V Mac OS X so zgoščene vrednosti gesel (hash) in salt shranjeni v posebnih datotekah shadow, do katerih imata dostop le njen uporabnik in administrator. Problem je, da je v Lionu to omejitev mogoče obiti, ker so podatki shranjeni v mapi, ko omogoča dostop vsem uporabnikom. To pomeni, da lahko vsakdo pridobi hash in salt od gesla od vsakega uporabnika, kar omogoča napad na geslo. To bi še vedno pomenilo, da je potrebno s slovarskim, surovim ali kakšnim drugačnim napadom ugotoviti geslo, a izkaže se, da ni potrebno niti to.
Mogoče je namreč izvesti ukaz dscl localhost -passwd /Search/Users/USERNAME, ki sicer navidezno vrne napako, a omogoča spremeniti poljubno geslo. To pomeni, da lahko vsak lokalni uporabnik spremeni administratorjevo geslo in pridobi polne privilegije. Za izvedbo napada potrebujemo lokalni dostop (torej že obstoječ račun, četudi z minimalnimi privilegiji) ali dostop prek SSH v obstoječ račun in dostop do drevesne strukture (directory service access).
Mojega maca uporabljam samo jaz (ok, pa moja tehnicno nepodkovana boljsa polovica), tako da se ne bom razburjal. Dux, drugace pa so varnostne pomanjkljivosti prisotne prakticno v vsem softwareu tako da to ni najboljsi kazalnik kvalitete - razen ce ni zadeva luknjasta kot svicarski sir, se razume.
Dejstva: - Apple se vedno bolj osredotoča na domače/poslovne uporabnike in vedno manj na podjetja - Večino Macov zelo verjetno uporablja majhno število uporabnikov - Vsi uporabniki Macov imajo fizični dostop do mašine (Apple se umika iz področja strežnikov) - FileVault potrebuje Master Password v primeru, da zamenjaš geslo uporabnika
Zaključek: Skoraj vsi Mac uporabniki imajo fizični dostop in tako lahko spremeni geslo administratorja, do podatkov pa s tem podvigom ni mogoče dostopati (FileVault).
noben izgovor ne pomaga taki šlampariji. to je na nivoju microsoftovih blamaž, če ne že slabš. sem semi macfag (za laptop imam MB) ampak ne bom fanboyevstva zganjal tle. itak je vsem jasno kdo najbolj puši k/$#e na tem področju: microsoft, apple, oracle, adobe in še par pacientov. nimaš kej.
nja, lahko bootaš kakšne žešče linuxe iz live cd-ja vsakič, ko želiš uporabljat računalnik. sam to je že t00 tr00. :D
Dejstva: - Apple se vedno bolj osredotoča na domače/poslovne uporabnike in vedno manj na podjetja - Večino Macov zelo verjetno uporablja majhno število uporabnikov - Vsi uporabniki Macov imajo fizični dostop do mašine (Apple se umika iz področja strežnikov) - FileVault potrebuje Master Password v primeru, da zamenjaš geslo uporabnika
Zaključek: Skoraj vsi Mac uporabniki imajo fizični dostop in tako lahko spremeni geslo administratorja, do podatkov pa s tem podvigom ni mogoče dostopati (FileVault).
Vse našteto velja tudi za WinXP, pa ga še vedno iščem korenjaka, ki bi rekel, da vse varnostne napake padejo pod zgodbo "ni panike".
Je panika.
V bistvu je to zelo veliko sranje, ker ti lahko vsakdo kar mimogrede "ukrade" root account, ne da bo to opazil.
Trojanci/virusi komaj čakajo na takšne priložnosti.
Jaz bom pa z prehodom na Liona še malce počakal. Očitno je še malce luknjast pa tudi naredili so nekaj grozljivih zaje***, ki mi niso niti malo všeč. Odstranili so po mojem mnenju najbolj uporabno funkcijo - Expose (show all windows opcija) in jo zamenjali z Mission Control, ki pa namesto vseh oken prikaže aplikacijo in njena okna - torej moraš izbrati najprej aktivno aplikacijo in šele potem okno (razen, če ima aplikacija samo eno okno). In dokler ne dobim te funkcije nazaj (ali od apla ali pa od nekoga petnajstega) bom kar nekaj časa razmišljal o prehodu na Lion. Snow Leopard je trenutno odličen in ne vidim neke blazne potrebe po menjavi.
Tud men je to manjkalo. Ko aktiviraš MC greš na tisto aplikacijo, ki jo želiš in z dvema prstoma potegneš gor in se ti vsa okna tiste aplikacije pokažejo. Probaj, če imaš možnost, ker ne vem, če sem te prav razumel.
