Mac OS X a bezpečnost - MujMAC.cz - Apple, Mac OS X, Apple iPod

macosearly

macosearly

31. října 2003, 00.00 | Apple potvrdil, že v určitých případech může po instalaci Panthera dojít ke ztrátě dat uložených na externích discích - zkontrolujte si, zda to není i ten váš. Kromě toho se začalo poměrně intezivně diskutovat o problematice bezpečnostních updatů pro jednotlivé verze Mac OS X, a tak jsme se tomuto tématu podívali na zoubek. Víte, jak bezpečný bude váš Mac OS X 10.2 za půl roku?

Apple oficiálně potvrdil, že si je vědom problému se ztrátou dat na externích FireWire discích. Zdá se, že na to, aby ke ztrátě došlo, stačí, aby byl disk připojen při restartu Panthera - tedy už i při instalaci. Naštěstí je postižená pouze určitá skupina disků - ty, které používají chip-set Oxford 922, který podporuje obě verze FireWire (400 a 800) a také USB 2.0. Podle Apple se problém vyskytuje pouze pokud je verze firmware chip-setu 1.02. Chyba je prý způsobená problémem na straně výrobce čipsetu, což zní minimálně divně, neboť tyto disky bez problému fungovaly pod Mac OS X 10.2 a také v některých z betaverzí Panthera byl prý tento problém odstraněný.

Každopádně, zatím je jediné řešení - pokud máte externí disk s tímto čipsetem (najdete ho asi ve většině case, podporujících FireWire 800), nepoužívat ho, případně, pokud data nutně potřebujete, připojit ho vždy jen na nutnou chvíli - pokud ho zapomenete připojený pří restartu počítače s Pantherem, můžete se pravděpodobně s daty rozloučit.

Jaguar, Panther a bezpečnostní záplaty.

Už v úterý se objevila první bezpečnostní záplata pro nový systém - Security Update 2003-10-28, který odstraňuje potenciální chybu v implementaci QuickTime for Java v Mac OS X 10.3 a 10.3 Server. Update se vám automaticky objeví v Software update a nebo ho můžete najít na stránkách Apple.

Ačkoliv se někdy poukazuje na relativní četnost bezpečnostních updatů, je nutno upozornit, že ne všechny souvisí s kvalitou či nekvalitou programátorů Apple - Mac OS X používá řadu Open Source komponent (tedy, celý základ systému je postavený na otevřených technologiích), a tak se mnoho chyb týká právě těchto komponent, které Apple sám nijak nemodifikuje.

Také se objevil seznam všech bezpečnostních chyb, které byly odstraněné v Pantheru oproti poslední verzi Mac OS X 10.2, včetně několika chyb, které objevil Dave G. z firmy @stake, Inc. A právě kolem těchto chyb se strhl na internetu tak trochu povyk.

Některé z těchto chyb se totiž týkají také starších verzí, tedy Mac OS X 10.2.8 a předchozích verzí, jak se můžete dočíst na stránkách firmy @stake. Ovšem podle informací, které získal šéf výzkumu @stake, Apple nehodlá nabídnout uživatelům Jaguara bezpečnostní update - způsob, jak mít jistotu, že máte všechny bezpečnostní záplaty, je jeden: používat Panthera. Ten ovšem není ani zdaleka zdarma a jak již bylo řečeno na začátku, také není bez chyby... Vzhledem k tomu je možné, že řada uživatelů u Jaguara ještě nějaký ten pátek setrvá, nebo bude upgradovat až s nákupem nového stroje někdy v budoucnosti.

Ohledně této politky Apple se rozpoutala poměrně vášnivá debata (například na Slashdot), kde padaly na jednu stranu argumenty, že je to teprve týden od uvedení Panthera, takže Apple neměl dost času update pro Jaga udělat, na druhou stranu obvinění Apple, že násilím tlačí uživatele k updatu, což nedělá ani Microsoft (ten obvykle podporuje své systémy ještě několik let po skončení prodeje). Ke konkrétním chybám, které tuto diskusi rozpoutaly (popis viz stránky @stake): chyby musely být objevené již dříve, pokud se dostaly do GM verze Pantera, která pochází někdy ze začátku měsíce, takže času na vydání opravy pro Jaguara bylo dost.

Pokud vás zajímá, proč je takový problém s bezpečnostními záplatami, je potřeba si uvědomit, že se to netýká pouze stolních počítačů, ale také serverů s Mac OS X Server - a zde jedna licence stojí ne 129 USD, ale 500 nebo 1000. Vzhledem k tomu, že Apple nikdy nevydal na téma podpory starších systémů žádné oficiální prohlášení, a evidentně je to citlivé téma, podívali jsme se, jak Apple postupoval v minulosti. Snad jen dodáme, že Apple prezentuje Mac OS X jako velmi bezpečný systém, s možností snadné aktualizace a pod. Apple obvykle publikuje záplaty na chyby celkem promptně, to mu nelze vyčítat.

