macOS High Sierra, nuovo bug di sicurezza relativo ad APFS e drive criptati

27 Marzo 2018 72

È emerso un nuovo bug di sicurezza di macOS High Sierra che, per quanto non grave come quello dell'accesso root digitando una password vuota di qualche settimana fa, permette di rivelare informazioni teoricamente riservate con il minimo sforzo.

Tramite un semplice comando da terminale, è possibile recuperare la password per accedere un drive esterno (chiavetta o hard disk USB, per esempio) criptato formattato con il nuovo file system APFS attraverso l'app Utilità Disco. La procedura è stata verificata in due casi d'uso; in uno il bug esiste ancora, nell'altro è stato chiuso con precedenti aggiornamenti:

  • Conversione da APFS non criptato ad APFS criptato: il problema si verifica ancora con macOS 10.13.3, la versione corrente più aggiornata
  • Creazione di un nuovo volume APFS criptato: il problema si verifica solo fino a macOS 10.13.1.
In caso di conversione da APFS non criptato ad APFS criptato, il problema si verifica ancora con macOS 10.13.3
Quando si crea un nuovo volume APFS criptato, invece, il problema si verifica solo fino a macOS 10.13.1

Il comando da lanciare da terminale è il seguente:

log stream –info –predicate ‘eventMessage contains “newfs_”‘

È già il secondo problema di sicurezza relativo specificamente al nuovo file system di Apple; il precedente era emerso lo scorso ottobre, e benché fosse molto simile nei risultati il modo per arrivarci è radicalmente differente. Per maggiori dettagli tecnici vi invitiamo ad approfondire cliccando la voce FONTE, poco più sotto.


72

Commenti

Regolamento Commentando dichiaro di aver letto il regolamento e di essere a conoscenza delle informazioni e norme che regolano le discussioni sul sito. Clicca per info.
Caricamento in corso. Per commentare attendere...
Sagitt

no, ti sto solo spiegando che un software complesso e nuovo non può essere esente da bug, è letteralmente impossibile, pure se lo metti in beta per 2 anni e lo sviluppi per 5.

stiga holmen

Ho mai detto questo? :D

Ma ti inventi le cose adesso? :D

Sagitt

oppure la tua incompetenza in materia :D

Pensi che all'uscita di NTFS o altri FS non ci siano stati problemi?

stiga holmen

..la tua fede è davvero incrollabile !

Sagitt

un bug è un bug, ed un software senza bug è come un mondo senza guerre. Il buono sta nella prontezza dell'azienda a risolverlo e diffonderlo nel più breve tempo possibile minimizzandone i danni.

stiga holmen

..secondo la tua logica nessun bug è un bug visto che è continuamente in sviluppo...

Sagitt

Non è in beta, apfs funziona benissimo. Qui sì parla di un bug di sicurezza non di uno stato in sviluppo

Secondo la tua logica nessun software aggiornabile dovrebbe essere rilasciato

stiga holmen

...appunto, essendo un intero FS dovrebbero pensarci 10 volte prima di offrirlo anche in Beta....oppure siete diventati BetaiOS/BetaMacOS ?

CAIO MARIOZ

Prendi Mavericks è superi già il 10%
Tu sei scem0 e imbecill3

C#Dev

Ah no?
Se hai il coraggio vai sul sito ufficiale che conteggia le vulnerabilità per ogni sistema operativo e postali! :D

Che bambinetto.

L'avocado del Diavolo

Offendi con la tua presenza ossessiva non con i dati.

C#Dev

Ma sei ridicolo??
Con una percentuale prossima allo 0%??

Tu sei scem0 forte.
Oltre a non capire proprio nulla.

CAIO MARIOZ

Nel 2018 è in uso ancora Snow Leopard (2012) che non riceve patch da minimo 3 anni

https://uploads.disquscdn.c...

