研究人员称沙特政府应用在发布时将银行密钥与密码“2”一并发布
Zachi 表示，在他 9月8日披露之前，Saudi National Bank 的凭证、客户端 ID 和密钥已被移除并轮换。
By Ryan Merket · Published
Primary source: X
为何重要
移动应用包是公开的制品。将可重用的银行凭证包含在其中并发布，可能会在数百万份副本中暴露与该密钥关联的所有权限。
Zachi (@iam_zachi) 表示，一个安装量超过 1000 万次的沙特政府移动应用中包含了属于 Saudi National Bank 的一个私钥，该私钥仅由单字符密码“2”保护。
该开发者兼安全研究员在9 月 8 日发布了他的说明，并称该凭证已被替换、泄露已被修复。他在这条三帖线程中并未公布私钥本身。
在更早的一篇帖子中，Zachi 表示在对该政府应用进行逆向工程时发现了一个私有银行证书文件、一个 client ID 和一个 client secret。他声称这些凭证具有足以清空与该集成关联的银行账户的权限。该影响主张仍是 Zachi 的技术评估，而非已展示的交易行为。
这种区分很重要，因为私钥的作用范围取决于接收系统允许其持有者执行的操作。私钥可以用来认证客户端或以该客户端身份对请求进行签名。相关账户、API 权限、交易控制和服务器端检查决定了最终的访问权限。曝光仍需立即撤销凭证，因为任何提取出可重用密钥的人都可以尝试冒充该凭证的合法所有者行事。…
When you purchase through links in our articles, we may earn a small commission. This doesn’t affect our editorial independence.