Tutkija toimittaa Applelle yksityiskohtia (ja korjauksia) avaimenperän virheestä

Turvallisuustutkija on päättänyt toimittaa Applelle tietoja ja korjaustiedoston vakava avaimenperävirhe macOS Mojavessa jonka avulla kuka tahansa voi käyttää tallennettuja käyttäjätunnuksia ja salasanoja.

Linus Henze pidätti aiemmin tiedot protestoidessaan Applen päätöksestä olla tarjoamatta macOS -virheohjelmaa. Nyt hän uskoo, että ongelma on liian vakava, jotta yhtiö voi jättää sen huomiotta.

Henze tarkensi haavoittuvuutta ja ohjelmaa, jonka hän rakensi hyödyntämään sitä viime kuussa. Hänen KeySteal -työkalunsa mahdollisti avaimenperän käyttäjätunnusten ja salasanojen hankkimisen ilman järjestelmänvalvojan oikeuksia macOS: n uusimmassa versiossa.

Henze päätti olla jakamatta yksityiskohtia Applen kanssa tuolloin, mutta hän on muuttanut mielensä.

Apple oppii yksityiskohtia avaimenperän virheestä

"Olen päättänyt toimittaa avainnipun hyödyntämiseni Applelle, vaikka he eivät reagoineet, koska se on erittäin kriittinen ja koska macOS -käyttäjien turvallisuus on minulle tärkeä",

Hämmästyttävää kyllä, Henze lähetti myös Applelle korjauksen ongelmaan, "tietysti ilmaiseksi".

Apple ei yskä macOS -virheiden takia

Jos tämä olisi virhe iOS: ssa, Henze olisi saanut palkkion löydöstään osana Applen vikapalkkio -ohjelmaa. Mutta koska ongelma on macOS: ssä, jolle ei ole palkkio -ohjelmaa, Henze ei saa mitään.

Henze oli rohkaissut muita tutkijoita julkistamaan macOS: ssa löytämänsä ongelmat pidättäytyä yksityiskohdilta Applelta, jotta yritystä voidaan painostaa tarjoamaan macOS -vika palkkioita. Mutta suunnitelma ei tuottanut tulosta.

Apple otti yhteyttä Henzeen kysyäkseen hänen löydöstään, mutta ei vastannut palkkio -ohjelman vaatimuksiin. Henze on nyt antanut periksi varmistaakseen, että ongelma on korjattu ja että macOS -käyttäjät ovat turvassa.

Kuinka estää KeySteal -hyväksikäyttö

Vielä ei ole selvää, käyttääkö Apple Henzen korjausta vai milloin ongelma korjataan Mojavessa. Ei ole raportoitu huonoista toimijoista, jotka käyttävät vastaavia hyökkäyksiä luonnossa, mutta käyttäjät voivat varmistaa, että he ovat turvassa lukitsemalla Avaimenperä lisäsalasanalla.