Kritická chyba v Mac OS X - zapisuje hesla do logu

Vypadá to, že Mac OS X verze 10.7.3 Lion má nepříjemnou chybu - při přihlášení uživatele zapíše jeho heslo do systémového logut. Chyba vznikla zřejmě tak, že některý programátor Applu nechal omylem ve finální instalační verzi systému zapnutý debug. Zdroj informace - viz zápis v blogu.

Jak moc je tato chyba kritická?

Heslo si může z logu přečíst:

• Uživatel s administrátorskými právy - může se do souboru jednoduše podívat rovnou na Macu.
• Člověk s fyzickým přístupem k počítači si může připojit disk ke svému stroji (přes FireWire nebo vymontováním disku a připojením přes SATA/USB převodník) a do souboru se podívat.
• Soubor s logy se dá najít v zálohách TimeMachine na externím disku.
• Heslo by mohl přečíst a zneužít program typu trojský kůň spuštěný uživatelem s administrátorskými právy.

K heslu se naopak nedostane:

• Uživatel bez administrátorských práv (pokud nevyužije fyzického přístupu k počítači a nepřipojí si disk k jinému stroji)
• Systém není napadnutelný po síti

Dobrá zpráva je, že heslo se do logu uloží pouze při specifické konfiguraci systému - jen pokud uživatel používá FileVault šifrování dat ve svém domácím adresáři, což není úplně běžné. Pokud někdo používá FileVault 2 a šifruje celý disk, problém nemá.

Paradoxní je, že tímto bugem jsou ohroženi ti, kteří se snaží šifrováním domácího adresáře uchovat svá data v bezpečí.

Doporučení, jak se tomuto problému vyhnout:

• místo šifrování domácího adresáře šifrovat celý disk
• šifrovat externí disky s TimeMachine zálohami
• nenechávat zapnutý nezamčený počítač volně bez dozoru...