Złe wieści dla użytkowników komputerów Apple. Wrażliwy komponent systemów, Pęk kluczy, nie może być już uznawany za bezpieczny sposób przechowywania danych logowania. Niemiecki specjalista ds. bezpieczeństwa, Linus Henze, w filmie opublikowanym na YouTube ujawnił, że posiada exploit luki dnia zerowego, który pozwala wykraść całą zawartość Pęku kluczy w postaci niezaszyfrowanego tekstu.
KeySteal – exploit 0-day w macOS-ie
Podatne są wszystkie wersje macOS-a, łącznie z najnowszą wersją Mojave (10.14.3). Do kradzieży nie jest potrzebne konto roota. W opublikowanym przez Linusa Henze materiale wideo widzimy jedynie, że koniecznym jest, użytkownik był zalogowany do systemu. Według Henzego, tą samą lub podobną podatnością posłużono się już wcześniej do kradzieży 2,2 mld haseł, które zostały następnie udostępnione w Internecie. Heinze sugeruje zatem, że podatność ma związek z opublikowaną niedawno kompilacją Collection oraz wcześniejszymi podatnościami, choć może to być tylko luźne skojarzenie.
No dobrze, ale w jaki sposób KeySteal pozwala na kradzież haseł? Tu zaczyna robić się ciekawie, gdyż… tego nie wiemy. Heinze z jednej strony poinformował o podatności 0-day, a z drugiej odmówił udostępnienia Proof of Concept, nie przekazał także żadnych informacji do Apple.
Powody są bardzo pragmatyczne – w odróżnieniu od wielu innych producentów i ich systemów operacyjnych, Apple w przypadku macOS-a nie prowadzi programu bug bounty. Łowcy luk nie mogą zatem liczyć na nagrodę. Henze nie ma zatem zamiaru udostępniać exploita nikomu, łącznie z Apple, tak długo, aż korporacja Tima Cooka nie uruchomi bug bounty dla macOS-a:
To nie pierwszy raz, możecie pamiętać KeychainStealera od Patricka Wardle’a, udostępnionego w 2017 na macOS High Sierra, który także pozwalał na kradzież wszystkich haseł z Pęku kluczy. Podatność, którą wtedy wykorzystywał, jest już załatana, ale ta, którą ja znalazłem wciąż działa, nawet na macOS-ie Mojave. Nie opublikuję tego [exploita]. Powód jest prosty: Apple wciąż nie ma programu bug bounty (dla macOS-a), więc pretensje możecie mieć do nich
Na opublikowanym przez Henzego materiale wideo również nie widzimy sposobu, w jaki kody są wydobywane z Pęku kluczy w niezaszyfrowanej postaci tekstowej. Przygotował on bowiem interfejs graficzny na exploit, przez co cały proces kradzieży sprowadza się do jednego kliknięcia. Apple jak dotąd nie ustosunkowało się do sprawy.
