Comments 63
Но можно задать 4х значный код-пароль экранного времени и запретить изменение «Учетной записи». Главное не забыть этот код. Если же включить «Учёт на всех устройствах», то код пароль будет общий для всех устройств и его можно будет достать из iCloud.
Спасибо за статью, хоть и мало понял, но зато интересно!
Насколько легально, с точки зрения законодательства РФ, продавать эксплойты в zerodium?
Возможность получить коды на доверенный телефон с одной стороны облегчает разблокировку своего телефона, с другой стороны, открывает возможности для социальной инженерии для получения кодов не напрямую, а через родственников или других доверенных лиц, которые могут не быть хорошо подкованы в сфере ИБ.
Так и не была показана успешная реализация атаки, куча теоретических рассуждений в сферическом вакууме
Иначе бы статья называлась "Почему я отказался платить 18 тысяч долларов Apple" :D
Теоретические рассуждения, видимо, были как способ объяснить несведущим детали, но получилось не очень удачно, по крайней мере, в переводе.
странная логика, я бы понял если бы он обижался, что ему дали 0 денег, но ведь предлагали достаточно немало
Учитывая сколько он работы проделал, 18к это мало для США. Тем более, что Microsoft за похожую уязвимость заплатила ему 50к, а у Apple очевидно денег побольше
Собственный капитал Microsoft: ▲118 млрд $
Собственный капитал Apple: ▼65,3 млрд $
Учитывая сколько он работы проделал, 18к это мало для США
Никто не спорит, что он проделал немало работы, но выше было весьма резонно замечено, что успешной реализации так, по сути, и не было продемонстрировано.
Участвуя в ББ надо отдавать себе отчёт в том, что компания не обязана отсыпать золотые горы, просто если что-то возможно теоретически/если сойдутся звёзы и прочее подобное - чем больше кондиций для проведения атаки, тем меньше будет вознаграждение, и в таких ситуациях всё изначально будет довольно жидко. Если к этому ещё подключать напористость и агрессию, пусть даже пассивную, то шансы на адекватный исход будут ещё ниже.
Ну и, вдовесок, можно сказать, что ББ - это про деньги и коммерцию, то есть изначально у многих компаний будет позиция просто по факту платить как можно меньше (если вообще платить), при этом получая важную, а иногда и критическую, для себя информацию. Чем больше воды будет в репорте исследователя и чем меньше будет конкретных фактов и доказательств пробития цели/получения доступов/etc., тем меньше шансы получить хоть что-то вообще в итоге. Уже много лет как обсуждаются факты эксплуатации самой идеи ББ коммерсами, и тут как-то странно изображать невинность и незнание, что так бывает просто в принципе.
Так что предлагаемые 18к$ - это ОК, хоть, очевидно, исследователь расчитывал на куда более крупное вознаграждение. Вместо денег он предпочёл написать материал о том, какие коммерсы - шок! - несправедливые и подлые. Ну, «добро пожаловать во взрослый мир»
Учитывая сколько он работы проделал, 18к это мало для США
Никто не спорит, что он проделал немало работы, но выше было весьма резонно замечено, что успешной реализации так, по сути, и не было продемонстрировано.
Участвуя в ББ надо отдавать себе отчёт в том, что компания не обязана отсыпать золотые горы, просто если что-то возможно теоретически/если сойдутся звёзы и прочее подобное - чем больше кондиций для проведения атаки, тем меньше будет вознаграждение, и в таких ситуациях всё изначально будет довольно жидко. Если к этому ещё подключать напористость и агрессию, пусть даже пассивную, то шансы на адекватный исход будут ещё ниже.
Ну и, вдовесок, можно сказать, что ББ - это про деньги и коммерцию, то есть изначально у многих компаний будет позиция просто по факту платить как можно меньше (если вообще платить), при этом получая важную, а иногда и критическую, для себя информацию. Чем больше воды будет в репорте исследователя и чем меньше будет конкретных фактов и доказательств пробития цели/получения доступов/etc., тем меньше шансы получить хоть что-то вообще в итоге. Уже много лет как обсуждаются факты эксплуатации самой идеи ББ коммерсами, и тут как-то странно изображать невинность и незнание, что так бывает просто в принципе.
