Wachtwoord-lek plaagt Mac OS X Lion
Er zit een beveiligingslek in Mac OS X Lion waardoor lokale gebruikers het wachtwoord van andere gebruikers via een eenvoudig Terminal commando kunnen aanpassen. Daardoor kunnen aanvallers met fysieke toegang de bestanden van andere gebruikers benaderen. In Mac OS X worden wachtwoorden normaliter versleuteld en dan in "shadow bestanden" opgeslagen, die op een veilige locatie op de schijf worden bewaard. Afhankelijk van de systeemrechten, is de inhoud van deze bestanden alleen toegankelijk voor de gebruiker of een administrator die zich eerst moeten authenticeren.
Uit onderzoek blijkt nu dat de beveiligingsarchitectuur van Mac OS X Lion niet goed werkt, waardoor het aanpassen van andermans wachtwoorden kinderspel is. Normale gebruikers hebben nog steeds geen directe toegang tot de shadow bestanden, maar Lion laat gebruikers wel de wachtwoord hashes bekijken, die direct uit de Directory Services zijn te halen. Hiervoor zijn geen rootrechten nodig. Elke gebruiker kan de "ShadowHashData" van andere gebruikers benaderen.
Wachtwoord wijzigen
De onderzoeker die het probleem ontdekte heeft nu ook een script gemaakt om het kraken van de hashes te vereenvoudigen. Het grootste probleem is echter dat de Directory Services in Lion geen authenticatie meer vereist als een ingelogde gebruiker zijn wachtwoord wil wijzigen. Een aanvaller kan via het commando '$ dscl localhost -passwd /Search/Users/bob' een nieuw wachtwoord voor het account van bob invoeren en zo toegang tot zijn gegevens krijgen.
Wow, dit is ernstig zeg, want de gemiddelde Mac wordt ook door zovelen gebruikt...
</sarcasm>
Jeez wat heb je hier nu aan om dit te kraken ? Het enige nut ervan is dat je bob's wachtwoord kunt recette als hij het vergeten is, dat zou nog nuttig kunnen zijn, maar ook daarvoor zijn betere methodes.
-
Jdw
Zonder internet verbinding werkt dat niet want het gebruikt een online password database om middels het hashen van random passwords de hashcode te vinden . Kortom het leest dus jouw password niet, het test andere passwords om de jouwe te vinden. Dat is al een heel andere benadering.
beetje het idee van If ( online password hash == jouw password hash ) , succes, else tryagain.
In mijn ogen dus meer brute force attack dan echt een lek.
Daarbij moet je dus al wel op het OS zijn ingelogd ( aangemeld ) om überhaupt dit script te kunnen draaien.
zie nog steeds het nut er niet van anders dan spijkers zoeken op laag water.
Murphy zegt: Als je maar hard genoeg zoekt naar hetgeen wat je zoekt, zul je het ook vinden.
Stel ik ben een virusprogramma dat via email of de browser is binnengeslopen en ik wil de bootsector infecteren of een keylogger goed verbergen. Daarvoor is het erg handig als ik 'root' (in windows 'administrator') rechten heb en dus volledige controle over de machine. Normaal hebben programma's dat niet, ze draaien onder de rechten van een normale gebruiker. Om echt enge dingen te doen, heb je het wachtwoord van de gebruiker nodig, om zo de 'sudo'-en naar root rechten. Het virusprogramma heeft zonder meer toegang tot de gehashte versie van het wachtwoord van de gebruiker. Hij dan deze hash opsturen naar een stevige computer die hem kraakt, zodat het virus zelf niet verdacht veel activiteit op de geïnfecteerde machine hoeft te veroorzaken. Wanneer de hash gekaakt is heeft het virus het wachtwoord en daarmee volledige 'root' rechten. Oeps.
Tel daarbij op het gegeven dat veel gebruikers hetzelfde wachtwoord gebruiken voor alles en je hebt wellicht direct toegang tot paypal/amazon/gmail accounts.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