Ja ampak se ti pojavijo samo okna tiste aplikacije. Ravno v tem je problem. Jaz hočem vsa okna, vseh aplikacij, prikazana naenkrat (to kar je na SL ali prej Expose delal po defaultu). Sam doma uporabljam Logitechovo MX1100 in imam Expose mapiran na dve tipki - ena skrije vsa okna, druga pa vsa prikaže. To mi omogoča izjemno hitro premikanje med okni, ki ga ne posekajo nobena virtualna namizja ali karkoli drugega - edini način kako se hitreje premikat med okni, ki mi pade na pamet je branje misli.
Ne vem ali je tako težko dat nekje eno kljukico - NE GROUPIRAJ PREKLETIH OKEN.
To imaš pa prav. V SL sploh nisem uporabljal spaces in mi je expose tudi prišel prav. V Lionu pa imam standardno 6 spaces in si s tem tudi zelo olajšaš preklapljanje med programi in okni. Tistim aplikacijam, ki ne podpirajo "full screen", lahko določiš, da se odpirajo le na določenem spacu. Jebi*a, če bi še pa Lion to imel, bi bil pa že kič.
Dejstva: - Apple se vedno bolj osredotoča na domače/poslovne uporabnike in vedno manj na podjetja - Večino Macov zelo verjetno uporablja majhno število uporabnikov - Vsi uporabniki Macov imajo fizični dostop do mašine (Apple se umika iz področja strežnikov) - FileVault potrebuje Master Password v primeru, da zamenjaš geslo uporabnika
Zaključek: Skoraj vsi Mac uporabniki imajo fizični dostop in tako lahko spremeni geslo administratorja, do podatkov pa s tem podvigom ni mogoče dostopati (FileVault).
Dejstvo: maci so bli vedno reklamirani kot sistem, ki se ga ne da napadat, ki ne vsebuje virusov,...
zadnji dogodki le pričajo o tem, kar sem vedno govoril: "ni bilo interesa velikorazsežno napadati teh sistemov". preprosto je bilo tako malo računalnikov (procentualno gledano glede na PCje) in pa vsem je veliko bolj v nos hodil ljubljeni M$.
Stvar je v tem, da lahko to stori vsak uporabnik, tudi tisti brez fizičnega dostopa. Ker je takšnih pri Macu zelo zelo malo, to niti ni tako velika varnostna luknja, kot se mogoče zdi na prvi pogled.
Jah ce imas fizicni dostop se itak lahko resetira geslo. Tudi v SL in Leopardu, Tigru, ...: Klik
Kot pa je nekdo zapisal, pri temu pomaga FileVault, da nima dostopa do podatkov.
A se ne da tudi z windowsi to: bootas s cd-ja/usb-ja in z dolocenim programom lahko zamenjas admin geslo. Tako da, nevem zakaj se tako razburjate. :)
Ne enačiti "fizičnega dostopa" z "lokalnim dostopom". To sta dva različna pojma, ki si ju očitno pomešal.
Nikjer nisem našel ničesar, kar bi namigovalo na to, da tega ne bi mogel narediti trojanski konj/virus uporabniku za hrbtom. Če pomislim, da root nima gesla in se ga pod OS X tudi ne uporablja neposredno, se mu lahko spremeni geslo, ne da bi uporabnik to kdaj opazil.
Ko mi bo kdo našel virus za okna, ki bo v CD enoto sam vstavil samega sebe, restartal racunalnik tako, da se bo zagnal iz taistega CD-ja in na takšen način zaobšel zaščito pred nenadzorovano ponastavitvijo admin gesla, naj mi prosim pošlje ZS. Z veseljem si bi želel pogledati to zverino.
Dokler pa tega ni, pa pač velja, da ima lokalen dostop vsaka aplikacija, ki jo uporabnik požene na svojem računalniku, tako kot ga ima tudi vsakdo, ki lahko oddaljeno dostopa do računalnika in na njemu poganja svoje aplikacije. Vsem tem so vrata odprta.
Tale levček je dejansko postal ne samo zanimiva, ampak iz vidika P/P dejansko zelo vabljiva tarča. Tako poceni (iz vidika vložene energije) izvajanje napadov se ne spomnem, da bi bilo možno že tam nekje od časov kakšnih starih Win9x in SunOS-ov.
