Abo
  • Services:
Anzeige
Apples Rootless lässt sich leicht austricksen.
Apples Rootless lässt sich leicht austricksen. (Bild: John Moore/Golem.de)

Security: Apples Rootless-Konzept hat erhebliche Mängel

Apples Rootless lässt sich leicht austricksen.
Apples Rootless lässt sich leicht austricksen. (Bild: John Moore/Golem.de)

Apples Sicherheitsmechanismus Rootless soll verhindern, dass mit Rootrechten Systemdateien verändert werden können. Doch er lässt sich leicht austricksen und Apple scheint es nicht eilig zu haben, die Lücken zu schließen.

Ab OS-X-Version 10.11 hat Apple das Sicherheitskonzept Rootless implementiert. Nun haben gleich mehrere Sicherheitsexperten gezeigt, wie leicht sie das Konzept aushebeln können. Unter ihnen ist der deutsche Sicherheitsexperte Stefan Esser, der zuletzt auf der Sicherheitskonferenz "SyScan360" einen Vortrag hielt, in dem er gleich mehrere Lücken zur Rechteausweitung präsentierte, die immer noch lauffähig sind.

Anzeige

Bei dem Rootless-Mechanismus handelt es sich um eine sogenannte System Integrity Protection (SIP), die die Integrität der Systemdateien schützen soll - indem nur legitimierte Zugriffe, etwa über vertrauenswürdige Apps, auf diese Dateien möglich sind. Die aktuellen Beispiele zeigen, dass genau diese vertrauenswürdigen Zugriffe nicht sicher und deshalb Manipulationen der Systemdateien möglich sind oder sogar das gesamte Rootless-Konzept deaktiviert werden kann.

Ein oft genutzter Trick bei der Umgehung der SIP ist, dass legitimierte Funktionen die Ordnerstruktur neu mounten, wodurch letztlich jede andere Funktion auch Zugriff auf die Ordner und Dateien erhält. Laut dem britischen IT-News-Portal the Register verfügt Esser außerdem über einen Exploit, mit dem es möglich ist, Konfigurationsdateien des Core-Storage zu korrumpieren. Somit genügen Standardmethoden, um Zugriff auf alle Dateien eines Systems zu erhalten - und die Funktion von Rootless vollständig zu deaktivieren.

Fragwürdige Sicherheitsprozesse bei Apple

Apple wurde immer wieder kritisiert, unter anderem von Esser: Der Konzern reagiere zu langsam und zeige kein ernsthaftes Interesse daran, Sicherheitslücken zu schließen - wodurch letztlich Unternehmen wie Google erheblichen Aufwand für die Sicherung des OS-X-Kernels vornehmen.

Ähnliche Kritik übte der Sicherheitsexperte Nils Jünemann. Er fordert seit längerem: Apple solle mit vielen anderen großen Internetkonzernen gleichziehen und endlich ein Programm einrichten, um mit externen Sicherheitsexperten zusammenzuarbeiten und die Finder von Sicherheitslücken für zutreffende Meldungen zu belohnen.


eye home zur Startseite
Vielfalt 07. Apr 2016

Die wissen, dass sie nicht programmieren können. Das wollte die FBI net verstehen, aber...

Proctrap 03. Apr 2016

Es bleibt dabei: Für den DAU gibt's keinen SA, für alle die ihn haben ist's ne...

Apfelbrot 01. Apr 2016

Das lässt sich aber auch auf jedes Betriebssystem Übertragen. Android, Windows, Linux...



Anzeige

Stellenmarkt
  1. MBtech Group GmbH & Co. KGaA, verschiedene Standorte
  2. Stuttgarter Straßenbahnen AG, Stuttgart
  3. T-Systems International GmbH, Berlin
  4. Robert Bosch GmbH, Abstatt


Anzeige
Hardware-Angebote
  1. (reduzierte Überstände, Restposten & Co.)
  2. 39,99€

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Globale SAP-Anwendungsunterstützung durch Outsourcing


  1. Softwareentwicklung

    Google sammelt seine Open-Source-Aktivität

  2. Youtuber

    Flying Uwe unter Verdacht der Schleichwerbung

  3. Surface Book

    Performance Base kostet mindestens 2.600 Euro

  4. Mobilfunk

    Amazon arbeitet an eigenen Smartphone-Tarifen

  5. Filmkritik Ghost in the Shell

    Wenig Geist in schöner Hülle

  6. App Store

    Apple verbietet Preishinweise in App-Bezeichnungen

  7. Software-Update

    Tesla-Autopilot 2.0 bis 130 km/h aktiv

  8. Terminverwaltung

    Googles Kalender-App fürs iPad erweitert

  9. Arbeitsplätze

    Audi-Belegschaft verlangt E-Autoproduktion in Deutschland

  10. Cloud Native Con

    Kubernetes 1.6 versteckt Container-Dienste



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Gesetzesentwurf: Ein Etikettenschwindel bremst das automatisierte Fahren aus
Gesetzesentwurf
Ein Etikettenschwindel bremst das automatisierte Fahren aus
  1. E-Mail-Lesen erlaubt Koalition bessert Gesetz zum automatisierten Fahren nach
  2. Autonomes Fahren Uber stoppt nach Unfall Versuch mit selbstfahrenden Taxis
  3. Tesla Autopilot Root versichert autonom fahrende Autos

Mobile-Games-Auslese: Würfelkrieger und Kartendiebe für mobile Spieler
Mobile-Games-Auslese
Würfelkrieger und Kartendiebe für mobile Spieler

Synlight: Wie der Wasserstoff aus dem Sonnenlicht kommen soll
Synlight
Wie der Wasserstoff aus dem Sonnenlicht kommen soll
  1. Energieversorgung Tesla nimmt eigenes Solarkraftwerk in Hawaii in Betrieb

  1. Blockbusterkino ist keine Kunst sondern ein...

    Keridalspidialose | 10:26

  2. Verloren bevor der Kampf überhaupt angefangen hat.

    blaub4r | 10:25

  3. Was hindert mich daran

    peh.guevara | 10:25

  4. Re: warum bixby, samsung?

    Trollversteher | 10:25

  5. Re: Was für ein riesen Akku *Applaus*

    Daepilin | 10:22


  1. 10:42

  2. 10:27

  3. 10:12

  4. 09:58

  5. 09:00

  6. 08:27

  7. 07:40

  8. 07:27


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel