Sicherheitslücke: macOS High Sierra - Unsignierte Apps können Passwörter auslesen

[echo.park]

So hab ich das auch verstanden, wenn der Entwickler bzw. seine Seite jetzt angegriffen wird, kann über ein Update dann Schadcode, der die Lücke ausnutzt auf den Macs landen.
Ich hab ja auch Tools wie EtreCheck oder Gimp im Einsatz.

Das kann prinzipiell immer passieren.

 

[Flogs]

Wenn ich den Heise Artikel (hier) richtig verstehe, dann schließt High Sierra einige Sicherheitslücken, die Apple jetzt für El Capitan und Sierra noch nicht geschlossen hat. Der hier in der News beschriebene Bug ist aber noch aktuell.

 

[ottomane]

Update-Warnung

Ich greife das noch einmal auf und behaupte das Gegenteil

Sierra und High Sierra enthalten beide gleichermaßen die oben beschriebene Keychain-Lücke. High Sierra behebt aber folgende Sicherheitsprobeme:

https://support.apple.com/en-us/HT208144

Diese Fixes sind für Sierra bisher nicht verfügbar. Es ist insofern ein Fehler, jetzt nicht zu updaten. Man kann nur vor einer Update-Verweigerung warnen.

 

[u0679]

Ist denn überhaupt nur die Schlüsselbundverwaltung betroffen, wenn sie in der iCloud liegt oder auch lokal?

 

[echo.park]

Ist denn überhaupt nur die Schlüsselbundverwaltung betroffen, wenn sie in der iCloud liegt oder auch lokal?

Ist egal. Weil der iCloud Schlüsselbund eine Kopie aller Daten lokal ablegt.

 

[frostdiver]

Hier die Version, die er anstatt seines Tweets hätte veröffentlichen sollen:
https://www.patreon.com/posts/14556409

 

[kelevra]

Man sollte hier auch wirklich mal relativieren:

1. Ist der Angriff sehr speziell und die Wahrscheinlichkeit sehr gering
2. Können Apps by design nicht die komplette Keychain auslesen
3. Sollte man, wann immer auch eine App nach Zugriff auf den Schlüsselbund fragt, überlegen ob dieser gerechtfertigt ist. Im Zweifel lieber etwas vorsichtiger sein udn erstmal verweigern und sich informieren

Wir müssen jetzt auf jeden Fall nicht alle unsere Macs in Alufolie wickeln.

 

[u0679]

unsere Macs in Alufolie

ok, ich wickel ihn wieder aus

 

[ottomane]

Hier die Version, die er anstatt seines Tweets hätte veröffentlichen sollen:
https://www.patreon.com/posts/14556409

Naja, für die Twitterei mit Peitschenhieben gibt es ja leider Vorbilder

 

[Balkenende]

ok, ich wickel ihn wieder aus

MMD

 

[ottomane]

Er schreibt selbst, dass Apple nur wenig Zeit für einen Patch hatte. Gleichzeitig veröffentlicht er den Fehler (zum Glück nicht den Code).

Ich interpretiere das so, dass er maximale Aufmerksamkeit schüren wollte (zum release von HS!). Gleichzeitig rennen jetzt vermutlich Bösewichte los und versuchen den Exploit nachzubauen, weil sie nun wissen, dass es geht. Das ist sein Werk. Gleichzeitig wissen viele Kunden nicht, was sie tun sollen und sie haben ja ohnehin keine Wahl.

Warum wartet der gute Mann nicht, bis der Fehler behoben ist? Was ist die Motivation, diese Veröffentlichung jetzt vorzunehmen? Apple hat doch den Anschein erweckt, ihn sehr ernst zu nehmen und es gab keinerlei Grund, Apple unter Druck zu setzen.

Ich finde das Verhalten äußerst fragwürdig. Er stellt seine Bekanntheit über alles.

Dies ist seiner Expertise unwürdig.

 

[kelevra]

Der Meinung bin ich auch, @ottomane. An seiner Stelle hätte ich den Ball flach gehalten. Die Gefahr, die von dem Bug aus geht ist überschaubar und er Bedarf auch nicht gerade rudimentärer Kenntnisse um umgesetzt/ausgenutzt zu werden.

