macOS, password ancora a rischio: nuova vulnerabilità nel Portachiavi

07 Febbraio 2019 217

Il giovanissimo ricercatore tedesco Linus Henze, noto per aver scoperto in passato vulnerabilità anche gravi di vari prodotti software Apple (soprattutto iOS), ha pubblicato un video in cui dimostra la possibilità di estrarre tutte password contenute nel Portachiavi di macOS, semplicemente eseguendo un'applicazione scritta ad hoc.

A detta di Hanze, l'exploit riesce con le aree System e Login, anche di altri utenti dello stesso Mac, ma non con quella iCloud, che usa un sistema di salvataggio dei dati diverso; è compatibile con l'ultima versione di macOS, la 10.14 Mojave, e con quelle precedenti. L'applicazione non richiede l'accesso a livello amministratore, e funziona anche se sono attive delle liste di controllo accessi (ACL). La vulnerabilità sembra molto grave, anche se il video è l'unica documentazione disponibile e quindi molti dettagli restano da capire (per esempio, cosa bisogna fare per installare quest'applicazione?).

La notizia sta facendo scalpore anche per alcune implicazioni "politiche" ed etiche - alla base delle quali c'è anche la scarsa disponibilità di documentazione. Hanze si è limitato a rilasciare il video su YouTube, ma non ha divulgato i dettagli tecnici ad Apple: il ricercatore ha deciso di procedere in questo modo in segno di protesta nei confronti del colosso di Cupertino, il cui programma di ricompensa per i bug di sicurezza scovati riguarda solo iOS, escludendo macOS. In altre parole, Hanze non sarebbe pagato se rivelasse i dettagli dell'exploit ad Apple, e quindi in sostanza avrebbe lavorato gratis.

Non è la prima volta che il Portachiavi di macOS è stato violato. Nel 2017 il ricercatore Patrick Wardle aveva realizzato un exploit molto simile. Wardle ha anche verificato con successo (per conto di Forbes) la legittimità dell'exploit di Hanze. Al momento Apple non è intervenuta pubblicamente sulla vicenda.


217

Commenti

Regolamento Commentando dichiaro di aver letto il regolamento e di essere a conoscenza delle informazioni e norme che regolano le discussioni sul sito. Clicca per info.
Caricamento in corso. Per commentare attendere...
jeeg

è si ha parlato alex l'espertone infomatico, ma sparisci

Max

WOW, non lo sapevo. incredibile.

fabbro

ahahahaha, certo!!!

alex

Non uso antivirus dal 98, da quando non utilizzo più windows e sinceramente di un software succhia risorse che sniffa ed analizza ogni singolo file che apro e pacchetto che entra non ce n'è alcun bisogno

sagitt

Vabbè qualunquismo a gogo

alex

Non sai c4zzo di niente e parli pure, che pena

RiccardoC

ok, ti inviterei giusto ad evitare espressioni tipo "hai capito zero"

Doncoco

Ma scusate, i mac non dovrebbero avere il chip T2 che cripta e manda nell'iperspazio i codici codificati dalla codifica del codice ?
No, seriamente, a sto punto il chip T2 minghie fa?

fabbro

investire di piu non vuol dire ottenere risultati migliori.Se gli interessasse la sicurezza offrirebbero cifre consone per i bug, invece ti danno due spicci.Che ogni software possa avere bug è scontato, ma apple ultimamente cade in facili errori che denotano non ci sia una corretta fase di test prima del rilascio o che se ne freghino dei bug e rilascino comunque.Rassegnatevi, apple non è migliore delle altre, i loro valori aggiunti sono stati svenduti a fare dei bilanci.

davide

non è che apple è alla fine, dedica meno risorse e meno attenzione allo sviluppo software rispetto ai tempi di jobs...e soprattutto ancora meno a mac os. Tanto per loro i mac non sono mai stati punta del marketing, per i margini risicati. A loro interessa vendere iphone

Bastian Contrario

La cosa che fa inca--are è che Apple ha talmente tanta considerazione di macOs da non aver mai istituito neppure un programma di Bug Bounty.

