Немец обнаружил уязвимость в macOS, которая позволяет воровать пароли. Но отказался бесплатно сотрудничать с Apple Статьи редакции
Компания выплачивает вознаграждения только за поиск багов в iOS.
3 февраля 18-летний исследователь безопасности Лайнус Хенце (Linus Henze) из Германии нашел уязвимость, которая позволяет получить доступ ко всем паролям, сохраненным в «Cвязке ключей» в macOS. С помощью собственной программы KeySteal в ролике он демонстрирует, как без прав администратора можно украсть конфиденциальную информацию.
Несмотря на то, что баг работает только на компьютерах Mac, пароли, синхронизируемые с iPhone и другими устройствами Apple, также могут оказаться под угрозой при использовании iCloud.
В интервью с Forbes исследователь предположил, что подобная программа может попасть в macOS через обычное приложение или веб-страницу с вредоносным кодом. А поскольку хакер может получить доступ к iCloud, то Apple ID тоже окажется в опасности, считает Хенце.
Тем не менее он отказался помогать Apple, потому что компания платит вознаграждения только тем исследователям, которые находят ошибки в iOS, но не в macOS.
На момент публикации Apple не дала комментариев.
Кажется, что им плевать на macOS. На поиск уязвимостей уходит много времени. Думаю, что исследователям стоит платить, поскольку мы помогаем Apple делать их продукты более безопасными.
Специально для Forbes баг протестировал Патрик Уордл (Patrick Wardle), который в 2017 году обнаружил похожий баг. Бывший аналитик Агентства национальной безопасности США был поражен находкой молодого Хенце.
Немного обескураживает, что Apple не может понять, как обеспечить безопасность «Связки ключей». Какой смысл создавать приложение для хранения самой конфиденциальной информации в системе, если этот механизм уязвим?
Мир рухнул, Apple снова облажалась. Очередной 18-летний сверхразум нашел ужасающую уязвимость в операционной системе macOS Mojave и украл все пароли. Акции упали до исторического минимума и стоят теперь дешевле грязи, Тим Кук вырывает оставшиеся волосы, а датацентры компании в Купертино перешли на резервные источники питания — вращающегося в гробу Джобса.
В общем, я написал тут небольшой лонг-рид о том, почему это — фейк.
https://goo.gl/5diFZ2
Комментарий недоступен
норм
Комментарий недоступен
Немцы ли?
Комментарий недоступен
Ты чет пропустил походу, у Apple каждый год факапы с безопасностью macOS.
С десктопными ОС всегда так. Слишком открытая экосистема. Слишком много внутренних API.
Апплу не жаль денег на топ менеджеров, которые занимаются чепухой, но покупать за копейки реально жизненно необходимую для их компании информацию - ну куда уж там.
Комментарий недоступен
На видео видно лишь как в сторонней программе вывелись какие-то пароли; пруфов, что они не добавлены заранее нет т.к процесс добавления/обновления пароля в хранилке и повторное запуск сплойта в видео отсутствует :(
Да начать хотя бы с того, что чел уже залогинился в профиле.
В правильную позицию стал. Нефиг, а то ещё засудить как всегда попытаются, уроды
Комментарий недоступен
Комментарий недоступен
Комментарий недоступен
Офк не частое, иначе бы про это не было новостей. Представь похожую новость про Windows
Комментарий недоступен
можно выбрать опцию ввода пароля от компьютера на телефоне
Ну, кстати, там для этого тоже есть какая-то дырка/фичи.
Ну, ладно, назовём её: фича.
Комментарий недоступен
Если что, у чувака имя Линус, а не Лайнус, не английский язык же.
*зануда мод офф*
Если есть доступ к устройству, то и доступ к паролям тоже будет. Это не сильно угрожающая уязвимость
Чтобы видео было показательным, нужно было добавить новый логин-пароль в связку и только потом ее крякнуть. А так - недоказательно совершенно, можно было этот список логин-паролей заранее вбить в пустышку-приложение и потом показать всем "hacking Apple...wait a sec...done"
Ну раз никто таким вопросом не задается, всем и так норм, главное эпл похейтить
Прекрасное сокращение новости получилось:
Используйте keepass
Ну он свои деньги получит. Если не от Эппл, так от тех кто заинтересован в аккаунтах Эппл.