PC REVUE
Image
15.12.2017 0 Comments

Apple Mac má problém s bezpečnosťou účtu root - riešenie je našťastie pomerne jednoduché

Je až podivuhodné, s ako veľkými a vážnymi bezpečnostnými incidentmi a problémami sme sa stretli v tomto roku. Pomyselné stupne víťazov za posledné tri mesiace by mohli vyzerať takto:

1. Spoločnosť Uber: Hackerom sa podarilo odcudziť značné množstvo údajov alternatívnej taxislužby. Pozornosť si v tejto veci zaslúžil fakt, že firma zaplatila kybernetickým zločincom za ich mlčanlivosť a zmazanie ukradnutých dát, a celú udalosť sa snažila maximálne zachrániť. K bezpečnostnému incidentu pritom došlo už v polovici roku 2016.
2. Spoločnosť Equifax: Počítačovým zločincom sa podarilo získať osobné údaje - vrátane dôležitých informácií, ako sú čísla sociálneho zabezpečenia, približne polovici dospelého obyvateľstva Spojených štátov amerických.
3. Spoločnosť Apple: Jednoduché kliknutie na tlačidlo „Show password hint“ zobrazuje miesto nápoveddy samotné heslo k zašifrovanému zariadeniu.

SEWA_1120218

Apple sa ale nepoučil a hackerom nevedomky ponúkol ďalšiu možnosť k páchaniu kybernetického zločinu. Ide o bezpečnostný problém, ktorý je možno ešte pozoruhodnejší ako ten z "ocenených troch". Spoločnosť by si tak možno zaslúžila aj zlatú medailu. Nové bezpečnostné riziko sa navyše zvýšilo vďaka prvotnému zverejneniu informácií na Twitteri.

Konečné heslo užívateľa root je...
Vo verzi operačného systému MacOS (High Sierra, aktuálne 10.13.1) je možné veľmi ľahko získať heslo užívateľa root - teda administrátora s najvyššími oprávneniami. Priemerný počet pokusov potrebných na odhalenie tohto hesla je ... JEDEN.

Prekvapivé je, že v skutočnosti vlastne nie je heslo potrebné zistiť, pretože v danom momente je už známe, respektíve prázdne. Postup k zneužitiu uvedeného bezpečnostného problému je veľmi jednoduchý - stačí sa prihlásiť ako používateľ root bez vyplneného hesla.

"Z dostupných informácií sa dá predpokladať, že spoločnosť Apple sa neobťažovala heslo pre užívateľov root nastaviť. Dôvodom môže byť fakt, že pri používaní bežných aktivít nie je tento účet využitý. V tomto prípade si obvykle majitelia počítača vytvoria jeden alebo viac bežných účtov s administrátorskými právami - v prípade potreby stačí zadať vlastné heslo a vykonať požadovanú činnosť. V skutočnosti ide o celkom dobrý bezpečnostný mechanizmus, pretože užívateľ ako administrátor nemusí byť prihlásený počas celej doby práce s počítačom, teda nie je potrebné zdieľať jedno heslo medzi viacerými správcami a vďaka prepojeniu vykonaných krokov s konkrétnym užívateľom je zodpovednosť každého z administrátorov zvyčajne o niečo väčšia," konštatuje Patrick Müller, výkonný riaditeľ kanálu pre Českú republiku a Slovensko vo firme Sophos.

Zneužitie tohto bezpečnostného incidentu je v praxi našťastie zložitejšie. Ak je napríklad účet root na počítač aktívny a má vyplnené heslo, bez jeho znalosti sa nezaobídete. Ideálne je, ak k nastaveniu hesla dôjde už počas inštalácie systému a má náhodnú podobu, nikto ho teda nepozná. Výhodou tohto prístupu je ľahšie zamedzenie nežiaducim situáciám, ako je napríklad náhodné použitie administrátorského hesla pri bežnej práci.

