Brudny sekret App Store: aplikacje mogą prosić o login do Apple ID

W erze wzmożonych obaw o bezpieczeństwo, gdy nagłówki nagłówków rutynowo krzyczą o hakerach kradnących miliony osobistych danych w pojedynczego cyfrowego napadu na niektóre z największych firm w kraju, nigdy nie powinieneś przekazywać swojego Apple ID i hasła ktokolwiek kto nie jest Apple. Ale to tylko przyzwolenie, które nowe wschód słońca aplikacja kalendarza pyta, kiedy ją ładujesz po raz pierwszy, a nie tylko nie ma reguły przeciwko aplikacjom robiącym to w Apple wewnętrzne wytyczne, ale Cupertino faktycznie nagrodził Sunrise upragnionym miejscem w sekcji „Polecane” aplikacji Sklep.

Po raz pierwszy zauważony przez Nevena Morgana, programistę i eksperta Marco Uzbrojenie Instapaper i The Magazine sławy zagłębiły się w ten problem bardziej szczegółowo i stwierdziły, że podczas korzystania z iCloud Opcja kalendarza w Sunrise, sama aplikacja — nie iOS ani Apple — prosi o podanie adresu e-mail Apple ID i hasło.

Komentarze dotyczące uzbrojenia:

Sunrise twierdzi, że nie przechowują danych uwierzytelniających i zamiast tego otrzymują jakiś token logowania z iCloud. (Nie jest jasne, czy przesyłają Twój adres e-mail i hasło na swoje serwery i stamtąd pobierają token logowania, czy też przeprowadzają wymianę z urządzenia). Ale to w ogóle nie ma znaczenia.

insta stories

Żadna aplikacja ani witryna nie powinna nigdy bezpośrednio prosić o podanie nazwy użytkownika i hasła o wysokim poziomie bezpieczeństwa, zwłaszcza biorąc pod uwagę, jak bardzo jest to powiązane z Twoim Apple ID. Który to rok?

To wręcz niebezpieczne, że Apple nie tylko pozwala na to poprzez przegląd aplikacji, ale także ją promuje.

On ma rację. Chociaż Sunrise upiera się, że nie przechowują twoich danych uwierzytelniających, skąd użytkownik końcowy może wiedzieć? Jednak według Armment nie ma obowiązującej reguły zakazującej aplikacji proszącej o podanie identyfikatora Apple ID i hasła, co pozostawia szerokie tylne drzwi otwarte na potencjalne oszustwa. Sunrise może nie popełniać żadnych wykroczeń, ale następny twórca aplikacji, który użyje tej sztuczki, może nie być. Apple musi to zmienić, stat.

Źródło: Marco.org