macOS High Sierra 10.13.2 - Sicherheitslücke bei Passworteingabe in App Store Einstellungen

[Jan Gruber]

macOS High Sierra 10.13.2 - Sicherheitslücke bei Passworteingabe in App Store Einstellungen

Langsam aber doch könnte man von Gewohnheit sprechen: Es gibt wieder eine Sicherheitslücke im aktuellen macOS High Sierra. Wieder geht es um das Thema Passwörter - diesmal bei den Systemeinstellungen im Bereich des App Store. Bei manchen Nutzern werden die Einstellungen durch Eingabe eines beliebigen Passworts entsperrt.

Viele Systemeinstellungen unter macOS sind mit einem Passwort geschützt - auch die des App Store. Normalerweise muss dort das korrekte Accountpasswort eingegeben werden, dann können Änderungen vorgenommen werden. In macOS 10.13.2 nimmt es das System erneut nicht so genau - die Eingabe eines beliebigen Passworts reicht aus. Die Einstellungen sind dennoch entsperrt. Die Passwortsperrung greift nur bei Accounts die keine Administratorrechte besitzen. Bei Admins ist dieser Tab per Default nicht gesperrt.

[video width="1604" height="1080" mp4="[URL]https://www.apfeltalk.de/magazin/wp-content/uploads/2018/01/appstorebug.mp4[/URL]"][/video]

Warum erneut? Apples aktuelles Betriebssystem kämpft immer wieder gegen Fehler im Zusammenhang mit Passwörtern. Zuerst war das Festplattendienstprogramm betroffen, kürzlich erst der komplette Root-Zugriff.
Sicherheitslücke gegen Sicherheitslücke


Das Update auf 10.13.2 wurde erst am Montag veröffentlicht und sollte die Sicherheitslücke rund um Spectre und Meltdown schließen. Insofern wurde eine Lücke gegen eine andere getauscht, obwohl diese Lücke in der Regel weniger Auswirkungen haben sollte - aber dafür auch deutlich leichter durchzuführen. In der gestern veröffentlichten 10.13.3 Beta 4 soll der Fehler nicht mehr auftauchen, in meinem Test konnte ich ihn dort auch nicht reproduzieren.

Via MacRumors

 

[naich]

Dies schon schon ein unschöner Bug, man würde bei einem Lock schon erwarten, dass es auch funktioniert. Peimlich, Peimlich, muss man da schon sagen.

Man sollte aber bedenken, dass dies nur Admin Accounts betrifft, bei denen per Default diese Einstellungsseite bereits entsperrt ist. Von daher scheint der Bug nicht sicherheitskritisch zu sein.

 

[ottomane]

nicht sicherheitskritisch

Theoretisch doch. Ein Admin könnte das Schloss sperren bevor er jemanden an den Rechner lässt. Derjenige kann dann installieren was er will. Ist natürlich konstruiert, aber irgendwo auf der Welt kommt jemand auf so eine Idee.

Schließlich hat auch jemand den Fehler entdeckt. Findet man soetwas zufällig oder lässt da etwa jemand privat ein Testprogramm über das UI nudeln?

Dass der Fehler nicht schlimmer ist, ist reine Glückssache. Er hätte ebenso in anderen Dialogen auftauchen können. So einen hatten wir ja schon im FPDP. Apple scheint es mit dem Testen nicht so genau zu nehmen.

Gerade hatte sich mein Entsetzen etwas beruhigt, da kommt nun die nächste Schote. So ein Passwortfehler *darf* *nie* passieren. Das testet man wie blöd. Nur Apple nicht. Mein Vertrauen ist nachhaltig erschüttert.

 

[Balkenende]

Wirklich so was von peimlich.

Da ist die Qualitätskontrolle aber eher Lotterie.

 

[Martin Wendel]

Theoretisch doch. Ein Admin könnte das Schloss sperren bevor er jemanden an den Rechner lässt. Derjenige kann dann installieren was er will.

Es geht um die Systemeinstellungen des Mac App Stores, nicht die Passwortabfrage zur Bestätigung eines Downloads.

 

[ottomane]

Ich dachte, da kann man die Passwortabfrage für den Download abschalten - das geht dort aber nicht, wenn man genauer hinsieht. Danke für den Hinweis.

EDIT: Aber er kann es dort deaktivieren für den Fall, dass kurz zuvor etwas gekauft wurde. Aber gut, das Risiko wird so tatsächlich sehr gering.

 

[Mac 2.2]

Lange Woche und so...

 

[gschoen57]

Was Apple da schon seit längerer Zeit abliefert kann ich nur noch als Frechheit bezeichnen, insbesondere wenn man bedenkt welche Preise man für deren Geräte bezahlt. Qualitätskontrolle bei der Software ist, insbesondere seit sie "umsonst" ist nicht mehr notwendig - Hauptsache der Kunde hat 2500,-- Euro für sein MacBook bezahlt. Dafür bekommt man dann ein Gerät, das man nachträglich nicht mehr umkonfigurieren kann (z.B. Speicher), keinen Akku wechseln kann, keine Platte wechseln kann und eine qualitativ "hochwertige" Software bei der jede Woche eine andere Sicherheitslücke hochpoppt. Ich habe den Eindruck, daß ich meine Apple Geräte nur noch zum Updaten habe - bei Handys ist es ja nicht anders, inclusive geplanter Obsoleszenz (siehe Verlangsamung der iPhones - ich hoffe, daß sie in Frankreich ordentlich eins auf den Latz bekommen deswegen).
Apple ist meines Erachtens ganz gewaltig auf dem absteigenden Ast, bin gespannt wie lange sich die Kunden das noch gefallen lassen (auch wenn es genügend verblendete Apple Fans gibt, die sich nach dem dritten explodierten Rechner wieder einen kaufen würden - hab ich auch bei Mercedes so erlebt).
Bin seit einiger Zeit am überlegen mir ein neues Notebook zu kaufen - eigentlich sollte ein Mac werden, aber Tuxedo und ein Ubuntu drauf sind schon in der sehr engen Auswahl.

