Το WWDC2022-2023 δεν είναι η μόνη σοβαρή είδηση στα γραφεία των μηχανικών της Apple σήμερα το πρωί.
Εάν αξιοποιηθεί σωστά, μια κακόβουλη εφαρμογή θα μπορούσε να ξεγελάσει το MacBook σας ή οποιοδήποτε είδος τρέχοντος Mac, να νομίζει ότι είστε εσείς και να κάνει ό, τι θέλει. Ο ερευνητής ασφαλείας Patrick Wardle, επικεφαλής ερευνητής στην Digita Security, αποκάλυψε ένα κενό ασφαλείας macOS χθες (2 Ιουνίου) σε μια διάσκεψη στο Μονακό που ονομάστηκε Objective by the Sea.
Δυστυχώς, η Apple δεν έχει επιδιορθώσει ακόμη αυτό το ελάττωμα και ο Wardle το είπε στην εταιρεία μόλις την περασμένη εβδομάδα. Για να προστατευτείτε, πρέπει να είστε πολύ προσεκτικοί στις εφαρμογές που κατεβάζετε απευθείας από το διαδίκτυο. Θα ήταν καλύτερα να μείνετε στο επίσημο Mac App Store.
Κλικ φάντασμα
Το ζήτημα, σύμφωνα με τον Wardle, είναι ότι η Apple αφήνει μια χούφτα παλαιότερων εφαρμογών (κυρίως παλαιότερες εκδόσεις των τρεχουσών εφαρμογών όπως το δημοφιλές πρόγραμμα αναπαραγωγής πολυμέσων VLC) να συνεχίσουν να χρησιμοποιούν "συνθετικά κλικ", μια δυνατότητα που επέτρεψε στις εφαρμογές να παρακάμψουν τα τελευταία εμπόδια ασφαλείας της Apple μιμούμενη έναν εξουσιοδοτημένο χρήστη, η άδεια του οποίου χρειάζεται για να επιτρέψει ορισμένες ενέργειες.
Σύμφωνα με το EclecticLight.co, η λίστα των παλαιών εφαρμογών που η Apple έχει προσθέσει στη λίστα επιτρεπόμενων για να μπορεί να χρησιμοποιεί συνθετικά κλικ περιλαμβάνει παλιές εκδόσεις Steam, VLC, Sonos Mac Controller και Logitech Manager.
Αφού ο Wardle και άλλοι ερευνητές έδειξαν το περασμένο καλοκαίρι πώς μπορούσαν να χρησιμοποιηθούν συνθετικά κλικ για να επιτεθούν σε Mac, η Apple έκλεισε την πόρτα στη λειτουργία με το macOS Mojave. Αλλά για να επιτρέψει στις παλιές εφαρμογές να συνεχίσουν να λειτουργούν - ο Wardle είχε προειδοποιήσει ότι η εξόντωση των συνθετικών κλικ θα "σπάσει πολλές νόμιμες εφαρμογές" - αυτές οι παλαιότερες εφαρμογές έλαβαν απαλλαγή.
"Αυτό είναι απογοητευτικό ως ερευνητής να βρίσκει συνεχώς τρόπους για να παρακάμψει την προστασία της Apple", δήλωσε ο Wardle στο Threatpost. "Θα ήμουν αφελής να σκεφτώ ότι δεν υπάρχουν άλλοι χάκερ ή εξεζητημένοι αντίπαλοι που έχουν επίσης βρει παρόμοιες τρύπες στην άμυνα της Apple."
Χωρίς έλεγχο των θαλάμων
Η Apple έχει μια άλλη εγγύηση. Επιτρέπει μόνο εφαρμογές σε μια λίστα λευκών Apple να χρησιμοποιούν συνθετικά κλικ, είτε αυτές οι εφαρμογές είναι παλαιού τύπου είτε όχι. Το πρόβλημα είναι ότι η διαδικασία επαλήθευσης είναι βαθιά ελαττωματική.
Το MacOS επαληθεύει τις εφαρμογές μόνο ελέγχοντας τις ψηφιακές υπογραφές τους και όχι ελέγχοντας πραγματικά τον κώδικα μέσα σε αυτές τις εφαρμογές ή διασφαλίζοντας ότι δεν φορτώνουν επιπλέον κώδικα αφού αρχίσουν να τρέχουν. Χθες, ο Wardle απέδειξε ότι οι ανησυχίες του ήταν έγκυρες με την ένεση ενός κακόβουλου plugin στο VLC, ένα που θα μπορούσε να εκτελέσει συνθετικά κλικ - ψεύτικες ενέργειες χρηστών - που η Apple τυπικά αποκλείει στις εφαρμογές.
Φανταστείτε έναν πράκτορα ασφαλείας TSA που ελέγχει μόνο την ταυτότητά σας και δεν μετακινεί τις αποσκευές σας στο δίσκο σάρωσης. Αυτό είναι το θέμα εδώ.
"Ο τρόπος με τον οποίο εφάρμοσαν αυτόν τον νέο μηχανισμό ασφαλείας, είναι 100 % σπασμένος", δήλωσε ο Wardle στο Wired. "Μπορώ να παρακάμψω όλα αυτά τα νέα μέτρα απορρήτου του Mojave."
Χαζεύει τον χρήστη
Δεν είναι δύσκολο να ξεγελάσετε τους χρήστες να εγκαταστήσουν εφαρμογές που έχουν καταστραφεί και οπλιστεί κατά του χρήστη. Ένα σημαντικό παράδειγμα αυτού συνέβη στην πραγματική ζωή τον Μάρτιο του 2016 με τη δημοφιλή μετάδοση πελατών BitTorrent.
Ένας εισβολέας μπορεί να μην χρειάζεται καν να ξεγελάσει κανέναν. Το 2016, ο Wardle έδειξε πώς μια κατεστραμμένη ενημέρωση νόμιμου λογισμικού που είχε ήδη εγκαταστήσει ο χρήστης - σε αυτό το παράδειγμα, το Kaspersky Internet Security for Mac - θα μπορούσε να παρακάμψει όλους τους μηχανισμούς ασφαλείας της Apple για να μολύνει ένα Mac.
Πρόχειρες πρακτικές ασφάλειας
Η τελευταία ομιλία του Wardle αναφέρθηκε από πολλά καταστήματα, συμπεριλαμβανομένου του The Register.
Πως εγινε αυτο? Ο Wardle είπε στο The Register ότι "Εάν κάποιος ερευνητής ασφαλείας ή κάποιος στην Apple με νοοτροπία ασφαλείας είχε ελέγξει αυτόν τον κωδικό, θα τον είχε προσέξει. Μόλις δείτε αυτό το σφάλμα, είναι ασήμαντο".
«Δεν ελέγχουν τον κώδικα», πρόσθεσε. "Yhey εφαρμόζουν αυτά τα νέα χαρακτηριστικά ασφαλείας, αλλά η πραγματικότητα είναι ότι συχνά εφαρμόζονται λανθασμένα."
- Γιατί το WWDC θα εισέλθει σε μια νέα εποχή για την Apple