Korjattu versiossa 10.10.3, vanhemmissa ei.
https://truesecdev.wordpress.com/2015/0 ... pple-os-x/
Hidden backdoor API to root privileges in Apple OS X
Keskustelua tietoturvasta ja varmuuskopioinnista Mac-, iPhone- ja iPad -käyttäjien näkökulmasta
-
- Viestit: 852
- Liittynyt: 18.3.2014 klo 11.57
Re: Hidden backdoor API to root privileges in Apple OS X
Viesti Kirjoittaja omenakonsultti »
Blogikirjoituksen perusteella aukko koskee 10.7-10.9 versioita, 10.6 taitaa olla turvassa?
Aukon hyödyntämiseen tarvitsee joko A: päästä fyysisesti Macciin käsiksi tai B: huijata käyttäjä asentamaan haittaohjelma.
Jos on tarpeeksi varovainen eikä asentele Macille mitään epämääräistä on luultavasti turvassa?
Silti Applen ratkaisu korjata ongelma vain Yosemiteen on käsittämätön, uusin päivitys Mavericksiin tuli puoli vuotta sitten ja näin tärkeä päivitys jätetään väliin???
Laitoin Applelle palautetta asiasta, toivottavasti muuttavat mielensä ja korjaavat aukon.
Aukon hyödyntämiseen tarvitsee joko A: päästä fyysisesti Macciin käsiksi tai B: huijata käyttäjä asentamaan haittaohjelma.
Jos on tarpeeksi varovainen eikä asentele Macille mitään epämääräistä on luultavasti turvassa?
Silti Applen ratkaisu korjata ongelma vain Yosemiteen on käsittämätön, uusin päivitys Mavericksiin tuli puoli vuotta sitten ja näin tärkeä päivitys jätetään väliin???
Laitoin Applelle palautetta asiasta, toivottavasti muuttavat mielensä ja korjaavat aukon.
Apple tukipalvelua Pirkanmaalla, koulutusta ja tietokonsultointia.
http://www.omenakonsultti.fi
http://www.omenakonsultti.fi
Re: Hidden backdoor API to root privileges in Apple OS X
Eiköhän tässä käynyt niin, että tuo ehkä NSA:n käyttämä takaportti korjattiin kun se oli vuotamassa julkisuuteen ja samalla tehtiin uusi tai uusia takaportteja.
Last edited by KB7s on 27 Mar 2014, 8:65, edited 1 time in total.
-
- Viestit: 1156
- Liittynyt: 17.9.2012 klo 11.57
Re: Tietoturva-aukko MAC-käyttiksessä?
Viesti Kirjoittaja Kauppalopo »
Jos päästät jonkun koneellesi, niin kai siitä silloin voi olla huolissaan.
"Ero on siinä, että sinä katsot asiaa vain omasta näkökulmastasi kun minä katson asiaa puolueettomasti." (theinonen)
Re: Tietoturva-aukko MAC-käyttiksessä?
Viesti Kirjoittaja homenamsi »
Mikähän tämä juttu oikein oli, olikohan tämä tunnetusti friikki media - digitoday ym. - lukeneet jonkun vanhan jutun kun ei ainakaan suurta kohua näkynyt ulkomaisissa saiteissa?
Niin tai näin, vaikuttaa siltä, että riskin lisääntyminen on käytännössä marginaalinen. Läppärikäyttäjän kannalta 'elävän koneen' varastaminen tai koneen jättäminen muuten vapaasti käytettäväksi on jo muutoinkin avannut väärinkäytön mahdollisuudet. Tämä ehkä tuo sitten uusia keinoja - jos uutisessa on muuta perää kuin se, että ainahan sudo-komennon salasanan arvailu on ollut mahdollista. Oikein arvaaminen on myös aina mahdollista - jo se riittää täyttämään uutisessa väitetyn 'haavoittuvuuden'.
Arvaamattomassa ympäristössä ei konetta kannata käyttää yleensäkään hallinnointioikeuksin varustetulla tunnuksella.
