WWDC2022-2023 không phải là tin tức nghiêm túc duy nhất trên bàn làm việc của các kỹ sư Apple sáng nay.
Nếu được khai thác đúng cách, một ứng dụng độc hại có thể đánh lừa MacBook của bạn hoặc bất kỳ loại máy Mac hiện tại nào, nghĩ rằng đó là bạn và làm bất cứ điều gì nó muốn. Nhà nghiên cứu bảo mật Patrick Wardle, giám đốc nghiên cứu của Digita Security, đã tiết lộ một lỗ hổng bảo mật macOS vào ngày hôm qua (2/6) tại một hội nghị ở Monaco có tên Objective by the Sea.
Thật không may, Apple vẫn chưa vá lỗ hổng này và Wardle mới nói với công ty về nó vào tuần trước. Để tự bảo vệ mình, bạn cần phải hết sức cẩn thận với các ứng dụng tải trực tiếp từ internet. Thay vào đó, tốt hơn là bạn nên sử dụng Mac App Store chính thức.
Nhấp chuột ma
Theo Wardle, vấn đề là Apple cho phép một số ứng dụng cũ (hầu hết là các phiên bản cũ hơn của các ứng dụng hiện tại như trình phát đa phương tiện VLC phổ biến) tiếp tục sử dụng "nhấp chuột tổng hợp", một tính năng đã cho phép các ứng dụng vượt qua các trở ngại bảo mật mới nhất của Apple bằng cách bắt chước người dùng được ủy quyền có quyền cần thiết để cho phép các hành động nhất định.
Theo EclecticLight.co, danh sách các ứng dụng kế thừa mà Apple đã đưa vào danh sách trắng để có thể sử dụng các lần nhấp tổng hợp bao gồm các phiên bản cũ của Steam, VLC, Sonos Mac Controller và Logitech Manager.
Sau khi Wardle và các nhà nghiên cứu khác cho thấy cách thức nhấp chuột tổng hợp có thể được sử dụng để tấn công máy Mac vào mùa hè năm ngoái, Apple đã đóng cửa tính năng này với macOS Mojave. Nhưng để cho phép các ứng dụng cũ tiếp tục hoạt động - Wardle đã cảnh báo rằng việc giết hoàn toàn các nhấp chuột tổng hợp sẽ "phá vỡ nhiều ứng dụng hợp pháp" - những ứng dụng cũ hơn đó được miễn trừ.
Wardle nói với Threatpost: “Điều này khiến một nhà nghiên cứu phải liên tục tìm cách vượt qua sự bảo vệ của Apple. "Tôi sẽ thật ngây thơ khi nghĩ rằng không có tin tặc hoặc đối thủ tinh vi nào khác cũng tìm thấy lỗ hổng tương tự trong hệ thống phòng thủ của Apple."
Không kiểm tra các buồng
Apple có một biện pháp bảo vệ khác. Nó chỉ cho phép các ứng dụng trong danh sách trắng của Apple sử dụng các lần nhấp tổng hợp, cho dù các ứng dụng đó có cũ hay không. Vấn đề là quá trình xác minh có sai sót sâu sắc.
MacOS chỉ xác minh các ứng dụng bằng cách kiểm tra chữ ký số của chúng chứ không phải bằng cách thực sự kiểm tra mã bên trong các ứng dụng đó hoặc đảm bảo chúng không tải thêm mã sau khi bắt đầu chạy. Hôm qua, Wardle đã chứng minh mối lo ngại của mình là có cơ sở bằng cách đưa một plugin độc hại vào VLC, một plugin có thể thực hiện các nhấp chuột tổng hợp - hành động giả mạo của người dùng - mà Apple thường chặn trong các ứng dụng.
Hãy tưởng tượng một nhân viên an ninh TSA chỉ kiểm tra ID của bạn và không đưa hành lý của bạn qua khay quét. Đó là vấn đề ở đây.
Wardle nói với Wired: “Cách họ triển khai cơ chế bảo mật mới này, nó đã bị hỏng 100%. "Tôi có thể bỏ qua tất cả các biện pháp bảo mật Mojave mới này."
Đánh lừa người dùng
Không khó để đánh lừa người dùng cài đặt các ứng dụng đã bị lỗi và vũ khí hóa chống lại người dùng. Một ví dụ chính về điều này đã xảy ra trong cuộc sống thực vào tháng 3 năm 2016 với Truyền ứng dụng khách BitTorrent phổ biến.
Kẻ tấn công thậm chí có thể không cần phải đánh lừa bất cứ ai. Vào năm 2016, Wardle đã chỉ ra cách một bản cập nhật bị hỏng cho phần mềm hợp pháp mà người dùng đã cài đặt - trong ví dụ này là Kaspersky Internet Security for Mac - có thể vượt qua tất cả các cơ chế bảo mật của Apple để lây nhiễm sang máy Mac.
Thực tiễn bảo mật cẩu thả
Cuộc nói chuyện mới nhất của Wardle đã được một số cửa hàng báo cáo, bao gồm cả The Register.
Làm sao chuyện này lại xảy ra? Wardle nói với The Register rằng "Nếu bất kỳ nhà nghiên cứu bảo mật nào hoặc ai đó tại Apple có tư duy bảo mật đã kiểm tra mã này, họ sẽ nhận thấy nó. Một khi bạn nhìn thấy lỗi này, nó thật tầm thường".
"Họ không kiểm tra mã," ông nói thêm. "Yhey đang triển khai các tính năng bảo mật mới này, nhưng thực tế là chúng thường được triển khai không chính xác."
- Tại sao WWDC sẽ mở ra một kỷ nguyên mới cho Apple