Ten sam zawodowy haker pokazał lukę w OS X i włamanie do Samsung Knox

OS X uchodzi za system bezpieczny, a Knox Samsunga ma być ścianą, która oddzieli ważne dane firmowe od prywatnych na jednym urządzeniu. A jednak podczas trwającej właśnie konferencji Øredev Developer Conference w Malmö w Szwecji jeden specjalista zaprezentował luki w obu produktach.

Emil Kvarnhammar z firmy TrueSec zaprezentował sposób na podniesienie uprawnień w systemach OS X od wersji 10.8.5 do dopiero co wydanej wersji 10.10. Oznacza to, że oprogramowanie uruchomione przez użytkownika z uprawnieniami administratora może wykorzystać komendę sudo i zdobyć uprawnienia roota bez weryfikacji. W normalnych warunkach sudo wymaga podania hasła do konta użytkownika, zanim pozwoli mu działać z uprawnieniami roota. Luka została nazwana rootpipe jest prawdopodobnie jeszcze starsza, niż wersja 10.8.5 systemu.

Tym sposobem złośliwe oprogramowanie pobrane na komputer i, przykładowo, uruchomione automatycznie zaraz po pobraniu przez Safari, mogłoby zainstalować szkodliwy komponent bez zgody i wiedzy użytkownika. W normalnych warunkach instalacja wymagałaby podania hasła.

Szczegółów Kvarnhammar jeszcze nie może podać. Swoim odkryciem podzielił się z Apple dwa tygodnie temu i obiecał, że zatrzyma je dla siebie do stycznia przyszłego roku. Na Twitterze napisał, że trzeba dać Apple czas na dostarczenie łatki na komputery użytkowników. Podkreślił też, że potrzeba odpowiedzialnego ujawniania luk jest bezdyskusyjna, gdyż ryzyko jest bardzo wysokie.

Jeśli luka związana jest z jakimś zewnętrznym komponentem lub wtyczką, Apple może skorzystać z mechanizmu Xprotect i wprowadzić kwarantannę do momentu wydania łatki. W ubiegłym roku tak właśnie było z Javą 7 po tym, jak Departament Bezpieczeństwa Krajowego Stanów Zjednoczonych poinformował o poważnej luce, z zasady blokowane są także starsze wersje Flasha. Aby obronić się przed opisaną w Szwecji luką warto jednak na wszelki wypadek pracować na koncie bez uprawnień administratora (na nowym koncie lub po zabraniu sobie uprawnień z poziomu innego konta administratora). Jest to praktyka uznawana za dobrą i bezpieczną nie tylko w przypadku systemu OS X, choć wiąże się z potrzebą autoryzacji przy bardziej zaawansowanych czynnościach, jak instalacja drukarki bądź oprogramowania z dostępem do całego systemu. Kvarnhammar zalecił także korzystanie z wbudowanego systemu szyfrowania dysku – FileVault.

Standardowo producent oprogramowania jest powiadamiany o luce 90 dni przed ujawnieniem szczegółów przed szeroką publicznością. Mniej odpowiedzialni hakerzy zamiast informować o lukach sprzedają na czarnym rynku 0-daye (exploity powstające zanim firma dowie się o luce) i zarabiają na tym ogromne pieniądze.

Kvarnhammar zaprezentował także sposób na obejście zabezpieczeń systemu Samsung Knox. Od kilku dni mówi się, że system nie jest bezpieczny, ale Samsung zaprzeczył. Sprawa jest tym bardziej skomplikowana, że Knox został już zatwierdzony do użytku przez amerykańskie organizacje rządowe.