Igår berättade vi att Ibrahim Balic, expert på datorsäkerhet, upptäckte en bugg som gjorde det möjligt för honom att komma åt information om Apples anställda, av applikationsutvecklare, men också för vanliga användare. Konton för 73 Apple-anställda och konton för 100.000 XNUMX iTunes-användare åtkoms av Balic genom en sårbarhet i iAd-systemet designat av Apple. Balic upptäckte sårbarheten den 18 juni, tillsammans med 13 andra som senare skickades till Apple, säkerhetsexperten hävdar att förfrågningar som skickas till Apples servrar via iAd Workbench lätt kan manipuleras.
Det är dock synd att videon verkade så definitiv: Efter att ha visat upp bilder på Apples nedlagda Dev Center och företagets officiella svar, visade Balic sedan en mängd filer som verkade innehålla fullständiga namn och e-postadresser. Det verkar ganska fördömligt, men Balic säger att han aldrig gick direkt efter Developer Center-webbplatsen, och all användarinformation han lyfte fram kom från iAd Workbench. Två separata buggar banade väg för en mycket förvirrande video.
Baserat på denna iAd-sårbarhet skrev Balic ett Python-skript som gjorde det möjligt för honom att samla in all data som presenterades igår i ett videoklipp, det vill säga tusentals iTunes-konton och Apple-anställdas. Förutom denna sårbarhet upptäckte Balic att genom en attack av XSS-typ kan portalen dedikerad till utvecklare utnyttjas, han bekräftade att han inte gjorde detta. Även om han för att bevisa sårbarheterna skaffade data från utvecklarna, hävdar Balic att de inte kommer från Dev Center och att han inte tog någon annan data från den portalen, Apple uppgav exakt samma sak igår.
Under hela vårt samtal hävdade Balic att han bara försökte hjälpa Apple. På frågan varför han laddade ner all användardata istället för att bara rapportera felet, säger Balic att han bara ville se hur "djupt" han kunde gå. Om han ville göra sig illa, säger han, skulle han inte ha anmält allt han hittat. För vad det är värt säger han också att han aldrig försökte återställa någons lösenord - det längsta han gick var att mejla en av adresserna han hade upptäckt och fråga om det verkligen var personens Apple-ID. Balic fick inget svar.
Trots uttalanden från utvecklaren, om han verkligen är skyldig till att stänga utvecklingscentret, kan Apple vidta juridiska åtgärder mot honom och stämma honom för de problem som orsakats.
