Apple Patches Glavni problem sigurnosti macOS-a Provjerite svoje nadogradnje odmah

Turski istraživač sigurnosti otkrio je veliku pogrešku u macOS High Sierra. Propust omogućuje napadaču da uđe na stroj bez zaporke - kao i pristup moćnim administratorima. Apple je izdao zakrpu kako bi popravio ranjivost koja pogađa gotovo sve macOS High Sierra sustave.

Međutim, neizgrađeni sustavi i dalje su nesigurni ...

Što je bug?

Propust je ukinuo turski programer Lemi Orhan Ergan. Omogućilo je svakome da dobije puna administrativna prava preko macOS High Sierra stroja jednostavnim tipkanjem “korijen” kao korisničko ime u dijaloškom okviru za provjeru autentičnosti. Zatim ostavite prazno polje lozinke i kliknite ikonu “Otključati” dva puta, odobren je potpuni administrativni pristup.

Možete mu pristupiti putem postavki sustava> Korisnici i grupe> Kliknite zaključavanje za promjene. Zatim koristite "root" bez lozinke. I pokušajte nekoliko puta. Rezultat je nevjerojatan! pic.twitter.com/m11qrEvECs

- Lemi Orhan Ergin (@lemiorhan) 28. studenog 2017

Teoretski, prije nego zakrpa, ako Mac ostavite bez nadzora, netko bi lako mogao dobiti pristup i uništiti vaš stroj. Na primjer, oni mogu instalirati zlonamjerni softver 5 jednostavnih načina zaraziti svoj Mac zlonamjernim softverom 5 Jednostavnih načina zaraziti svoj Mac zlonamjernim softverom Možda mislite da je prilično teško zaraziti svoj Mac zlonamjernim softverom, ali uvijek postoje iznimke. Evo pet načina na koje možete zaprljati računalo. , hvatanje lozinki 5 Jednostavnih načina zaraziti Mac sa zlonamjernim softverom 5 Jednostavnih načina zaraziti svoj Mac zlonamjernim softverom Možda mislite da je prilično teško zaraziti svoj Mac zlonamjernim softverom, ali uvijek postoje iznimke. Evo pet načina na koje možete zaprljati računalo. Korištenje Keychain pristupa Treba li koristiti iCloud Keychain za sinkronizaciju lozinki na Mac i iOS? Treba li koristiti iCloud Keychain za sinkronizaciju lozinki na Mac i iOS-u? Ako prvenstveno koristite Appleove proizvode, zašto ne biste potpuno koristili vlastiti upravitelj lozinki tvrtke? , izbrisati ili uništiti Apple ID i još više.

Ali Apple je riješio problem, točno?

Dok sam pisao ovaj članak, Apple je objavio sigurnosno ažuriranje da popravi problem. Izjava o ažuriranju sigurnosnog sadržaja tvrtke Apple kaže “Pri provjeri vjerodajnice postojala je logična pogreška. Ovo je riješeno s poboljšanom provjerom vjerodajnice.”

Popravak je već dostupan na Mac App Storeu. Također će se ažuriranje automatski primjenjivati ​​na Macu koji pokreću High Sierra 10.13.1 od srijede 29. siječnja^th Studeni. Apple je situaciju proširio sljedećom izjavom:

“Sigurnost je glavni prioritet svakog Appleovog proizvoda i nažalost naišli smo na ovo izdanje macOS-a.

“Kad su naši sigurnosni inženjeri u utorak poslijepodne postali svjesni problema, odmah smo počeli raditi na ažuriranju koje zatvara sigurnosnu rupu. Jutros je od 8 sati ažuriranje dostupno za preuzimanje, a od danas će se automatski instalirati na sve sustave koji pokreću najnoviju verziju (10.13.1) macOS High Sierra.

“Izuzetno žalimo zbog ove pogreške i izvinjavamo se svim korisnicima Maca, kako zbog izdaje zbog ove ranjivosti, tako i zbog brige koju je ona izazvala. Naši kupci zaslužuju bolje. Reviziramo naše razvojne procese kako bismo spriječili da se ovo ponovi.”

Ali oni su o tome već znali?

Nažalost, za Apple se ovo pitanje već pojavilo - ali nije dobilo ništa. Član Appleovog foruma za podršku objavio je točne detalje o pogrešci prije više od dva tjedna. Čini se da originalni post i odgovori vide veliku bugu kao potencijalnu značajku rješavanja problema, a ne kao kritičnu sigurnosnu prijetnju.

Što da sada radim?

Pa, prvo što treba učiniti je provjeriti ažuriranje sustava. Apple je spreman uvesti automatsko ažuriranje zakrpa u nekom trenutku u posljednja 24 sata. Ako se automatsko ažuriranje nije pojavilo, trebali biste se uputiti u Mac App Store i tamo potražiti ažuriranje. Ili kliknite ovu vezu.

Nakon što ažuriranje preuzme, odmah instalirajte.

Ne radi

Ako se iz nekog razloga ažuriranje ne instalira, prvo isključite i uključite sustav, a zatim pokušajte ponovo. Apple je automatizirao postupak.

