WWDC2022-2023 nije jedina ozbiljna vijest jutros na stolovima Appleovih inženjera.
Ako se pravilno iskoristi, zlonamjerna aplikacija mogla bi zavarati vaš MacBook ili bilo koju vrstu trenutnog Mac računala da pomisli da ste to vi i učiniti sve što želi. Istraživač sigurnosti Patrick Wardle, glavni istraživač u tvrtki Digita Security, otkrio je jučer (2. lipanj) sigurnosnu rupu u macOS -u na konferenciji u Monaku nazvanu Objective by the Sea.
Nažalost, Apple još nije ispravio ovu manu, a Wardle je to rekao tvrtki tek prošlog tjedna. Da biste se zaštitili, morate biti vrlo oprezni s aplikacijama koje preuzimate izravno s interneta. Bilo bi bolje da se umjesto toga držite službene Mac App Store.
Duhovni klikovi
Problem je, prema Wardleu, u tome što Apple dopušta nekolicini naslijeđenih aplikacija (uglavnom starijim verzijama trenutnih aplikacija, poput popularnog VLC media playera) da nastave koristiti "sintetičke klikove", značajku koja je aplikacijama omogućila da zaobiđu najnovije Appleove sigurnosne prepreke oponašanjem ovlaštenog korisnika čije je dopuštenje potrebno za dopuštanje određenih radnji.
Prema EclecticLight.co, popis naslijeđenih aplikacija koje je Apple stavio na bijelu listu za korištenje sintetičkih klikova uključuje stare verzije Steam -a, VLC -a, Sonos Mac Controllera i Logitech Managera.
Nakon što su Wardle i drugi istraživači prošlog ljeta pokazali kako se sintetički klikovi mogu koristiti za napad na Mac računala, Apple je zatvorio vrata značajci s macOS Mojaveom. No, kako bi naslijeđene aplikacije nastavile funkcionirati - Wardle je upozorio da bi potpuno ubijanje sintetičkih klikova "razbilo mnoge legitimne aplikacije" - te su se stare aplikacije odrekle.
"Ovo je frustrirajuće za istraživača da stalno pronalazi načine da zaobiđe Appleovu zaštitu", rekao je Wardle za Threatpost. "Bilo bi naivno pomisliti da nema drugih hakera ili sofisticiranih protivnika koji su također pronašli slične rupe u Appleovoj obrani."
Ne provjerava komore
Apple ima još jednu zaštitu. Dopušta samo aplikacijama na Appleovoj bijeloj listi upotrebu sintetičkih klikova, bez obzira jesu li te aplikacije naslijeđene ili ne. Problem je u tome što je postupak provjere duboko pogrešan.
MacOS samo provjerava aplikacije provjerom njihovih digitalnih potpisa, a ne provjerom koda unutar tih aplikacija ili pazeći da ne učitaju dodatni kôd nakon što se pokrenu. Jučer je Wardle pokazao svoju zabrinutost valjanom ubrizgavanjem zlonamjernog dodatka u VLC, koji bi mogao izvesti sintetičke klikove - lažne korisničke radnje - koje Apple obično blokira u aplikacijama.
Zamislite TSA sigurnosnog agenta koji provjerava samo vašu osobnu iskaznicu i ne klizi vašu prtljagu kroz ladicu za skeniranje. To je ovdje pitanje.
"Način na koji su implementirali ovaj novi sigurnosni mehanizam, 100 posto je pokvaren", rekao je Wardle za Wired. "Mogu zaobići sve ove nove mjere privatnosti Mojave."
Zavaravanje korisnika
Nije teško zavarati korisnike da instaliraju aplikacije koje su oštećene i naoružane protiv korisnika. Glavni primjer toga dogodio se u stvarnom životu u ožujku 2016. s popularnim BitTorrent klijentskim prijenosom.
Napadač možda čak ni ne mora nikoga prevariti. Wardle je 2016. pokazao kako je oštećeno ažuriranje legitimnog softvera koji je korisnik već instalirao - u ovom primjeru, Kaspersky Internet Security za Mac - moglo zaobići sve Appleove sigurnosne mehanizme kako bi zarazio Mac.
Neuredne sigurnosne prakse
O posljednjem Wardleovom govoru izvještavala su brojna prodajna mjesta, uključujući The Register.
Kako se to dogodilo? Wardle je za The Register rekao: "Da je bilo koji istraživač sigurnosti ili netko iz Applea sa sigurnosnim razmišljanjem pregledao ovaj kôd, primijetili bi ga. Kada vidite ovu grešku, to je trivijalno,"
"Ne provjeravaju kôd", dodao je. "Yhey implementiraju ove nove sigurnosne značajke, ali stvarnost je da se one često pogrešno primjenjuju."
- Zašto će WWDC započeti novu eru za Apple