Tweet
le mot de passe de Mac OS X Lion ne sert à rien
Le blog Defence in Depth vient de révéler une faille de sécurité très importante dans Mac OS X Lion qui rend l’utilisation d’un mot de passe inutile dans certains cas, puisqu’il est possible de trouver les fichiers hash, voire carrément le changer, sans avoir besoin de connaître le mot de passe. Bref, du moment qu’une personne a un accès physique à la machine, et que l’utilisateur est logé sur son compte Administrateur, une personne malveillante peut changer le mot de passe et prendre contrôle du système à l’aide d’une simple ligne de commande.
Révéler le contenu du shadow file
Le problème est extrêmement simple à résoudre, ce qui est d’autant plus accablant pour Apple, car il n’aurait jamais dû exister. On espère qu’un correctif sera rapidement publié. Pour faire simple, Lion utilise des shadow file pour chaque utilisateur. Ils contiennent, entre autres, la base de donnée hash du mot de passe. Or, en principe, il est nécessaire de disposer des privilèges root pour pouvoir lire ce fichier. Le problème est que sous Lion, n’importe qui peut le lire. Il n’y a pas besoin d’entrer le mot de passe de l’administrateur si la session de l’utilisateur est ouverte. Bref, n’importe qui peut taper « dscl localhost -read /Search/Users/username » (remplacer username par le nom d’utilisateur de la session ouverte) et le système déballera les informations Hash qui pourront ensuite être rentrées dans un logiciel de crack pour générer le mot de passe de l'utilisateur.
Changer le mot de passe sans connaître l’ancien
Il y a encore plus simple. On peut taper « dscl localhost -passwd /Search/Users/username » dans le Terminal et le système acceptera un nouveau mot de passe sans avoir besoin de connaître l’ancien. Cette dernière manipulation ne fonctionne que si l’on change le mot de passe de l’utilisateur de la session que l’on utilise. Il faut donc être déjà identifié. Si cela réduit la portée de l’attaque, elle n’en est pas moins dangereuse. Il suffit par exemple de quitter sa machine quelques instants pour qu’une personne malhonnête change le mot de passe à l’insu de l’utilisateur. Il faut aussi que l’utilisateur soit l’administrateur de la machine, ce qui est la configuration utilisée par la très grande majorité des utilisateurs, puisque c’est celle qu’Apple propose à la sortie d’usine. Il est aussi possible de télécharger un programme qui lance la commande en question et donne le contrôle de la machine à une personne malveillante.
Il n’y a pour l’instant aucune parade. La seule précaution que l’on peut prendre est de s’assurer que la machine demande un mot de passe au réveil, qu’elle ne s’identifie pas automatiquement au démarrage et de la verrouiller dès que l’on quitte son poste. Nous avons personnellement testé ces deux procédures et pouvons assurer qu’elles fonctionnent.
Source:PC inpact
Révéler le contenu du shadow file
Le problème est extrêmement simple à résoudre, ce qui est d’autant plus accablant pour Apple, car il n’aurait jamais dû exister. On espère qu’un correctif sera rapidement publié. Pour faire simple, Lion utilise des shadow file pour chaque utilisateur. Ils contiennent, entre autres, la base de donnée hash du mot de passe. Or, en principe, il est nécessaire de disposer des privilèges root pour pouvoir lire ce fichier. Le problème est que sous Lion, n’importe qui peut le lire. Il n’y a pas besoin d’entrer le mot de passe de l’administrateur si la session de l’utilisateur est ouverte. Bref, n’importe qui peut taper « dscl localhost -read /Search/Users/username » (remplacer username par le nom d’utilisateur de la session ouverte) et le système déballera les informations Hash qui pourront ensuite être rentrées dans un logiciel de crack pour générer le mot de passe de l'utilisateur.
Changer le mot de passe sans connaître l’ancien
Il y a encore plus simple. On peut taper « dscl localhost -passwd /Search/Users/username » dans le Terminal et le système acceptera un nouveau mot de passe sans avoir besoin de connaître l’ancien. Cette dernière manipulation ne fonctionne que si l’on change le mot de passe de l’utilisateur de la session que l’on utilise. Il faut donc être déjà identifié. Si cela réduit la portée de l’attaque, elle n’en est pas moins dangereuse. Il suffit par exemple de quitter sa machine quelques instants pour qu’une personne malhonnête change le mot de passe à l’insu de l’utilisateur. Il faut aussi que l’utilisateur soit l’administrateur de la machine, ce qui est la configuration utilisée par la très grande majorité des utilisateurs, puisque c’est celle qu’Apple propose à la sortie d’usine. Il est aussi possible de télécharger un programme qui lance la commande en question et donne le contrôle de la machine à une personne malveillante.
Il n’y a pour l’instant aucune parade. La seule précaution que l’on peut prendre est de s’assurer que la machine demande un mot de passe au réveil, qu’elle ne s’identifie pas automatiquement au démarrage et de la verrouiller dès que l’on quitte son poste. Nous avons personnellement testé ces deux procédures et pouvons assurer qu’elles fonctionnent.
Source:PC inpact
http://mobilevikings.com/referral/MlMrpOmMnNQkmPzfciGAtRAUZLxHERzI/
Commentaire