News macOS High Sierra: Sicherheitslücke erlaubt root-Zugriff auf Mac

[Zhan]

Meine Güte, also sowas darf echt nicht passieren.

Naja, Patch da ... entferne ich jetzt die ganzen gesetzten Rootpasswörter wieder auf meinen Kisten, oder lasse ich sie lieber drauf ...

 

[Jesterfox]

Da haste von der Installations DVD gebootet und dann konnte man das Passwort gegenein neues tauschen bzw entfernen.

Per Bootmedium sind eigentlich alle Systeme angreifbar wenn ihre Volumes nicht vershlüsselt sind.

Das Problem hier war wohl das der Loginversuch bei einem Benutzer der kein Password hat irgendwo fehlgeitet wurde und in einer Passwortmigrationroutine landete die dann das eingegeben Passwort beim Benutzer gesetzt hat. Deswegen konnte man sich ab dem zweiten mal dann einloggen.

 

[Kharne]

Sobald jemand physischen Zugriff hat, hast du eh verloren.

 

[T3rm1]

Was ist das denn für ein Arschloch? Zur Meldung solcher Lücken gibt´s nen etablierten Prozess - sowas einfach über Twitter rauszuposaunen ist schlicht und ergreifend dämlich bis grenzdebil.

Er hat's genau richtig gemacht. Nur so kann man den Druck auf Unternehmen erhöhen. Wenn sie schlampig arbeiten, müssen sie die Konsequenzen tragen. Und wenn sie daran zugrunde gehen. Das ist nur fair.
Und es hat dazu geführt, dass die Schwachstelle plötzlich ganz schnell behoben wurde.

 

[B.XP]

Sobald jemand physischen Zugriff hat, hast du eh verloren.

Aber man kann es einem Angreifer so schwer wie möglich machen.
"root" zu tippen und dann ein paar male auf login, das ist eher so Security auf dem Niveau von Windows 95, das ist richtig haarsträubend und sagt was über den Qualitätsanspruch dieses Ladens aus. Es ist ja nicht unbekannt, dass MacOS seitens der SW-Qualität eigentlich verdammt unsicher ist und nur von der Abwesenheit an Angriffen profitiert.

Btw. Verschlüsselungstrojaner die dann im Namen des Nutzers gestartet werden brauchen gerade keine Adminrechte. Das macht sie ja so fies. Man muss ja keine Treiber oder das System ändern, sondern nur einfach alles verschlüsseln was dem Nutzer wichtig ist - und dahin kommt man auch logischerweise als Nutzer OHNE Adminrechte. Der einzig wirksame Schutz dagegen ist mounten nur bei Bedarf, wozu es dann aber je nach Systemkonfiguration dann die besagten Adminrechte braucht ...

 

[Jesterfox]

@B.XP: wenn das stimmt was ich irgendwo (hab den Link leider nimmer) gelesen hab über die Ursache stimmt dann war es einfach nur ein besch...eidener Bug mit dem keiner gerechnet hat.

Gute Tests die alle Fälle abdecken zu definieren ist übrigens gar nicht so einfach. Von daher kann so etwas schon mal durchrutschen, auch wenn man eine gute Testabteilung hat. Denn das ein Login beim ersten mal fehlschlägt dürfte von den Tests abgedeckt sein. Das es beim zweiten mal mit dem selben Passwort (egal ob leer oder was anderes) plötzlich funktioniert... auf die Idee muss man erst mal kommen.

 

[teufelernie]

Kotzt mich an...nach iOS 11, das anfangs auf einem neuen iPhone unbenutzbar war (Akku, Ruckeln etc.) sowas...
Irgendwie lässt die Qualität rapide nach bei Apple...hoffe die fangen sich wieder.

Nein. Der Mann vor dem alle dort Angst und einen Heidenrespekt hatten, der immer ins Detail ging, überall seine Finger drin hatte und jetzt tot ist, scheint unersetzbar. Steve Jobs.

 

[Seiyaru2208]

@teufelernie

Auch unter Jobs gab es Fehler und fragwürdige Design Entscheidungen zum Beispiel AntennenGate

Und ich glaube kaum das jobs düsen Fehler entdeckt hätte, die Frage ist allgemein welcher normal denkende würde stumpf versuchen wiederholt Root einzugeben?

