MacOS High Sierra: MacOS-Keychain kann per App ausgelesen werden

Der Sicherheitsforscher Patrick Wardle hat demonstriert, dass Apples Keychain unter MacOS mit einer App komplett ausgelesen werden kann. Diese muss aber zunächst an Apples Gatekeeper vorbei.

Artikel veröffentlicht am ,
Ein Sicherheitsforscher hat ein Problem in MacOS identifiziert.
Ein Sicherheitsforscher hat ein Problem in MacOS identifiziert. (Bild: Giuseppe Cacace/Getty Images)

Der Hacker Patrick Wardle hat nach eigenen Angaben eine Sicherheitslücke in der aktuellen Version von Apples Desktop-Betriebssystem High Sierra gefunden, die es bösartigen Applikationen ermöglicht, Passwörter aus Apples Keychain auszulesen. Normalerweise müssen Nutzer einzelne Passwörter durch Eingabe eines Master-Passworts freigeben.

Stellenmarkt
  1. Cyber Security Manager (m/w/d)
    Jungheinrich AG, Hamburg
  2. Full Stack Java Software Developer (m/w/d)
    NOVENTI Health SE, Lübeck (Home-Office möglich)
Detailsuche

Wardles Angriff hat einige Voraussetzungen: So müssen Nutzer dazu gebracht werden, eine unsignierte Applikation auszuführen. Apples Gatekeeper warnt davor, per Social Engineering könnte ein solcher Angriff aber trotzdem gelingen. Auch eine vorab installierte Malware könne als erste Stufe des Angriffs dienen, sagt Wardle.

Steal y0 (macOS) Keychain from patrick wardle on Vimeo.

Wardle gibt an, dass man seinen Schadcode auch in einer anderen, legitimen App verstecken könnte, um ihn Nutzern unterzuschieben. Neben der aktuellen MacOS-Version sollen auch frühere Versionen für den Angriff verwundbar sein.

Passwörter ohne Administratorrechte auslesen

Golem Akademie
  1. SAMBA Datei- und Domänendienste einrichten: virtueller Drei-Tage-Workshop
    7.–9. März 2022, Virtuell
  2. Webentwicklung mit React and Typescript: virtueller Fünf-Halbtage-Workshop
    6.–10. Dezember 2021, Virtuell
Weitere IT-Trainings

Der Sicherheitsforscher sagte Forbes: "Ohne Root-Berechtigung kann ich, wenn der Nutzer eingeloggt ist, die Inhalte der Keychain kopieren und auslesen, inklusive der Passwörter im Plaintext." Das solle grundsätzlich nicht möglich sein.

Apple hat bislang keinen Patch veröffentlicht und bislang auch kein Datum für einen solchen angekündigt. Dem Magazin ZDnet sagte das Unternehmen: "MacOS ist so designt, dass es in der Standardeinstellung sicher ist und Gatekeeper warnt vor der Installation unsignierter Apps, wie sie in diesem Proof of Concept gezeigt wurde. Außerdem können entsprechende Apps nicht ohne explizite Zustimmung der Nutzer ausgeführt werden." Nutzer sollten Software daher nur aus "vertrauten Quellen" wie dem Mac App Store herunterladen.

Wardle forderte Apple außerdem auf, ein umfangreiches Bug-Bounty-Programm zu starten. Bislang können sich Sicherheitsforscher zwar an Apple wenden, der Kreis der Sicherheitsforscher, die für Sicherheitslücken belohnt werden, ist aber sehr klein und von Apple ausgewählt. Außerdem ist bislang nur iOS Teil des Programms. Angesichts der hohen Preise, die für Zero-Days gerade in iOS erzielt werden können, sollte Apple darüber nachdenken, den Kreis zu erweitern.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Wemax Go Pro
Mini-Projektor für Reisen strahlt 120-Zoll-Bild an die Wand

Der Wemax Go Pro setzt auf Lasertechnik von Xiaomi. Der Beamer ist klein und kompakt, soll aber ein großes Bild an die Wand strahlen können.

Wemax Go Pro: Mini-Projektor für Reisen strahlt 120-Zoll-Bild an die Wand
Artikel
  1. Snapdragon 8cx Gen 3: Geleaktes Qualcomm-SoC erreicht das Niveau von AMD und Intel
    Snapdragon 8cx Gen 3
    Geleaktes Qualcomm-SoC erreicht das Niveau von AMD und Intel

    In Geekbench wurde der Qualcomm Snapdragon 8cx Gen 3 gesichtet. Er kann sich mit Intel- und AMD-CPUs messen, mit Apples M1 aber wohl nicht.

  2. Air4: Renault 4 als Flugauto neu interpretiert
    Air4
    Renault 4 als Flugauto neu interpretiert

    Der Air4 ist Renaults Idee, wie ein fliegender Renault 4 aussehen könnte. Mit der Drohne wird das 60jährige Jubiläum des Kultautos gefeiert.

  3. MS Satoshi: Die abstruse Geschichte des Bitcoin-Kreuzfahrtschiffs
    MS Satoshi
    Die abstruse Geschichte des Bitcoin-Kreuzfahrtschiffs

    Kryptogeld-Enthusiasten kauften ein Kreuzfahrtschiff und wollten es zum schwimmenden Freiheitsparadies machen. Allerdings scheiterten sie an jeder einzelnen Stelle.
    Von Elke Wittich

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Black Friday Wochenende • LG UltraGear 34GP950G-B 999€ • SanDisk Ultra 3D 500 GB M.2 44€ • Boxsets (u. a. Game of Thrones Blu-ray 79,97€) • Samsung Galaxy S21 128GB 777€ • Premium-Laptops (u. a. Lenovo Ideapad 5 Pro 16" 829€) • MS Surface Pro7+ 888€ • Astro Gaming Headsets [Werbung]
    •  /