Järkyttävä Fast User Switching tietoturvaonge

[macurious]

Tapahtui tänään:

Koneellani on kaksi käyttäjää. Olin lähtenyt ulos ja laittanut koneen uneen. Toinen käyttäjä tuli tällä välin koneelle, herätti sen unesta ja kirjoitti login-ruutuun oman tunnuksensa ja salasanansa _ilman_ Switch user -napin painamista (epähuomiossa). Järkytys oli suuri, kun hänelle oli auennut minun työpöytäni!!!

Ja tämä ongelma on toistettavissa, se tapahtuu aina Screen saverin ja sleepin kirjautumisdialogissa. Eli kunhan tunnus ja salasana ovat oikeat (ilman käyttäjänvaihtoa), niin ilmeisesti kenelle tahansa käyttäjälle aukeaa koneen nukuttaneen tai lukinneen käyttäjän työpöytä! Tulee mieleen Windows 95 ajat, kun kirjautumisikkunasta pääsi ESC:llä ohi...

Eihän näin voi oikeasti olla, eihän?? Testatkaa muutkin.

Minulla on 10.3.8 (Power Mac G5:ssa) ja kaikki muutkin päivitykset ajettuna. Viimeksi tänään ajoin Cocktailin, joten oikeuksien ja muiden pitäisi olla kunnossa. Enkä ole asentanut mitään kolmannen osa-puolen käyttäjätileihin tai niiden hallintaan vaikuttavia softia.

Koitin netistä etsiä tietoa tästä, mutta en löytänyt. En kai minä nyt voi olla ensimmäinen, joka tällaisen ongelman löytää?

[kallekilponen]

Pitäisi mennä kirjautumisikkunaan poistuessan koneelta...



...mutta en olisi tuollaista silti uskonut... [:O]

[tkt]

Taas kuulostaa peikotukselta, mutta...

Törkeimpiä temppuja oppilaitoksissa on lukita yleisessä käytössä oleva kone poistuessaan paikalta. Tämän kyllä sai kitkettyä aika äkkiä pois ilmoittamalla ko. toimenpiteestä seuraavan automaattisesti käyttöoikeuksien menetys viikoksi. Toisella kerralla enemmän.

No sitten asiaan. Minulla kyllä vaaditaan nukuttaneen käyttäjän oma tunnus. Onko sinulla ja toisella käyttäjällä admin-oikeuksia. Admin-tunnuksella tuo kyllä onnistuu.

--Ari

[kallekilponen]

...ainiin admin tunnuts...tietysti!

[macurious]

No on molemmilla admin-tunnus, mutta ei sillä kyllä silti mielestäni pitäisi noin toisen työpöydälle päästä. Onko tuo todella aina mennyt noin? Onko tämä jossain dokumentoitu?

Kyllä entisen Windows-käyttäjän logiikka on tässä vähän koetuksella ja mielestäni syystä. Mielestäni se, että ylläpitäjä pääsee näin tallentamaan ja sulkemaan toisen käyttäjän ohjelmat esim. buuttausta varten ei ole riittävä peruste tuolle. Windowsissahan ylläpitäjä voi tehdä tuon heittämällä esim. työpöydän tahallaan lukinneen käyttäjän ulos, mutta ei kuitenkaan pääse tämän työpöydälle ja esim. sähköpostiin.

Lisäksi minua ottaa päähän, että heti jos on jollakin on täällä joku (mielestään) oikea ongelma, joka laittaa OS X:n kyseenalaiseen valoon, niin heti syytetään trollauksesta.

[wec]

Lisäksi minua ottaa päähän, että heti jos on jollakin on täällä joku (mielestään) oikea ongelma, joka laittaa OS X:n kyseenalaiseen valoon, niin heti syytetään trollauksesta.

Monesti tällaiset "ongelmat" johtuvat vain kysyjän tietämättömyydestä tai siitä, että kysyjä ei ole antanut riittäviä tietoja. Nyt esimerkiksi jätit ensimmäisessä viestissäsi kertomatta, että molemmat käyttäjät käyttävät admin-tunnuksia vaikka tämä tieto on oleellinen. Ilman tätä tietoa väite näin helposti löydettävästä tietoturva-aukosta kuulostaa vähintäänkin omituiselta (etenkin kun olisit ensimmäinen joka sen olisi löytänyt). Ja otsikko: "Järkyttävä Fast User Switching tietoturvaongelma" huutomerkin kera, kuulostaa hieman ylireagoinnilta ja kokeneemmasta Mac-käyttäjästä uskomattomalta väitteeltä.