 

[Dezor]

Er hat's genau richtig gemacht. Nur so kann man den Druck auf Unternehmen erhöhen. [...] Und es hat dazu geführt, dass die Schwachstelle plötzlich ganz schnell behoben wurde.

Ich finde sein Verhalten definitiv falsch. Er hätte den Fehler mMn direkt an Apple melden müssen und schreiben, dass er ihn nach 24 oder 48 h öffentlich gemacht hätte. Das hätte ebenfalls den Druck erhöht und wenn Apple den Fehler nicht behoben hätte, hätte man ihn immer noch auf Twitter o.ä. veröffentlichen können.

Wenn mein Nachbar den Schlüssel von außen in der Tür vergisst, dann teile ich das ihm persönlich mit und schreibe es nicht öffentlich auf Twitter oder Facebook.

 

[B.XP]

@B.XP: wenn das stimmt was ich irgendwo (hab den Link leider nimmer) gelesen hab über die Ursache stimmt dann war es einfach nur ein besch...eidener Bug mit dem keiner gerechnet hat.

Gute Tests die alle Fälle abdecken zu definieren ist übrigens gar nicht so einfach. Von daher kann so etwas schon mal durchrutschen, auch wenn man eine gute Testabteilung hat. Denn das ein Login beim ersten mal fehlschlägt dürfte von den Tests abgedeckt sein. Das es beim zweiten mal mit dem selben Passwort (egal ob leer oder was anderes) plötzlich funktioniert... auf die Idee muss man erst mal kommen.

Ja das ist mir schon klar. Wenn man "Bug"-Erklärung glauben will muss man schon mehr als zwei Augen zudrücken. Das sieht für mich mehr nach einer Backdoor der ganz ganz GANZ alten Schule aus. Ich will garnicht wissen wie das Netz reagiert hätte, wenn das ganze in einem Microsoft-Produkt gewesen wäre. Das das ganze technisch nicht ganz ohne zu testen ist mag sein, auf der anderen Seite hat Apple ein Barvermögen im dreistelligen Millionenbereich auf der hohen Kante, die sollten sich aufwändige Tests leisten können.
Wer sowas scheut, sollte sich darüber Gedanken machen, ob er tatsächlich autonome Fahrfunktionen entwickeln will.

 

[Fliz]

hat Apple ein Barvermögen im dreistelligen Millionenbereich auf der hohen Kante,....

Milliarden..

Wahrscheinlich reagiert bei Apple keiner auf Emails und deswegen fand ich den Weg über Twitter auch am besten. Ist ja jetzt gefixt und bei dem krassen Problem kanns ja nicht schnell genug gehen.

 

[IIIIIIIIIIIIIII]

Zumindest hat man es relativ zeitig eingestanden und einen Fix herausgebracht - besser als bei Yahoo und Uber.

 

[iSight2TheBlind]

Ich finde sein Verhalten definitiv falsch. Er hätte den Fehler mMn direkt an Apple melden müssen und schreiben, dass er ihn nach 24 oder 48 h öffentlich gemacht hätte.

War zuerst auch meine Meinung, DaringFireball fasst die Sache jedoch sehr schön zusammen und der Typ hat die Lücke zwar verbreitet, sie aber nicht veröffentlicht.
Veröffentlicht wurde sie vor (mindestens) zwei Wochen in einem offziellen Apple-Entwicklerforum und der Typ der es jetzt verbreitete hat Apple wohl auch vor der Verbreitung bereits kontaktiert.

Da die Lücke jedoch schon längst im Internet stand und er auch nicht im IT-Securitybusiness ist (und damit irgend einem Ehrenkodex verpflichtet wäre) geht die Veröffentlichung eigentlich schon in Ordnung.

 

[Shoryuken94]

Ich finde sein Verhalten definitiv falsch. Er hätte den Fehler mMn direkt an Apple melden müssen und schreiben, dass er ihn nach 24 oder 48 h öffentlich gemacht hätte. Das hätte ebenfalls den Druck erhöht und wenn Apple den Fehler nicht behoben hätte, hätte man ihn immer noch auf Twitter o.ä. veröffentlichen können.
/QUOTE]

Der Bug war ja schon zwei Wochen lang bekannt. Den Fehler konnte man im Netz vorher schon finden. Im Grunde hat er es genau richtig gemacht. Plötzlich konnte man die Lücke innerhalb von ein paar Stunden schließen ^^ Zumal er viele Nutzer darauf aufmerksam gemacht, welche sich dann durch ein eigenes Root Passwort schützen konnten. Wer weiß, wie lange der fehler schon in entsprechenden Kreisen bekannt war...