Так что предлагаемые 18к$ - это ОК, хоть, очевидно, исследователь расчитывал на куда более крупное вознаграждение. Вместо денег он предпочёл написать материал о том, какие коммерсы - шок! - несправедливые и подлые. Ну, «добро пожаловать во взрослый мир»
То есть, первый ответ Apple, в котором они признали проблему после получения видео с демонстрацией, вы не заметили случайно или притворяетесь шлангом в попытках отстоять свое мнение?
Вроде себя за профессионала, как автор статьи выдаете, а даже не понимаете банальных вещей, что скрины легко подделать. Тогда резонный вопрос, где видео демонстрации, которое вы упоминаете?
Кто действительно разбирается, тому вполне достаточно идеи, описанной в статье для объективной оценки подобного вектора атаки.
Правда? В таком случае, такие идеи озвучивались далеко до автора, так же как к примеру sql injection. Это не более чем абстрактный класс атак. Автор статьи ни делал никакого открытия, и не показал реализацию атаку. С таким же успехом можно сделать статью, как вы нашли sql injection на сайте google. И что они вам в переписке отказывают в выплате 1 миллиона долларов. Или вы нашли вместо sql injection, не раскрученную ошибку от sql сервера, но написали разработчикам, что у них там sql injection и у них серьезные проблемы с безопасностью. Вы разницу не понимаете?
Для того, чтобы оценить вкус молока, не обязательно быть коровой, которая его производит.
Вы сами поняли, что написали? С каких пор у вас сказочные фантазии, что коровы оценивают вкус молока? Такие же фантазии, что автору плюнули в лицо и не оценили его работу?
Тогда резонный вопрос, где видео демонстрации, которое вы упоминаете?
"I reported this information with detailed reproduction steps and a video demonstrating the bypass to Apple security team on July 1st, 2020. Apple security team acknowledged and triaged the issue with in few minutes of report."
Вы пишете что скриншот легко подделать, но видео подделать так же легко. Единственный способ убедиться что эксплойт рабочий - повторить его применение. Однако, дыра запатчена и повторить её применение невозможно. Таким образом, даже если бы автор не просто написал бы это словами, но и приложил в общественный доступ видео эксплуатации уязвимости, никто не смог бы подтвердить что это не монтаж а реальный эксплойт, то есть вы хотите невозможного.
Вам остаётся либо верить автору, либо не верить - ни подтвердить, ни опровергнуть его слова (и даже видео, было бы оно доступно) вы (или кто либо другой) не можете.
Однако, дыра запатчена и повторить её применение невозможно.
По логике вещей, сам факт триажа говорит о том,что уязвимость есть, она официально подтверждена и принята в работу, и на этом все размышления о том, была ли вообще уязвимость или нет, должны завершаться.
Другое дело, что исследователь изначально мог налить воды и дать повод для манёвра команде безопасников Apple, чтобы максимально сбить стоимость своей находки.
Проще говоря, как мне кажется: 0 - финансовые ожидания исследователя были сильно завышены изначально (это могло сыграть свою роль ещё в процессе написания отчёта); 1 - его просто кинули на какую-то часть денег.
Я продолжал тестировать уязвимость, чтобы проверить, устранена ли она, уже не полагаясь на них. Я протестировал её 1 апреля 2021 года и понял, что патч уязвимости был выпущен в продакшен, но Apple снова меня никак не проинформировала.
У Apple есть официальный "прейскурант" по уязвимостям, в котором отсутствует $18к и планка начинается с $25к за получение персональных данных, а за контроль над аккаунтом без участия владельца уже $100k, о чём в тексте статьи говорится в разжованном виде. Вы же начинаете придумывать какие-то "завышенные ожидания", наверное основываясь на понятии российского МРОТ.
