  |
Za poslednú hodinu: 51 meraní | ||||
|
inzercia |
|||||
 
neprihlásený 
| Sobota, 20. apríla 2024, dnes má meniny Marcel |
|
Analýza čo spôsobilo vážnu chybu macOS umožňujúcu prihlásenie roota prázdnym heslom
bezpečnosť
Po tom ako bola v utorok zverejnená nepochopiteľná bezpečnostná chyba v najnovšej verzii operačného systému macOS High Sierra 10.13, ktorá umožňuje získať privilegovaný prístup k počítaču neautorizovaným osobám, Apple v stredu vydala aktualizáciu opravujúcu problém a v súčasnosti je už známa aj konkrétna technická príčina. Odhalila ju analýza bezpečnostného experta Patricka Wardla. Ako sme informovali vo včerajšom článku, chyba umožňuje prihlásiť sa bez znalosti hesla ako užívateľ s administrátorskými oprávneniami, root. Možné to je jednoducho v prihlasovacom dialógu vyplnením prihlasovacieho mena root a prázdneho hesla, po opakovanom stlačení tlačidla pre prihlásenie. Podľa pôvodných informácií chyba umožnila získať takto administrátorské oprávnenia v aplikáciách respektíve na realizovanie zmien vyžadujúcich heslo po spustení z pracovnej plochy bežného prihláseného užívateľa. Podľa následných informácií sa takýmto spôsobom ale dalo prihlásiť aj po vypnutí zapnutého počítača, ak nemá šifrovaný disk, alebo odhlásení užívateľa a zrejme aj pri vzdialenom prístupe k počítaču. Z nejasných príčin nebolo podľa testov užívateľov správanie konzistentné, aj keď nie je jasné či dodržiavali presný postup potrebný na prejavenie sa respektíve zneužitie chyby. Príčinou problému, ktorý sa vyskytuje len v High Sierra 10.13 a nie predchádzajúcich verziách, je v každom prípade logická chyba pri overovaní hesla v samotných základných službách macOS a jej zneužitie by tak malo byť konzistentné. Logickú povahu chyby v oznámení dostupnosti aktualizácie, ktorá sa začala užívateľom automaticky inštalovať, priznáva aj Apple. Nachádza sa v daemone opendirectoryd. macOS evidentne používa dva formáty uloženia hesla, starší crypt a novší shadow. Chyba sa podľa zistení Wardla nachádza v spôsobe, ktorým sa overuje heslo v prípade prítomných ale neaktívnych účtov akým je štandarne root. opendirectoryd sa pokúsi získať shadow heslo, toto v prípade neaktívnych účtov nie je prítomné. Overenie autentifikácie sa potom pokúsi overiť záznam "*" získaný zrejme pri zisťovaní shadow hesla ako crypt heslo oproti heslu zadanému užívateľovi. To skončí tiež chybou, macOS ale túto chybu ignoruje a zároveň sa pokúsi upgradnúť heslo užívateľa na shadow formát. Pri tom podľa Wardla ako heslo uloží heslo zadané užívateľom a tým sa evidentne účet aj aktivuje. To sa stane pri prvom pokuse o autentifikáciu neaktívnym účtom, pri druhom už zaberie heslo zadané užívateľom vrátane prázdneho hesla. Analýza Wardla bola realizovaná debugovaním a disasemblovaním a úplne jasne neanalyzuje logiku programu a nie je jasné v čom sa odlišuje od implementácie v predchádzajúcich verziách macOS, chyba je ale aj podľa nej evidentne logickej povahy. Buď sa macOS nemal snažil upgradovať heslo pre neaktívne účty, nemal ignorovať neúspešné overenie crypt hesla alebo nemal nastavovať heslo zadané užívateľom. Z týchto informácií zároveň vyplýva, že rovnako bolo možné získať prístup cez ďalšie prítomné ale neaktívne účty. Fungovať zároveň mohlo prázdne heslo ale aj ľubovoľné iné heslo, dôležité pri ďalších pokusoch bolo zadať rovnaké heslo ako pri prvom. V každom prípade v súčasnosti je k dispozícii aktualizácia s označením Security Update 2017-001. Overiť, že systém bol korektne aktualizovaný, je možné overením čísla verzia daemona opendirectoryd pomocou what /usr/libexec/opendirectoryd, na 10.13 by to malo byť minimálne opendirectoryd-483.1.5 a na 10.13.1 opendirectoryd-483.20.7. Aktualizácia evidentne opäť zakáže root účet minimálne u užívateľov, ktorí si ho po týchto informáciách aktivovali. Či rieši aj prípadné takto aktivované iné štandardne deaktivované účty nie je jasné, užívateľom ktorí sa takto pokúsili pristúpiť cez iné účty je odporúčané skontrolovať ich stav. 
Najnovšie články: inzercia Diskusia:
Pridať komentár | |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|
| |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
