11:11
9/8/2012

Okazuje się, że najnowsza wersja systemu Mac OS X (Mountain Lion) zawiera błąd (backdoor?), który pozwala odszyfrować dysk twardy zaszyfrowany FileVault 2 oraz uzyskać dostęp na poziomie roota przy użyciu jedynie …hasła do konta AppleID. A jak łatwo można przejąć czyjeś AppleID doskonale wiemy z historii o dziennikarzu Wired/Gizmodo

Ubij moją kryptografię przez chmurę, o tak!

Najnowszą wersję Mac OS X wyposażono w nową funkcję przypominania hasła logowania do systemu. Jeśli nie pamiętasz hasła, może je “zresetować” za pomocą swojego hasła AppleID.

Mountain Lion Apple ID reset

Mountain Lion login password i reset przez Apple ID

Jak pisze Johnatan Grynspan, w jego przypadku ta opcja po aktualizacji systemu do Mountain Liona była domyślnie włączona! I teraz najlepsze — zgodnie ze informacjami od Apple — jeśli dysk twardy jest w całości zaszyfrowany FileVault 2, ta opcja “resetu hasła przez AppleID” powinna być wyłączona, ale w niektórych przypadkach tak się nie dzieje, co umożliwia osobie która przejmie nasze konto AppleID, uzyskanie dostępu do zaszyfrowanych danych (w większości przypadków, dzięki sudo, na poziomie użytkownika root).

Johnatan odkrył, że po włączeniu szyfrowaniu całego dysku twardego na Mac OS X Mountain Lion dyskusyjna opcja resetu hasła przez AppleID nie jest wyłączana, a jedynie znika z kontrolki w System Preferences (będąc ciągle aktywną). Zatem, jeśli ktoś włączył szyfrowanie przy domyślnie zaznaczonej opcji resetu hasła, kontrolka zniknie, odcinając go od możliwości wyłączenia tej niebezpiecznej funkcji. Rozwiązaniem problemu może być żmudne i długotrwałe rozszyfrowanie dysku (wyłączenie FileVault2), odznaczenie opcji, ponowne zaszyfrowanie (włączenie FileVault 2).

Apple coś nie ma szczęścia do FileVault, już raz hasła do zaszyfrowywanych dysków przechowywała jawnym tekstem

Co na to Apple?

Johnatan, mimo, że nie ma pewności, czy po odznaczeniu dyskusyjnej opcji sam kod który ją obsługuje jest rzeczywiście wyłączany, chce wierzyć, żecałe zamieszanie to przypadkowa wpadka Apple, a nie celowe działanie. Zmroziła go jednak odpowiedź jaką uzyskał od Apple po zgłoszeniu błędu:

Dziękujemy za zgłoszenie błędu. Apple bardzo poważnie traktuje wszystkie potencjalne błędy związane z bezpieczeństwem. Po zweryfikowaniu twojego zgłoszenia nie widzimy jednak żadnych zagrożeń.

Funkcja dla funkcjonariuszy policji?

Zauważmy, że ta funkcja ułatwia pracę policji — jeśli zarekwirują Maka z zaszyfrowanym dyskiem twardym, nie muszą łamać hasła — wystarczy, że poproszą Apple o hasło AppleID właściciela sprzętu. Na szczęście, opcja resetu hasła logowania przez hasło AppleID pojawia się nie na pierwszym ekranie FileVaulta (tuż po starcie) a dopiero po wylogowaniu/włączeniu wygaszacza ekranu/uśpieniu. Policja (lub atakujący) musiałby zatem zdobyć nasz komputer w stanie niewyłączonym.

Reset hasła logowania przez hasło AppleID

Reset hasła logowania przez hasło AppleID

Rozwiązanie

Krótko mówiąc, jeśli korzystasz z najnowszego systemu Apple Mac OS X Moutain Lion (clean install), sprawdź czy opcję resetu przez AppleID masz wyłączoną (dla pewności możesz rozszyfrować dysk twardy i rzucić okiem na System Preferences -> Users & Groups). Jeśli okaże się, że opcja ta jest włączona w twoim przypadku, to nie spuszczaj komputera z oka włączonego/uśpionego — zawsze w pełni go wyłączaj, a w pierwszej wolnej chwili rozszyfruj dysk twardy, wyłącz reset przez AppleID i zaszyfruj dysk z powrotem.

Cholerna chmura…

Wydaje się, że tego typu problemów będzie coraz więcej, a to przez ciągle rosnącą chęć producentów do wdeptywania w “chmurę” i spinania wszystkiego w sieć. Niestety, niebawem może się okazać, że nie ma możliwości, aby korzystać z systemu operacyjnego (Mac OS X, Windows), nie będąc zalogowanym do jakiegoś chmurowego konta na serwerach producenta, które mając tak znaczny wpływ na nasze lokalnie przechowywane dane na pewno będzie łakomym kąskiem dla niepowołanych osób…

Przeczytaj także:



29 komentarzy

Dodaj komentarz
  1. Właśnie dlatego należy popularyzować używanie systemów operacyjnych z otwartym kodem źródłowym takich jak Linux, FreeBSD, GNU/HURD (ostatnie nie jest jeszcze wystarczająco rozwinięty, aby z niego korzystać na codzień :/). Inaczej obudzimy się z ręką w nocniku.

    • lol

    • To prawda, wolne oprogramowanie = wolność dla użytkowników

  2. To chyba sprawa Amazonu :D

  3. GNU/HURD? powiedziałbym raczej GNU/TURD ;]

    • nomx ;] ;) =)) xD . ;d

    • seba ale na rakachana to ty wracaj co? xD

  4. Moment, czy ten błąd pozwala na odszyfrowanie dysku wtedy i tylko wtedy kiedy dysk jest odszyfrowany (już włączony/uśpiony system)?