Так что статья о том, как вы нашли клад стоимостью 100к, а вам за него предложили лишь 18к и вы демонстративно от них отказались так как это очевидное жлобство.
Вы же начинаете придумывать какие-то "завышенные ожидания"
Ссылаетесь на официальный сайт с ориентировочными расценками за баунти, и почему-то упустили едва ли не ключевую деталь:
Bounty payments are determined by the level of access or execution obtained by the reported issue, modified by the quality of the report.
и внизу страницы:
The top payouts in each category are reserved for high quality reports and are meant to reflect significant effort, and as such are applicable to issues that impact all or most Apple platforms, or that circumvent the full set of latest technology mitigations available. Payouts vary based on available hardware and software mitigations that must be bypassed for successful exploitation.
Иначе говоря, на странице указаны цены за эталонные отчёты и весомый импакт найденной уязвимости. Так что его "разоблачающая коммерсов" статья и отказ от 18k$ напоминают как раз завышенные изначально ожидания, а а не акт вопиющей несправедливости.
Ну вот по описанию тут как раз серьёзность проблемы к высшей планке "ценника", а оценили на "плинтус".
Компания могла и не выплачивать максимальную сумму награды за захват аккаунта iCloud (100 тысяч долларов), но должна была хотя бы выплатить близкую сумму, учитывая важность уязвимости.
Ну вот по описанию тут как раз серьёзность проблемы к высшей планке "ценника"
Давайте только не забывать пару важных нюансов:
автор оригинального материала - выходец из Индии, про особенности их менталитета надо что-то напоминать? Заметьте: не ставлю под сомнение навыки и опыт конкретного исследователя, но менталитет своё дело делает, об этом чуть ниже.
ориентироваться на описанное в материале (речть только про оригинал, так как перевод хромой) - это выслушать только одну сторону конфликта, в который втягивается IT-тусовка подобными "разоблачениями".
Далее TL;DR:
After my Instagram account takeover vulnerability, I realized that many other services are vulnerable to race hazard based brute forcing. So I kept reporting the same with the affected service providers like Microsoft, Apple and a few others.
So to exploit this vulnerability, we need to know the trusted phone number as well as their email address to request OTP and will have to try all the possibilities of the 6 digit code, that would be around 1 million attempts (10 ^ 6).
After some testing, I found a few things:
<...> the attacker would require 28K IP addresses to send up to 1 million requests to successfully verify the 6 digit code.
28k IP addresses looks easy if you use cloud service providers, but here comes the hardest part, apple server has a strange behavior when we try to send POST requests from cloud service providers like AWS, Google cloud, etc.
It makes the attack harder for those who rely on reputed cloud services like AWS. I kept trying various providers and finally found a few service providers their network IPs are not blacklisted.
Of course the attack isn’t easy to do, we need to have a proper setup to successfully exploit this vulnerability.
На этом, в принципе, сильная сторона его исследования заканчивается, и, заметим, триаж был спустя несколько минут после уведомления Apple о найденной уязвимости. Дальше весь материал - это ущемлённое Эго, догадки, предположения и отчаяние в виде угроз опубликовать материал без дальнейшего сотрудничества и т.д. и т.п. К вопросу о менталитете. Ошибка автора была в том, что после первой удачи он сразу пошёл сдавать уязвимость, вместо дальнейшего исследования и получения более серьёзных и стабильных доказательств, о чём впоследствии, как видно, сильно пожалел:
If they did patch it after my report, the vulnerability became a lot more severe than what I initially thought. Through bruteforcing the passcode, we will be able to identify the correct passcode by differentiating the responses. So we not only can takeover any iCloud account but also discover the passcode of the Apple device associated with it. Even though the attack is complex, this vulnerability could hack any iPhone / iPad that has 4 digit / 6 digit numeric passcode if my assumption is right.
Since it is now validating the concurrent requests properly, there is no way for me to verify my claim, the only way I can confirm this is by writing to Apple but they aren’t giving any response in this regard.
