De nouvelles failles de sécurité touchent Gatekeeper, Réactions à la publication du 27/05/2019

[Lionel]

Des chercheurs en sécurité ont annoncé avoir découvert de nouvelles failles de sécurité permettant de contourner les protections de Gatekeeper. Pour rappel, ce système permet d'éviter l'installation de code non signé sous macOS.

Voici un exemple cité:

Pour mieux comprendre le fonctionnement de cet exploit, considérons le scénario suivant: un attaquant crée un fichier zip contenant un lien symbolique vers un nœud final de montage automatique qu’il / elle contrôle (ex Documents -> /net/evil.com/Documents) et l’envoie à la victime.

La victime télécharge l'archive malveillante, l'extrait et suit le lien symbolique.

À présent, la victime se trouve dans un emplacement contrôlé par l'attaquant mais approuvé par Gatekeeper. Ainsi, tout exécutable contrôlé par l'attaquant peut être exécuté sans aucun avertissement. La façon dont le Finder est conçu (ex. cacher les extensions .app, cacher le chemin complet depuis la barre de titre) rend cette technique très efficace et difficile à repérer.

Apple a été informé depuis le 22 février de ce problème, qui devait être réglé dans la dernière mise à jour macOS. Cela n'a pas été le cas en fin de compte.

Lien vers le billet original

[ekami]

Je passe sur Gatekeeper qui est hélas trop facile à berner.
-----------------------
Restons constructifs: pour "sécuriser" un peu plus, il conviendrait:
- D'afficher toutes les extensions de fichiers (dans les préférences du Finder)

- De tester si une application est bien signée avant son premier lancement, à l'aide des deux commandes terminal suivantes:

codesign -v -v (+faire glisser votre appli pour coller son chemin d'accès)
spctl -v -a (+faire glisser votre appli pour coller son chemin d'accès)

- Et de connaître la checksum du .dmg et/ou du .pkg (donnés par le développeur) afin de la comparer avec celle calculée (à l'aide d'une app gratuite) afin de s'assurer que l'installeur n'à pas été modifié par un tiers:
Cheksum sur le Mac App Store
--
Et côté développeur:
signer l'application (pas simple quand on utilise autre chose que XCode)
signer le .dmg
signer le .pkg
et fournir les checksums avant le téléchargement.

Ce message a été modifié par ekami - 27 May 2019, 12:06.

[vlady]

Je passe sur Gatekeeper qui est hélas trop facile à berner.
-----------------------
Restons constructifs: pour "sécuriser" un peu plus, il conviendrait:
- D'afficher toutes les extensions de fichiers (dans les préférences du Finder)

- De tester si une application est bien signée avant son premier lancement, à l'aide des deux commandes terminal suivantes:

codesign -v -v (+faire glisser votre appli pour coller son chemin d'accès)
spctl -v -a (+faire glisser votre appli pour coller son chemin d'accès)

- Et de connaître la checksum du .dmg et/ou du .pkg (donnés par le développeur) afin de la comparer avec celle calculée (à l'aide d'une app gratuite) afin de s'assurer que l'installeur n'à pas été modifié par un tiers:
Cheksum sur le Mac App Store
--
Et côté développeur:
signer l'application (pas simple quand on utilise autre chose que XCode)
signer le .dmg
signer le .pkg
et fournir les checksums avant le téléchargement.

Je passe tous les applis (signées ou pas) par ça aussi :

https://www.virustotal.com/#/home/upload

On peut aussi verifier des urls.

Pour les checksums, SHA-256 par exemple (dans le terminal) :

shasum -a 256 <ton-fichier>

Ce message a été modifié par vlady - 27 May 2019, 13:09.

[ekami]

Je passe tous les applis (signées ou pas) par ça aussi :
https://www.virustotal.com/#/home/upload
On peut aussi verifier des urls.

Dommage que virustotal ne puisse pas scanner les documents de plus de 256 MB…

[iAPX]

Tout ça n'est que des emplâtres sur une jambe de bois, le problème étant maintenant bien plus profond, se rapprochant du fameux exemple qu'a donné Ken Thompson à la remise de son prix Turing, Reflections on Trusting Trust (PDF).

Le terme "reflections" est ici à double-sens pour qui a lu le texte et compris son horrifique moelle.
Et de part mon parcours, sans aller jusqu'à gcc (quoique ça soit extrêmement facile, c'était juste inutile), j'ai utilisé cela de manière pratique, avec la commande ssh modifiée pour envoyer les infos quelque part loin loin, mais aussi pour se répliquer automatiquement sur les machines accédées (recompilation modifié), la cible infectant donc son réseau et indiquant ses points d'entrées (avec les mots-de-passe) pour éviter d'essayer de se logger sur un Honey Pot.

On a maintenant le problème du "Supply Chain Poisoning" (empoisonnement de la chaîne d'approvisionnement), qui dans beaucoup de cas, peut-être la plupart, ne permet plus aux développeurs de garantir l'innocuité des logiciels produits, même signés de part en part...
Échec et mat!

PS: dans certains cas il est très facile d'injecter du code et de prendre le contrôle, comme avec WordPress, je m'attend que ça explose avec des gens qui vont s'apercevoir comment on peut hacker un nombre incroyable d'installations existantes avec des Admin suivant les procédures à la lettre (et surtout tout mis-à-jour )...
Par exemple le site du 375ème anniversaire de Montréal est totalement exposé à ce type d'attaque, qui peut aisément être ciblée (donc invisible pour les autres et les chercheurs en sécurité)

Ce message a été modifié par iAPX - 27 May 2019, 14:59.