Hilfe, auf dem MAc gibt's Autorun?

[saschabur]

Ich bin gerade vom Hocker gefallen, als ich einen USB-Stick, der mit einer Küchenmaschine geliefert wurde, in das MAcBooPro 2012 unter Sierra eingesteckt habe. Es gibt offenbar Autorun unter MAcOS, obwohl Google dazu nix findet.

- Einstecken des USB Sticks
- UNgefragt startet Safari , obwohl mein Standardbrowser Opera ist(!)
- UNgefragt ersscheinte eine Webadress in der Befehlszeile, und sie wird aufgerufen
- In den gemounteten Devices ist der USBStick dann aber schon nicht mehr zu sehen.

Was ist das denn für ein Hexenwerk? Apps lancieren ohne Nachfrage???

Hilfe, bin schwer erschüttert.

 

[Dr.Death]

Marketing USB Stick....simuliert eine Tastatur ---> http://www.digital-key.co.uk

 

[u0679]

Sehr unseriös, so einen Stick mitzuliefern.

 

[saschabur]

ABer wie kann das sein, dass das Ding so weitgehende Rechte von MAcOS bekommt? Safari ist bei mir kein standardmÄssiger Browser mehr. Das Ding kann also eine Applikation eigenmächtig starten.

 

[Wuchtbrumme]

Wenn ich eine Tastatur wäre, wäre das erste, was ich mir selbst beibringen würde, Cmd+Space zu drücken, danach würde ich auf mir selbst ein Safari tippen und meine Eingabetaste eingeben lassen.

Ich möchte gar kein Sicherheitskonzept sehen, dass sowas unterbinden kann. Erstens bedeutet das, dass Brain 1.0 tot ist. Die Idioten haben gesiegt (ist zwar sowieso nur noch eine Frage der Zeit, aber jo mei...). Zweitens geht es prinzipiell nur über "Kontrolle über alles haben". Sprich, alles wird zertifiziert und muss miteinander reden. Prima Idee. TPM und sichere Bootloader. Herrlich.

Wenn Du Dich über das Thema weiter informieren willst, dann empfehle ich die Artikel der c't dazu; die weisen seit längerem auf die theoretischen Gefahren hin. Aber wenn jeder Gustl einfach ohne nachzudenken irgendwas in seinen Computer steckt (Warum eigentlich? Analogien zu Salatgurken und Bananen sind doch auch nicht jedem geläufig, glücklicherweise) kann man halt nicht helfen. Dasselbe gilt übrigens auch - und gerade - für USB-Sticks, die man in der Firma, unmittelbar davor oder an anderen Stellen findet. Der Apple-Mitarbeiter, der mir vor einiger Zeit etwas am Mac ausgetauscht hat, war sehr besorgt und fing an, langatmig über meine Daten zu schwadronieren. Er staunte dann nicht schlecht als ich ihm sagte, er solle sich keine Sorgen machen; einen Rechner, den ich aus der Hand gegeben habe, betrachte ich automatisch als kompromittiert. Dasselbe muss für USB-Sticks ganz besonders gelten.

 

[ottomane]

Es wäre trivial für Apple, vor dem Aktivieren neuer angesteckter Hardware z.B. die Eingabe des Admin-Passworts zu fordern, bevor sie aktiviert würde.

Nicht trivial hingegen ist die Lösung der Frage, wie man dann ohne Tastatur das Passwort eingeben sollte...

Wenn alle einen Fingerprint-Reader hätten, wäre das lösbar. Haben sie aber nicht.

 

[Wuchtbrumme]

Das klingt auf den ersten Blick logisch, aber dann: bei allen Macbooks, die ich kenne, sind Maus und Tastatur auch als USB-Geräte realisiert. Wie will man das händeln? Das ist doch ein Henne-Ei-Problem.

 

[ottomane]

Ja, eben, das schreibe ich ja

 

[Wuchtbrumme]

wenn alle TouchID hätten hilft das dann aber immer noch nicht, ohne die Architektur komplett umzuwerfen. Nur, dass es "lösbar wäre", wie Du schreibst. Vermutlich müsste dabei die Kompatibilität zu allem alten aufgegeben werden.

