Zneužitie KeySteal: Chyba systému MacOS Mojave ohrozuje heslá pre kľúče Mac

Nová chyba objavená v systéme macOS Mojave ohrozuje vaše citlivé údaje kľúčenky.

Jeden výskumník bezpečnosti predviedol exploit, ktorý by mohol komukoľvek umožniť prístup k uloženým používateľským menám a heslám bez prístupu správcu. Podrobnosti však s Apple zdieľať nebude, pretože v ponuke nie je žiadna odmena.

Prostredníctvom jeho bug bounty program, Apple kašle na odmeny, keď ľudia objavia vážne chyby systému iOS. Rovnaký mechanizmus sa však nevzťahuje na macOS. Preto výskumník Linuz Henze neodhalí detaily novoobjavenej chyby v Mojave.

Zdá sa však, že Henze - ktorý získal dobré výsledky pri identifikácii problémov so systémom iOS - ukazuje svetu presne to, čo zraniteľnosť umožňuje. A nie je to dobré.

Zneužitie KeySteal ukradne heslá pre kľúče Mac

Pomocou programu Henze volá KeySteal a úspešne zachytil používateľské mená a heslá uložené na kľúčenke macOS bez prístupu správcu.

Nie je rozdiel, ak zoznamy riadenia prístupu sú na mieste na stroji. Počítače Mac Ochrana integrity systému ani tomu sa nedá zabrániť.

Tu je krátke video KeySteal v akcii:

Henze hovorí, že exploit je možné použiť na prístup ku všetkým položkám v kľúčenkách „prihlásenie“ a „systém“. Nemôže však získať prístup k údajom v iCloud Kľúčenke, ktorá ukladá informácie inak.

Výskumník bezpečnosti chce vyvinúť tlak na Apple

Henze nezverejní svoje zistenia spoločnosti Apple kvôli svojej frustrácii z nedostatku programu odmien za chyby v systéme macOS. Povzbudzuje ostatných vedcov, aby tiež verejne zverejnili problémy s bezpečnosťou, aby mohli vyvinúť tlak na spoločnosť Apple, aby urobila zmenu.

Nie je jasné, či si Apple je vedomý tohto konkrétneho problému v Mojave - existuje však niečo, čo môžu používatelia urobiť, aby sa chránili.

Ako zabrániť zneužívaniu KeySteal

Zneužitia, ako je KeySteal, môžete zablokovať zamknutím prihlasovacej kľúčenky ďalším heslom. Musíte to urobiť ručne, pretože v systéme macOS nie je predvolene chránený. Oprava nie je ideálna, pretože znamená nekonečné výzvy na zadanie hesla pri používaní počítača Mac.

Je to však zatiaľ jediná oprava tejto zraniteľnosti systému macOS. Ak sa teda problému obávate, je to vaša jediná voľba.

Cez: Heise