Dobro, virusi/trojanci so edini programi, ki bi lahko imelo kakšno korist pri uporabi tega. Glede na to, da ni veliko takšne programske opreme za Mac je velika verjetno, da se bo Apple prej odzval kot pa pisci virusov.
Dobro, virusi/trojanci so edini programi, ki bi lahko imelo kakšno korist pri uporabi tega. Glede na to, da ni veliko takšne programske opreme za Mac je velika verjetno, da se bo Apple prej odzval kot pa pisci virusov.
Dobro, virusi/trojanci so edini programi, ki bi lahko imelo kakšno korist pri uporabi tega. Glede na to, da ni veliko takšne programske opreme za Mac je velika verjetno, da se bo Apple prej odzval kot pa pisci virusov.
Tole je pa že skoraj za "famous last words" rubriko.
Ranljivost je javno znana koliko dni?
Apple se je odzval kako in v kakšnem času?
0-day exploiti so nenadoma prenehali obstajati?
Samo dejstva sem povedal ter razložil, zakaj to nima velikega vpliva.
Samo in samo pod pogojem, da tako ali tako ne uporabljaš OSX Lion. V tem pogledu tudi vse ranljivosti, ki jih Microsoft pušča v svojih sistemih na moj domač računalnik nimajo velikega vpliva.
Ostalo je samo dejstvo, da je ogromna večina tistih, ki imajo že nameščenega Liona po vsej vrjetnosti brez kakršne koli obrambe tudi pred najbolj trivialnimi trojanci/virusi tipa "Anna Kournikova". Ql, če te to osebno ne gane. Je pa to takšen masiven FAIL, da bi katero koli drugo firmo sedaj že nekajkrat namočili v katran in povaljali v perju.
Mac OS uporabljam od verzije 8 dalje (ja takrat so bili maci še sive barve) in nisem imel NIKOLI nobenega AV ali anti-malware (al kak se že reče). Nikoli nobenih problemov s kompom. Kaj je to sploh "anna kournikova"?
Ostalo je samo dejstvo, da je ogromna večina tistih, ki imajo že nameščenega Liona po vsej vrjetnosti brez kakršne koli obrambe tudi pred najbolj trivialnimi trojanci/virusi tipa "Anna Kournikova". Ql, če te to osebno ne gane. Je pa to takšen masiven FAIL, da bi katero koli drugo firmo sedaj že nekajkrat namočili v katran in povaljali v perju.
Ogromna večina Mac uporabnikov bi vpisala geslo za dostop do administrativnega računa tudi pri trojancu, če bi se namestil zraven kakšnega programa. Moraš vedeti, da takšna ranljivost potrebuje način za zagon na računalniku, torej ranljivost v obstoječih programih.
Pri drugih OSih (predvsem mislim Windows in Linux distribucije) bi bil masiven FAIL, ker so velikokrat uporabljeni kot strežnik, do katerega oddaljeno dostopa veliko ljudi. V takem primeru bi lahko navaden uporabnik dobil administratorske privilegije.
Apple je pa že pokazal kaj si misli o takšnih stvareh z ukinitvijo njihove Xserve linije ter z OS X Lion Server.
Prehiter si, ker je tak[na napaka preprosto FAIL. Drugi OS-i so takšne stvari pospravili že leta nazaj in so danes prava redkost. Če pa se kaj takšnega že pojavi, pa je to popravljeno v urah.
To je FAIL. Čisto OS agnostičen fail, ki je tebe, mene in še množico drugih uporabnikov naredil za vabljivo tarčo.
Kaj pa ti vidiš v mojih besedah, pa ne vem. Izgleda, da nekaj tretjega.
Seveda je FAIL, vendar tudi kar nekaj drugih hroščev operacijskih sistemov spada v to kategorijo. Zaradi načina uporabe Mac OS X Lion je vsa zadeva veliko manj nevarna, kot bi drugače bila.
Pri drugih OSih (predvsem mislim Windows in Linux distribucije) bi bil masiven FAIL, ker so velikokrat uporabljeni kot strežnik, do katerega oddaljeno dostopa veliko ljudi.
Linux da, Windows pa ne ravno... če nimaš opravka s kakšnim TS sistemom, je imeti lokalne uporabnike na Windows strežniku zelo, zelo redek pojav. Pač profil dela pri teh je "strežem datoteke, strežem printerje, strežem pošto". Redko kdaj pa "lokalno strežem namizne ali terminalske aplikacije".
Sicer pa si upam reči, da je v celotni populaciji okuženih Windows OS-ov, 99% odjemalcev (XP, Vista, W7). Morda 1% strežnikov, če sploh toliko.
