Un exploit zero-day dans la dernière version de macOS permet à un attaquant de subtiliser les mots de passe
sauvegardés sur Keychain
Patrick Wardle, chercheur en sécurité pour le compte de Synack qui a apparemment travaillé pour NSA, a publié des informations sur des failles de type zero-day affectant le système d’exploitation macOS High Sierra quelques heures seulement avant le déploiement de la version stable. Le défaut de sécurité affecte la nouvelle fonctionnalité SKEL (Secure Kernel Extension Loading) du système d'exploitation, conçu pour exiger des utilisateurs qu'ils autorisent le chargement de toute nouvelle extension de noyau tiers.
« L'objectif principal (de sécurité) de SKEL est de bloquer le chargement des kexts (Kernel Extension) légitime, mais dont les vulnérabilités sont connues. Jusqu'à ce qu’Apple mette sur liste noire ces kexts via le dictionnaire OSKextExcludeList (dans AppleKextExcludeList.kext / Contents / Info.plist), les attaquants peuvent simplement charger ces fichiers kexts, puis les exploiter pour obtenir une exécution de code arbitraire dans le contexte du noyau », a déclaré Patrick Wardle dans son rapport détaillé.
À l’aide de cet exploit, qui affecte également les anciennes versions de macOS, un attaquant pourrait voler tous vos mots de passe stockés dans le gestionnaire de mots de passe Keychain de Mac en utilisant une application non signée que vous pouvez télécharger et installer à partir du Web.
Comme le font d’autres gestionnaires de mots de passe, Keychain nécessite un mot de passe principal pour permettre aux utilisateurs d’avoir accès. Pourtant, grâce à cet exploit, il n’est même plus nécessaire pour accéder à vos mots de passe stockés qui seront alors visibles en texte clair.
Pour montrer combien il est facile d’avoir accès à ce coffre-fort de mots de passe, il a fait une démonstration vidéo dans laquelle il a créé une application « keychainStealer ». Selon cette démo, il est possible pour un attaquant de récupérer des mots de passe associés à des sites Web, des services et des numéros de carte de crédit lorsqu'un utilisateur est connecté.
L’exploit peut être embarqué dans une application qui semble légitime ou envoyé via courriel.
Il a signalé le bogue à Apple plus tôt ce mois-ci, « mais malheureusement, le patch n'a pas pu être diffusé sur High Sierra », a-t-il déclaré. Apple travaille donc déjà sur un correctif qui sera certainement disponible dans une prochaine mise à jour.
« En tant qu'utilisateur passionné de Mac, je suis constamment déçu de la sécurité de macOS » , a-t-il déclaré. « Je ne veux pas dire que cela soit pris de façon personnelle par quelqu'un chez Apple, mais chaque fois que je regarde macOS de la mauvaise façon il y a quelque chose qui ne va pas. Je pense que les utilisateurs doivent être conscients des risques qui existent sur la plateforme. »
« L’équipe marketing d'Apple a fait un excellent travail pour convaincre les gens que macOS est sécurisé et je pense que c'est plutôt irresponsable et cela conduit à des problèmes où les utilisateurs de Mac sont trop confiants et donc plus vulnérables », a-t-il ajouté.
« macOS est conçu pour être sécurisé par défaut, et Gatekeeper avertit les utilisateurs lorsqu’ils tentent d'installer des applications non signées, comme celle illustrée dans cette preuve de concept, et les empêche de lancer l'application sans approbation explicite. Nous encourageons les utilisateurs à télécharger des logiciels uniquement à partir de sources fiables comme le Mac App Store, et d'accorder une attention particulière aux boîtes de dialogues de sécurité que macOS présente », a déclaré Apple dans un communiqué.
Source : démo de l'exploit,
déclaration d'Apple