Иными словами, это просто его догадки как оно могло быть, но уже без возможности узнать наверняка:
Even though the attack is complex, this vulnerability could hack any iPhone / iPad that has 4 digit / 6 digit numeric passcode if my assumption is right.
Обратите особое внимание на эти слова автора:
if my assumption is right
Сотрудники компании, разумеется, такой информацией ни с кем делиться не будут просто в принципе, и на что он расчитывал тут, как опытный баунти-хантер:
by writing to Apple but they aren’t giving any response in this regard
я даже стесняюсь предположить.
Вообще, тут можно отдельную статью писать с разбором оригинала, в качестве примера, когда ожидаемая награда затмила способность мыслить логически.
Вы ушли в какие-то дебри разбора личности вместо разбора сути.
Обратите особое внимание на эти слова автора:
if my assumption is right
Обратите внимание что автор вам сразу же отвечает на это:
Lets say all my assumptions are wrong and Apple passcode verifying endpoint wasn’t vulnerable before my report. Even then the given bounty is not fair looking at the impact of the vulnerability as given below.
Какие дебри, если вместо фактов автор начал лить воду? Факты закончились у него на стадии обращения в компанию. И "личность" к сути имеет прямое отношение, если что.
Even then the given bounty is not fair looking at the impact of the vulnerability as given below.
Как уже выше правильно заметили, корова сама оценивает вкус молока. Это бред. У него на выходе получилась сложноэксплуатируемая уязвимость, нацеленная против единичных пользователей. И 18k$ за это - вполне нормально.
Человек обнаружил некую уязвимость. Написал в поддержку Яббл, получил какой-то ответ, но он его не устроил. Человек написал статью с примерным изложением событий. Другие люди стали обсуждать "да ты ничего не предъявил, у тебя одна вода".
А он что, должен был? Вы всё-таки не поддержка Яббл и в подробности вас посвящать никто не обязывался.
Вы точно на техническом ресурсе, а не на гуманитарном?
Человек написал статью с примерным изложением событий.
Когда речь идёт о цифре, и, тем более, об ИБ/хакинге/ББ, то "примерное изложение" недопустимо. Есть факты, есть PoC, и на основании всего этого и должно составляться описание той или иной ситуации. Тем боее, если изначальный посыл такого материала - это разборы полётов и претензии к кому-то на основании чего-то.
Другие люди стали обсуждать "да ты ничего не предъявил, у тебя одна вода".
Именно по этой причине и стали писать, что там одна вода, потому что так и есть.
А он что, должен был?
Если он взялся в связи с ущемлённым Эго по личной инициативе накидывать говно на вентилятор писать статью, то да, надо было писать всё же по-делу и с минимумом соплей. Иначе статья какуюцель преследует и на какую аудиторию расчитана?
Вы всё-таки не поддержка Яббл и в подробности вас посвящать никто не обязывался.
А я претендую? Вы забавно пытаетесь акценты смещать.
По-моему вы забыли, что это перевод статьи с совершенно другого ресурса, и автор (статьи, а не перевода) совершенно не обязан писать её под вас лично или "высокие стандарты хабра".
Вы можете обсуждать, стоило ли перевод публиковать на хабре или нет, но претензии предъявлять к автору изначального текста - это, извините, "со своим уставом в чужой монастырь".
По-моему вы забыли
С подключением, я изначально говорил об оригинале. Но вы, видимо, не читали ни то, ни другое, ни комментарии, но что-то очень хотите сказать этому миру, хотя сказать по данному вопросу особо и нечего, судя по отсутствию каких-то вменяемых мыслей. Дали ссылку на страницу с расценками по ББ Apple, но как-то упустили всю суть того, что на ней увидели. Вас устраивает "примерное изложение" вместо логики и фактов, а про ББ, видимо, вы только из перевода узнали.
не обязан писать её под вас лично или "высокие стандарты хабра"
При чём здесь я и какие-то "стандарты"? Есть факты, есть вода. Если автор пишет ересь, то конкретно ко мне это отношения не имеет, равно как и к Хабру в целом, но это никак не мешает обсуждению и пониманию (не в вашем случае, как видно, но всё же) что есть что.