[kartsa]

Mäkin kerkesin jo pelästymään... Ei saa vanhaa miestä pelotella noin.

Ja kyllä se mun järkeen sopii ihan mukavasti, että admin oikeuksilla pääsee mihin vain...

[kallekilponen]

Ei se ole tietoturva-aukko jos molemmilla on admin oikeudet. Pääsettehän te muutenkin näkemään niillä toistenne kamat. [:^)]

[macurious]

Tiedostoihin kyllä pääsee admin muutenkin, mutta ei esimerkiksi toisen sähköposteihin (jos sähköpostiohjelma pyörii taustalla).

Ja totta, jätin sen sanomatta, että molemmilla on admin-oikeudet, koska tuossa tilanteessa ei tullut edes mieleeni, että asia voisi johtua siitä (eikä minulla ollut muita valmiita käyttäjätunnuksia, joilla olisin asiaa testata).

Mutta selvä, tulipahan tämäkin opittua. Minusta tuossa on kyllä kyseessä sellainen asia, joka voi oikeasti yllättää ainakin monet kotikäyttäjät (jotka käyttävät konetta tavallisesti admin-tunnuksin), ja minusta se pitäisi lukea jossain selvästi.

[Kirjiz]

Pääseehän sähköposteihin ihan vaan lukemalla ne tiedostoista, johon sähköpostiohjelma ne kirjoittaa.

Toisen käyttäjän ei tarvitse edes olla kirjautuneena sisään, jos haluaa päästä hänen työpöydälleen. Käy vaan vaihtamassa salasanan ja kirjautuu sisään.

[haukka]

Hmm, kyllä tässä on minusta oikea tietoturvaongelmakin. Eli jos admin tunnuksella pääsee jonkun toisen henkilön tunnukselle sisään (FUS tilassa siis), avataan silloin myös ko. henkilön avainrengas, ja siten päästään käsiksi mm. salattuihin levyosioihin. En tosin ole ihan varma kuinka tuo avainrenkaan avaaminen tapahtuu, mutta olen ollut siinä käsityksessä (mikäli mäkin tietoturva on kohdallaan), että AINOASTAAN käyttämällä omaa tunnustaan on mahdollista ottaa käyttöön avainrengas, jossa kaikki "muut" avaimet ovat tallennettuna. Eli esim. vain vaihtamalla käyttäjää su:lla komentorivillä, näin ei tapahdu.

Tarkemmin asiasta tietävät valaiskoon? Minulla on huoltoja varten erillinen admin käyttäjä, koska säilytän suhteellisen salaista tietoa omalla salatulla levyosiollani, mikäli tämä osoittautuu riittämättömäksi, pitänee harkita jotain erillistä salausohjelmaa, mikä on sinänsä harmi. Ei tietysti ole mitään syytä jättää huoltoon viedessään omaa tunnustaan auki, jotta tuo fast user switching temppu onnistuisi.

-Marko

[haukka]

Jatkoksi vielä jäin pohtimaan että jos käyn jollain toisella admin-käyttäjällä vaihtamassa toisen salasanan, niin mahtaakohan tuo keychain-salasana vaihtua myöskin? Sehän on normaalisti sama kuin login salasana (on kyllä mahdollista myös asettaa eriksi).

-Marko

[macurious]

Pääseehän sähköposteihin ihan vaan lukemalla ne tiedostoista, johon sähköpostiohjelma ne kirjoittaa.

Toisen käyttäjän ei tarvitse edes olla kirjautuneena sisään, jos haluaa päästä hänen työpöydälleen. Käy vaan vaihtamassa salasanan ja kirjautuu sisään.

Ihan totta joo, minä ajattelin tuossa lähinnä uusia palvelimelta ladattavia sähköposteja. Mutta niitäkin varten useimmat ovat varmasti tallentaneet sähköpostipalvelimen salasanan avainketjuun, joka tosiaan aukeaa toisellakin tunnuksella.

Eli tuo edellisen kirjoittajan esittämä kysymys avainketjun turvallisuudesta on aika tärkeä. Kokeilin tuota vielä niin, että minulla oli selain ja sähköposti kiinni, ennen kuin tulin työpöydälleni toisella admin-tunnuksella. Sähköpostini uusine viesteineen avautui kiltisti, ja samaten kaikki selaimeen tallennetut www-palvelujen tunnukset ja salasanat. Sitä en osaa sanoa, mitä avainketjulle tapahtuu, joku vaihtaisi salasanani.

