TIETOTURVA
Henri Laakso, MikroPC, 11.5.2012, 9:38Applelta tuli vihdoin päivitys - kolmen kuukauden ajan salasanat olivat kaikkien luettavissa
Apple on vihdoin korjannut OS X Lion -käyttöjärjestelmässään olleen ohjelmointivirheen, jonka takia käyttöjärjestelmä tallensi vahingossa sisään kirjautuneiden salasanat tekstimuodossa järjestelmän tietoihin, kirjoittaa uutissivu Dailytech.
Tietoturvauhka huomattiin jo kolme kuukautta sitten, kun Applen käyttäjä Eric Hildum valitti asiasta yhtiön tukifoorumilla.
”Mac kirjoittaa sisään kirjautuessa käyttäjän salasanan tekstimuodossa kaikkien luettavissa oleviin koneen lokikirjatietoihin. Onko tämä tiedossa oleva turvallisuusriski?”, Hildum kirjoittaa tukifoorumeilla Dailytechin mukaan.
Hildum ei kuitenkaan saanut huoliinsa mitään vastausta Applelta.
Myös tietoturva-asiantuntija David Emery huomasi kyseisen ohjelmointivirheen OS X:ssä ja kirjoittikin siitä hakkereiden käyttämään Cryptome-palveluun.
Emeryn mukaan ohjelmointivirhe löytyy OS X:sistä, jotka on päivitetty vanhemmista käyttöjärjestelmän versioista Lioniin, mutta uusista ostetuista Lion-koneista virhettä ei löydy.
Tietoturva-asiantuntijan Cryptomeen jättämän kirjoituksen myötä myös media alkoi kiinnostua turva-aukosta. Tämä sai ilmeisesti Applen tekemään nopeasti päivityksen aukolle.
OS X 10.7.4 -versio saapui eilen Lion-käyttäjien ladattavaksi
Ja miten tuo ominaisuus MikroPC:n mukaan laajeni yleisesti Lionin käyttäjiin, eikä enää Snow Leopardin FileVault 1 käytäjistä Lioniin päivittäneitä, jotka jättivät päivittämättä FileVaultin 2. versioon?
Vaikka se otsikossa (ja uutisessakin) vakavalta kuulostaa, ei se niin vakava tosiasiassa olekkaan, sillä:
Salasanat eivät kaikkien luetavissa ole. Ei kuka vaan niitä lokeja pääse lukemaan. Pitää päästä fyysisesti koneelle, ja loggaamaan koneeseen sisään ensin ADMIN tai ROOT tunnuksin, eli jos tiedät salasanan, voit selvittää salasanan. Admin tai root tunnareilla saa muutenkin tähdä melkein mitä vaan.
Eikä kaikkien salasanoja saisi selville silloinkaan. Ei riitä, että päivitti Snow Leopardista Lioniin, lisäksi piti olla FileVault (jota harva käyttää) käytössä Snow Leopardissa, ja sitten jatkaa FileVault 1:sen käyttöä Lionissa (sen sijaan, että päivitti lionin mukana tulevaan uuteen versioon FileVaultista).
Eli käyttäjiä, jotka täyttävät nämä ehdot on sitten jo aika pieni osuus, ja lisäksi vaaditaan fyysinen pääsy sekä admin oikeudet koneelle. Ei siis ole aukko, jota verkkorikolliset voisivat käyttää, ennemminkin mustasukkainen puoliso voisi selvittää toisen salasanan koneelle (jos on tapana käyttää eri käyttätunnareita).
Uutinen kuitenkin kuulostaa lähinnä siltä, että kaikkien Maccien salasanat olisi Googlesta luettavissa, mutta mistään sen tasoisesta ongelma ei ollut kysymys.
Nopeasti? Kolmessa kuukaudessa...
Ilmoituksesi käsitellään seuraavan työpäivän kuluessa.