雄途2“赏金猎人”计划公布了最新消息。即一位印度的漏洞研究人员发现了影响使用Apple登录系统中的一项重大漏洞，在向苹果安全团队作出报告后，官方紧急修复了该漏洞并奖励了这位研究人员十万美金。

　　根据了解，这个漏洞能够帮助远在千里外的攻击者绕过用户的身份验证，接管用户使用的Apple登录选项，并注册第三方服务与应用程序上的账户，可以说是非常危险了。

　　去年，苹果公司启动了苹果ID登录第三方的保护隐私机制，这一机制可以让用户使用苹果ID注册一些第三方的应用程序，并且没有必要再透露电子邮件地址，简单的来说就是苹果ID注册第三方应用化繁为简了。

　　研究人员称，他发现这个漏洞存在于Apple启动过程与苹果服务器的认证过程中，对于不知情的用户，在服务器上通过使用Apple登录进行身份验证时，会生成一个JW令牌，这个令牌里就包含着确实用户登录的机密信息，而这正是此次漏洞的罪魁祸首。

　　研究人员表示，他发现了可以向这一有着机密信息的令牌请求来自Apple的任何电子邮件ID，且实用公共的钥匙验证取得令牌签名后就能直接登录。这就代表着攻击者可以获取任何邮箱ID访问我们的账户。这一漏洞严重到什么地步呢？简单地来说就是它有很大的几率导致我们的账户直接被骇客接管。文章来源： bilibili