Sono fortunati che la gente glieli trova gratis, altrimenti sai che risate.

Bastian Contrario

Il programma di Bug Bounty attualmente non coinvolge macOS, solo iOS.

Per questo il tizio in notizia non comunicherà ad Apple il bug in questione.

IlRompiscatole
Lokotto

Me lo dici tutte le volte ma Max mi odia quindi mi sembra impossibile che si metta a scherzare con me :)

Marco SoC

Ahahah, tieni presente che max e spamtoss sono la stessa persona

jeeg

ok sei un tr0ll" ci sono piu mac infetti oggi che windows xp allora

boosook

È in effetti difficile che te lo rubino, ora io non sono esperto a sufficienza per quantificare o per conoscere quali attacchi ci possano essere sull'autenticazione a due fattori. Il punto è che le note di keep non sono criptate. Quindi boh, c'è comunque un fattore in più di rischio. Ti rubano il cellulare o il pc e riescono a sbloccarlo in qualche modo... qualche impiegato infedele di Google non rispetta le norme sulla protezione dei dati (non so se loro abbiano la possibilità di leggerle o meno, forse no, ma non ci metterei la mano sul fuoco). I dischi rigidi dei tuoi PC sono tutti criptati? Perché altrimenti se te lo rubano potrebbero riuscire a accedere a Windows e lì sei già autenticato. Magari sono paranoico io, ma personalmente non memorizzerei le password in un qualcosa di non criptato, perché sono troppo importanti e la prudenza non è mai troppa. Poi è chiaro che dipende anche da quali password, un conto è se sono quelle di disqus o facebook, un altro se memorizzi PayPal o numeri di carta di credito. Cosa ti è scomodo dell'app? Comunque se sono password web, a questo punto meglio memorizzarle direttamente in Chrome.

Gieffe22

signore perdonalo...

poltiglia

OT: Un amico di un mio cliente vende un IPhone X, ha ancora AppleCare valida fino a marzo 2020, verificata con IMIEI sul sito di Apple. Ma il prezzo è veramente troppo basso. Qualcuno può spiegarmi se avendo la AppleCare attiva sono sicuro da qualsiasi tipo di "sola"? O potrebbe comunque esserci qualcosa sotto?

Tony

è si credici! e poi la maggiorparte degli account viene rubata dai cookie semplicemente visitando siti con script malevoli ingannando il browesr di buggato turno! Se non ti proteggi poi non lamentarti che ti usano i tuoi servizi come succede a milioni di persone di qualsiasi sistema operativo senza le dovute precauzioni.

AbstractBit

Il software Android è fatto per essere bucato. Altrimenti Google e colleghi avrebbero già chiuso.
Quello Microosft è fatto a suo modo per motivi storici. Deve mantenere Microsoft e i produttori dei computer, per cui, forse è messo peggio di quello Android....

AbstractBit

Negli ultimi quaranta anni, Windows è stato fatto secondo certi standard interni a Microsoft. Tra di essi c'è il segreto industriale, anche tra i vari gruppi di programmazione. Significa che se chi ha scritto il codice prima di te ha fatto qualche errore, tu non puoi segnarlo se te ne accorgi perchè rischi il licenziamento per violazione di segreto industriale.

Di solito gli errori si propagano nel codice, il software perde di qualità e "crasha".Se non ci sono troppe righe da verificare, dall'alto viene l'autorizzazione ad aprire quel codice e a cercare il baco o i bachi. In caso contrario, si lascia perdere e si fa una nuova versione. Qualche maligno sostiene, da quaranta anni, che viene tolto qualche errore e, prontamente , ne viene aggiunto qualcun altro......

AbstractBit

La mia scritta In simil italiano è un errore d'errore. E' la crasi di due frasi che si sono annullate a vicenda.Quanto da te riportato sono i loro resti mortali. Sul resto, devo dire che non hai tutti i torti....

e.Mac

Ad ogni major release aumentano i bug, è incredibile l’involuzione di macOS sotto questo punto di vista (e lo dico da utilizzatore)

AbstractBit

Convinto tu....