CAIO MARIOZ

No non sono più recenti, visto che partono dal 2001

C#Dev

E quindi? Peggio ancora per MacOS visto che significa che le versioni in utilizzo nel 2017 sono sicuramente piu recenti di quelle di Windows 10 e hanno addirittura 60 falle in più e piu di 200 script malevoli XD
Continuava scarti la fossa con le tue stesse mani, ho sempre pensato che tu fossi intelligente ahaha XD

C#Dev

Scusami, non volevo offenderti con dei dati oggettivi che dimostrano che quello che scrivi é solamente spazzatura.
Non ti preoccupare. Rimani pure a fare festa insieme ai tuoi baccanali Ultras Apple :)

C#Dev

Sei talmente ottuso e minorato che non ti accorgi nemmeno che questo è il primo commento che posto dopo mesi.
Ritardato a tempo indeterminato, hai il contratto firmato a sangue tu.

sopaug

non serve, il problema è che il comando e la password restano scritte in chiaro in un log di sistema accessibilissimo

Merdslie

Tu lavori? Ahahah ma se sei sempre qui?

HATER a temerlo iindeterminato intendi forse ahahaha

Sagitt

bhe, zfs è validissimo ma penso che un FS proprietario per la propria piattaforma sia migliore.
Piuttosto il problema è nell'FS per device esterni.

Sagitt

è quello che verrà al 100% in futuro, ed è anche un FS totalmente nuovo creato da 0 anche in breve, quindi visto che non si tratta di una piccola app per fare fotoritocchi ma di un intero FS ha i suoi problemi di gioventù, e ricordiamo è opzionale.

CAIO MARIOZ

Tra l’altro le patch su Windows arrivano fino a Windows 7 del 2009, cosa che non avviene su macOS, dopo 3 anni se non aggiorni macOS non hai più patch

RiccardoC

anche io ho visto cose... :-D

daniele

Non ho capito il problema. Praticamente nel momento in cui cripto il mio hard disk (che se non sbaglio deve essere vuoto perchè viene formattato) si vede la password che ho appena digitato?

Nel senso che se lo faccio seduto al centro di una confraternita hacker potrebbe essere un problema? :S

ErCipolla

Si certo, come ho risposto anche all'altro commento, parlavo della situazione attuale e dell'effetto "shock" che avrebbe. Vivessimo in un mondo ideale i programmi sarebbero scritti in maniera più neutrale possibile, ma purtroppo nella realtà il vizio di usare la manipolazione di stringhe diretta è la regola più che l'eccezione

ErCipolla

Ah questo è sicuro, ma all'atto pratico purtroppo orrori come "string.split("\").last()" la fanno da padrone. Migliaia di software (anche enterprise, perché anche la ho visto cose immonde) a metterebbero di funzionare al volo

L'avocado del Diavolo

Dire che sei pesante è ancora poco.. Poraccio.

Mauricio

Anche iOs non se la passa bene, ha qualche problema con i QR Code
https:// www. securityinfo. it/2018/03/27/la-nuova-minaccia-liphone-arriva-dai-qr-code/

Paolo Giulio

Non si può dire che epppppolll non dia sempre nuove gioie mensilmente (e a volte anche settimanalmente) ai suoi h4t3rsssssss.... altrimenti, sai che noia...

C#Dev

Ma che c'entra.
Le versioni utilizzate nel 2017 di MacOs sono addirittura di meno di tutte le versioni di Windows 10 utilizzate nel 2017 quindi é addirittura svantaggiato in questo conteggio!
Ma un minimo di oggettività!

Thomas Schietti

Ahahahahah Apple che abbraccia un FS per venire incontro a tutti ? Magari... Google e Windows forse in futuro. Apple penso non accadrà mai.

Thomas Schietti

Questo nuovo OS è nato male (o per meglio dire, progettato e rilasciato senza adeguati controlli)

CAIO MARIOZ

Bisogna sommare le falle non comuni di tutte le versioni di Windows utilizzate nel 2017

A quel punto puoi confrontare ecosistema Windows vs ecosistema Mac

Oppure mantenere quelle di Windows 10 e confrontarle con quelle di High Sierra (dato che è installato su metà Mac, così come Windows 10 è installato su metà PC)

TheRealTommy

In realtà è già stato fixato...