Niin tai näin, vaikuttaa siltä, että riskin lisääntyminen on käytännössä marginaalinen. Läppärikäyttäjän kannalta 'elävän koneen' varastaminen tai koneen jättäminen muuten vapaasti käytettäväksi on jo muutoinkin avannut väärinkäytön mahdollisuudet. Tämä ehkä tuo sitten uusia keinoja - jos uutisessa on muuta perää kuin se, että ainahan sudo-komennon salasanan arvailu on ollut mahdollista. Oikein arvaaminen on myös aina mahdollista - jo se riittää täyttämään uutisessa väitetyn 'haavoittuvuuden'.
Arvaamattomassa ympäristössä ei konetta kannata käyttää yleensäkään hallinnointioikeuksin varustetulla tunnuksella.
Re: Hidden backdoor API to root privileges in Apple OS X
No haloo, eiköhän riitä, että jossain kolmannen osapuolen softassa (selain, flash, java) on haavoittuvuus joka sallii komentojen ajamisen koneella paikallisin oikeuksin. Tämän haavoittuvuuden myötä oikeudet saa sitten eskaloitua korkeammaksi jolloin voi tehdä mitä haluaa.
Ei ole mitenkään harvinaista että eri haavoittuvuuksia yhdistellään lopullista tavoitetta varten. Pahimmassa tapauksessa tämä kiihdyttää haittaohjelmien kehitystä OS X'ään, koska nyt tulee olemaan valtava määrä koneita joista pienenkin muun aukon kautta voi saada jotakuinkin 100% varmuudella pääkäyttäjän oikeudet. Henkilökohtaisesti en oikein haluis, että haittaohjelmien tekijät innostuisivat tästä alustana.
Ei ole mitenkään harvinaista että eri haavoittuvuuksia yhdistellään lopullista tavoitetta varten. Pahimmassa tapauksessa tämä kiihdyttää haittaohjelmien kehitystä OS X'ään, koska nyt tulee olemaan valtava määrä koneita joista pienenkin muun aukon kautta voi saada jotakuinkin 100% varmuudella pääkäyttäjän oikeudet. Henkilökohtaisesti en oikein haluis, että haittaohjelmien tekijät innostuisivat tästä alustana.
Palaa sivulle “Tietoturva ja varmuuskopiointi”
Hyppää
- Yleiset aiheet
- ↳ Ajankohtaista Apple-maailmasta
- ↳ Käyttöjärjestelmät
- ↳ Ohjelmat
- ↳ Yleiskeskustelu
- Mac ja oheislaitteet
- ↳ Yleiskeskustelu laitteista
- ↳ MacBook, MacBook Pro ja MacBook Air
- ↳ iMac
- ↳ Mac mini
- ↳ Mac Pro ja Mac Studio
- ↳ Ongelmia Macin kanssa?
- iPhone, iPad ja Apple Watch
- ↳ iPhone-, iPad- ja Apple Watch -laitekeskustelu
- ↳ iPhone-, iPad- ja Apple Watch -ohjelmat sekä iOS
- ↳ Ongelmia iPhonen, iPadin tai Apple Watchin kanssa?
- Huviksi ja hyödyksi
- ↳ Off-topic
- ↳ Kuva ja graafinen suunnittelu
- ↳ Audio ja musiikki
- ↳ Video, televisio ja elokuvat
- ↳ Pelit ja pelaaminen
- ↳ Ohjelmointi, skriptit ja palvelimet
- ↳ Tietoturva ja varmuuskopiointi
- ↳ Verkot, mobiilidata ja muut puhelimet
- ↳ Retronurkka
- ↳ Foorumin ylläpito
- Kauppapaikka
- ↳ Myydään Mac
- ↳ Myydään iPhone, iPad ja iPod
- ↳ Myydään muut Applen tuotteet
- ↳ Myydään muuta tietotekniikkaa
- ↳ Ostetaan Mac
- ↳ Ostetaan iPhone, iPad ja iPod
- ↳ Ostetaan muut Applen tuotteet
- ↳ Ostetaan muuta tietotekniikkaa
- ↳ Vaihdetaan, annetaan, työtä haetaan ja tarjotaan
- ↳ Kauppapaikan keskustelu ja hintavinkit