Użytkownicy macOS High Sierra w niebezpieczeństwie. Mega wpadka Apple!
Nie pamiętam, aby macOS zaliczył tak potężną wpadkę związaną z bezpieczeństwem użytkowników. Niestety, stało się — komputery pracujące pod kontrolą najnowszej wersji systemu operacyjnego na komputery klasy Mac są obecnie bezbronne niczym dziecko. Uściślając — każda osoba mogąca zasiąść przed twoim MacBookiem, iMakiem lub Makiem Pro bez problemu przełamie twoje hasła i zyska uprawnienia administracyjne. Nie potrzeba do tego żadnych sztuczek, wystarczy kilka sekund.
Rzadko to piszę, ale… zawiodłem się na Apple. Wybierając ekosystem giganta z Cupertino, jedną z najważniejszych rzeczy, którymi się kierowałem były względy bezpieczeństwa. Miałem już dość ciągłego zamartwiania się o to, co wymyśli Microsoft przy okazji kolejnej aktualizacji systemu operacyjnego Windows. Owszem, mogłem korzystać z jednej z wielu dystrybucji Linuksa, ale musiałbym pożegnać się z wieloma wykorzystywanymi przeze mnie programami. Kupno MacBooka wydawało mi się więc wyborem idealnym i świetnie współgrającym z używanym przeze mnie smartfonem (iPhone). Sytuacje takie, jak dzisiejsza pokazują mi, że powinienem mieć ograniczone zaufanie do marki, jakkolwiek stabilna by ona nie była.
Złam macOS w kilka sekund
Sprawa wybuchła, a jakże, na Twitterze, gdzie niejaki Lemi Orhan Ergin opublikował wpis, w którym obnażył nieporadność zabezpieczeń najnowszej wersji systemu macOS.
Dear @AppleSupport, we noticed a *HUGE* security issue at MacOS High Sierra. Anyone can login as "root" with empty password after clicking on login button several times. Are you aware of it @Apple?
— Lemi Orhan Ergin (@lemiorhan) November 28, 2017
Do rzeczy. Okazuje się, że zdobycie praw administratora w komputerach z Apple jest banalnie proste i mogą to zrobić osoby nieznające hasła. Aby to zrobić, wystarczy w panelu do logowania wpisać w pole nazwy użytkownika frazę “root”. Hasło jest zbędne i choć początkowo system może odrzucić próby logowania, zrezygnuje z “obrony” już po kilku staraniach. Jak łatwo zgadnąć, osoba, której uda się uzyskać dostęp do wszystkich funkcji naszego komputera, systemu i konta może zrobić z naszymi danymi, co jej się żywnie podoba.
Jeśli błąd występowałby podczas codziennej pracy z odblokowanym urządzeniem, skala zagrożenia, nie byłaby przerażająca. Niestety, wspomniana sztuczka zadziała nawet na ekranie logowania, czyniąc macOS bezbronnym.
https://twitter.com/JohnPaczkowski/status/935635283546013701
Apple przyznało się do sprawy i postanowiło ją skomentować, zalecając zmianę hasła root. Nie mniej, użytkownicy komputerów Apple mogą spodziewać się aktualizacji, która zostanie wypuszczona w możliwie bliskim terminie.
Jak się bronić?
Są dwie metody, które pozwolą na tymczasowe rozwiązanie problemu. Jedna, wbrew pozorom najszybsza to wpisanie komendy sudo passwd root w terminalu, gdzie “zalogujemy” się do konta root, a następnie zmienimy hasło na nowe.
Druga opcja to w zasadzie jednakowy proces, ale wykonany w interfejsie graficznym, z którym lepiej poradzą sobie osoby mniej zaznajomione z komputerami. Aby zabezpieczyć macOS, wystarczy:
- Uruchomić Preferencje Systemowe
- Wejść zakładkę Użytkownicy i Grupy
- Wybrać kłódkę dostępną w lewym dolnym rogu
- Podać aktualne hasło administratora
- Przejść do Opcji logowania (lewy dolny róg)
- Wybrać opcję Przyłącz, następnie Narzędzie Katalogowe
- Odblokować pełny dostęp
- Edytować hasło root, podając nowe
To wszystko! Wystarczy jedynie wybrać jedną z dostępnych metod rozwiązania problemu z zabezpieczeniami — trudniejszą, ale krótszą albo łatwiejszą, choć dłuższą.
Niestety, nie zmieni to mojego podejścia do “Sadu”, który najzwyczajniej w świecie mnie zawiódł. Cóż, człowiek uczy się na błędach.
Źródło: Twitter
