Ένας ερευνητής ο οποίος ανακάλυψε ένα bug το οποίο του επιτρέπει να κλέψει passwords από το λειτουργικό δεν δίνει τα αποτελέσματα της έρευνας στην Apple δίχως να ενσωματωθούν αυτά σε ένα πρόγραμμα bug bounty γα το MacOS.
Ο Linus Henze ανακάλυψε ένα νέο zero day στο διάσημο λειτουργικό σύστημα της αμερικανικής εταιρίας από το Κουπερτίνο το οποίο θα επέτρεπε σε έναν χρήστη να αποσπάσει κωδικούς από το σύστημα δειχείρισης κλειδιών ενός Mac. Όμως, καθώς η Apple δεν έχει κάποιο bug bounty πρόγραμμα (δηλαδή την επί πληρωμή αναφορά των bugs από ανεξάρτητους ερευνητές ασφαλείας) ο Linus αρνείται να υποβάλλει τα στοιχεία της έρευνάς του.
Το Keychain Access είναι το σύστημα διαχείρισης κωδικών του macOS το οποίο διατηρεί διάφορα κρυπτογραφημένα passwords για υπηρεσίες όπως το Facebook ή το Twitter.
O ερευνητής ανέφερε μεταξύ άλλων πως η ευπάθεια εντοπίζεται στα επίπεδα πρόσβασης στην ερφαρμογή και του επιτρέπει να εξάγει τα τοπικά passwords χωρίς διαχειριστικό λογαριασμό και χωρίς να υπάρχουν prompts για να εισάγει διαχειριστικούς κωδικούς.
Remember KeychainStealer by @patrickwardle which can steal all your keychain passwords?
While his vulnerability is patched now, I've found a new one, affecting macOS Mojave and lower.
More information can be found in my video:https://t.co/wBQL2s6v7z#OhBehaveHack #OhBehaveApple— Linus Henze (@LinusHenze) February 3, 2019
Ο Henze βάφτισε την proof-of-concept επίθεση την οποία δημοσιοποίησε “KeySteal” και δεν θα δώσει στη δημοσιότητα τα ευρήματά του εάν δεν ενταχθούν σε ένα πλαίσιο bug bounty όπως αυτό που υπάρχει για το iOS.
Σύμφωνα με μια αναφορά από το Forbes, ο Henze είναι ένας 18χρονος Γερμανός που έχει ανακαλύψει και άλλα bugs του λειτουργικού της Apple, τόσο για κινητές όσο και σταθερές συσκευές.
Ο γνωστός ερευνητής ασφαλείας Patrick Wardle δημοσιοποίησε χθες το βίντεο του Henze και ανέφερε πως πρόκεται για ένα “αξιαγάπητο” bug ενώ συνέστησε στους χρήστες να κλειδώσουν χειροκίνητα το keychain τους ή να χρησιμοποιήσουν κάποιο ειδικό password για αυτό.
Ακολουθήστε το Techmaniacs.gr στο Google News για να διαβάζετε πρώτοι όλα τα τεχνολογικά νέα. Ένας ακόμα τρόπος να μαθαίνετε τα πάντα πρώτοι είναι να προσθέσετε το Techmaniacs.gr στον RSS feeder σας χρησιμοποιώντας τον σύνδεσμο: https://techmaniacs.gr/feed/.