Iz vidika tega, da so domači uporabniki najboljše tarče (laiki, stvari delajo avtomatično, ...) in vidika tega, da je preko te ranljivosti možno preskočiti tudi tisti "enter admin password", je zadeva resnično boleča. Tudi če je delež OSX uporabnikov na namizju morda kakšnih 5% (namenoma dajem manjšo številko), ti v primeru 50% uspešnosti predstavlja dober P/P, v primerjavi s 95% WinOS namizij in uspešnostjo okužbe morda 1%.
Zaradi načina uporabe Mac OS X Lion je vsa zadeva veliko manj nevarna, kot bi drugače bila.
Način uporabe je praktično identičen profilu uporabe praktično katerega koli drugega namiznega OS, razen morda WinXP, kjer ni bilo "gladkega" prehoda med "user" in "admin" privilegijem dostopa.
Za nobenega od ostalih sistemov (Vista, Win7, Linux, tudi WinXP) ne vem za takšno ranljivost v praktično zadnjih 10 letih. In ranljivost je tudi za namizje še kako nevarna. Tudi če ne ogroža tebe, mene ali MrSteina, ki smo recimo temu strokovnjaki in se lahko takšnim tveganjem enostavno izognemo.
Kaj pa ostalih 95% uporabnikov namizij oziroma ostalih 95% uporabnikov OSX-a?
Način uporabe je praktično identičen profilu uporabe praktično katerega koli drugega namiznega OS, razen morda WinXP, kjer ni bilo "gladkega" prehoda med "user" in "admin" privilegijem dostopa.
Govoril sem predvsem o tem, da več uporabnikov uporablja en računalnik.
Iz vidika tega, da so domači uporabniki najboljše tarče (laiki, stvari delajo avtomatično, ...) in vidika tega, da je preko te ranljivosti možno preskočiti tudi tisti "enter admin password", je zadeva resnično boleča.
Mogoče jih "enter your password" malenkost strezne, vendar pri Windowsu dvomim, da je komu težko pritisniti Yes v UAC dialogu.
Za nobenega od ostalih sistemov (Vista, Win7, Linux, tudi WinXP) ne vem za takšno ranljivost v praktično zadnjih 10 letih.
Sprememba gesla je res neposredni rezultat te ranljivosti, vendar gre v bistvu predvsem za dvig privilegijev s spremembo gesla. Sem prepričan, da so tudi ostali OSi imeli več kot en 0-day exploit, ki je omogočal dvig privilegij.
Kaj pa ostalih 95% uporabnikov namizij oziroma ostalih 95% uporabnikov OSX-a?
Večina teh 95% uporabnikov niti nima najnovejše verzije OSa. Ostali pa so izpostavljeni tej ranljivosti, vendar mora uporabnik še vseeno: a) zagnati program (kjer bi večina tako vpisala svoje geslo) b) odpreti dokument/stran v programu, ki ima ranljivost
dscl localhost -passwd /Search/Users/someuser New Password: Permission denied. Please enter user's old password:
Najprej sem z "Admin" uporabnikom tako spremenil geslo "Standard" uporabniku. Potem sem preizkusil še tako, da sem se prijavil kot "Standard" uporabnik in sem prav tako lahko uspešno spremenil geslo Adminu. Imam pa svežo namestitev Liona (MBA mid 2011).
Torej bom moral paziti, da ne bom puščal neodklenjenega prenosnika na mizi, dokler ne naredijo popravka.
Prosim poglej tale video, če sem mogoče naredil kaj "narobe". Če se ti zdi, da je vse vredu, grem iskat, kaj bi lahko imel drugače nastavljeno, da mi ne pusti zamenjat gesla :)
Jaz sem delal isto, nisem pa dobil tistega D5 Errorja. Prijavo pa sem preizkusil v GUI, tam sem se vedno lahko prijavil z novim geslom.
Uporabnika imam pa dva, enega sem naredil takoj po namestitvi, in mu spodaj piše da je "Admin", drugemu uporabniku pa piše, da je "Standard". Oba uporabnika sta lahko na ta način eden drugemu spreminjala gesla.
a ste poteglni dol že security update od appla za lion? mislm, mene čaka za namestitev vendar nimam zdele šans pogledat kdaj so ga izdal.. sem pa skorajda prepričan, da pokriva tud to varnostno luknjo.. vseeno se nagibam k temu, da bi skočil nazaj na updated SL, saj LION kar se performansa tiče ni naredil nobenga koraka naprej.. bonbončki pa niso dovolj sladki. :P
