[slaj]

Defence in Depth: Cracking OS X Lion Passwords

[ones]

Było już tyle razy o tym..

[Tojot]

echo fanzonuna ... a na poważnie to ciekawy problem

[Marucins]

Łamać po co...

Aktualizacja systemu OS X Lion do wersji 10.7.3 ma domyślnie włączoną opcję odpowiedzialną za zapisywanie haseł w postaci nieszyfrowanej, czyli jako ciąg znaków (plaintext, cleartext), w logach systemu. Na szczęście nie wszyscy użytkownicy tej wersji systemu są narażeni na wyciek haseł — błąd dotyczy jedynie systemów, które korzystały ze starszego zabezpieczenia FileVault przed instalacją OS X 10.7. Systemy, na których FileVault nie był używany lub był używany tylko FileVault 2, wprowadzony wraz z OS X 10.7. W grupie najwyższego ryzyka są jednak między innymi laptopy firmowe, na których używany był FileVault przed instalacją wydanej latem zeszłego roku wersji OS X.

Luka jest o tyle niebezpieczna, że nie trzeba logować się na Maka, aby odczytać hasła. Maszyna, która spełnia powyższe warunki, uruchomiona w trybie przenośnego dysku FireWire pozwoli na odczytanie plików, w których zapisane zostały hasła. Dostęp do plików można uzyskać również z poziomu partycji ratunkowej — wystarczy zamontować partycję systemową. Logi z zapisanymi hasłami przechowywane są domyślnie przez kilka tygodni.

Według wstępnych analiz eksponowanie haseł jako tekst jest wynikiem błędu deweloperów, którzy najprawdopodobniej włączyli tę opcję do testów i nie wyłączyli jej przed publikacją aktualizacji. Co więcej, przy okazji publikacji informacji na temat tej luki po raz kolejny uzyskaliśmy przykład kiepskiego wsparcia ze strony Apple'a — zgłoszenie tego błędu miało miejsce pierwszy raz już w lutym na forum ( https://discussions..../thread/3715366 ) wsparcia technicznego Apple'a. Wtedy nikt z Apple'a się tym błędem nie zainteresował, zobaczymy jak będzie tym razem.


http://niebezpieczni...jawnym-tekstem/

[Iro]

Apple jak zwykle ma gdzieś bezpieczenstwo użytkowników. Jak by to im coś mieli wykraść, to od razu by zareagowali.

[inwestor123]

Sam kiedyś pisałem programy dla własnego użytku aby sprawdzić bezpieczeństwo. Teraz jednak bardziej zabezpieczam.

[dolores77]

An a co komus bezpieczenstwo uzytkownikow? Pewnie jeszcze na wyciekajacych danych zarabiaja ciezka kase

[debowoo]

Było już tyle razy o tym.. 

[lfemzwan]

@dolores77 - gratuluję złotej łopaty.

@debowoo - gratuluję spostrzegawczości związanej z zauważeniem daty pierwszego posta.