AbstractBit

Di solito lo SSD ti si brucia quando cerchi di barare con la garanzia....I tuoi taroccamenti falli a garanzia scaduta.....

AbstractBit

L'informatica è un'altra cosa. Informati.

AbstractBit

Sono al sicuro. Se ti becchi qualcosa è perchè l'hai voluto tu. Punto.

Aster

Non fare disinformazione :)

Aster

Keepass

Aster

E chi ti ha mentito che non ci sono su sistemi unix?!

Aster

No lui sa tutto

Aster

:)allora è vero è una religione

Aster

Bravo ,non conservo mai le password in locale ms se dovessi preferisco un software open source come keepass

Fabio

Come possono rubarmi un account google a 2f, non è impossibile o quasi? Inoltre non vanno miva a guardarmi le note, no?
Non posso criptare i caretteri del documento con un programma sul pc e lasciare la nota così com'è (più comodo per me)? Come posso fare?

boosook

Bello leggere i commenti degli Apple fan che minimizzano un bug gravissimo come la compromissione del keychain. Fosse successo su un qualsiasi altro os, avreste fatto fuoco e fiamme.

boosook

Ma perché keep? No, non è sicuro, o meglio, non abbastanza. Oltretutto è infinitamente più scomodo rispetto a usare un'app dedicata. Scarica Keepass2Android che ti sincronizza il file delle password con Google drive. Perlomeno aggiungi un ulteriore livello di sicurezza visto che il file è criptato. Scegli una password lunga e complessa, e abilita l'opzione per sbloccare inserendo solo gli ultimi tre caratteri. In questo modo hai una password forte (se ti rubano il file, resiste meglio agli attacchi di decifrazione), ma puoi sbloccare facilmente e in maniera sicura (indovinare tre caratteri a mano è estremamente difficile).

boosook

La mia azienda. Ma forse nel dipartimento sicurezza sono tutti cialtroni, no? ;)

Lupo1

Ma pure su Windows non serve se non sei un pirla...

Matteo

https://uploads.disquscdn.c...

Matteo
Matador

Mah, guarda che chi ha un Mac "generalmente" dovrebbe anche avere più soldi, quindi gli attacchi a quella piattaforma dovrebbero cmq essere tanti.
Anche se probabilmente ti fa rodere il fegato, Mac OS rimane un sistema sicuro (più di Windows versioni precedenti al 10 sicuramente), Windows solo con 10 si è messa sulla giusta carreggiata.

alex

Sono abbastanza informato sull'argomento, grazie

alex

Sicuramente non li hai visti in sistemi Unix come macOS, Linux, BSD ecc...

In Windows ce ne sono (stati) eccome. Mi ricordo XP che si infettava DA SOLO dopo pochi minuti, semplicemente collegandolo alla rete.

Se faccio un programma e lo chiamo "GiocoPiuBelloDelMondo.exe" che cancella tutti i file sul disco, secondo te è un virus?

Matador

L'ho sempre pensato.

Kimo Timonen

Macché nuovo, è uno dei soliti cretini. Ad ogni giro mi compaiono nomi che non ho mai bloccato e cambiano sempre.. eppure mi risultano bloccati.. fai te

The frame

MacOS sempre top

jeeg

ma che stai a di! non ho mai visto virus che si installano da soli in nessun os, è sempre l'utente che fa malanni

sagitt

scarsa? è forse l'azienda che ci investe più di tutte.
semplicemente ogni software ha dei bug, più o meno gravi.
quando scommetti che questo nel breve sarà tappato e fine storia?

Lightning

Te pensa che quelli di tesla ti regalano un'auto se gli becchi una vulnerabilità

Recensione Apple iPad Pro 12.9 (2018): può essere il tuo computer?

Apple iPhone XR: recensione e confronto con iPhone X ed iPhone XS Max

MacBook Air risorge: è tutto nuovo e con Retina Display da 13,3" | Prezzi Italia

Apple iPad Pro 11" e 12,9" ufficiali: A12X Bionic, Face ID, USB-C e Pencil 2