Minusta kuitenkaan tuo avainketjun aukaiseminen ei ole mitenkään perusteltua tuossa tilanteessa, jonka tarkoitus on käsitykseni mukaan vain mahdollistaa avointen tiedostojen tallentaminen ja sulkeminen jossain ylläpitotilanteessa.

[haukka]

Joo, edes ylläpitäjä ei pysty vaihtamaan keychain salasanaa. Eli kun vaihdat jonkun toisen käyttäjän salasanan, macosx sanoo jopa erikseen että vanha keychain salasana jää voimaan. Siten pidän tuota FUS ongelmaa oikeasti tietoturva-aukkona. Ei ehkä hirveän vakavana, mutta erittäin helppona korjata. Selkeästihän oikea toiminta olisi se että jos kirjaudut toisella tunnuksella sisään, niin avattaisiin oikea työpöytä.

Ylläpitökäyttäjällä ei mielestäni ole mitään tarvetta päästä toisen työpöydällä, koneen sulkeminen ja ohjelmien sammutus onnistuu ilman pääsyä toisen työpöydällekin. (ok, ei ehkä välttämättä avoimien tietojen tallentaminen, mutta kuka poistuu koneelta tallentamatta tiedostojaan?)

-Marko

[Macsam]

Sitäpaitsi, kun laitat nopean käyttäjänvaihdon päälle esiin tulee varoitus, jossa nimenomaan kehoitetaan käyttämään ominaisuutta vain jos luottaa muihin käyttäjiin. Ei siis pitäisi tulla yllätyksenä, että turvataso on matalampi kuin hitaammassa perinteisessä käyttäjän vaihtamisessa.

[JHA]

Ei se ole tietoturva-aukko jos molemmilla on admin oikeudet. Pääsettehän te muutenkin näkemään niillä toistenne kamat. [:^)]

Tuossa on kyllä kiitettävän tietoturva-aukon rakennuspalikat kasassa mikäli tuon loggauksen jälkeen koneen senhetkisenä käyttäjänä on tuon toisen adminin tunnus eikä kyseessä ole pelkkä työpöydän näkyminen.

Tuon aukon ansiosta toinen admin-oikeuksien omistaja voisi halutessaan mm. lähettää ja vastaanottaa sähköpostia toisen käyttäjän nimissä tai harrastaa koneella tai verkkoympäristössä erinäisiä pahantekoja toisen käyttäjän nimissä ilman että jäljet johtavat häneen. Kollegan mustamaalaus YT-neuvottelujen painaessa päälle olisi kovinkin helppoa oman työpaikan turvaamiseksi..

Titeoturvasta puhuttaessa ei pidä lähtökohtaisesti olettaa että edes adimin tunnuksien omistajat ovat lähtökohtaisesti rehellisiä ihmisiä.

[jarski]

tämä FUS vaikuttaa aika käyttökelvottomalta toiminnolta. oli käyttäjä admin tai ei, logout pitäisi aina olla logout ja sillä selvä. jos joku sitten komentotasolla pääsee oikeuksien puitteissa esim. lukemaan toisen käyttäjän meilit, on se ihan eri juttu kuin antamalla omat tunnukset, ja pääsee suoraan käsiksi toisen käyttäjän koko desktoppiin. hyvä että tuli täällä ilmi, eipä tarvi todeta samaa vahingossa.

[macurious]

Täydennystä tuohon avainketjun käyttöasiaan... Löysin Applications > Utilities valikosta Keychain access -ohjelman, josta löytyy asetus "Lock keychain when sleeping" (tai vastaavasti "after a period of inactivity"). Kas kun kukaan tätä ole vielä maininnut Noilla asetuksilla siis saa avainketjun lukittua samalla kun kone menee unitilaan tai screen saveriin, mikä osaltaan poistaa nuo aiemmin mainitut huolenaiheet.

Toisaalta niiden sovellusten osalta, jotka ovat jo auki uneen mentäessä (esim. Safari ja Mail) avainketju säilyy 'auki', vaikka muuten (uusien sovellusten osalta) olisikin lukossa palattaessa unesta tai screen saverista. Lisäksi tässä on se ylimääräinen harmi, että omalla tunnuksella screen saverista tai unesta palaaminen ei automaattisesti avaa avainketjua, vaan sitä varten pitää uudelleen syöttää avainketjun salasana, kun jotain tietoa avainketjusta tarvitaan.