Pokiaľ užívateľ root heslo nastavené nemá, je vhodné tento účet nastaviť tak, aby neumožňoval prihlásenie - bez ohľadu na to, koľko a akých spôsobov by kybernetickí zločinci pre pokus o získanie prístupu pod používateľom root vyskúšali.

Existuje riešenie?
Bezpečnostný problém operačného systému MacOS je síce vážny, ale nie je nutné prepadať panike. Jednoducho stačí pre užívateľa root nastaviť dostatočne silné heslo, ktoré nikto iný nepozná a nemožno ho odvodiť alebo uhádnuť. Samotná kontrola aktuálneho stavu a zaistenie nápravy je tak veľmi jednoduchá. Stačí otvoriť Terminál, zadať "passwd root" a trikrát stlačiť klávesu Enter.

Nie je nutné mať z tohto postupu obavy, ak už nejaké heslo pre užívateľ root existuje, k jeho zmene nedôjde.

$ passwd root
Old Password: [stlačte Enter – žiadne heslo nezadávajte]
New Password: [ešte raz stlačte Enter, opäť bez zadania hesla]
Retype New Password: [a do tretice…]

Ak už heslo existuje a nie je prázdne, bude o tom systém informovať hláškou:

passwd: authentication token failure

Táto správa je dôkazom, že je všetko v poriadku a popisovaný bezpečnostný problém sa takého počítača netýka (pretože účet root s heslom už existuje).

Avšak, ak po treťom stlačení klávesu Enter ku zobrazenie uvedenej správy nedôjde, heslo pre užívateľa root je prázdne a teda je nutné ho zmeniť. Opäť to nie je nič ťažké, stačí zopakovať už vyskúšaný postup. Len súčasťou druhého a tretieho kroku je zadanie nového - a dostatočne silného - hesla.

Ak však žiadnu správu nevidíte, vaše základné heslo bolo a stále je nevyplnené, čo znamená, že je potrebné ho zmeniť:

$ passwd root
Old Password: [stlačte Enter - žiadne heslo nezadávajte]
New Password: ****** [zadajte heslo a stlačte Enter]
Retype New Password: ****** [zopakujte heslo a stlačte Enter]

A to je všetko, teraz už heslo pre účet root existuje.
Technicky vzaté, nie je nutné si nové heslo pamätať. Nemožno ale zadávať úplné nezmysly, heslo z druhého a tretieho kroku sa totiž musí zhodovať. Aj naďalej je možné počítač spravovať pomocou bežného účtu s administrátorskými oprávneniami - samozrejme až po zadaní hesla spojeného práve s týmto "bežným" účtom.

Zobrazit Galériu

Nechajte si posielať prehľad najdôležitejších správ emailom

Mohlo by Vás zaujímať

Bezpečnosť

Komentár: Dočkáme sa raz zákazu zabijackých robotov?

05.11.2018 00:20

Pentagon vyvíja autonómnu raketu, ktorej softvér bude samostatne vyberať cieľ. Britská armáda má dron s umelou inteligenciou, ktorá sama riadi streľbu. Rusko zasa predstavilo tanky, ktoré v boji nepot ...

Bezpečnosť

Akadémia Jablotron: Prehĺbte si vedomosti o alarmoch a staňte sa certifikovaným montérom. Školenie teraz aj vo vašom meste!

02.11.2018 00:09

Ak montujete alarmy a chcete začať inštalovať aj elektronické zabezpečovacie systémy Jablotron, alebo si jednoducho chcete prehĺbiť vedomosti, máme pre vás školenie pre kvalifikovaných. Na školení vá ...

Bezpečnosť

Ťažko na cvičisku, ľahko na bojisku platí aj v kybernetickej bezpečnosti

26.10.2018 00:08

Pozná to každý, kto pracuje v kancelárskej budove. Jasne označené únikové východy, hasiace prístroje na stenách a z času na čas sa rozozvučí alarm, aby si osadenstvo za všeobecného frflania vyskúšalo ...

q

Žiadne komentáre

Vyhľadávanie

Daily Web 2018

Najnovšie videá



PC forum button