MacMacken

Gestern Donnerstag wurde via BugTraq-Mailingliste eine neue gravierende Sicherheitslücke in Mac OS X veröffentlicht: Demnach speichert Mac OS X die Angaben bei der Benutzeranmeldung, das heisst insbesondere auch das Passwort, nach der Benutzeranmeldung im Klartext im Arbeitsspeicher (RAM) anstatt die Angaben zu löschen …

Bild: CNET News.com.

Wer physischen Zugriff auf einen Mac mit einem angemeldeten Benutzer hat, kann somit das Passwort des Benutzers aus dem Arbeitsspeicher auslesen – ein Grund mehr, wieso in den Mac OS X «Leopard»-Sicherheitstipps für Anfänger empfohlen wird, für den Schlüsselbund «Anmeldung» ein eigenes Passwort und nicht das Benutzerpasswort zu verwenden. Leider besteht diese Möglichkeit nicht für FileVault – der Zugangsschutz von FileVault basiert auf dem Benutzerpasswort, so dass FileVault durch dieses Sicherheitsproblem eine neue Schwäche aufweist … :(

Aaron Sigel, der bei Apple unter anderem für Sicherheitsfragen rund um Mac OS X zuständig ist, verspricht eine entsprechende Sicherheitsaktualisierung, allerdings ohne einen Termin zu nennen …

We are currently tracking the fix for inclusion in an upcoming software update.

Bei CNET News.com kann man sehen, wie sich die Sicherheitslücke reproduzieren lässt. Wie lange es wohl dieses Mal dauert, bis Apple die erwähnte Sicherheitsaktualisierung veröffentlicht?

Dieser Blogeintrag wurde am Freitag, 29. Februar 2008 um 11:45 Uhr publiziert und mit den Schlagwörtern «aaron sigel, anmeldung, arbeitsspeicher, benutzeranmeldung, benutzername, kennwort, loginwindow.app, mac os x, passwort, ram, schlüsselbund, sicherheit, sicherheitslücke, sicherheitsproblem» versehen. Etwaige Kommentare zu diesem Blogeintrag können Sie per RSS sowie per E-Mail-Benachrichtigung verfolgen. Sie können diesen Blogeintrag direkt kommentieren oder sich per Trackback von Ihrer eigenen Website aus dazu äussern.