 

[frostdiver]

Beim ersten Start nur eine Tastatur und eine Maus zu lassen. Danach die auf eine Whitelist packen. Für weitere Geräte immer nachfragen.

EDIT: Ok. Auch unschön für Macbooks. Was ist, wenn die Tastatur kaputt geht und man sich vorübergehend mit einer USB-Tastatur behelfen will.

 

[Wuchtbrumme]

Beim ersten Start nur eine Tastatur und eine Maus zu lassen. Danach die auf eine Whitelist packen. Für weitere Geräte immer nachfragen.

Also geplanten Angriffsvektor per Factory hinterlegen? Sehr sinnvoll, viel gewonnen.

Hey, wenn das Problem einfach zu lösen wäre, würde heise nicht so genüsslich darüber berichten.

 

[frostdiver]

Wieso per Factory?

 

[Wuchtbrumme]

Wieso per Factory?

Weil das eine Sicherheitslücke wäre, die ab Werk drin ist.

 

[frostdiver]

Was ist daran jetzt "lückiger" als der Ist-Zustand.

 

[Wuchtbrumme]

hm, ich muss mit der schlechten Presse nicht leben. Als Apple (oder wer auch immer sich dieses Themas annimmt) würde ich mir allerdings schon Gedanken darum machen, wie ich es richtig löse und nicht nur so ein wenig weniger lückiger. Immerhin schafft es ja auch neue Probleme - u.a. wird man nicht sicher sein können, ob jetzt die Tastatur, die ich nach Kauf anschließe, die gewhitelistete ist oder einfach nur eine, die nach Whitelisten eines Bad-USB-Sticks plus Sicherheitslücke vermeintlich gewhitelistet erscheint.

Es ist halt immer so - halbwegs Sicherheit gibt es nur per umfassendem Konzept. Jede Abweichung von der Idee ist eine Sicherheitslücke. Und diese wird angegriffen werden, wahrscheinlich mit Methoden, an die man vorher noch gar nicht gedacht hat.

 

[MacMark]

Das ist ein Sicherheitsproblem von USB
https://srlabs.de/bites/usb-peripherals-turn/

Jedes USB-Gerät gibt selbst an, was es ist. Und das kann verändert werden. Ein Stick kann also eine Tastatur imitieren.

 

[u0679]

. Ein Stick kann also eine Tastatur imitieren.

Ich bin der Meinung, das es das doch auch schon mal gab als Angriff ?!

 

[ottomane]

Es gibt da recht lustige Ansätze: Kennt jemand diese Logitech-Presenter? Die haben so einen USB-Funkstick dabei, über den der Presenter kommuniziert. Das Ding ist auch eine "Tastatur". Leider ist das Funkprotokoll nicht sicher, sodass man sich während einer Präsentation in das Ding hacken kann und den Rechner per Tastatursteuerung vollständig übernehmen kann.

 

[saschabur]

Wieso, ich verstehe das Problem nicht, aber vielleicht stehe ich nochmals auf dem Schlauch. Von jeder Tastatur, die *neu* angeschlossen wird, wird zunächst nur ein Admin password akzeptiert. Dann darf sie erst befehligen. Das könnte doch auch beim Boote funktiioneiren, zB mit einem Passwort, das dan das GErät geknüpft ist und nur vom Besitzer bei Apple abgerufen/geÄndert werden kann. Oder auf einem Aufkleber unter dem Gerät steht.

Es wäre trivial für Apple, vor dem Aktivieren neuer angesteckter Hardware z.B. die Eingabe des Admin-Passworts zu fordern, bevor sie aktiviert würde.

Nicht trivial hingegen ist die Lösung der Frage, wie man dann ohne Tastatur das Passwort eingeben sollte...

Wenn alle einen Fingerprint-Reader hätten, wäre das lösbar. Haben sie aber nicht.

 

[MacMark]

So ein USB Angriff kann schon vor dem Start des Betriebssystems passieren. Laut den Autoren gibt es keine wirklich brauchbare Abhilfe https://srlabs.de/wp-content/uploads/2014/11/SRLabs-BadUSB-Pacsec-v2.pdf