Mac OS X: Lion a nešťastná změna hesla

Na Mac OS X Lion je k dispozici utilita dscl, pomocí níž je možné nastavit nové heslo, aniž by bylo nutné zadávat heslo staré.

Na tom by nebylo nic divného, kdyby tato utilita byla dostupná pouze uživateli root, jenže tomu tak není. I běžný uživatel si může pomocí této utility změnit své heslo, aniž by musel zadávat heslo staré. A to znamená, že útočníkovi v takovém případě stačí získat jen na malý okamžik přístup k počítači oběti a může heslo změnit a totéž může při splnění určitých podmínek udělat i škodlivý kód, který může mít např. podobu nevinného JAVA appletu nacházejícího se na nějaké webové stránce.

Scénář útoku, který popsal Patrick Dunstan ve svém příspěvku Cracking OS X Lion Passwords je sice možný, ale s nezodpovědným přístupem Applu ke správě hesel přímo nesouvisí, protože v okamžiku, kdy bude uživatel surfovat na internetu pod privilegovaným účtem a v systému bude existovat utilita, která bude umožňovat změnu hesla libovolného uživatele bez nutnosti zadání hesla starého, což je ve většině systému naprosto běžná věc, a uživatel ještě k tomu spustí neznámý JAVA applet, který tuto funkci zavolá, tak se jedná jen o jeho nezodpovědnost.

Také možnost zobrazovat si hash hesla je funkce, kterou běžný uživatel vůbec nepotřebuje. (Popravdě řečeno, on ji nepotřebuje ani administrátor). Tímto jen poskytuji případnému útočníkovi snadný přístup k hashům, které může později lámat. A stejně jako v předchozím případě i zde platí, že možnost JAVA appletu tuto funkci zavolat, je už jen následek.

Alarmujicí je jiná věc, a to, že je tato funkce dostupná i běžným uživatelům. Evidentě je zde porušen „least privillege principle“, tedy že každý uživatel má v systému disponovat jen těmi privilegii, které nezbytně nutně potřebuje pro svoji práci. Tady souhlasím s Patrickem, že je vhodné omezit přístup k této utilitě, alespoň do doby, než Apple vydá odpovídající patch.

Závěr: Nestačí jen použít kvalitní hashovací funkci a v systému ukládat osolené hashe a sůl, ale záleží i na tom, jakým způsobem je k těmto datům řízen přístup a jakým způsobem je možné heslo změnit. Uživatel by měl mít přístup jen k těm datům a funkcím systému, které opravdu potřebuje.

Štítky: autentizace

Diskuse na tomto webu je moderována. Pod článkem budou zobrazovány jen takové komentáře, které nebudou sloužit k propagaci konkrétní firmy, produktu nebo služby. V případě, že chcete, aby z těchto stránek vedl odkaz na váš web, kontaktujte nás, známe efektivnější způsoby propagace.