 

[Autokiller677]

Aber man kann es einem Angreifer so schwer wie möglich machen.
"root" zu tippen und dann ein paar male auf login, das ist eher so Security auf dem Niveau von Windows 95, das ist richtig haarsträubend und sagt was über den Qualitätsanspruch dieses Ladens aus. Es ist ja nicht unbekannt, dass MacOS seitens der SW-Qualität eigentlich verdammt unsicher ist und nur von der Abwesenheit an Angriffen profitiert.

Machst du selber Softwareentwicklung oder erzählst du nur schön durch die Gegend? Apple wird auf jeden Fall eine Testabteilung haben, die automatisiert und manuell solche Tests durchfahren - ansonsten ist eine Software von der Größe eines OS schlicht unbenutzbar, weil jeder zweite Klick Fehler verursacht. Aber mehrfach mit dem gleichen falschen Passwort versuchen, auf einen deaktivierten Account - ich hätte so ein Szenario im Testplan auch nicht unbedingt drin.

Ansonsten: Kannst du auch belegen, dass MacOS angeblich so unsicher ist, oder ist das auch nur heiße Luft? MacOS und iOS bauen im Inneren auf's gleiche System auf, und es gibt mehr als genug Versuche iOS zu knacken. Da kann man sicher nicht mehr von einer Abwesenheit von Angriffen sprechen.

Ja das ist mir schon klar. Wenn man "Bug"-Erklärung glauben will muss man schon mehr als zwei Augen zudrücken. Das sieht für mich mehr nach einer Backdoor der ganz ganz GANZ alten Schule aus. Ich will garnicht wissen wie das Netz reagiert hätte, wenn das ganze in einem Microsoft-Produkt gewesen wäre. Das das ganze technisch nicht ganz ohne zu testen ist mag sein, auf der anderen Seite hat Apple ein Barvermögen im dreistelligen Millionenbereich auf der hohen Kante, die sollten sich aufwändige Tests leisten können.
Wer sowas scheut, sollte sich darüber Gedanken machen, ob er tatsächlich autonome Fahrfunktionen entwickeln will.

Manchmal hilft ein kleines bisschen Recherche.
https://objective-see.com/blog/blog_0x24.html
Da wird erklärt, wodurch diese Lücke möglich wurde. Im Endeffekt wurde an einer einzelnen Stelle ein Rückgabewert nicht überprüft. Dadurch hat eine Funktion nicht mit Fehler abgebrochen, wie sie sollte, sondern eine "Passwort neu setzen" Prozedur ausgelöst. Natürlich kann das eine bewusste Backdoor sein. Ich halte einen solchen Fehler aber als Versehen deutlich wahrscheinlicher, ist halt ein klassischer Fall von "Programm tut alles, was es soll", man sucht also keinen Bug mehr, in Verbindung mit an einer Stelle einfach 2 Zeilen Code vergessen. Solche Fehler passieren jedem Programmierer.

 

[Kharne]

Solche Fehler passieren jedem Programmierer.

Und rutschen durch automatische und manuelle Tests und Reviewprozesse durch - bis der Fehler einmal aufgefallen ist zumindest

 

[Extrema]

Sobald jemand physischen Zugriff hat, hast du eh verloren.

Es gibt da jedoch ausnahmen. Das Sicrypt System von Fujitsu/Infineon bietet für Business Geräte ob nun Computern oder Notebooks einen Kartensteckplatz welches die Sicherheit des Gerätes Signifikant erhöht. Im zusammen Spiel mit verschlüsselten Datenträgern sehr schwer zum umgehen oder gar nicht erst möglich.

Ohne Admin Sicryptcard kann man die Mainboards von den Systemen nur noch ausbauen und entsorgen.

 

[Kharne]

Ich dachte eher an USB Ministicks, die beim Boot nette Dinge tun u.ä

 

[Extrema]

Ohne SiCrypt Karte kein Boot!

 

[majusss]

@Extrema auch solche TPM basierten Auth. sind nicht 100%ig sicher. Siehe den letzten Skandal wo der RSA Key der TPMs sehr einfach geknackt werden konnte... und schon ist alles für die Katz