 

[staettler]

Dafür bekommt man dann ein Gerät, das man nachträglich nicht mehr umkonfigurieren kann (z.B. Speicher), keinen Akku wechseln kann, keine Platte wechseln kann

Was du aber vorher schon wusstest. Das hat nichts mit den Sicherheitslücken zu tun!

 

[MichaNbg]

Was du aber vorher schon wusstest. Das hat nichts mit den Sicherheitslücken zu tun!

Das nicht. Aber das hat man früher eben in Kauf genommen, weil die Software einfach butterweich, stabil und sicher lief.

aber Tuxedo und ein Ubuntu drauf sind schon in der sehr engen Auswahl.

Als macOS'ler wirst du mit Linux nicht sonderlich glücklich. Eigentlich wird niemand mit Linux am Desktop glücklich.

Ich kann immer nur empfehlen, sich die DELL XPS-Reihe mit Windows 10 anzusehen. Mit 4K QHD TouchDisplay, Core i7, PCIe-SSD usw. Steht Macs in nichts nach. Und die Bedienung ist reine Gewohnheit. Da gibt es schon lange kein "besser" oder "schlechter" mehr. Da hat jede Plattform ihre Vor- und Nachteile, ihre logischen und unlogischen Momente.

 

[staettler]

Das nicht. Aber das hat man früher eben in Kauf genommen, weil die Software einfach butterweich, stabil und sicher lief.

Oder einfach weil nur ein geringer Prozentsatz überhaupt daran herumbastelt.

 

[MichaNbg]

Oder einfach weil nur ein geringer Prozentsatz überhaupt daran herumbastelt.

Ich kenne eigentlich niemanden, der die Lebenszeit seines MacBooks früher nicht durch mehr Speicher und irgendwann einen neuen Akku verlängert hat. Klappe auf, Bauteil tauschen, Klappe zu hat nichts mit "basteln" zu tun.

Das is auch der eigentliche Grund für das herumgeklebe. Lebenszeitverkürzung, da es keine Leistungsverlängernde Maßnahmen mehr gibt.

 

[Sauron]

Platte gegen SSD getauscht. Wäre das nicht möglich gewesen, wäre mein MBP vermutlich schon getauscht worden.

 

[staettler]

Ich kenne eigentlich niemanden, der die Lebenszeit seines MacBooks früher nicht durch mehr Speicher und irgendwann einen neuen Akku verlängert hat. Klappe auf, Bauteil tauschen, Klappe zu hat nichts mit "basteln" zu tun.

Das is auch der eigentliche Grund für das herumgeklebe. Lebenszeitverkürzung, da es keine Leistungsverlängernde Maßnahmen mehr gibt.

Dann hast du hiermit jemand kennengelernt. Ich habe immer das komplette Gerät ersetzt.

 

[MichaNbg]

Dann hast du hiermit jemand kennengelernt. Ich habe immer das komplette Gerät ersetzt.

Das ist schön. Das ist natürlich hinreichend um die Aussage, dass nur ein "geringer Prozentsatz" Interesse an nachträglichen Aufrüstungen hatte, zu treffen.

"Wenn ich das nie gemacht habe, dann wird das auch sonst niemand getan haben."

 

[staettler]

Das nicht, aber jeder kann nur aus seinen persönlichen Erfahrungen zitieren. Und in meinem Umfeld haben alle immer das Gerät getauscht. Und solange uns Apple keine Zahlen vorlegt, sind beide Aussagen ziemlich sinnlos.

 

[Apfelkescher]

Gut das ich noch immer Sierra habe

 

[Sauron]

Naja, die Woche ist noch nicht rum, wie haben erst Donnerstag

 

[gschoen57]

Als macOS'ler wirst du mit Linux nicht sonderlich glücklich. Eigentlich wird niemand mit Linux am Desktop glücklich.

... denke mal schon, bevor ich mein erstes MacBook gekauft habe hatte ich grundsätzlich Linuxrechner, Windows war mir immer schon suspekt. Auf einem Windows10-Rechner würde ich niemals arbeiten, habe für die Fälle, daß man Windows aus irgendwelchen Gründen vonnöten ist ein Notebook mit Win10 daheim. Es wird wirklich nur wenn's gar nicht anders geht hochgefahren - einfach grausam.

 

[ottomane]

Naja, die Woche ist noch nicht rum, wie haben erst Donnerstag

Apple hat die Woche neu definiert. Die Woche Pro ist jetzt 14 mal länger als die ursprüngliche Woche! Und damit, es klingt ungeheuerlich, damit ist die Woche Pro nun 98 mal länger als ein Tag! Ja, 98 mal! Es ist einfach die längste Woche der Welt! Und wahrscheinlich die schönste. Die Woche Pro ist einfach fantastisch. Wir haben so hart an ihr gearbeitet und ich möchte allen Mitarbeitern danken, dass sie uns geholfen haben, diese neue Woche Pro zu entwickeln. Unsere Mitarbeiter sind so fantastisch. Sie machen Apple zu dem, was Apple ist. Sie sind einfach großartig.
Ist die Woche Pro nicht wunderbar? Vorbestellungen starten Freitag. Verfügbar ist die neue Woche Pro dann ab Herbst in den USA. Europa später.