Найдена уязвимость связки ключей Mac

Ведущий исследователь компании Synack (в прошлом, к слову, сотрудник АНБ США) Патрик Уордл обнаружил уязвимость связки ключей в macOS. Связку ключей можно рассматривать как менеджер паролей – в ней сохраняются пароли пользователя к его аккаунтам, онлайн-сервисам, серверам и другая конфиденциальная информация. Доступ к ней возможен только после ввода пароля администратора. Однако Патрик Уордл в исследовательских целях создал приложение, способное похищать данные из связки ключей.

Для его успешной работы необходим предварительный взлом компьютера – возможно, через открытие пользователем вредоносного вложения в сообщении или посещение специально созданного вебсайта. Но, учитывая ценность хранимых в связке ключей данных, легко понять, что киберпреступники приложат все силы, чтобы до них добраться, и методы социальной инженерии способны существенно облегчить их задачу. Впрочем, Уордл пообещал хранить описание эксплойта в тайне до выпуска корпорацией Apple необходимого обновления безопасности. Собственно, он известил Apple о неприятной находке еще в начале сентября. Но в этот момент корпорация уже начала отправку первым покупателям компьютеров Mac, оснащенных новой операционной системой macOS 10.13 High Sierra. В Apple посчитали неправильным портить дебют новой ОС и попросили исследователя подождать с публикацией.

Патрик Уордл отметил, что он не винит Apple за эту задержку. В то же время он подчеркнул, что корпорации пора подумать о введении программы премирования исследователей за за найденные уязвимости. В настоящий момент такая программа в Apple распространяется лишь на уязвимости мобильной операционной системы iOS. По мнению Уордла, распространение ее и на macOS помогло бы привлечь большее число исследователей и укрепить безопасность продуктов Apple.