Вы можете обсуждать, стоило ли перевод публиковать на хабре или нет
А я обсуждал это? Вы опять какой-то бред пишете и о чём-то о своём рассуждаете, что ко мне и к обсуждаемой теме отношения не имеет.
Если вы изначально говорили об оригинале, то какого чёрта вы пишете
Вы точно на техническом ресурсе, а не на гуманитарном?
?
В рамках ресурса, на котором опубликован был оригинал, какие у вас к нему вопросы? Почему вы их задаёте здесь, мне, а не автору статьи, там?
Если автор пишет ересь
то это ваше личное мнение, с которым я не согласен. На том и закончим этот бессмысленный тред.
Если вы изначально говорили об оригинале, то какого чёрта вы пишете
Если вы не понимаете смысла прочитанного, то я тут ничем не смогу помочь, увы. Зато у вас хорошо получается додумывать за собеседника.
В рамках ресурса, на котором опубликован был оригинал, какие у вас к нему вопросы? Почему вы их задаёте здесь, мне, а не автору статьи, там?
С логикой, как видно, тоже проблемы. Понятно.
то это ваше личное мнение, с которым я не согласен
Без проблем, имеете полное право. По вашим сообщениям без лишних слов понятно, что в данной сфере вы ноль, но почему-то пытаетесь спорить, не подключая хотя бы логику к процессу, что делает общение более эпичным.
На том и закончим этот бессмысленный тред.
Согласен.
$18K это немного в США – два-три месяца прожить (а в Кремниевой долине и того меньше).
Apple сама признала уязвимость, как минимум, для некоторых аккаунтов. Не понятно, в чём противоречие их же полиси.
Пора осознать и признать, что баг-баунти - это, прежде всего, коммерция, и перестать ожидать от таких программ честного и справедливого подхода. Вся эта история про деньги, и тут изначально было ясно, что "этическую" часть будут нагло эксплуатировать в любом случае, рано или поздно.
при выплате справедливого вознаграждения
Коммерция не про справедливость, а про деньги. Да и в финансовом вопросе всё сильно разнится, даже в этом конкретном случае: исследователь хотел 1/4 мульта, а по меркам безопасников Apple эта находка стоит 18 килобаксов. Об объективности тут говорить будет сложно в любом случае.
Согласен с вами полностью, но я сам бывал в подобных ситуациях, которые +/- описаны в материале. По своему опыту уяснил, что сотрудники +/- крупных компаний зачастую вообще не обеспокоены вопросами той же безопасности. Они сидят на приличной зарплате в уютном офисе, у них есть юристы на случай чего, так что вся эта история с «этикой» больше похожа на какую-то игру с элементами цирка, которая иногда этих самых сотрудников компании прилично утомляет.
Наверное, у меня мозги не так устроены, что бы понимать такую логику поведения и, возможно, оттого я технарь по жизни, а не бизнесмен)
А это ещё один нюанс, который заметил по своему опыту: есть большая разница в мышлении, условно говоря, «белых» и «чёрных» шляп. Конфликт начинается с того, что ББ - это поле, якобы, «белых» шляп, со всеми дальнейшими последствиями, и восприниматься вся ифнормация будет соответственно, я бы даже сказал с некоторыми оттенками чего-то идеального, что в реальной практике будет выглядеть совсем иначе.
Но, например мне, всё же трудно понять насколько должно быть всё бюрократически запущено и быть, так скажем, неидеальным, когда исследователь приходит к крупному автогиганту с уязвимостью в системе дистанционного доступа к автомобилю, а производитель мало того что полгода ничего не делает и денег не выплачивает, так потом ещё и в суд подаёт на человека, который всё это опубликовал, так как иначе заставить вендора прикрыть дыру заставить просто невозможно. Это на каком уровне развития должно находится сознание людей принимающие такие решения и организующих программу баунти именно так, что она вместо помощи компании становится мощным и непробиваемым фильтром? И ведь эти люди организуют процессы, которые приносят нам, пользователя, продукты… о безопасности которых лучше не задумываться)
Тут еще причина в том, что в крупных конторах всё сильно забюрократизировано со всеми вытекающими.
