Cerca nel blog

2018/01/12

Scavalcare la password di un Mac è un po’ troppo facile

In macOS High Sierra (10.13.2) c’è una falla che consente a un intruso locale di scavalcare in parte le protezioni del sistema operativo. Se il Mac è attivo con un account da amministratore (cosa normale) ed è momentaneamente incustodito (una classica situazione in famiglia o in ufficio, per esempio), un aggressore non ha bisogno di sapere la password di amministratore per cambiarne le impostazioni in alcune delle Preferenze di Sistema: il Mac accetta qualunque cosa scriviate come password.

Per esempio, se andate nelle Preferenze di Sistema e cliccate sull’icona dell’App Store e poi sul lucchetto per avere il permesso di effettuare modifiche, compare sullo schermo una richiesta di password, ma macOS accetta qualunque digitazione, sbloccando anche altre Preferenze di Sistema che normalmente sono protette da password. Questo consente a un aggressore, per esempio, di sbloccare gli acquisti nell’App Store (scenario classico: figlio o figlia che vuole comprare un gioco ma i genitori hanno bloccato gli acquisti). Le sezioni Utenti e Gruppi e Sicurezza e Privacy non hanno questa magagna.

Ho realizzato un video spiccio per dimostrare la falla su uno dei miei Mac:


Apple sta già correggendo questo difetto decisamente imbarazzante e rilascerà prossimamente un aggiornamento di macOS che la chiude. Nel frattempo, se avete amici che si vantano un po’ troppo della sicurezza del loro Mac, ora sapete come ridimensionarli.

9 commenti:

Diego Laurenti ha detto...

Pazzesco!
Comunque hai corso un grosso rischio pubblicando questo video...il rumore dei tasti potrebbe essere protetto da Copyright, e youtube poteva bannarti! ;P :)

eSSSSe ha detto...

Nooooo. Ridicolo.
Ho provato con Sierra e vuole solo la password corretta.
Dev'essere una delle innovazioni di High Sierra (che a questo punto non installero' mai).

Unknown ha detto...

È anche vero che di default il lucchetto per le impostazioni dell'app store è aperto, quindi bisogna prima chiuderlo e poi riaprirlo con una password qualsiasi. È un difetto cosmetico più che di sicurezza :)

Scatola Grande ha detto...

Da quel che ho letto questa falla non è presente nelle versioni precedenti di macOS ma è spuntata fuori nell'aggiornamento che corregge il precedente baco, quello dove si premevano ripetutamente dei tasti.

Crazy ha detto...

@Unknown
Un lucchetto aperto che, se chiuso, si apre con una chiave qualsiasi.... a cosa serve?

Bloggerino ha detto...

mi dispiace, ma sul mio iMac mid2008 con El Capitan o metto la password impostata o non mi apre un bel niente!
perché?
saluti
Gian Luigi

lufo88 ha detto...

Sono il solo a pensare che il problema di queste falle sia una progettazione sciagurata del software? Sviluppando da anni per iOS mi viene sempre più il sospetto che alla Apple abbiano qualche lacuna nel concetto di "architettura software"

Intanto a lavoro continuo a rimandare l'aggiornamento ad High Sierra. Direi che faccio bene.

@bloggerino
La prima frase dell'articolo:
"In macOS High Sierra (10.13.2) c’è una falla "
Riguarda solo HighSierra, quindi.

Alf ha detto...

Ho appena provato sul mio Mac - sembra che funzioni solo con il widget dell'App Store. Ho provato Users & Groups, e anche Parental Controls, e in nessuno dei due casi ha funzionato.

Scatola Grande ha detto...

lufo88,
se non sbaglio però la tua versione di OS è proprio quella dove si entra con una compinazione di tasti (non ricordo bene ma ne ha anche parlato Paolo) per cui non è che stai proprio tranquillo.