Menú principal

lunes, 7 de mayo de 2012

Bug en Mac OS X Lion 10.7.3 registra en log passwords

El pasado viernes 4 de Mayo, en la lista de correo Cryptography, se publicó un bug en Mac OS X Lion 10.7.3 por el que se pueden ver las claves de cifrado de los usuarios que hacen uso de FileVault en sus directorios personales. De este fallo, parece que algunas personas ya lo habían detectado hace 15 días, ya que es posible encontrar referencias de él en Internet.

El bug en cuestión se ha producido porque en esta última actualización de Mac OS X Lion alguien activó a ON el switch DEBUGLOG, lo que provoca que el proceso de autorización del daemon DIHLFVMount que monta el Home Directory del usuario que usa FileVault descifrado, grabe en un fichero de log, en TEXTO PLANO y legible por cualquier usuario del sistema con permisos de administrador la contraseña de cifrado. El log está ubicado en /var/log/secure.log y la password puede verse en una entrada en él como esta:

Figura 1: Prueba hecha en NakedSecurity

Este bug afecta a las versiones migradas de FileVault a Mac OS X Lion, en las que no está disponible la opción de cifrado de disco completo que está ya disponible en FileVault 2, y haría innecesarios los ataques de fuerza bruta a FileVault o los ataques vía FireWire. El problema es aún bastante mayor, ya que cualquiera con capacidad de acceso al equipo local que pueda arrancar el sistema, o cualquiera con acceso a un backup podrá ver la contraseña de cifrado.

No sólo FileFault, también AFP

El bug no sólo hace que se guarden estas contraseñas, sino cualquier otra que sea necesaria para el punto de montaje de un dispositivo. Así, si hay mapeada una unidad por medio del protocolo AFP que hace uso de la contraseña, ésta también queda registrada en el fichero de log, tal y como se lamentaba un usuario el pasado 26 de Abril de 2012. Aparece en un formato como éste:
25/04/2012 13:12:12.340 authorizationhost: DEBUGLOG | -[HomeDirMounter mountNetworkHomeWithURL:attributes:dirPath:usernam e:] | about to call _premountHomedir. url = afp://[SERVER INFO], userPathComponent = [HOME FOLDER], userID = [NUMBER], name = [SHORTNAME], passwordAsUTF8String = [CLEAR TEXT PASSWORD]
Hay que suponer que las contraseñas de otros dispositivos que se monten un punto del sistema de ficheros también es posible que estén allí, como SMB, por lo que se se recomienda utilizar password de arranque en el sistema o cifrado completo de disco para mitigar este problema. Aún así, habría que tener especial cuidado con las copias de seguridad, donde el fichero podría estar guardado con la contraseñas de escritas en él.

No hay comentarios:

Publicar un comentario en la entrada

Artículos relacionados

Otras historias relacionadas

Entradas populares