WWDC2021-2022, bu sabah Apple mühendislerinin masalarındaki tek ciddi haber değil.
Kötü niyetli bir uygulama, düzgün bir şekilde kullanılırsa, MacBook'unuzu veya mevcut herhangi bir Mac'i, siz olduğunuzu düşünmesi ve istediğini yapması için kandırabilir. Digita Security'nin baş araştırma görevlisi olan güvenlik araştırmacısı Patrick Wardle, dün (2 Haziran) Monako'da Objective by the Sea adlı bir konferansta bir macOS güvenlik açığını ortaya çıkardı.
Ne yazık ki, Apple bu kusuru henüz düzeltmedi ve Wardle şirkete daha geçen hafta söyledi. Kendinizi korumak için doğrudan internetten indirdiğiniz uygulamalara çok dikkat etmeniz gerekir. Bunun yerine resmi Mac App Store'a bağlı kalmak daha iyi olur.
Hayalet tıklamalar
Wardle'a göre sorun, Apple'ın bir avuç eski uygulamanın (çoğunlukla popüler VLC medya oynatıcı gibi mevcut uygulamaların eski sürümlerinin), uygulamaların Apple'ın en son güvenlik engellerini atlamasına izin veren bir özellik olan "sentetik tıklamaları" kullanmaya devam etmesine izin vermesidir. belirli eylemlere izin vermek için izni gereken yetkili bir kullanıcıyı taklit ederek.
EclecticLight.co'ya göre, Apple'ın sentetik tıklamaları kullanabilmek için beyaz listeye aldığı eski uygulamaların listesi Steam, VLC, Sonos Mac Controller ve Logitech Manager'ın eski sürümlerini içerir.
Wardle ve diğer araştırmacılar geçen yaz sentetik tıklamaların Mac'lere saldırmak için nasıl kullanılabileceğini gösterdikten sonra Apple, macOS Mojave ile özelliğin kapısını kapattı. Ancak eski uygulamaların çalışmaya devam etmesine izin vermek için - Wardle, sentetik tıklamaları tamamen öldürmenin "birçok meşru uygulamayı bozacağı" konusunda uyarmıştı - bu eski uygulamalardan feragat edildi.
Wardle, Threatpost'a "Bu, bir araştırmacı olarak Apple'ın korumalarını atlamanın yollarını sürekli olarak bulmak sinir bozucu" dedi. "Apple'ın savunmasında benzer delikler bulan başka bir bilgisayar korsanı veya sofistike düşman olmadığını düşünmek saflık olur."
Odaları kontrol etmemek
Apple'ın başka bir koruması var. Bu uygulamalar eski olsun veya olmasın, yalnızca bir Apple beyaz listesindeki uygulamaların sentetik tıklamaları kullanmasına izin verir. Sorun, doğrulama sürecinin derinden kusurlu olmasıdır.
MacOS, uygulamaları yalnızca dijital imzalarını kontrol ederek doğrular, bu uygulamaların içindeki kodu gerçekten kontrol ederek veya çalışmaya başladıktan sonra fazladan kod yüklemediklerinden emin olarak değil. Dün Wardle, VLC'ye, Apple'ın tipik olarak uygulamalarda engellediği sentetik tıklamalar (sahte kullanıcı eylemleri) gerçekleştirebilen kötü amaçlı bir eklenti enjekte ederek endişelerinin geçerli olduğunu kanıtladı.
Yalnızca kimliğinizi kontrol eden ve bagajınızı tarama tepsisinden kaydırmayan bir TSA güvenlik görevlisi düşünün. İşte mesele bu.
Wardle, Wired'e "Bu yeni güvenlik mekanizmasını uygulama biçimleri yüzde 100 bozuldu" dedi. "Tüm bu yeni Mojave gizlilik önlemlerini atlayabilirim."
kullanıcıyı kandırmak
Kullanıcıları, bozulmuş ve kullanıcıya karşı silahlandırılmış uygulamaları yüklemeye kandırmak zor değil. Bunun önemli bir örneği, 2016 yılının Mart ayında popüler BitTorrent istemcisi Transmission ile gerçek hayatta yaşandı.
Bir saldırganın kimseyi kandırması gerekmeyebilir. 2016'da Wardle, kullanıcının zaten yüklemiş olduğu meşru yazılıma yönelik bozuk bir güncellemenin (bu örnekte, Kaspersky Internet Security for Mac) bir Mac'e bulaşmak için Apple'ın tüm güvenlik mekanizmalarını nasıl atlayabileceğini gösterdi.
Özensiz güvenlik uygulamaları
Wardle'ın son konuşması The Register de dahil olmak üzere bir dizi kaynak tarafından rapor edildi.
Bu nasıl oldu? Wardle The Register'a "Herhangi bir güvenlik araştırmacısı veya Apple'da güvenlik zihniyetine sahip biri bu kodu denetlemiş olsaydı, fark ederdi. Bu hatayı gördüğünüzde önemsizdir" dedi.
"Kodu denetlemiyorlar" diye ekledi. "Hey, bu yeni güvenlik özelliklerini uyguluyorsunuz, ancak gerçek şu ki, genellikle yanlış uygulanıyorlar."
- WWDC Neden Apple İçin Yeni Bir Çağ Başlatacak?