Software Update obsahuje vážnou bezpečnostní chybu! - MujMAC.cz - Apple, Mac OS X, Apple iPod

Navigace:  » Úvodní stránka  » Rubriky  » Software  

9. července 2002, 00.00 | Část systému Mac OS X (a pravděpodobně i Mac OS 9), Software Update, obsahuje zásadní bezpečnostní chybu, která umožňuje útočníkovi podsunout v podstatě libovolný software pro instalaci na počítači oběti. Oprava zatím není a obětí se může stát doslova každý! Čtete podrobnosti!

Apple se snaží poměrně briskně řešit bezpečnostní chyby v klasických UNIXových programech, které jsou součástí Mac OS X, nyní ale v jedné z důležitých částí Mac OS X přímo od Apple byla nalezena a popsána díra "jako vrata". Vždy, když se spouští Software Update, se vystavujete možnému riziku napadení vašeho počítače "trojským koněm" - tedy že si sami a dobrovolně nainstalujete program, který se tváří jako něco úplně jiného než doopravdy je. Jak je to možné?

Software Update je část systému, která se stará o relativně automatické stahování aktualizací ze serveru Applu. Uživateli nabídne jaké updaty jsou pro jeho systém dostupné a po odsouhlasení provede instalaci. A zde je právě poměrně velká bezpečností díra... (mimochodem, dá se předpokládat, že útok by se dal zneužít i proti Mac OS 9, který Software Update také obsahuje)

Software Update funguje tak trochu jako webový prohlížeč: pomocí standardního HTTP protokolu se jednou za čas (dle nastavení v předvolbách) připojuje na server Applu swscan.apple.com, kde požádá o seznam aktuálního vybavení pro Mac OS X - ten získá v XML formátu (ten je používán pro celou komunikaci). Následně na server odešle svůj seznam aktuálně instalovaného softwarového vybavení (pouze to od Applu, nemusíte se bát, že by nás Apple touto cestou kontroloval, není tam ani jednoznačná identifikace stroje). Ten je vyhodnocen a zpět je odeslán seznam toho, co je právě možné na daný systém instalovat - název a verze balíku, krátký textový popis a odkaz.

Uživatel si vybere, zda chce či nechce dané updaty instalovat, ZADÁ ADMINISTRÁTORSKÉ HESLO a instalace proběhne. Nikde nedošlo k žádné formě autentifikace, ověření, zda informace, které systém získal jsou skutečně platné a validní.

Toto byl průběh normální instalace. V okamžiku, kdy bude probíhat pokus o napadení se nebude v podstatě nijak lišit, důležité je to, co se bude dít "na pozadí", na síti.

Prvním krokem útočníka je vnutit počítači, který spouští Software Update, že IP adresa stroje swscan.apple.com je IP adresa stroje útočníka - požadavky poté budou místo do Apple směřované přímo na stroj útočníka. Toto se dá provést různými způsoby, objevitel tohoto průniku nabízí některé základní nástroje na své stránce. Obecně se dá říct, že takovýto útok se dá provést od lokálního měřítka (v rámci jedné malé sítě) až po útok de-facto celosvětový - stačí "unést" DNS servery Apple (i takové věci jako únos DNS serveru se dějí...) a zneužít jedině a pouze právě těchto aktualizačních serverů.

Poté, co je Software Update podsunut "odkaz" na server útočníka, je potřeba, aby server obstaral falešnou komunikaci se systémem a podsunul mu útočníkův software - který se bude tvářit naprosto nevinně, samozřejmě. Uživatel provede instalaci a jelikož se používá administrátorské heslo, může se instalovat COKOLIV a KAMKOLIV! Jako jeden z pěkných možných updatů opět objevitel průniku nabízí upraveného sshd démona, který má v sobě zabudovaný "backdoor" - pustí každého, kdo zná správné heslo "URhacked".

Ochrana není. V daný okamžik neexistuje způsob jak 100% říct, že vás Software Update nebyl napaden. Pokud tedy potřebujete mít 100% jistotu, přestaňte ho používat a instalujte updaty ručně po stažení přímo z webu.

Určitá forma ochrany komunikace je NUTNÁ, zde si Apple zatím vykopal asi největší bezpečnostní díru v Mac OS X - její zneužití je relativně snadné a přitom neskutečně masové. Nedokážu si ani domyslet následky například při zmiňovaném únosu DNS nebo při nějakém masovějším útoku - útočníkovy soubory by byly pochopitelně maskované jako bezpečnostní úprava právě této chyby... Pravděpodobně nejjednodušší a nejeefektivnější bude ochrana na úrovní digitálních podpisů, kdy bude každý balík případně i celá komunikace signovaná digitálním podpisem - se znalostí veřejného klíče (zabudovaného přímo do Software Update) tak bude možné jasné identifikovat, zda tato komunikace a tento balík jsou přímo od Applu, či od nedůvěryhodného zdroje. Zatím - opatrně. V tomto případě se útok může týkat v podstatě každého, i když bude jen náhodnou obětí.