 JWT（JSON Web 令牌）或蘋果伺服器生成的程式碼對使用者進行身份驗證。

但這個機制卻有個致命的缺陷。

蘋果雖要求使用者要先登入Apple帳戶才能發起 JWT請求進行身份驗證。但事實上，JWT請求可以來自Apple的任何電子郵件ID，且使用Apple的公鑰驗證JWT令牌的簽名後，就都會顯示為有效。

這就意味著攻擊者能通過連結任何Email ID並獲得訪問許可權來欺騙Apple伺服器,生成有效的JWT，從而獲得目標使用者的帳戶。

此外，即使使用者從第三方服務中隱藏電子郵件ID，該漏洞仍然有效。利用該漏洞，黑客甚至還能用受害者的Apple ID來註冊新的帳戶。

該研究員表示目前很多開發人員已將「使用 Apple 登入」整合在一起，因為對於支援其它社交登入的應用是強制性的，會對使用者造成嚴重的影響。但蘋果調查後表示在修補漏洞前，沒有任何帳戶使用該方法被破壞，並向其支付了10萬美元的鉅額賞金。

鹹魚想翻身：你最常用什麼賬戶在其他應用上繫結登入呢？微信還是QQ？




2 “大氣層” 作者與任天堂再度交鋒


在任天堂Switch的Tegra X晶片被黑客破解後不久，為打擊盜版，任天堂近日使用代號為“Mariko”的全新晶片並推出了續航版Switch以及Switch Lite。
但黑客與任天堂間的較量卻從未停止。

繼破解晶片團隊TX宣佈已完成對續航版Switch和Lite的破解後，昨日著名的Switch自制系統“大氣層”的作者便在自己的個人推特上公開了以上兩款Switch產品所用晶片的加密金鑰。

Apple 登入爆出嚴重安全漏洞；任天堂續航版晶片遭破解；微信公眾號暫停 iOS 端虛擬支付

雖然這並不代表著馬上就可以在續航版Switch和Lite上使用“大氣層”等自制系統，但通過金鑰就能獲取續航版Switch和Lite主機板上內建儲存器的全部檔案，無疑已為軟體破解開啟了一扇大門，便於進行後門和漏洞的發掘工作。

以下是在持續更新中的“大氣層”系統網盤地址，感興趣的可嘗試下載。
連結：https://pan.baidu.com/s/1iJqXS5i83T1-aiFojW1yYg提取碼：sd9a

鹹魚想翻身：你有用過”大氣層“系統嗎？




3 微信公眾號暫停 iOS 端虛擬支付


Apple 登入爆出嚴重安全漏洞；任天堂續航版晶片遭破解；微信公眾號暫停 iOS 端虛擬支付

近日，微信釋出《關於規範公眾號內虛擬支付行為的公告》，提出了“基於iOS對開發者的管理規範”，要求相關公眾號進行整改。這次涉及的虛擬支付違規問題都是通過“選單欄”匯入到其他連結，完成支付。具體包括以下三類：

第一是付費購買虛擬商品，如直播虛擬禮物、線上教育涉及的視訊課程、遊戲道具，還有知乎、得到等知識付費。

第二是付費解鎖優質服務，如虛擬VIP會員。

第三是關閉iOS端虛擬支付功能後，虛擬商品頁面卻仍保留價格標籤展示、購買/付費/訂閱/充值等按鈕。

對此，微信提出的整改建議是去除一切價格展示，不再提供支付渠道。這就意味著微信公眾號內將暫不支援一切iOS端虛擬支付業務。單純依靠微信平臺收費的商家必將損失巨大；而對於使用者來說，購買虛擬服務也會變得麻煩。同時，這也會對微信平臺自身造成一定的損失。

事實上，2017 年蘋果就通過新條款宣佈通過虛擬貨幣的打賞也要被視為應用內購買，收取30%的“蘋果稅”。因此不少人猜測，微信此舉也許正是為了對抗蘋果的這個霸王條款，也可能是微信正在對虛擬支付業務做出戰略調整。

鹹魚想翻身：神仙打架，受傷的還是普通人啊！





Apple 登入爆出嚴重安全漏洞；任天堂續航版晶片遭破解；微信公眾號暫停 iOS 端虛擬支付

相關文章