Fejl i Mac OS X Lion blotter dit kodeord

Fejl i Apples nyeste Mac-styresystem betyder, at dit kodeord kan være blevet logget og nu være frit tilgængeligt.

Annonce:
Annonce:
Læs også:

På trapperne: Sådan bliver Apples nye Mountain Lion


Computerworld News Service: Apples seneste opdatering til OS X Lion indeholder ifølge en softwarekonsulent en farlig programmeringsfejl.

Den kan afsløre kodeordene til data, der er krypteret med den første version af Apples FileVault.

David I. Emery skriver på websitet Cryptome, at et stykke fejlfindingskode, der uforvarende er blevet efterladt i den seneste udgivelse af styresystemet, version 10.7.3, gemmer i såkaldt klartekst det kodeord, der bruges til at åbne den mappe, som er krypteret af den ældre version af FileVault.

Som bruger er man udsat for denne sårbarhed, hvis man har opgraderet til den seneste version af Lion men stadig anvender den ældre version af FileVault.

Fejlfindingskoden har gemt kodeordene fra alle brugere, der er logget ind på styresystemet siden opgraderingen til version 10.7.3, som udkom først i februar.

"Dette er lige præcist sådan noget, den sikrede FileVault-partition burde beskytte imod," siger Emery i et interview.

Sådan fungerer FireVault
Apple har to versioner af FileVault. Den første version gjorde det muligt for brugeren at kryptere indholdet i hjemmemappen ved hjælp af krypterings-standarden AES (Advanced Encryption Standard) med nøglestørrelser på 128-bit.

Den opdaterede version af produktet, FileVault 2, som medfølger i OS X Lion, krypterer desuden hele harddisken.

Når man opgraderer til Lion men stadig anvender den første version af FileVault, så migreres den krypterede hjemmemappe, som herefter er sårbar overfor denne sikkerhedsfejl.

Emery oplyser, at kodeordene kan læses af enhver med adgang til rodmappen eller med administratoradgang. Men hvad værre er, at kodeordene også er blottede på andre måde.

Emery forklarer, at kodeordene kan læses ved at "starte maskinen op som ekstern FireWire-disk og åbne den som en disk eller ved at starte op i Lions nye gendannelsespartition og derefter bruge den tilgængelige superbruger-shell til at mounte filsystemets primære partition og således få adgang til filen."

"Det ville gøre det muligt at bryde ind i krypterede partitioner på maskiner, man ikke kender login-kodeordet til," advarer han.

Sådan løser du problemet
Det findes heldigvis adskillige måder at løse dette problem.

Emery skriver, at de to ovenfornævnte angreb kan afværges ved blot at anvende FileVault 2. En eventuel angriber skal på den måde kende mindst ét kodeord for at få adgang til diskens primære partition, skriver han.

Herudover kan man sætte firmware-kodeord på, som så skal indtastes for at starte op i gendannelsespartitionen, fra et eksternt medie eller som ekstern FireWire-disk.

Emery advarer dog om, at Apples såkaldte Genius Bar-medarbejdere har en metode til at omgå sådanne firmware-kodeord.

Oversat af Thomas Bøndergaard

Læs også:

På trapperne: Sådan bliver Apples nye Mountain Lion



Ytringer på debatten er afsenders eget ansvar - læs debatreglerne
Indlæser debat...




IT-JOB

Se flere it-job hos

 
Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Dustin A/S
Leverandør af it-udstyr til små og mellemstore virksomheder samt offentlige institutioner.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Computerworld Summit 2015 - digital innovation

Computerworld Summit giver dig internationale keynotes, diskussioner, oplæg, netværk og debat om innovation, kompleksitet og sikkerhed i it-afdelingen - sammen med 500 andre danske it-professionelle. Læs mere

SAS Radisson Blu Scandinavia - 2300 København S



Enterprise Content Management - få styr på data-junglen i din virksomhed

De fleste virksomheder genererer i stigende omfang store mængder data fra et stadig voksende antal kilder. Kom til dette How To og hør om gevinsterne ved at få styr på virksomhedens dataflow med de bedste enterprise content management-systemer. Læs mere

Pfizers Konferencecenter - 2750 Ballerup



Server/storage/virtualisering

Virksomhedernes forretningssystemer leverer data som aldrig før, og mængderne vokser i omfang. Det stiller krav til driftslaget om at kunne levere mere for samme budget, noget, det ikke er så nemt at opfylde med skyhøje priser på diske. Private og offentlige skyer giver nye muligheder og nye udfordringer. Og er der måske penge at spare ved at skifte virtualiseringsplatform? Hør om udfordringer og løsninger på Computerworlds How-To. Læs mere

Pfizers Konferencecenter - 2750 Ballerup







Computerworld
Hold øje med denne mail: Danmark rammes igen af udspekuleret phishing-kampagne
Danmark er ramt af udspekulerede angreb, som nu vil fjernbetjene udstyret i en helt bestemt branche.
CIO
Derfor er Internet of Things en så gylden og fantastisk mulighed for it-chefen
Klumme: Håndtering af data fra forbundne enheder i Internet of Things bliver stadig vigtigere for it-afdelingerne og it-cheferne. Men IoT gemmer også på en gylden karrieremulighed.
Comon
Prøvekørt: Her er Microsofts splinternye Surface-computer - til noget lavere pris end Surface Pro 3
Prøvekørt: Microsoft er klar med en helt ny Surface-computer, der bliver billigere end den nuværende Surface 3 Pro, selv om de er ret ens. Vi har prøvekørt den nye maskine. Se vores dom her.
Channelworld
Stor konkursramt it-forhandler forsøger at sælge fortrolige kundedata
Den konkursramte it-kæde Radioshack forsøger at sælge millionvis af fortrolige kundedata. Flere advokater mener, at salg af fortrolige kundeinformationer er pivulovligt.
White paper
Få overblik over din infrastruktur
Cisco Identity Services Engine sikrer netværksadgangen med synlighed og kontrol. Research og journalistisk bearbejdning af Computerworld for Netteam