Slo-Tech - V najnovejši različici Applovega operacijskega sistema macOS High Sierra so odkrili veliko luknjo, ki omogoča prevzem nadzora nad računalnikom vsakemu mimoidočemu. Ranljivost je znana že dva tedna, a se je resnost luknje razkrila šele sedaj. Apple je že izdal popravek, ki jo odpravlja.
Izkaže se, da ima macOS sicer onemogočen administratorski račun (root), a ta ni zaščiten z geslom in ga je mogoče omogočiti, kar omogoča zlorabo. Če ugasnjen računalnik vključimo, se lahko ob pozivu za vnos gesla preprosto vpišemo kot root in pustimo polje za geslo prazno, pa nas bo sistem ob nekaj zapornih pritiskih na vnašalko spustil mimo. Ranljivost je pred dvema tednoma povsem brezbrižno omenil eden izmed uporabnikov kot rešitev težave, če nas macOS zaklene iz računa. V resnici pa gre za veliko varnostno luknjo.
Zanimivo je, da ta ranljivost ne deluje, če smo v računalnik prijavljeni in je zaslon zgolj zaklenjen. Deluje pa, če je uporabnik odjavljen. Prav tako je ranljiv računalnik, ki ima administratorski račun onemogočen, saj ga opisana metoda reaktivira. Če pa je administratorski račun zaščiten z dobrim geslom, je računalnik načeloma varen. Administrator seveda lahko dostopi do vseh datotek na disku, razen če so te šifrirane s filevaultom. Kdor ima vključen Screen Sharing, pa dostop ponuja kar vsem, tudi oddaljenim napadalcem.
ne vem kje je drama - vsaka debian inštlalacija te vpraša ali hočeš to. Vsaj bilo je tako in pisalo v dokumentaciji, ne vem če še,
V vsakem primeru pa - skor isto - pač prideš v recovery in chrootaš ko je treba. Ali pa pač si root v recovery. Tko da...
Drugo je, če res ni bilo navedeno, da je root enablan, v resnici je pa bil. To pa - najbrž - bo koštalo nekaj milijonov v tožbah.
sistemc pač bi moral to preverit - kar pa itan noben ne dela. Na sploh razen 1 človeka v življenju nisem srečal sistemca, ki bi res oreng stvari pogledal, sam kaj, ko je računal svoje delo.
Who cares
Edina rečitev je pač LVM enkripcija in geslo pa screen na geslo, pa je.
Saj nekaj podobnega imajo tudi okna. Delal sem oddaljeno na enem računlaniku, ki je imel samo enega uporabnika in sem med nastavitvami nehote izbral profil navadnega uporabnika. Kasneje se nisem mogel več oddaljeno prijaviti in narediti (lokalno, fizična prijava na pc) ničesar, ker edini uporabnik ni imel več admin pravic, administrator pa je bil onemogočen... No, po eni uri dela mi je uspelo dobit nazaj admin pravice :)
Ko ne gre več, ko se ustavi, RESET Vas spet v ritem spravi.
ne vem kje je drama - vsaka debian inštlalacija te vpraša ali hočeš to. Vsaj bilo je tako in pisalo v dokumentaciji, ne vem če še,
V vsakem primeru pa - skor isto - pač prideš v recovery in chrootaš ko je treba. Ali pa pač si root v recovery. Tko da...
Drugo je, če res ni bilo navedeno, da je root enablan, v resnici je pa bil. To pa - najbrž - bo koštalo nekaj milijonov v tožbah.
sistemc pač bi moral to preverit - kar pa itan noben ne dela. Na sploh razen 1 človeka v življenju nisem srečal sistemca, ki bi res oreng stvari pogledal, sam kaj, ko je računal svoje delo.
Who cares
Edina rečitev je pač LVM enkripcija in geslo pa screen na geslo, pa je.
zz
Dafuq?!
A lahko v debianu na login screenu vpišem root, geslo pustim prazno in se kar logiram? I don't think so, Jimmy ... (če se slučajno motim, potem je šel debian v pisane marjetice)
Ja, s fizičnim dostopom se ponavadi linux based distrote da sesuti, če ni za varnost solidno dobro poskrbljeno (onemogočen fizičen dostop notranjosti mašine, zaklenjen UEFI, zaklenjen boot loader - če je, ipd ...), ampak parkrat udarit enter proti takim metodam _NI_ primerljivo. Je pa jokanje Apple uporabnikov kako je razkritje neodgovorno, kako bi morali zapreti tega, ki je ranljivost obelodanil, skrajno smešno. Hitro se vidi, kdo je vernik, in kdo le uporabnik ...
Če bi bil bug, da te spusti v root account brez gesla, bi bil bug desetletja. Da te pa šele po drugem zaporednem poskusu, je pa verjetno najbolj bizaren bug stoletja.
mislil sem na to, da te debian ob inštalaciji vpraša ali hočeš root account ali ne. Da ni avtomatično disablan/enablan, pač pa temelji na odločitvi userja. Vsaj bilo je tako 3 leta nazaj, ko sem sisteme postavil. Kurc k dela brez problema in ne vem kako je.
Drugače pa v root seveda ne moreš - razen preko recoveryja (torej fizični dostop) ali pa seveda live sessiona s chroot (al pa brez če je običajen user). S tega vidika je novica fail ker vsaj malo advanced user lahko "vdre" v linux sistem - ker je tako zasnovan (in to dokumentirano). Če imaš fizični dostop do mašine.
Če damo še primer iz zgodovine: Windows XP privzeto ni imel gesla za administratorja in ni bil onemogočen. Marsikdaj uporabljeno, ko je kdo od prijateljev pozabil svoje geslo za svoj račun.
Priznam, še nikoli nisem naletel na tak primer. Kot napisal; bil oddaljeno prijavljen in edinemu uporabniku (seveda bil prijavljen kot ta uporabnik) spremenil pravice iz admin na user. Po reštartu remote več ne špila, prijavljen kot ta uporabnik pa sem imel sivi gumb za poganjanje česarkoli z admin pravicami :)
Ko ne gre več, ko se ustavi, RESET Vas spet v ritem spravi.
še enkrat, da se bomo razumeli: debian ob namestitvi vpraša, ali hočeš root ali ne. To sem hotel povedati. (delna veza z novico)
In če je enablan, sudo passw root pa si v riti (ker je skor vsak superuser) (to nima veze z novico, ker si že not v sistemu) Tko da... poleg tega je treba v grubu disablat recovery pa je. (veza z novico)
Ni torej da se v prijavnem oknu vpišeš kot root - greš pač v recovery - in je isto.
ALi pa live dvd.
Je zdaj jasno? In to je od nekdaj in noben ne joka, da je linux ranljiv. Je pa vsekakor šlapasto, če je bil tak bug v prijavnem oknu.
Za varbost je treba torej imeti LVM enkripcijo pa je. Pol pa ne gre.