Andrej Peribar

Il problema è proprio che non riguarda solo Apple.
Anche MS sta strutturando un nuovo filesystem anche se mi pare sia per ora prerogativa dei server (non sono informato bene) e l'attuale NTFS va soppiantato.

Paradossalmente più il discorso è trasversale, più le politiche da "multinazionale anni 70" viene fuori, aka

io mi faccio il mio casinò con blackjack e squillo di lusso

C#Dev

Appunto che quello che dici non c'entra un tubo. E infatti lo hai tirato fuori tu questo discorso, mica io.

Si prende il singolo OS e si valutano le falle trovate nelle versioni utilizzate nel 2017: MacOs ha avuto 200 codici malevoli in piú e 60 falle in piú. Stop.
E scusa se é poco.

stiga holmen

..è quello che verrà di default su iOS e Mac

CAIO MARIOZ

La scoperta di falle non è esclusivamente legata alla diffusione di un OS,

altrimenti Windows 10 dovrebbe avere 20 volte le falle di Windows XP

Utente9000

Ok, lo fixeranno subito. Ma i test su questo nuovo file system come diamine li hanno fatti, bendati?

fabrynet

Ok ok ho capito

C#Dev

Embé?? XD si sta parlando del singolo sistema operativo mica dello share che ha Fra le macchina, cosa che aggraverebbe ancora di più la situazione di MacOs visto lo share ridicolo che si ritrova.

E poi vorresti dire che nel 2028 ci sono persone che utilizzano versioni di MacOs del 2001?
Ma per piacere xD

C#Dev

Vero, pensa che ho dispositivi muletto con Ubuntu Touch giusto per farti capire come utilizzi qualsiasi cosa.
Concordo in pieno.

RiccardoC

senza dubbio, però questa boiata del nuovo fs ce la potevamo risparmiare, ed usare soluzioni più collaudate (zfs per esempio)

CAIO MARIOZ

Si ma Windows 10 nel 2017 non era installato nel 100% dei PC, ma nel 40%, così come High Sierra per i Mac

RiccardoC

io uso sia Win, sia Mac Os, sia Linux regolarmente; non ho necessariamente un preferito, ci sono cose che apprezzo e odio in ognuno di essi

CAIO MARIOZ

No, per me è stato 7

Trunks78

Il file system centra poco, è Utility Disco che "logga" la password che hai usato per criptare.
Il comando da terminale lo devi lanciare dalla macchina che fisicamente ha criptato il disco esterno.
Rimane una figura da cioccolatai ma non è che chiunque possa recuperare la password del disco esterno criptato (se non ha accesso alla macchina che lo ha fatto).

C#Dev

Ma é ovvio che sia così.
Non saro di certo io a darti contro che utilizzo entrambi per lavoro.

C#Dev

Assolutamente falso.

Sono le falle identificate nelle versioni di MacOs X utilizzate nel 2017 contro quelle identificate nelle versioni utilizzate di Windows 10 nel 2017.

Mica la somma di tutte le falle di MacOsX contro tutte le falle di Windows 10!
Ahahah nemmeno i dati sapete leggere XD

RiccardoC

e quelli lasciali bollire nel loro brodo; io sono utente Apple, non certo fanboy; quando penserò che Windows sia più adatto al mio uso, passerò a quello...

Recensione Mac Mini Apple Silicon M1, ho QUASI sostituito il mio desktop da 2K euro

iPhone 12, Mini, Pro e Max: vi spieghiamo le differenze (e quale scegliere)

Recensione iPhone 12 Mini: grazie Apple, ci voleva

Apple Silicon è il futuro di Apple: da desktop a smartphone, andata e ritorno