Säkerhetsbrist i macOS High Sierra

Just nu sprids en video från Patrick Wardle som visar hur lösenord kan stjälas från en Mac med hjälp av ett specialskrivet program. Även om videon är övertygande så finns det skäl till att tona ned varningarna något. Läget är inte fullt så akut som det kan låta.

Till att börja med så krävs att du installera ett okänt program i din Mac. I det här fallet från från en okänd utvecklare, utanför Mac App Store. Det krävs fysisk access, att du installerar ett okänt program för att det ska gå att stjäla lösenord.

Programmet kan inte fjärrinstalleras med mindre än att det går att ta kontroll över den aktuella datorn. I så fall har du långt allvarligare problem än risken att bli av med lösenord via Keychain.

Säkerhetsbrist

För att nu vara tydlig, detta är en säkerhetsbrist och den kan exploateras. Det är ett påtagligt säkerhetsproblem men kanske inte riktigt av den digniteten som en del mer eller mindre hysteriska bloggare vill göra gällande. Ars Technica har begärt en kommentar av Apple och fått följande uttalande:

macOS is designed to be secure by default, and Gatekeeper warns users against installing unsigned apps, like the one shown in this proof of concept, and prevents them from launching the app without explicit approval. We encourage users to download software only from trusted sources like the Mac App Store and to pay careful attention to security dialogs that macOS presents.

Ars Technica

Risk

Med risk för att göra saken mer än nödvändigt tekniskt komplicerad så är det inte så att Apples uttalande ska tolkas som att macOS är säkert på den här punkten, även om Apple vill få det att låta så. En utvecklare skulle kunna betala avgiften och anmäla sig som utvecklare och sedan dölja koden för att stjäla lösenord i ett spel eller något mera oskyldigt program.

Därmed skulle en användare kunna luras till att installera en trojan.

Just nu så är det inte så att du enkelt kan bli av med dina lösenord men å andra sidan så är det inte heller så att risken kan negligeras. Detta är en bugg som Apple borde ha åtgärdat, speciellt som att de fick information om problemet för mer än månad sedan, av Patrick Wardle.

Det du kan göra

. Installera bara program från Apple Mac App Store
. Installera bara program från godkända utvecklare

Det minskar risken att du ska råka att installera en trojan som innehåller destruktiv och farlig kod. Det är ett gott råd, även oavsett denna bugg eller inte.