Als herausragendes neues Sicherheitsfeature präsentierte Apple vor knapp einem Jahr im Rahmen der letzten World Wide Developers Conference (WWDC) den hauseigenen Dienst "Mit Apple anmelden" ("Sign in with Apple"). Der Service ermöglicht es den Nutzern, ähnlich wie entsprechende Angebote von Google oder Facebook, sich nur mit der eigenen Apple-ID etwa bei Internetanbietern zu registrieren, ohne weitere persönliche Daten wie beispielsweise eine E-Mail-Adresse angeben zu müssen. Der iPhone-Konzern ist derart überzeugt von diesem Service, dass er sämtliche App-Entwickler, welche etwa Googles Login-Dienst anbieten, auch zur Unterstützung von "Mit Apple anmelden" verpflichtet.


Angreifer hätten Accounts übernehmen können
Wer "Mit Apple anmelden" nutzte, lief allerdings bislang Gefahr, dass Angreifer eines oder gleich mehrere seiner Nutzerkonten bei Drittanbietern wie etwa WordPress, IFTTT oder Tidal übernehmen konnten. Der Sicherheitsforscher Bhavuk Jain entdeckte nämlich bereits vor einigen Wochen eine in Apples Login-Service schlummernde Sicherheitslücke. Diese erlaubte es Hackern, sich mit einer beliebigen Apple-ID bei einem Dienst oder in einer App anzumelden, ohne dass der Benutzer korrekt authentifiziert wurde. Jain informierte Apple unmittelbar nach der Entdeckung über die Schwachstelle.

Apple hat die Lücke umgehend geschlossen
Apple hat die Lücke mittlerweile geschlossen und dem Sicherheitsforscher eine Belohnung in Höhe von 100.000 US-Dollar gezahlt. Jain veröffentlichte jetzt die technischen Einzelheiten der Schwachstelle zusammen mit einer kurzen Erläuterung der Funktionsweise von "Mit Apple anmelden". Ihm zufolge lag der Fehler darin begründet, dass Apples Service beim Austausch der erforderlichen sogenannten JSON Web Tokens nicht überprüfte, ob die darin enthaltene Identität des jeweiligen Nutzers mit dem ursprünglich authentifizierten User übereinstimmte. Der Sicherheitsforscher konnte dadurch die Identitäten möglicher Opfer für einen Angriff nutzen und sich so Zugriff auf die Konten verschaffen. Bei Drittanbietern, welche zusätzlich eine Zwei-Faktor-Authentifizierung anbieten, ließ sich die Schwachstelle Jain zufolge nicht ausnutzen. Nach Angaben des iPhone-Konzerns ergab eine Überprüfung aller Server-Logs, dass die Sicherheitslücke vor der Behebung des Fehlers in keinem einzigen Fall ausgenutzt wurde.