[MacFinn]

Toisaalta, FUS ei ole oletusarvona päällä ja sen käynnistyskin varoittaa mahdollisesta tietoturvaongelmasta. Toisaalta, ei tuon kyllä pitäis noin toimia.

Ja tietysti, jos jaat koneesi toisen käyttäjän kanssa, mutta koneellasi on todella salattavaa aineistoa, kannattais kenties harkita ihan omaa konetta, jota ei jaeta kenenkään kanssa.

[hjuutilainen]

Mun mielestä tämä on todella kätevää. Totta kai ylläpidon täytyy päästä koneelle kirjoittamalla nimensä ja salasanansa ruutuun. Ylläpitohan voi tehdä tunnuksellaan ihan mitä lystää, ja näin se tulee mielestäni ollakin.

Jos ei luota muihin konetta käyttäviin, miksi heille on edes annettu ylläpitotunnus? Eikö olisi järkevämpää antaa muille käyttäjille vakiotunnus ja itse pelailee sitten sillä ylläpidolla.

Samalla tavallahan toimii myös ohjelmien asennus, eli kun asentaja kysyy ylläpitäjän salasanaa, voi ruutuun kirjoittaa ihan minkä tahansa ylläpitotunnuksen ja salasanan.

[macurious]

Olen edelleen vahvasti sitä mieltä, että ylläpitäjilläkään ei ole mitään asiaa toisten ylläpitäjien avainketjuihin, vaan niiden pitäisi koneen lukittuessa oletusarvoisesti lukittua (ja oikealla tunnuksella koneelle palatessa avautua).

Tietoturva-asioissa on periaatteellisesti aivan turha vedota siihen, että käyttäjille sanotaan, kun esim. FUS-ominaisuutta käynnistetään, että tietoturvataso on alempi. Kuka sen lukee ajatuksella, että mitä se tarkoittaa? Se voi tarkoittaa vaikka sitä, että toinen käyttäjä voi sulkea koneen, jolloin toisen käyttäjän muutokset avoimiin ja tallentamattomiin dokumentteihin tuhoutuvat.

Tässä ei ole nyt kyse mistään henkilökohtaisesta luottamuksesta (tai sen puutteesta) toiseen ylläpitäjään, vaan periaatteellisesta asiasta, josta ei olisi kenellekään mitään haittaa, jos olisi alunperin tehty kunnolla (mutta nykyisellään se voi aiheuttaa tietoturvaongelmia).

[Macsam]

Olen edelleen vahvasti sitä mieltä, että ylläpitäjilläkään ei ole mitään asiaa toisten ylläpitäjien avainketjuihin, vaan niiden pitäisi koneen lukittuessa oletusarvoisesti lukittua (ja oikealla tunnuksella koneelle palatessa avautua).

20 Macin ylläpitäjänä olen kyllä sitä mieltä, että ylläpitäjän pitää päästä kaikkiin koneella oleviin tietoihin käsiksi. Työ olisi aika hankalaa ilman täydellisiä oikeuksia koneeseen. Valitettava tosiasia on, että käyttäjillä on taipumuksena mm. unohdella salasanojaan ja käyttäjätunnuksiaan.

Se voi tarkoittaa vaikka sitä, että toinen käyttäjä voi sulkea koneen, jolloin toisen käyttäjän muutokset avoimiin ja tallentamattomiin dokumentteihin tuhoutuvat.

Kyllä, pitää paikkansa. Juuri tästäkin syystä niitä ylläpitäjän tunnuksia ei pidä jaella kenelle tahansa. Tietojen katoamisestakin muuten varoitetaan, jos konetta yrittää sulkea silloin kun muita käyttäjiä on vielä kirjautuneena. Ylläpitäjätunnuksen haltijan reiluudesta/epäreiluudesta sitten riippuu miten varoitukseen reagoi.

[NOx]

Avaa Keychain Access. Mene valikkoon View ja valitse Show Status In Menu Bar.

Tästä lähtien Menussa lukkoikonin kautta voit lennosta lukita ja avata avainnippuja, lukita ruudun ja pääset pikaisesti eri turvallisuuteen liittyviin asetuksiin.