Sicherheit: Die Wichtigkeit von Sandboxen

[SilentCry]

Hallo Freunde des sicheren Computings, Feinde des Überwachungsstaates und Mitdenker.
Diesem heise-Bericht entnehmen wir, wie offensichtlich einfach es zu sein scheint, remote Browser zu kapern.

Charlie Miller brauchte nicht einmal 2 Minuten, um Safari auf einem voll gepatchten Macbook zu kapern.

Ich gebe zu, dass der Artikel recht dünn ist. Was man also unter "gekapertem Browser" versteht ist fraglich. Hat der "Hacker" das System übernommen oder "nur" den Browser soweit im Griff, dass der nicht mehr auf die korrekten Seiten zeigt? Hat der "Hacker" Zugriff auf die Userdaten oder nicht, etc.

Dennoch möchte ich, als bekannter Rufer in der Stille, dies zum Anlass nehmen auf die Wichtigkeit einer sicheren Surfumgebung hinzuweisen.
Mein Freund MacMark hat sehr schön HIER die Funktion und die Anwendung der im OS X verankerten Sandbox-Technologie zusammengefasst.

Ich erstelle diesen Thread eher als anlassbezogenen Reminder, dass man auch als Apple-User in Gefahr schwebt. Und dank des SchäubleStaates gilt auch keine Verteidigung im Sinne "ich bin doch für Hacker total uninteressant". Für SchäubleSchergen sind wir alle Verbrecher, die man nur mit modernen Mitteln erst noch überführen muss.

 

[Ikezu Sennin]

Laut
http://www.mactechnews.de/news/index.html?id=143516
ist physischer Zugang zu Safari von Nöten, um das System zu übernehmen.

Die noch unbekannte Lücke erfordert wie schon im letzten Jahr physischen Zugang zu Safari mit Administrator-Rechten

Warum man sich aber die Mühe über Safari machen sollte, wenn man die Finger eh schon am Rechner hat, ist mir schleierhaft.

 

[MacMark]

Irgendein Bug in Safari (wie bei anderen Browsern im gleichen Wettbewerb) ermöglicht der besuchten Webseite die Ausführung von eingeschleustem Code mit den jeweiligen User-Rechten. Solche Bugs können aber immer auftreten. Daher ist eine Sandbox als Schadensbegrenzungs-Maßnahme prinzipiell empfehlenswert.

Der Hack war wieder vor dem Wettbewerb von Charlie in aller Ruhe vorbereitet worden (wie von seinen Kollegen bzgl Firefox und IE genauso). Die Ausführung dauert nur 2 Minuten (Safari starten, Link tippen).

Der Bericht auf MTN ist fehlerhaft. Der User klickt auf Link und führt dadurch ungewollten Code aus. Das mit Admin-Rechten sehe ich nicht im Original. Da es ein Bug in Safari ist, ist Admin oder User egal, müßte immer funktionieren. Nur die Auswirkung ist anders: Beim Admin hat man zusätzlich Zugriff auf /Applications und /Library.

Um Root zu werden, müßte man zusätzlich noch einen weiteren Fehler wie damals im ARDAgent ausnutzen.

Charlie hat übrigens grad ein Mac-Hacker-Buch geschrieben:
http://www.amazon.de/Mac-Hackers-Handbook-Charles-Miller/dp/0470395362