Beginilah cara seorang peneliti keamanan siber secara tidak sengaja memecahkan Pintasan Apple

  • Whatsapp

Bumiayu.id Detectify menjelaskan bagaimana penyelidikan CloudKit mengakibatkan gangguan Pintasan bagi pengguna pada bulan Maret.

Seorang peneliti Detectify telah menjelaskan bagaimana penyelidikan terhadap Apple CloudKit menyebabkan penghentian fungsionalitas Pintasan yang tidak disengaja bagi pengguna. 

Pada bulan Maret, pengguna Apple mulai melaporkan pesan kesalahan ketika mereka mencoba membuka pintasan bersama. Seperti yang dicatat oleh 9to5Mac , masalah aneh ini menjadi perhatian khusus bagi pembuat konten yang berbagi pintasan dengan pengikut mereka melalui iCloud, yang tiba-tiba menemukan tautan mereka rusak. 

Laporan mulai muncul pada 24 Maret. Sehari kemudian, pembuat iPad dan iPhone mengatakan kepada pemimpin redaksi MacStories Federico Viticci bahwa perusahaan itu “bekerja untuk memulihkan pintasan yang dibagikan sebelumnya secepat mungkin.”

Menurut Penasihat Pengetahuan Deteksi dan pemburu hadiah bug Frans Rosén, akar penyebab masalah ini adalah kesalahan konfigurasi yang tidak sengaja ia temukan — dan dipicu — di Apple CloudKit.

Beginilah cara seorang peneliti keamanan siber secara tidak sengaja memecahkan Pintasan Apple

Pada hari Senin, Rosén menerbitkan rincian tentang situasi, di mana ia sedang memeriksa keamanan layanan Apple. Eksplorasi Rosén dimulai pada bulan Februari, dan khususnya, ia ingin menyelidiki kerangka kerja CloudKit , sebuah platform untuk membuat wadah yang cocok untuk penyimpanan data di ekosistem Apple. 

Rosén mengatakan bahwa dia memperhatikan bahwa banyak aplikasi Apple sendiri menyimpan informasi dalam database berdasarkan CloudKit. Dia “penasaran” untuk mengetahui apakah data aplikasi tertentu dapat dimodifikasi dengan mendapatkan akses ke wadah CloudKit publik mereka.

Peneliti menemukan bahwa berbagai API digunakan untuk terhubung ke CloudKit. Menurut Rosén, ada tiga ruang lingkup dalam wadah: Pribadi (informasi hanya diakses oleh Anda), Dibagikan (dapat dibagikan antar pengguna), dan Publik (dapat diakses oleh siapa saja). Zona juga diatur dengan berbagai tingkat izin. 

Rosén mulai menguji izin ini dan menemukan beberapa kerentanan di CloudKit terkait dengan iCrowd+, Apple News, dan Pintasan yang memungkinkannya mengutak-atik konten, termasuk entri stok.  

Masalah paling menonjol dan publik, ditemukan di Pintasan selama bulan Maret, “menyebabkan semua tautan berbagi Pintasan terputus, dan dengan cepat diketahui di antara pengguna Apple, wartawan media, dan terutama penggemar Pintasan,” kata Detectify.

Menurut Rosén, dia sebelumnya telah menguji berbagai cara untuk menghapus zona publik dan izin selalu ditolak — namun, dalam database Shortcuts CloudKit, peneliti secara mengejutkan mampu membuat zona dan juga diberi pesan “OK” dalam upaya untuk menghapus zona default. 

Kesalahan konfigurasi di pihak Apple menyebabkan ini. 

“Semuanya hilang,” kata peneliti. “Saya sekarang menyadari bahwa penghapusan itu entah bagaimana berhasil, tetapi _defaultZone tidak pernah hilang. Ketika saya mencoba berbagi pintasan baru, itu juga tidak berhasil, setidaknya tidak untuk memulai, kemungkinan besar karena jenis catatan juga dihapus. “

Pada titik ini, Rosén menghubungi tim keamanan Apple, yang memintanya untuk segera menghentikan pengujian. Apple Security kemudian mulai bekerja menyelesaikan masalah, memulihkan fungsionalitas Pintasan dan menambal masalah dalam proses dengan menyempurnakan kontrol keamanannya dan menghapus opsi untuk membuat baru dan menghapus zona publik yang ada.

Perlu dicatat bahwa jeda tidak mengizinkan peneliti mengakses pengguna atau data sensitif mana pun.

Meskipun tidak disengaja dan menyebabkan tidak hanya kepanikan bagi peneliti tetapi juga waktu henti yang tidak disengaja bagi pengguna, Rosén dianugerahi hadiah bug $ 28.000 untuk penemuannya melalui program Bounty Keamanan Apple. 

“Mendekati CloudKit untuk bug ternyata sangat menyenangkan, sedikit menakutkan, dan contoh yang sangat bagus tentang apa yang dapat dihasilkan dari penyelaman mendalam ke dalam satu teknologi saat berburu bug,” komentar Rosén. “Tim Keamanan Apple sangat membantu dan profesional selama proses pelaporan masalah ini.”

Kerentanan di iCrowd+ dan Apple News juga memberinya hadiah $12.000 dan $24.000.

“Kami ingin mengucapkan terima kasih kepada peneliti ini karena telah bekerja berdampingan dengan kami untuk menjaga keamanan pengguna dan data mereka,” kata juru bicara Apple kepada ZDNet . “Dia segera melaporkan tindakannya sehingga kami dapat dengan cepat memperbaiki masalah yang didokumentasikan dan memulihkan fungsionalitas setelah peneliti secara tidak sengaja mengganggu kemampuan untuk menggunakan tautan berbagi iCloud untuk Pintasan.”

Related posts