[10.7 Lion] Heise Artikel - Security-Check: Lion holt auf

[FritzS]

Security-Check: Lion holt auf
Apple hat Mac OS X sicherer gemacht, aber Lücken bleiben
von Tobias Engler – 15.11.11

Mac OS X gilt als sicheres Betriebssystem, doch noch vor einigen Monaten genoss es nach Expertenmeinung diesen Ruf zu unrecht. Lion ist zwar nicht fehlerfrei, die neue Systemversion beseitigt aber viele Probleme mit Stumpf und Stiel.
.....

mehr siehe Link
http://www.heise.de/mac-and-i/artikel/Security-Check-Lion-holt-auf-1372134.html

 

[Zenturio]

Hört sich gut an, es kann aber wirklich nicht Schaden, noch mehr Aufwand in die Sicherheit zu investieren.

 

[FritzS]

Leider gibt es auch das (noch)
http://www.heise.de/security/meldung/Loecher-in-Apples-Mac-OS-X-Sandkasten-1378907.html

Löcher in Apples Mac-OS-X-Sandkasten
Die von Apple vordefinierten Sandbox-Profile wie das für "kein Netz" (no-network) lassen sich über passende Events relativ einfach austricksen, warnt die Sicherheitsfirma Core Security. Die Sandbox von Mac OS X erlaubt es, genau festzulegen, welche Ressourcen eine Anwendung nutzen darf – beziehungsweise was sie eben nicht darf. Das soll verhindern, dass etwa über eine Sicherheitslücke eingeschleuster Code unkontrolliert Schaden anrichten kann. Ab März 2012 will Apple nur noch Programme in den Mac App Store aufnehmen, die in einer Sandbox stecken.
Über das vordefinierte Profil "no-network" beispielsweise kann der Entwickler festlegen, dass das Programm keine Netzwerkfunktionen nutzen darf. Allerdings sind zumindest die vordefinierten Profile keineswegs wasserdicht. So demonstriert Core Security, wie man deren Restriktionen ganz einfach über eine Nachricht an eine andere Applikation umgehen kann. Konkret schicken sie im Rahmen der Open Scripting Architecture ein Apple Event an das "Terminal", das dieses veranlasst, ein Skript auszuführen.

osascript -e 'tell application "Terminal" to do script "..."' Dieser Prozess läuft dann außerhalb der Sandbox, ist also nicht an deren Beschränkungen gebunden. Somit kann das Skript ohne weiteres auf das Netz zugreifen. Der Sicherheitsforscher Charlie Miller hat dies bereits 2008 sehr ähnlich für einige konkrete Anwendungen demonstriert. Daraufhin hat Apple offenbar in deren Profilen die Nutzung von Apple Events reglementiert. Die generischen Profile wie "no-network" enthalten jedoch keine solchen Einschränkungen.
.....

Mehr siehe angegebenen Link!

Und es läuft noch viel zuwenig im Sandkasten ....
Muss mich mal selbst damit befassen einige der Applikationen darin laufen zu lassen ....

Hat es eigentlich Sinn Firefox oder Thunderbird komplett im Sandkasten laufen zu lassen?

Mail.app bzw. Outlook.app wären auch Kandidaten.

Aber wie ist das z.B. mit DynDNSUpdaterService der momentan unter root läuft?