Lek in OS X Keychain laat aanvaller wachtwoorden stelen
Een kwetsbaarheid in Keychain, de standaard wachtwoordmanager van Mac OS X, maakt het voor aanvallers mogelijk om zonder al teveel interactie van gebruikers opgeslagen wachtwoorden te stelen. Via terminal-opdrachten blijkt het mogelijk om in Keychain opgeslagen wachtwoorden op te vragen.
In dit geval zal de wachtwoordmanager niet om een wachtwoord vragen, maar een venster aan de gebruiker tonen die vervolgens op toestaan moet klikken. Twee onderzoekers uit Beiroet ontwikkelden een exploit waarbij ze opgeslagen wachtwoorden opvragen, maar vervolgens de muisklik van de gebruiker simuleren. Dit gebeurt in enkele milliseconden, zodat gebruikers niets doorhebben. Zodra deze geautomatiseerde actie plaatsvindt worden opgeslagen wachtwoorden via sms naar de onderzoekers gestuurd, zo blijkt uit deze demonstratievideo op YouTube.
Om de aanval uit te voeren moet de code die terminal-opdracht uitvoert en muisklik simuleert nog wel op het systeem van de gebruiker worden uitgevoerd. De code die de onderzoekers ontwikkelden kan echter als "wrapper" aan onschuldige bestanden worden toegevoegd. Zodra de gebruiker het bestand opent, zoals een afbeelding, wordt ook de code uitgevoerd. Volgens de onderzoekers zal beveiligingssoftware de aanval niet detecteren, omdat er in principe legitieme code wordt uitgevoerd.
Apple
Als oplossing zou Apple de manier moeten aanpassen waarop Keychain met de terminal-opdrachten omgaat en de gebruiker gewoon om een wachtwoord moeten vragen zoals het eigenlijk hoort te doen. De onderzoekers besloten Apple in te lichten, maar kregen geen reactie van het softwarebedrijf. Vanwege de impact besloten ze hun ontdekking via CSO bekend te maken. "De kwetsbaarheid is zeer ernstig. Iedereen kan zo je wachtwoorden stelen door alleen een bestand te downloaden dat er niet kwaadaardig uitziet", aldus Antoine Vincent Jebara.
Volgens de onderzoekers kan de aanval op verschillende manieren worden uitgevoerd. Zo kan een aanvaller een kwaadaardig bestand via e-mail naar de gebruiker sturen, de kwaadaardige code via een torrent-bestand verspreiden of in het geval van een man-in-the-middle-aanval de kwaadaardige code aan een download van de gebruiker toevoegen.
Als je een beetje security bewust bent, geef je die sleutelhanger een eigen wachtwoord. Verder is het verstandig om meerdere sleutelhangers te maken voor verschillende toepassingen. De meest kritische wachtwoorden zet je in een sleutelhanger die na elk gebruik weer op slot gaat. Dan kan een applicatie met rechten op sleutelhangergebruik er niet meer bij zonder dat de gebruiker opnieuw het sleutelhanger wachtwoord ingeeft.
Minder kritische wachtwoorden zet je in een sleutelhanger die na een paar minuten automatisch op slot gaat.
In elk geval kun je je wachtwoorden heel veel beter beschermen door niet alles op de standaardinstellingen te laten staan.
Ten eerste de aanvalvector die de uitvoering van enige code vereist, en die via een "wrapper" rond een onschuldig bestand zomaar uitvoerbaar zou zijn. Dat is nogal een hobbel, voor de executie van ongewenste code is meestal de exploitatie van een buffer overflow o.i.d. of de gebruiker zelf (phising, misleiding) een vereiste. De codebibliotheken die voor de weergave van beelden e.d. worden gebruikt (het aanvalsoppervlak voor de het doen uitvoeren van je kwaadaardige code) zijn zo langzamerhand behoorlijk gehard tegen buffer overflows e.d., dus heel makkelijk is de "wrap" niet echt.
Ten tweede, kan per opgeslagen geheim in de sleutelhanger worden ingesteld of Sleutelhangertoegang (Keychain access) de gebruiker autenticeert ter autorisatie van het vrijgeven van het geheim. Voor een demootje kan je dus heel simpel een paar geheimen opzetten waarvoor de autorisatie voor vrijgave van het geheim geen authenticatie van de gebruiker (middels ingave van zijn wachtwoord) vereist.
Ergo: lijkt me humbug.
Minder kritische wachtwoorden zet je in een sleutelhanger die na een paar minuten automatisch op slot gaat.
Wel een goed idee.
Minder kritische wachtwoorden zet je in een sleutelhanger die na een paar minuten automatisch op slot gaat.
Wel een goed idee.
Hoe wijzig je dit? Ga naar..
1) Ga naar pictogram "Launchpad"
2) klik op pictogram "Andere"
3) Zoek pictogram "Sleutelhangertoegang" en klik daarop
4) Zoek nu bij het openen van de dialoogvenster het slotje op dat "Inloggen" aangeeft (voor sites e.d.)
5) Leg de muiscursor op dat geopende slotje, en RIGHT-klik 1x
6) Nu verschijnt een klein dialoogvenster en zoek daarin "Wijzig instellingen voor sleutelhanger 'inloggen'", klik daarop
7) Nu kun je de tijd instellen na hoeveel minuten de toegang moet worden gesloten. Klik daarna op OK.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Certified Secure LIVE Online
Certified Secure is LIVE. Cross Site Scripting vinden en voorkomen? Met z'n allen een volledige kubernetes cluster compromitteren? Of gewoon voorkomen dat een collega op een phishing mail klikt? Ontwikkel ook terwijl je thuiswerkt je Hacker Mindset!
Zoals altijd zijn ook onze LIVE trainingen hands-on en met persoonlijke begeleiding van ervaren Certified Secure instructeurs. Direct vanuit je browser en dus zonder nasty extra software!
Neem contact met ons op voor de mogelijkheden voor jouw team.