U suprotnom, slijedite ove korake za osiguravanje sustava u međuvremenu:

1. Otvorite Spotlight, potražite Uslužni program direktorija, odaberite odgovarajuću opciju
2. Kliknite zaključavanje da biste unijeli promjene; unesite svoje korisničko ime i lozinku za administrativni račun
3. Kreni prema Izbornik> Uredi
4. Odaberi Omogući korisniku korijena; stvorite lozinku i potvrdite

To je, međutim, zaustavni jaz. Pokušajte instalirati službeno ažuriranje.

Oči na izvoru

Dok Apple zakrpi bugu, oči se okreću Lemi Orhan Ergan. Samoopisani “softverski obrtnik” prima kritike zbog nepoštivanja smjernica odgovornog otkrivanja Potpuno ili odgovorno otkrivanje: Kako se ranjivosti sigurnosti otkrivaju u cijelosti ili kao odgovorno otkrivanje: Kako se ranjivosti sigurnosti otkrivaju sigurnosne ranjivosti u popularnim softverskim paketima stalno, ali kako se prijavljuju programerima, i kako hakeri uče o ranjivostima koje mogu iskoristiti? , Odgovorno objavljivanje traži od istraživača sigurnosti da obavijeste kompanije o sigurnosnim prijetnjama kako bi im se omogućilo vrijeme da isprave propust. Nakon otklanjanja nedostataka, istraživaču je jasno da će svoja otkrića predstaviti javnosti.

OVO NIJE ODGOVORNO OBJAVLJIVANJE. To je krajnje neodgovorno, posebno za ranjivost ove veličine. Apple ima izvrstan sustav otkrivanja podataka, a njihov tim izuzetno reagira. MOLIMO da se ne rade ovako. https://t.co/E6iOX5A43C

- Johnny Xmas (@ J0hnnyXm4s) 28. studenog 2017

Naravno, ovaj sustav ne radi uvijek onako kako je predviđeno. Tvrtke ne reagiraju, a sigurnosni istraživači postaju nestrpljivi. U tim slučajevima stvaranje javne emisije prisiljava ruku kompanije, prisiljavajući ih da riješe sigurnosnu prijetnju.

Nakon što je primio značajnu količinu kritika, Ergan je objavio sažetost na temu Medium. Objašnjava da je “nije ni haker, niti sigurnosni stručnjak,” nastavlja “Ja se samo fokusiram na sigurne prakse kodiranja tijekom programiranja, ali nikad se ne mogu nazvati stručnjakom za sigurnost.”

Poštovani @AppleSupport, primijetili smo * OGROMNO * sigurnosno pitanje na MacOS High Sierra. Svatko se može prijaviti kao "root" s praznom lozinkom nakon što nekoliko puta klikne na gumb za prijavu. Jeste li svjesni toga @Apple?

- Lemi Orhan Ergin (@lemiorhan) 28. studenog 2017

Iskreno, o pogrešci se razgovaralo na Appleovom forumu za podršku. Nadalje, Ergan tvrdi da su njegovi kolege u platnoj tvrtki Iyzico otkrili prijetnju Appleu 23. godine^rd Studenog - ali nikad nisu dobili odgovor.

Oči na lopti

Od izvora, do kompanije. Je li Apple dopustio da ovaj sklizne kroz mrežu? Jednom riječju, da: pogotovo ako su bili svjesni bube kako Ergan tvrdi. Nažalost, ne znamo istinu, pa ne možemo dati čvrstu procjenu situacije.

Čak i nakon što je pretrpio njihovo drugo prisilno ažuriranje u godinu dana (još uvijek samo njihovo drugo prisilno sigurnosno ažuriranje ikad), Apple se ne bi trebao brinuti. Povećavaju se slučajevi zlonamjernog softvera macOS i iOS: povećava se zlonamjerni softver usmjeren na Apple - Evo na što treba paziti u 2016. Povećani zlonamjerni softver usmjeren na Apple - Evo što treba paziti u 2016. Appleov hardver više nije sigurno utočište od hakera, zlonamjernog softvera, ransomwarea i druge cyber-prijetnje. Prva polovica 2016. godine dokazuje da bez pravih mjera opreza vaši uređaji mogu postati rizici ..., no Windows i Android ostaju glavni ciljevi Što je najsigurniji mobilni operativni sustav? Koji je najsigurniji mobilni operativni sustav? Boreći se za titulu Najsigurnijeg mobilnog OS-a, imamo: Android, BlackBerry, Ubuntu, Windows Phone i iOS. Koji je operativni sustav najbolji u održavanju protiv internetskih napada? , Nadalje, Apple ima zvjezdane sigurnosne zapise većim dijelom Ultimate Mac sigurnosni vodič: 20 načina da se zaštitite Ultimate Mac sigurnosni vodič: 20 načina da se zaštitite ne budite žrtva! Zaštitite svoj Mac danas pomoću našeg iscrpnog vodiča za sigurnost visoke Sierre. , što je dokazano njihovim brzim i učinkovitim ažuriranjem, kako bi se ugušila rastuća prijetnja.

Je li vas utjecao Appleov sigurnosni propust? Ili je ažuriranje stiglo dovoljno brzo da vas ne brine? Javite nam svoje misli u nastavku!