Новый macOS Security Bug разблокирует App Store с любым паролем
Вернувшись в конце ноября, Apple вынуждена была вытащить патч для аварийной безопасности после известий о серьезном недостатке безопасности в macOS High Sierra. Эта ошибка позволила пользователям войти в систему, набрав «root» для входа в систему, а затем несколько раз подряд введите попытку входа в систему. Теперь есть новая ошибка; это не такой большой риск, как этот, но это все еще значительная проблема.
Ошибка, по-видимому, ограничена High Sierra (Sierra не затрагивается), и она была проверена Macrumors как существующая в 10.13.2, последней версии операционной системы. Macrumors заявляет, что не может воспроизвести ошибку в бета-версиях macOS 10.13.3, предполагая, что она будет исправлена в предстоящей версии. Тем не менее, он пока остается активным.
Воспроизведение ошибки довольно просто и включает в себя следующие шаги, изложенные eholtam, которые обнаружили ошибку:
1) Войдите в систему как локальный admin2) Откройте панель предварительного просмотра App Store из системных настроек3) Заблокируйте замок, если он уже разблокирован4) Нажмите блокировку, чтобы разблокировать ее5) Введите любой фиктивный пароль
Ожидаемое поведение, очевидно, заключается в том, что попытка входа в систему завершится неудачно. Фактическое поведение заключается в том, что попытка входа и разблокировки работает отлично. Ошибка работает, только когда вы вошли в административную учетную запись, но это еще один пример того, как Apple, похоже, сбросила мяч, правильно установив правила пользователя и разрешения. Хотя это не так рискованно, как предыдущая ошибка входа в систему, Apple явно не выполняла некоторые проверки должной осмотрительности, в которой она должна была участвовать. Возможность изменения предпочтений в App Store позволяет изменять расписания обновлений приложений, системных обновлений и обновления безопасности. Перевернув эти настройки, можно использовать в сочетании с другой атакой, чтобы гарантировать, что система не была исправлена, чтобы закрыть отверстие безопасности, хотя требуется локальный доступ или, по крайней мере, доступ администратора с удаленного места.
Оптика ситуации хуже, учитывая, что Apple специально заявила, что пересмотрит свою практику, чтобы предотвратить повторение. Еще в конце ноября компания написала: «Мы очень сожалеем об этой ошибке, и мы приносим свои извинения всем пользователям Mac, как за освобождение от этой уязвимости, так и за ее вызывающую озабоченность. Наши клиенты заслуживают лучшего. Мы проверяем наши процессы разработки, чтобы предотвратить это снова ».
Очевидно, что аудит еще не завершен. В этом вопросе не существует обходного пути, поэтому единственным реальным вариантом является ожидание того, что Apple предоставит решение.
Читать далее
Исследователь безопасности: пароль компании solarwinds123 оставлен уязвимым в 2019 г.
SolarWinds, компания, оказавшаяся в центре массового взлома правительственных учреждений и корпораций США, не совсем использует передовые методы паролей.
Microsoft теперь предлагает вариант (в основном) Ritch ваш пароль
Microsoft хочет бросить пароли, и это делает функцию широко доступной в Windows впервые.
Microsoft, Apple и Google объединяют усилия, чтобы убить пароль
На Всемирный день пароля три крупнейших технических фирмы в мире объявили об альянсе для изгнания паролей в кучу истории.
Netflix Ads и плата за совместное использование паролей может поступить в этом году
В уведомлении, отправленном сотрудникам, Netflix Management заявила, что они стремятся подготовить уровень, поддерживаемый рекламой, готовый к регистрации к четвертому кварталу 2022 года.