O operačních systémech od Applu se obecně hovoří jakožto o jedněch z nejbezpečnějších, ne-li nejbezpečnějších systémech, ke kterým se může běžný smrtelník vůbec dostat. Ani jim se však bohužel nevyhýbají bezpečnostní chyby, které umožňují k datům, která nejsou určena pro nikoho cizího, vcelku jednoduchý přístup.
Mohlo by vás zajímat
Bezpečnostní pracovník Linuz Henze tento týden ukázal světu video, na němž demonstruje údajnou schopnost získat v macOS Mojave neoprávněný přístup k heslům, uloženým v Klíčence na Macu. Zároveň dodal, že z protestních důvodů nehodlá svá zjištění sdílet přímo se společností Apple. Ta za svůj přístup k chybám ve svých systémech opět sklízí v poslední době kritiku.
Henze již dříve odhalil četné bezpečnostní chyby v operačním systému iOS, proto je obecně považován za spolehlivý a důvěryhodný zdroj. Podle svých vlastních slov je frustrován faktem, že bug bounty program společnosti Apple se zaměřuje pouze na operační systém iOS a nikoliv macOS – právě to je důvod, proč se rozhodl, že se o své poznatky, týkající se nově objevené chyby, s Applem nepodělí.
Na videu níže můžeme vidět, že k provedení útoku není zapotřebí administrátorských ani žádných dalších podobných oprávnění, přístup k heslům v Klíčence na Macu je údajně možné získat i u počítačů s aktivovanou Ochranou integrity systému. Web Heise.de dále uvádí, že v rámci útoku lze získat přístup ke všem položkám v sekci „Přihlášení“ a „Systém“ v Klíčence. Přesný postup, jak chybu využít, vám však samozřejmě kvůli tomu, že ještě není opravena, servírovat v textové podobě nebudeme.
Jak se chránit?
Co se týče Klíčenky na iCloudu, ta údajně chybou ohrožena není, protože ukládá hesla odlišným způsobem. Jedinou zatím známou obranou je zabezpečení samotné Klíčenky ještě jedním heslem, nejedná se však zrovna o jednoduchý a snadno přístupný postup. Zabezpečení Klíčenky heslem navíc vede k sérii nekonečných ověřovacích dialogů v průběhu používání macOS. Společnost Apple zatím není o problému oficiálně informována.
Video KeySteal Linuze Henzeho:
Je prakticky jasné, že na začátek roku 2019 nebude Apple vzpomínat s láskou. Je tomu totiž jen pár dní, co se na světlo světa dostala chyba z iOS 12, konkrétně ve skupinových hovorech FaceTime. Ta umožňovala odposlouchávat příjemce hovoru, aniž by on příchozí hovor vůbec zvedl. Apple na celý problém reagoval okamžitým vypnutím serverů pro tuto službu a slibem, že opravný update vypustí do pátku 1. února, nicméně nestalo se tak.
Takto to vypadalo, když Apple vloni v červnu představoval macOS Mojave:
Fotogalerie
Omg, to je amatéřština. Ta aplikace vyžaduje přístup k údajům v klíčence. Ten týpek jí dal přístupy pomocí svého hesla a potom už je aplikace schopná tahat některé údaje z klíčenky. To ale ve videu samozřejmě není :)
Trapné video
Dobře ale pokud jsem to pochopil správně tak to jde získat pouze v případě že se „útočník“ přihlásí na účet. No a není jednodušší zadat to heslo do klíčenky rovnou?
Ta aplikace si může vytahat obsah keychainy a odeslat si to k sobě na server. Ale pokud je člověk tak blbej a dá práva nějaké podvné aplikaci, která nepochází ze storu, tak si nic jiného nezaslouží
Bravo Apple :D jen tak dal no ja to cekal ze Apple jde do Sracek
Chtěl jsem dát Mojave šanci, ale vůbec se mi nepovedlo rozeběhnout klíčenku z iCloudu. Synchronizace klíčenky prostě nešlo zapnout a tak zůstávám na High Sierra :( Avšak vzhledem k tomu jak mizerně běží Mojave na iMacu 2013 s točivým diskem, tak stejně raději počkám na nový iMac (čeká se už víc jak 600 dní) a nebo na nový macOS.
Divny, ja zkousel Mojave na Mini zhruba ze stejny doby a cekal jsem ze to s tou plotnou bude mnohem horsi.