Именно, и при таком сценарии даже самые благие начинания будут угасать на фоне всей этой бюрократической канители.
Но, например мне, всё же трудно понять насколько должно быть всё бюрократически запущено и быть, так скажем, неидеальным, когда исследователь приходит к крупному автогиганту с уязвимостью
Если чуть в общем плане взглянуть на картину, то тут я бы выделил ряд нюансов:
исследователи сами согласились на концепцию ББ при всех её заведомо очевидных слабых местах;
те же исследователи прекрасно должны понимать, на чьём поле они играют - это коммерсы, которые, прежде всего, будут думать о деньгах, личной выгоде и будут неплохо так защищены юридически, если вдруг кто-то начнёт устанавливать свои порядки;
сама концепция «этики» - это игра в одни ворота чаще всего, начиная с банального неуважительного общения и заканчивая чем-то в духе того, что описано в материале, когда обесценивается проделанная работа.
Это на каком уровне развития должно находится сознание людей принимающие такие решения и организующих программу баунти именно так, что она вместо помощи компании становится мощным и непробиваемым фильтром?
Это человеческий фактор, и его проявление было более чем очевидно ещё на стадии развития баг-баунти программ как таковых. В остальном это был лишь вопрос времени, когда подобное отношение к независимым исследователям станет повсеместным, наглым и не слишком скрываемым. Сейчас, по сути, этап принятия решения самими специалистами, хотят они и дальше весь этот «Ералаш» поддерживать, или же настало время что-то менять.
И ведь эти люди организуют процессы, которые приносят нам, пользователя, продукты… о безопасности которых лучше не задумываться)
Шатко-валко, но оно же как-то работает :) Многим достаточно и этого примитивного уровня.
Подскажите, пожалуйста, какое приложение автор статьи использовал для отправки HTTP POST запроса и получения ответа на этот запрос. Увидел скрин запроса на картинке.
Какое-то гадливое ощущение от поведения Apple после прочитанного
Такое поведение получается у любой крупной компании, состоящей из более одного отдела и более одного сотрудника в них. По сути, ответы писали очень разные люди по очень разным мотивам и очень разным описаниям проблемы, и в этот раз их поведение сложилось не во что-то «справедливое». Но в целом это вообще случайность - получить ответ на свой сколь-нибудь отклоняющийся от корпоративного сценария вопрос :).
Мы можем отправлять до 6 параллельных запросов IP-адресу сервера Apple (привязав iforgot.apple.com к IP-адресу) с одного клиентского IP-адреса в соответствии с их ограничениями. Как сказано выше, резолвится 6 IP-адресов Apple. То есть с одного IP-адреса мы можем отправлять до 36 запросов на 6 IP-адресов Apple (6 x 6 = 36).
Значит у каждого сервера Apple свой счетчик ограничений, это понятно.
Но выше в статье написано, что аккаунт (не IP) блокируется после пяти неверных попыток ввода кода. То есть аккаунт на всех серверах должен залочиться после проверок 36 кодов суммарно (если параллельные запросы на каждом сервере считаются корректно) либо 180 кодов (если нет).
В этом и заключается уязвимость? Если да, то 18000 долларов за нее более чем достаточно.
Насколько я понял статью, дело тут в том, что запросы параллельные считаются не так как последовательные.
То есть отправил одновременно с 1 000 000 ип адресов запрос, и сервер всем ответит, и лишь после этого обновит счётчик запросов (то есть обновление счётчика происходит не сразу, пропуская запросы близкие по времени отправки)
Скорее всего "гонка данных" заключается в том, что информация о количестве попыток ввода читается с физически распределённых реплик, и если отправить запросы на разные серверы в рамках довольно короткого промежутка времени, эти запросы успеют выполниться до того, как на реплики, с которых читается информация, поступят актуальные данные.