Nach verööfentlichung des Fix hätte man immer noch einen Artikel zum Thema schreiben können. Ein entsprechendes Verhalten kommt uach bei den Unternehmen besser an und man findet eher Gehör.

 

[Flogs]

Man sollte hier auch wirklich mal relativieren:
1. Ist der Angriff sehr speziell und die Wahrscheinlichkeit sehr gering
2. Können Apps by design nicht die komplette Keychain auslesen
3. Sollte man, wann immer auch eine App nach Zugriff auf den Schlüsselbund fragt, überlegen ob dieser gerechtfertigt ist. Im Zweifel lieber etwas vorsichtiger sein udn erstmal verweigern und sich informieren

Man sollte aber auch nicht zu viel relativen.
1. Der Angriff ist möglich und könnte beim nächsten Update einer Software dabei sein
2. Dies macht ja gerade die Lücke aus. Mit ihrer Hilfe kann die komplette Keychain ausgelesen werden.
3. Die Lücke fragt anscheinend nicht nach dem Zugriff. Die Keychain muss nur offen sein, was normalerweise nach dem Login passiert.

 

[Flogs]

An seiner Stelle hätte ich den Ball flach gehalten.

Diese Diskussion ist schon so alt wie die Veröffentlichung von Bugs. Es gibt für beide Seiten Argumente. Ich persönlich bin aber der Meinung, dass ein gefundener Bug so wie hier geschehen veröffentlicht werden sollte. Es soll ja kein Proof-Of-Concept Script dabei liegen das es ausführt. Aber oberflächlich sollte die Sicherheitslücke bekannt sein, damit man geeignete Gegenmaßnahmen vornehmen kann bis Apple reagiert hat. Man muss immer davon ausgehen, dass die Lücke auch von anderen Personen gefunden wurde bzw. schon ausgenutzt wird.

 

[wir43]

Patrick Wardle schreibt in einer weiteren Stellungname ( die ich jetzt gerade leider nicht wiederfinde) selber, dass er trotz der Sicherheitlücke empfiehlt macOS High Sierra zu installieren. Da durch High Sierra etliche Sicherheitslücken geschlossen werden, die von ihm gefundene Sicherheitslücke aber auch in älteren Versionen von macOS existiert, bring ein Update mehr Nutzen als Schaden.

 

[NorbertM]

In meinem Schlüsselbund sind gar keine kritischen Passwörter, Logins für Foren oder irgendwelche Internetportale sind nicht wirklich gefährlich, wenn sie in falsche Hände geraten.

Zudem muss man die entsprechende Schadsoftware ja erst mal installiert haben und ob die Lücke überhaupt schon aktiv genutzt wird, ist eine weitere Frage.

Ich bin deshalb diesbezüglich sehr gelassen und warte in Ruhe auf einen Fix.

 

[ottomane]

So mache ich es auch. Bank-Logins usw. sind in meinem Kopf und auf gesichertem Papier. Die Keychain kennt nur Passwörter, die unwichtig sind. Allerdings lässt es sich nicht ganz vermeiden, dass z.B. bestimmte Schlüssel auch dort liegen.

 

[floriano]

Es erhöht etwas die Sicherheit, da der Schlüsselbund nicht mit dem Login entsperrt wird und so bösartigen Apps potenziell zur Verfügung steht. Auch wenn eigentlich eine Abfrage stattfinden soll, solche Fälle, wie der aktuelle zeigen, dass auch die Mechanismen von Apple umgangen werden können (welch Überraschung).

Ich habe zusätzlich auch unter Bearbeiten → Einstellungen für Schlüsselbund ändern die Option Bei Wechsel in Ruhezustand schützen aktiviert. Damit wird der Schlüsselbund gesperrt sobald der Mac in den Ruhezustand wechselt.

Beides hat natürlich zu Folge, dass man öfters mal das Passwort eingeben muss. Bei mir hält sich das in Grenzen, da ich primär 1Password nutze und nur das nötigste im Schlüsselbund habe. Die Safari integrierte Passwortfunktion nutze ich bspw. gar nicht.

Danke habe sowohl das PW geändert als auch diese Einstellung vorgenommen.
Ich habe macOS Sierra 10.12.6, gab es hier den Bug auch schon?

 

[ottomane]

Ja.

 

[echo.park]

Ja.

Edit:
Im gleichen Moment geantwortet.