macOS High Sierra: falla zero day al lancio?

macOS High Sierra, il nuovo sistema operativo desktop di Apple, è giunto nelle mani dei consumatori da pochissime ore: nella tarda serata di ieri, infatti, il gruppo di Cupertino ha avviato la fase di distribuzione per i Mac compatibili. Eppure, nonostante la fresca disponibilità, vi sarebbe già un allarme: secondo Patrick Wardle, ex esperto NSA e attuale ricercatore di sicurezza per Synack, il sistema operativo soffrirebbe di una falla zero day.

Secondo quanto reso noto dal ricercatore, macOS High Sierra soffrirebbe di una falla che permetterebbe a malintenzionati, tramite l’installazione di un’apposita applicazione, di sottrarre le password salvate nel Portachiavi del sistema operativo. Per dimostrare quanto sostenuto, l’esperto ha quindi reso disponibile un video d’esempio sulla piattaforma Vimeo.

Per visualizzare le password contenute nel portachiavi, è solitamente necessario essere in possesso di una chiave d’accesso d’amministrazione: senza questa conferma, il sistema operativo non permette a nessuno di accedere alle informazioni sensibili sull’utente. In macOS High Sierra, tuttavia, questa protezione potrebbe essere aggirata semplicemente con l’ausilio di un’app appositamente creata a questo scopo. Wardle ha infatti creato il software “keychainStealer”: una volta scaricato, il programma consentirebbe l’accesso illecito al Portachiavi e la copia di ogni password memorizzata in un file di testo. Il sistema pare possa raccogliere un gran numero di informazioni: oltre alle password, anche numeri di carta di credito e molto altro.

Non è tutto, poiché secondo l’esperto il codice malevolo può essere incluso in qualsiasi applicazione, distribuita oltre i confini di Mac App Store. Per questo motivo, dalle impostazioni di sicurezza contenute nelle Preferenze di Sistema, è sempre consigliato permettere unicamente l’installazione di software certificato dalla stessa Apple, escludendo invece tutte le altre fonti di distribuzione. Così ha spiegato l’esperto:

Da utente Mac appassionato, sono continuamente deluso dalla sicurezza di macOS. […] Credo che gli utenti debbano essere consapevoli dei rischi che ci sono, sono sicuro che sofisticati malintenzionati abbiano simili capacità. […] Il marketing di Apple ha fatto un grande lavoro per convincere le persone che macOS è sicuro, penso però sia abbastanza irresponsabile perché spinge gli utenti Mac a essere troppo sicuri, questo potrebbe renderli invece più vulnerabili.

Apple ha risposto all’accusa tramite una nota consegnata alla redazione di CNet:

macOS è progettato per essere sicuro di default, Gatekeeper allerta gli utenti prima di installare applicazioni non certificate, come quella mostrata in questo proof of concept, e impedisce il lancio di queste applicazioni in assenza di approvazioni specifiche. Incoraggiamo gli utenti a scaricare applicazioni unicamente da fonti affidabili, come Mac App Store, e di prestare attenzione alle comunicazioni di sicurezza che macOS presenta.