В коментариях несколько раз написано "сложность значительно выше". А почему собственно? Ну т.е. в теории нам надо с 28000 (да хоть с 1000000) адресов отправить запросы. Делаем отправлялку запросов (на основе cURL например) и управляющий сервер. Отправлялку можем хоть через ansible залить довольно быстро на большое количество хостов. Опять-же никто не мешает нам в рамках 1 физической машины запустить множество экземпляров нашей отправлялки запросов каждый из которых будет работать через TOR принудительно для себя делая новый маршрут (получая новую точку выхода). Естественно синхронизируем всё наше добро отправляя не каждому инстансу задачу по очереди, а отправляя всем задачу "в N-часов ровно выполнить запрос M" и ждём, когда выполнит. Ну а далее уже в соответствии с нашей "бизнес-логикой" обрабатываем результат. Т.е. 10 VPS могут выполнить 2800 запросов каждая, адреса будут разные, всё произойдёт в один момент времени. Что-то не учёл или сложность была не в этом?
В коментариях несколько раз написано "сложность значительно выше". А почему собственно?
Вы упростили в своём размышлении ряд деталей, но даже при таком раскладе, выявленная уязвимость для успешной атаки требует довольно замороченной инфраструктуры, поднять которую будет стоить денег. Это раз. Два - это выполнение условия:
It makes the attack harder for those who rely on reputed cloud services like AWS. I kept trying various providers and finally found a few service providers their network IPs are not blacklisted.
И всё это ради:
But, in our case, we don’t have to bruteforce a large number of accounts. Bruteforcing single user is enough to get into their iCloud account as well as finding their passcode.
То есть данная уязвимость предполагает не массовую, а таргетированную атаку на одного пользователя. Более того, которая ещё зависит от ряда условий, не вспоминая про необходимую инфраструктуру.
Айфон жены спокойно разблокирует ее сестра по фэисади и наоборот, хотя они не близняшки и даже не похожи совсем. А декларировали, что различает даже близнецов
А декларировали, что различает даже близнецов
Они этого никогда не декларировали. Если посмотрите даже оригинальное видео, где анонсировали iPhone X и FaceID, там Craig шутит, что телефон можно будет разблокировать, если у вас есть "злой близнец", а также с самого начала была оговорка, что в некоторых случаях близкие родственники могут распознаваться как одно лицо.
https://support.apple.com/en-us/HT208108
The probability that a random person in the population could look at your iPhone or iPad Pro and unlock it using Face ID is approximately 1 in 1,000,000 with a single enrolled appearance. As an additional protection, Face ID allows only five unsuccessful match attempts before a passcode is required. The statistical probability is different for twins and siblings that look like you and among children under the age of 13, because their distinct facial features may not have fully developed. If you're concerned about this, we recommend using a passcode to authenticate.
Не?)
Прочел первый абзац по русски, дальше читал оригинал. Уважаемый
@PatientZero, спасибо за ваш труд! А теперь - ложка дёгтя: чтобы переводить такого рода технические тексты, надо не только уметь в перевод, а ещё и в конкретную область техники, в которой этот перевод вы собираетесь делать. Или хотя-бы консультироваться с техническими специалистами в предметной области.
Надеюсь - критика будет воспринята как конструктивная.
Вы сами выбрали этот путь, выдав уязвимость apple, и надеясь на награду за баунти. Там работают такие-же люди, может разработчики отвечающие за безопасность не хотели это афишировать начальству или еще что-то, здесь много нюансов и "или или". тем более вас игнорили о фиксе данной проблемы, но вы довольно настойчивый и продолжали писать им. Но я веду к тому что, как вы уже и указали, вы просто могли продать эту уязвимость "другим людям", и не тратить на apple время. Тем более они вас кинули, по вашему мнению...
Почему я отказался от 18 тысяч долларов по баунти-программе Apple