Jelikož ještě Mac OS X není tak starý systém, můžeme porovnávat jen s Mac OS X 10.2 Jaguar. To byl první placený update, verze 10.1 (Puma) byla pro uživatele 10.0 zdarma. Jaguar byl uveden na trh 24. srpna 2002. Od té doby se objevilo 16 updatů pro Mac OS X 10.2, které zahrnovaly také bezpečnostní updaty - tedy jak jednotlivé setinkové updaty systému, tak několik samostatných Security Updatů. Kromě těchto updatů pro 10.2 se v tomto období objevil jediný update, který řešil problém ve starším systému Mac OS X 10.1.5 - jednalo se o velmi ošklivou chybu v programu Sendmail, která mohla dovolit poměrně snadné zneužití útočníkem.

Je samozřejmě, že některé z updatů pro Mac OS X 10.2 řešily problémy, které se objevily až v tomto systému (10.2.x), ovšem podrobným zkoumáním toho, jaké komponenty byly postupně ošetřovány, jsme zjistili (a zde musím poděkovat za pomoc Jakubovi Nešetrilovi), že Apple prostě ponechal mnoho chyb v 10.1, objevených po uvedení 10.2 a v tomto systému opravovaných, bez povšimnutí. Zajímavé bylo, že uvedl update pro již zmíněný Sendmail, ovšem rychle jsme zjistili, že se jednalo o opravdu fatální chybu.

Drobná odbočka - ačkoliv o bezpečnostních chybách můžeme číst každou chvíli, je potřeba brát v potaz, zde se jedná o drobnost, která byla objevena důkladným studováním kódu a může se projevit za určitých přesných podmínek, a nebo zda se jedná o "díru jako vrata", kterou může pomocí jednoduchého nástroje (exploit) zneužít každý gramotný školák. Chyba v Sendmailu byla spíše té druhé kategorie.

Co nám z těchto poznatků vyplývá? Ačkoliv Apple nikdy nespecifikoval, jak přesně bude podporovat starší systémy po zahájení prodeje nové verze, je z praxe patrné, že zatímco nová verze má veškerou dostupnou podporu, starší verze se dočká záplaty jen v případě opravdu krizové chyby. A to se týká jak stolní verze Mac OS X, kde je ještě relativně snadné utratit oněch 129 USD, ale také serverů, kde jsou přece jen kladené vyšší nároky na bezpečnost a spolehlivost, a které jsou také výrazně dražší.

Pokud tedy například provozujete nějaké služby na Mac OS X Serveru, máte na výběr tři možnosti - vždy upgradovat na nejnovější verzi serveru co nejdříve (ovšem dobrým zvykem je, nechat serverový operační systém nějaký ten týden "uležet", aby se objevily případné problémy); nebo používat starší verzi systému s tím, že podstoupíte určité riziko; nebo si chyby, objevené v Open Source komponentách opravit sám, zkompilováním aktuálních verzí - ovšem s chybami, které naseká Apple, se nic moc dělat nedá. S vědomím této situace se vám možná bude zdát nabídka "pojištění proti upgrade" Mac OS X Serveru i docela výhodná...

Samozřejmě je možné, že Apple svou politiku změní a začne aktivněji opravovat bezpečnostní chyby i u starších verzí systému - bylo by to od něj jedině správné. Zvlášť v situaci, kdy nejen že je nutné za upgrade a tedy bezpečnost platit, ale v některých případě upgrade ani není možný - Panther již nepodporuje nejstarší G3 stroje, které podporoval Jaguar. Konkurence, tedy Microsoft, podporuje své operační systému několik let po ukončení prodeje a uživatelé přesně vědí, kdy s touto podporou skončí. A tak deklarování takovéto politiky by Apple pomohlo se lépe prosazovat ve firemním prostředí. Protože vědomí, že v otázce bezpečnosti pracovních stanic a i serverů jsem tak trochu rukojmím Apple, žádnému správci sítě na klidu nepřidá.

Update: Apple oznámil, že uvolní bezpečnostní update pro Jaguara, který řeší problémy, reportované firmou @stake. Apple také uvedl: "Politikou Apple je rychle odstraňovat významné bezpečnostní chyby v předchozích verzích Mac OS X, když to bude možné". Formulace je to spíš opatrná a tak asi potvrzuje závěr, který jsme učinili v článku. Starší verze systému tak nebudou mít identickou úroveň zabezpečení jako aktuální systémy, i v případě že by to bylo technicky možné, ale nepůjde o vážnou chybu..