  5. Tam Panie Piotrze mówisz coś o “nie jest wyłączana, a jedynie znika z kontrolki w System Preferences (będąc ciągle aktywną)”. To nie idzie jakoś symulować akcji zmiany “pozycji”? Na Mac’ach mocno się nie znam ale coś takiego przyszło mi pierwsze do głowy, bo rozszyfrowanie tylko po to aby znowu szyfrować wydaje się dość naciąganym rozwiązaniem.

  6. Kontrolka znika, żeby użytkownik przypadkiem nie zrobił sobie krzywdy ustawiając “niewłaściwą” wartość – jak miło ze strony apple, że tak dba o swoich klientów. Mogliby też prewencyjnie wyłączać dostęp do Internetu, bo przecież roi się tam od wirusów… a no i przymusowy backup (na serwery apple rzecz jasna).

  7. Wpis moim zdaniem mało rzetelny. Jest to ‘podatność’ tego samego typu co zamrażanie pamięci RAM uśpionych komputerów i wyciąganie z nich klucza.

    Samo hasło do AppleID w żaden sposób nie rozszyfruje dysku/klucza, jedynie pozwala na zalogowanie do (działającego już) systemu i przeglądaniu danych.

    Deszyfracja danych (a dokładniej inicjalizacja klucza deszyfrującego w RAM) wykonywana jest podczas startu systemu i nie ma możliwości obejścia tego procesu bez znajomości właściwego hasła.

    Celem szyfrowania jest uniemożliwienie dostępu niepowołanym osobą do danych w przypadku kradzieży sprzętu, etc. Opisana ‘podatność’ w żaden sposób nie zakłóca tej funkcjonalności.

    Jeżeli system jest już uruchomiony, z kluczem deszyfrującym RAM (zdekodowanym uprzednio przez użytkownika poprzez użycie właściwego hasła) , to generalnie ‘by design’ szyfrowanie nie ma już racji bytu i przed atakiem nie ochroni. Posiadając fizyczny dostęp do takiej maszyny zawsze znajdzie się jakiś sposób żeby odczytać dane z dysku.

    • tą osobĄ
      tym osobOM

    • Przeciez w artykule jasno zostalo napisane, ze mozliwosc resetu pojawia sie jedynie po wybudzeniu/wyjsciu z wygaszacza ekranu i ze ochrona jest pelne wylaczenie komputera.

    • Zgadza się, jednak tytuł pokroju ‘Apple, ogarnij się w końcu!’ zalatuje troche Faktem, a stwierdzenie ‘błąd (backdoor?), który pozwala odszyfrować dysk twardy’ jest moim zdaniem po prostu blednę i sugeruje superpoważny bląd ze strony Apple (np. klucz szyfrujący do dysku przechowywany w chmurze Apple).

  8. Informacja nieprawdziwa. To ustawienie nie jest domyślnie włączone – sprawdzone przed chwilą przeze mnie.

    • Z clean install masz tego ML czy z upgradu z Liona?

    • Upgrade z Liona.

    • No widzisz, a sprawa dotyczy clean install :)

    • @Maciej[…]Informacja nieprawdziwa. To ustawienie nie jest domyślnie włączone – sprawdzone przed chwilą przeze mnie.[…] Dawno się tak nie uśmiałem. Czy użytkownicy Apple czytają całe artykuły przed opublikowaniem komentarza, czy tylko same tytuły dukając i pocąc się przy tym z wysiłku? Ciekawe dlaczego pod tym artykułem nie ma postów w stylu: -Informacja nieprawdziwa. Tego ustawienia u mnie w ogóle nie ma. -A jaki masz system operacyjny? -Linux.

  9. Co gorsza w moim Mountain Lionie nie da się wcale wyłączyć opcji resetowania hasła przez Apple ID – po kliknięciu kłódki zamykającej edycję ustawień spowrotem się zaznacza (nie mam szyfrowania na tym komputerze). Komuś działa inaczej?

    • Mam podobnie na 10.7.4
      Rozwiązaniem jest odznaczenie opcji, wyłączenie Preferencji bez zamykania kłódki. Po ponownym włączeniu opcja jest odznaczona, a kłódka zamknięta

  10. “zgodnie ze informacjami” – widzisz i nie grzmisz !

  11. do admina czy chcece może informacje wręcz failową o 11 stronach znalezionych w wyszukiwarce google w których każda zawiera kawałek Wieelkiej bazy danych ? :)

    niestety nikt nie chciał odpisać mi w kontakcie …

  12. Troszkę offtop..
    Allegro reaguje identycznie jak Apple: (odnośnie zgłoszonych błędów – ciągle nie naprawionych!)

    Dziękuję za przykład.
    Został on przekazany do właściwego działu, w razie potrzeby zostanie podjęta próba kontaktu.

  13. O co chodzi z tym czymś na FB. jak się to wpisze w komentarz to pojawia się imię i nazwisko. @[123:0]

    • Kiedyś czytałem, bodajże @[2:0] da Ci “Mark Zuckerberg”. Imiona userów są pod ID, czy jakoś tak. Mało istotna sprawa :)

  14. Jasne wolny kod wolnosc dla userow … wolny kod … wolnosc dla hackerow :)

Twój komentarz

Zamieszczając komentarz akceptujesz regulamin dodawania komentarzy. Przez moderację nie przejdą: wycieczki osobiste, komentarze nie na temat, wulgaryzmy.

RSS dla komentarzy: